Elektronik Haberleşme Sektöründe Başvuru Sahibinin Kimliğinin Doğrulanma Süreci Hakkında Yönetmelik

BİRİNCİ BÖLÜM

Amaç, Kapsam, Dayanak ve Tanımlar

Amaç ve kapsam

(1) Bu Yönetmelik, elektronik haberleşme sektöründe abonelik sözleşmesi, numara taşıma başvurusu, işletmeci değişikliği başvurusu, nitelikli elektronik sertifika başvurusu, kayıtlı elektronik posta başvurusu ve SIM değişikliği başvurusu işlemlerine ilişkin belgelerin elektronik ortamda düzenlenmesi halinde başvuru sahibinin kimliğinin doğrulanması amacıyla uygulanacak sürece ilişkin usul ve esasları kapsar.

Dayanak

(1) Bu Yönetmelik, 15/1/2004 tarihli ve 5070 sayılı Elektronik İmza Kanunu, 5/11/2008 tarihli ve 5809 sayılı Elektronik Haberleşme Kanunu ile 13/1/2011 tarihli ve 6102 sayılı Türk Ticaret Kanununun 1525 inci maddesinin ikinci fıkrasına dayanılarak hazırlanmıştır.

Tanımlar ve kısaltmalar

(1) Bu Yönetmelikte geçen;

a) Başvuru sahibi: Kendisi veya temsile yetkili olduğu gerçek veya tüzel kişi adına bu Yönetmelik kapsamındaki işlemler için başvuru yapan gerçek kişiyi,

b) e-Devlet Kapısı: e-Devlet hizmetlerinin son kullanıcıya farklı erişim kanallarından tek noktadan bütünleşik olarak sunulduğu ortak elektronik platformu,

c) Elektronik haberleşme hizmeti: Elektronik haberleşme tanımına giren faaliyetlerin bir kısmının veya tamamının hizmet olarak sunulmasını,

ç) Elektronik ortam: Verilerin sayısallaştırılarak işlenmesi, saklanması ve iletilmesinin sağlandığı ortamı,

d) Hizmet sağlayıcı: Elektronik sertifika hizmet sağlayıcısını veya kayıtlı elektronik posta hizmet sağlayıcısını,

e) ICAO: Uluslararası Sivil Havacılık Teşkilatını,

f) ISO/IEC (International Organisation for Standardization / International Electrotechnical Commitee): Uluslararası Standardizasyon Teşkilatı / Uluslararası Elektroteknik Komitesini,

g) İnternet bankacılığı: 15/3/2020 tarihli ve 31069 sayılı Resmî Gazete’de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelikte tanımlanan mecrayı,

ğ) İşlem belgesi: Abonelik sözleşmesi, numara taşıma, işletmeci değişikliği, nitelikli elektronik sertifika, kayıtlı elektronik posta başvurusu ve SIM değişikliği başvurusu işlemleri için elektronik ortamda oluşturulan belgeyi,

h) İşletmeci: Yetkilendirme çerçevesinde elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve alt yapısını işleten şirketi,

ı) KN: Türkiye Cumhuriyeti kimlik numarasını veya 4/4/2013 tarihli ve 6458 sayılı Yabancılar ve Uluslararası Koruma Kanununda tanımlanan yabancı kimlik numarasını,

i) Kurul: Bilgi Teknolojileri ve İletişim Kurulunu,

j) Kurum: Bilgi Teknolojileri ve İletişim Kurumunu,

k) Mobil bankacılık: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelikte tanımlanan mecrayı,

l) MRZ (Machine Readable Zone): Optik karakter okuma yöntemlerini kullanarak makine okuması için biçimlendirilmiş, zorunlu ve isteğe bağlı verileri kapsayan, kimlik belgeleri üzerinde yer alan sabit boyutlu alanı,

m) Özet değeri: 6/1/2005 tarihli ve 25692 sayılı Resmî Gazete’de yayımlanan Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğin 6 ncı maddesinde yer alan 256 bitlik özetleme algoritmalarından birini kullanarak hesaplanan değeri,

n) PAdES: ETSI EN 319 142 standardına uygun PDF Gelişmiş Elektronik İmzayı,

o) PAdES-LTV (PAdES Long Term Validation) : PAdES Uzun Dönem Doğrulamayı,

ö) PDF: ISO 32000 standardına uygun dosya formatını,

p) SIM: Abone kimliği modülünü,

r) Temaslı iletişim kabiliyetini haiz elektronik kimlik belgesi (TEKB): TS ISO/IEC 15408 (- l,- 2,- 3)’e veya ISO/IEC 15408 (- 1,- 2,- 3)’e göre en az EAL4+ seviyesinde ve ISO/IEC 7816 uyumlu yonga marifetiyle temaslı iletişim kurabilen ilgili kanununda resmî kimlik belgesi olarak tanımlanmış veya Türkiye Cumhuriyeti’nin taraf olduğu uluslararası anlaşmalara göre seyahat belgesi niteliğini haiz ve Ek-4’te yer alan doğrulama kabiliyetine sahip kimlik belgesini,

s) Yakın alan iletişimi kabiliyetini haiz elektronik kimlik belgesi (YAKB): TS ISO/IEC 15408 (- 1,- 2,- 3)’e veya ISO/IEC 15408 (- 1,- 2,- 3)’e göre en az EAL4+ seviyesinde, ICAO 9303 standardına uyumlu ve iki elektronik cihaz arasında kısa mesafede kablosuz iletişim yapılmasına imkân veren, ISO/IEC 18092/ECMA- 340 ve ISO/IEC 21481/ECMA- 352 standartlarına uygun yakın alan iletişimi özelliğine sahip yonga marifetiyle ISO/IEC 14443 standardındaki güvenli yonga iletişimi kurabilen ve ilgili kanununda resmî kimlik belgesi olarak tanımlanmış veya Türkiye Cumhuriyeti’nin taraf olduğu uluslararası anlaşmalara göre seyahat belgesi niteliğini haiz ve Ek-1’de yer alan doğrulama kabiliyetine sahip kimlik belgesini,

ş) Zaman damgası: 5070 sayılı Kanunda tanımlanan kaydı,

ifade eder.

(2) Bu Yönetmelikte geçen ancak birinci fıkrada tanımlanmayan kavramlar için ilgili mevzuatta yer alan tanımlar geçerlidir.

İKİNCİ BÖLÜM

İlkeler ve Kimlik Doğrulama Esasları

İlkeler

(1) Bu Yönetmeliğin uygulanmasında;

a) Başvuru sahibinin bu Yönetmelikte tanımlı işlemlerinin güvenli ve etkin yöntemlerle yapılmasının sağlanması,

b) Sahtecilik, dolandırıcılık gibi güvenlik riski içeren şüpheli işlemlerin önlenmesi,

c) Ulusal ve uluslararası standartların dikkate alınması,

ç) Azami ölçüde milli kaynakların kullanılması,

d) Milli güvenlik ve kamu düzeni gerekleri ile acil durum ihtiyaçlarının gözetilmesi,

e) Tüketici hak ve menfaatlerinin gözetilmesi,

ilkeleri dikkate alınır.

Kimlik doğrulamaya ilişkin genel hususlar

(1) İşletmeci/hizmet sağlayıcı, bu Yönetmelik kapsamındaki işlemleri yüz yüze kanallardan, kendi internet sitesinden, mobil uygulamalardan veya benzeri mecralar üzerinden elektronik ortamda güvenli bir şekilde başvuru sahibine sunabilir.

(2) Başvuru sahibinin kimlik doğrulama işlemi bu Yönetmeliğe uygun olarak;

a) e-Devlet Kapısı üzerinden,

b) YAKB ile birlikte yapay zekâ veya yetkili marifetiyle görüntülü doğrulama ile,

c) TEKB ile birlikte şifre veya parmak izi özeti doğrulaması ile,

ç) Yüz yüze kanallarda başvuru sahibinin kimlik belgesi ile birlikte işleme özgülenecek video görüntüsü ile,

d) Göç İdaresi Başkanlığı üzerinden,

yapılabilir.

(3) İşletmeci/hizmet sağlayıcı, başvuru sahiplerinin kimlik doğrulama bilgilerinin bilgi sistemlerinde, şifreli veya matematiksel olarak geriye dönüştürülmesi mümkün olmayan yöntemlerle muhafaza edilmesine, kimlik doğrulama amacıyla aktarılırken şifrelenmesine, işlemin amacına, yetkisiz erişimlere veya görevler ayrılığı prensibine aykırı olarak kontrolsüz bir şekilde gerçekleştirilecek değişikliklere karşı korunmasına ve bilgi sistemlerinde gerçekleştirilen tüm süreçlere ilişkin işlem kayıtlarının gizliliği, güvenliği ile bütünlüğünün sağlanarak tutulmasına ilişkin önlemleri alır.

e-Devlet Kapısından kimlik doğrulama

(1) Başvuru sahibinin kimlik doğrulamasının, e-Devlet Kapısı vasıtasıyla yapılması halinde başvuru sahibi, e-Devlet Kapısına;

a) Güvenli elektronik imza,

b) TEKB ve şifresi,

c) İnternet bankacılığı,

ç) Mobil bankacılık,

d) YAKB’lerin e-Devlet Kapısı mobil uygulaması vasıtasıyla yakın alan iletişimi ile doğrulama yapılması kaydıyla e-Devlet şifresi,

e) YAKB ya da TEKB’ye sahip olmayan ve 24/7/2013 tarihli ve 28717 sayılı Resmî Gazete’de yayımlanan Yabancı Misyon Kimlik Kartı Yönetmeliğine göre düzenlenen belgeye sahip olan yabancı uyruklu başvuru sahibi için 6/B maddesi çerçevesinde Dışişleri Bakanlığından doğrulama yapılması kaydıyla e-Devlet şifresi,

yöntemlerinden birisi ile giriş yapar.

(2) e-Devlet Kapısı tarafından e-Devlet Kapısına giriş yapan başvuru sahibine; işletmeci tarafından iletilen; KN, adı, soyadı, işlem türü, işlemi özgüleyen hizmet numarası ve işlem belgesinde ilgili mevzuat kapsamında yer alması gereken bilgiler, e-Devlet kapısı üzerinde kayıtlı başvuru sahibinin doğrulanmış irtibat numarası ve elektronik posta adresi gösterilerek, onayı alınır ve bahse konu bilgiler için başvuru sahibinin kimliğini doğruladığı bilgisi ve doğrulanmış irtibat numarası ve elektronik posta adresi işletmeciye/hizmet sağlayıcıya iletilir.

(3) e-Devlet Kapısı ve işletmeci/hizmet sağlayıcıda bulunan bilgilerde farklılık olması halinde e-Devlet Kapısı kayıtları esas alınır.

(4) e-Devlet Kapısı üzerinden kimlik doğrulama için, işletmeci/hizmet sağlayıcının e-Devlet Kapısına entegrasyonu Kurum vasıtası ile yapılabileceği gibi e-Devlet Kapısınca sunulan teknik imkanlar dahilinde olması halinde, işletmeci/hizmet sağlayıcı ile e-Devlet Kapısı arasında doğrudan entegrasyon ile de yapılabilir.

Göç İdaresi Başkanlığı üzerinden kimlik doğrulama

(1) YAKB ya da TEKB’si olmayan yabancı uyruklu başvuru sahiplerinin kimliğinin doğrulanması Göç İdaresi Başkanlığı vasıtasıyla aşağıdaki usullerle yapılır:

a) Başvuru sahibi, Göç İdaresi Başkanlığı mobil uygulamasına giriş yapar.

b) Giriş yapan başvuru sahibine; Kurum vasıtasıyla işletmeci tarafından iletilen 6458 sayılı Kanunda tanımlanan yabancı kimlik numarası, adı, soyadı, işlem türü, işlemi özgüleyen hizmet numarası ve işlem belgesinde ilgili mevzuat kapsamında yer alması gereken bilgiler gösterilir. Ardından hazırda bulunan başvuru sahibinin alınan canlı görüntüsündeki yüzü ile resmî makamlarda yer alan fotoğrafı Göç İdaresi Başkanlığı tarafından karşılaştırılır. Yüz verisi doğrulanarak başvuru sahibinin onayı alınır.

c) Yabancı kimlik numarası olmayan yabancı uyruklu kişinin ülkemiz sınırlarına girerken kullandığı pasaport ve muadili uluslararası geçerliliği olan belgenin seri numarası ile bu numaranın önüne belgeyi veren ülkenin ISO 3166 alpha- 3 ya da ülkemizin ikili anlaşmalarla kabul ettiği kodun eklenmesinden oluşan ibare bu işleme mahsus olarak yabancı kimlik numarası alanında kullanılır.

(2) YAKB’si olan yabancı uyruklu başvuru sahiplerinin Göç İdaresi Başkanlığı mobil uygulamasına şifre ile girmesi ve uygulama üzerinden yakın alan iletişimi ile kimlik belgesinin doğrulanması halinde, Göç İdaresi Başkanlığı tarafından birinci fıkranın (b) bendinde yer alan bilgiler gösterilip onayı alınarak da kimlik doğrulaması yapılabilir. Bu doğrulamada yüz verisi karşılaştırması aranmaz.

(3) Göç İdaresi Başkanlığı mobil uygulaması üzerinden kimlik doğrulaması yapılamayan başvuru sahibinin, İl Göç Müdürlüklerine yönlendirilmesi akabinde yüz veya parmak izine ilişkin biyometrik veriyle kimlik doğrulaması yapılarak onayı alınır.

(4) Birinci ve ikinci fıkralar kapsamında kimliğin doğrulanması sürecinde başvuru sahibinin Göç İdaresi Başkanlığı mobil uygulaması sunucularına erişim anında kullandığı mobil telefonun konum bilgisi, erişimini sağlayan mobil elektronik haberleşme işletmecisinden port bilgisi, internet protokolü adresi ve mobil numara üzerinden Kurum vasıtasıyla istenir. İşletmeci sorguya konu bilgilerin tutarlı olduğunu teyit etmesi halinde ilgili konum verisini Kurum vasıtasıyla Göç İdaresi Başkanlığına iletir. Mobil elektronik haberleşme işletmecisinin altyapısında internet protokolü haberleşmesi kullanılmayan uluslararası dolaşım durumunda işletmeci konum verisini yalnızca ilgili yabancı mobil numara üzerinden iletir.

Dışişleri Bakanlığı vasıtasıyla e-Devlet Kapısı üzerinden kimlik doğrulama

(1) YAKB ya da TEKB’si olmayan yabancı uyruklu başvuru sahibinin Yabancı Misyon Kimlik Kartı Yönetmeliğine göre düzenlenen belgeye sahip olması halinde yabancı uyruklu başvuru sahibinin kimlik doğrulaması Dışişleri Bakanlığı vasıtasıyla aşağıdaki usule göre yapılır:

a) Başvuru sahibi, e-Devlet Kapısı üzerinden şifre ile giriş yapar.

b) Yurda girişte kullandığı belgedeki bilgiler ile birlikte başvuru sahibi ülkemizde görevli diplomasi ve konsolosluk memuru veya bu kişilerin ailesinden biri veya uluslararası kuruluşların ülkemizdeki temsilciliklerinde çalışan ve statüleri anlaşmalarla belirlenmiş olan veya bu kişilerin ailesinden biri olduğunu beyan eder ve e-Devlet Kapısı bu bilgileri Kurum vasıtasıyla Dışişleri Bakanlığından teyit eder.

Yapay zekâ veya yetkili ile görüntülü kimlik doğrulama

(1) Kimlik doğrulamada kullanılacak görüntülü yöntemde olası teknolojik, operasyonel ve benzeri riskler göz önünde bulundurularak gerekli güvenlik tedbirlerinin alınması işletmeci/hizmet sağlayıcı sorumluluğundadır.

(2) Görüntülü kimlik doğrulaması gerçek zamanlı ve kesintisiz şekilde yapılır. İşletmeci/hizmet sağlayıcı, kimlik doğrulama sürecine ilişkin görsel-işitsel iletişimin bütünlüğünün ve gizliliğinin sağlanması için gerekli tedbirleri alır. Bu amaçla, yapılan görüntülü doğrulama uçtan uca güvenli iletişim ile gerçekleştirilir.

(3) Kimlik doğrulamanın görüntülü yapılması durumunda öncelikle başvuru sahibi irtibat numarası veya elektronik posta adresini beyan eder. Bu numara veya elektronik posta adresine tek kullanımlık parola veya link gönderilerek, beyan edilen iletişim bilgisinin kullanıldığı teyit edilir.

(4) Başvuru sahibinin, 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında açık rızası olmaksızın görüntülü kimlik doğrulaması yapılamaz. Görüntülü kimlik doğrulaması yapılmadan önce aydınlatma yükümlülüğü, 6698 sayılı Kanunun ilgili hükümlerine riayet edilerek ve açık rıza alınması işleminden ayrı bir şekilde yerine getirilir. Başvuru sahibinin açık rızası alınırken e-Devlet Kapısı veya yüz yüze kanallar vasıtasıyla da elektronik ortamda kimlik doğrulama işlemi yapılabileceği açıkça belirtilir.

(5) Başvuru sahibinin YAKB’sinin üzerindeki fotoğraf da dâhil olmak üzere kimlik bilgileri, Ek-1’de tanımlanan yakın alan iletişimi yöntemiyle alınır.

(6) Başvuru sahibi tarafından sunulan YAKB’de bulunan veri ve bilgilerin geçerliliği ve gerçekliğine ilişkin doğrulama, görüntülü kimlik doğrulama sürecinin bir parçası olarak gerçekleştirilir. İşletmeci/hizmet sağlayıcı bu kapsamda asgari olarak; YAKB geçerlilik süresinin bu türden kimlik belgelerinin sahip olduğu standartlara aykırı olmadığını, kimlik belgesinin yakın alan iletişimi yongasında, MRZ’sinde ve sair basılı alanlarında yer alan fotoğraf da dâhil bilgilerin tutarlı ve geçerli olduğunu doğrular ve İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü kimlik paylaşımı sisteminden imkân tanınanları teyit eder.

(7) Görüntülü kimlik doğrulama sırasında başvuru sahibinin canlılığını tespit edici teknikler kullanılır. Kimlik ibraz eden başvuru sahibinin hazırda bulunduğunun teyidi amacıyla, başvuru sahibinin yüzünün, tam ve net olarak görülebileceği aydınlık ortamda, gözlerinin açık olduğu şekilde farklı açılardan kamera görüntüsü alınır. İşletmeci/hizmet sağlayıcı hazırda bulunan başvuru sahibinin alınan canlı görüntüsündeki yüzü ile YAKB’sinde yer alan fotoğrafın karşılaştırmasını yapay zekâ yöntemi ile Ek-2’de yer alan kriterlere uygun olarak veya işletmeci/hizmet sağlayıcı yetkilisi marifetiyle Ek-3’te yer alan kriterlere uygun olarak yapar.

(8) Görüntülü kimlik doğrulama sırasında başvuru sahibinin, oluşacak olan işlem belgesine özgülenmek üzere “Ben <ad-soyad> olarak <işlem yapılan hizmet numarası> numaralı hizmetin <işlem türü> işlemi için kimliğimin doğrulanmasını <gg.aa.yyyy ss:dd> itibarıyla onaylıyorum” ifadesini kesintisiz bir şekilde okuması sağlanır.

(9) Görüntülü kimlik doğrulama sırasında başvuru sahibi tarafından sunulan belgelerin geçerliliği hususunda ya da sahtecilik veya dolandırıcılık teşebbüsünden şüphe edilmesi durumunda, görüntülü kimlik doğrulama süreci sonlandırılır. Bu kapsamda kimlik avına ve benzeri sahtekârlık yöntemlerinin önlenmesine ilişkin gerekli tüm tedbirler işletmeci/hizmet sağlayıcı tarafından alınır.

(10) Zayıf ışık koşulları, düşük görüntü kalitesi ya da iletimi ve benzeri durumlar nedeniyle bu Yönetmelikte belirtildiği şekilde görsel doğrulama yapmanın ve/veya başvuru sahibi ile iletişim kurmanın mümkün olmadığı hallerde kimlik doğrulama süreci iptal edilir. Süreçte herhangi başka bir tutarsızlık veya belirsizlik bulunması durumunda da bu fıkra hükümleri uygulanır.

(11) Kimlik doğrulama işlemlerinde başvuru sahibinin doğru tespit edilmesi işletmecinin/hizmet sağlayıcının sorumluluğundadır.

Yüz yüze yapılan işlemlerde kimlik doğrulama

(1) Bu Yönetmelik kapsamındaki işlemlerin işletmeci/hizmet sağlayıcı veya adına iş yapan temsilcisi ile başvuru sahibi arasında yüz yüze kanallarda elektronik ortamda gerçekleştirilmesi halinde 6 ncı ve 7 nci maddelerdeki yöntemlere alternatif olarak başvuru sahibinin TEKB’si ile Ek-4’te belirtilen usule uygun olarak 9 uncu maddenin birinci fıkrası kapsamındaki PDF ile PAdES-LTV oluşturmak suretiyle kimlik doğrulanabilir.

(2) Birinci fıkraya alternatif olarak; başvuru sahibinin kimlik belgesi ile birlikte işleme özgülenecek video görüntüsü alınarak kimlik doğrulanabilir. Bu durumda işletmeci/hizmet sağlayıcı;

a) 7 nci maddenin beşinci ve altıncı fıkralarında yer alan süreci işletir.

b) İbraz edilen kimlik belgesinin türünün yakın alan iletişimine uygun olmaması halinde;

1) Kimlik belgesinde bulunması gereken karakterlerin yazı tipi, düzeni, sayısı, büyüklüğü, aralığı ve tipografisi gibi belgeyi çıkaran yetkili makamca tanımlanan özelliklere sahip olduğunu,

2) Kimlik belgesinin zarar görmemiş, tahrif edilmemiş, değiştirilmemiş ve özellikle üzerine sonradan fotoğraf yapıştırılmamış olduğunu,

3) Kimlik belgesi geçerlilik süresinin, söz konusu kimlik belgesinin sahip olduğu standartlara aykırı olmadığını,

4) Kimlik belgesinin MRZ’si var ise burada yer alan bilgiler ile kimlik belgesi ve işleme konu verilerin uyumlu olduğunu,

teyit eder.

c) Kimlik belgesindeki bilgileri İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü kimlik paylaşımı sisteminden imkân tanınanları teyit eder.

ç) Başvuru sahibinin kişisel verilerinin işlenmesine dair 7 nci maddenin dördüncü fıkrasındaki işlemi uygular. Onay alması halinde, kameranın önünde başvuru sahibinin yüzü ile birlikte görünecek şekilde kimlik belgesinin ön ve arka tarafını göstermesini sağlar. Kullanılan kimlik belgesindeki fotoğrafın ve başvuru sahibinin yüzünün aynı kişiye ait olduğunu teyit eder.

d) Başvuru sahibine işlem belgesi gösterilerek, bu gösterime ilişkin ekran video görüntüsünü, başvurusu sahibinin yüzünün tanınır bir şekildeki görüntüsünü de içerecek şekilde eş zamanlı olarak kaydeder. Başvuru sahibinin bu video kaydında 7 nci maddenin sekizinci fıkrasındaki işlemi de uygular. Bu video kaydını işlem belgesinin PDF’si içerisine derceder. Bu fıkra kapsamında; yapılan işlemlerde, işletmeci/hizmet sağlayıcı, başvuru sahibine ait iki boyutlu bir figür gibi statik veriler haricinde; basınç, ivme ve benzeri nitelikleri haiz biyometrik verileri elektronik ortamda alamaz ve bu fıkra kapsamında yapılan işlemler için ayrıca 7 nci maddenin birinci, ikinci, dokuzuncu, onuncu ve on birinci fıkraları da uygulanır.

(3) Kimlik doğrulamanın yüz yüze yapılması durumunda öncelikle başvuru sahibi irtibat numarası veya elektronik posta adresini beyan eder. Bu numara veya elektronik posta adresine tek kullanımlık parola veya link gönderilerek, beyan edilen iletişim bilgisinin kullanıldığı teyit edilir.

İşlem belgesi ve verilerin saklanması

(1) Bu Yönetmelik kapsamındaki tüm usuller için bu maddedeki işlemler yürütülür. İşletmeci/hizmet sağlayıcı, kimlik doğrulaması yapılan işlem belgesinin tanzimine dair ilgili mevzuatta yer alan yükümlülükleri yerine getirir ve bu Yönetmelik kapsamındaki kimlik doğrulamaya ilişkin sürecin tüm adımlarını içerecek şekilde elde ettiği bilgiler ile birlikte sair mevzuatla belirlenmiş diğer bilgileri işlem belgesine dercederek PDF dosyasını oluşturur, başvuru sahibinin bu PDF için onayını alır. Başvuru sahibine ait görüntülü kayıt dosyalarının 2 megabyte’dan büyük olması durumunda bu dosyaların, asıllarının muhafaza yükümlülükleri saklı kalmak kaydıyla, PDF’de özet değerleri yer alabilir.

(2) Oluşturulan PDF’in veri bütünlüğü, işletmeci/hizmet sağlayıcı adına iş yapan temsilcisinin;

a) Kurum tarafından belirlenen Nitelikli Elektronik Sertifika, SİL ve OCSP İstek/Cevap Mesajları Profillerindeki “OrganisationName” alanına, işletmeci/hizmet sağlayıcının açık adı yazılarak üretilen Nitelikli Elektronik Sertifikası ile veya

b) Ek-4’te belirlenen yöntemdeki TEKB sertifikası ile

zaman damgası da kullanılarak PAdES-LTV formatında işletmeci/hizmet sağlayıcı tarafından sağlanır.

(3) İşletmeci/hizmet sağlayıcı PAdES-LTV formatındaki işlem belgesini, çoklu ortam mesaj hizmeti kullanılarak görüntülü mesaj ile, elektronik posta yöntemiyle ya da asgari elli adet rassal karakter içeren ve işletmeci internet adresi altında yer alan tek biçimli kaynak bulucusunu (URL) kısa mesaj içinde başvuru sahibine gönderir. İşletmeci işlem belgesini ilgili mevzuat ile belirlenmiş süre boyunca muhafaza eder.

(4) Bu Yönetmelik kapsamında, yapılan tüm işlemler kayıt altına alınır ve elde edilen veriler yalnızca idari ve adli makamların süreçleri ile başvuru işlemi yapan başvuru sahibinin kimlik doğrulaması amacı için kullanılır.

(5) Bu Yönetmelik kapsamında kayıt altına alınan ve elde edilen veriler ilgili mevzuatta yer alan saklama süreleri boyunca saklanır.

ÜÇÜNCÜ BÖLÜM

Çeşitli ve Son Hükümler

Güvenliğin sağlanmasına yönelik tedbirler

(1) İşletmeciler/hizmet sağlayıcılar, bu Yönetmelik kapsamında elde ettiği bilgi, belge ve işlem kayıtlarının güvenliğini sağlamak için 5809 sayılı Kanuna, 6698 sayılı Kanuna, ulusal ve uluslararası standartlara uygun olarak gerekli her türlü teknik ve idari tedbirleri alır. Ayrıca;

a) İşletmeciler, 13/7/2014 tarihli ve 29059 sayılı Resmî Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliğine,

b) Elektronik Sertifika Hizmet Sağlayıcıları, Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğin 9 uncu maddesine,

c) Kayıtlı Elektronik Posta Hizmet Sağlayıcıları, 25/8/2011 tarihli ve 28036 sayılı Resmî Gazete’de yayımlanan Kayıtlı Elektronik Posta Sistemi ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğin 8 inci maddesine,

uygun olarak gerekli her türlü teknik ve idari tedbirleri alır.

(2) 7 nci ve 8 inci maddeler ile Türk Standartları Enstitüsü tarafından yayımlanan TS 13678 Elektronik Kimlik Doğrulama Sistemi standardı hükümleri saklı kalmak kaydıyla; bu Yönetmelik kapsamındaki işlemler için işletmeci/hizmet sağlayıcı, elektronik kalem veya benzeri yöntemle kişilerin biyometrik verilerini elektronik ortamda alamaz.

(3) İşletmeci/hizmet sağlayıcı; sahtekârlık, kimlik tespiti yöntemine ilişkin zayıflıklar gibi durumlar için teknolojik gelişmeleri yakından takip ederek sürekli gerekli güncellemeler yapar.

İspat yükü

(1) Bu Yönetmelik kapsamında işletmeci/hizmet sağlayıcı tarafından yapılan tüm işlemlerde ispat yükü işletmeci/hizmet sağlayıcıya aittir. Başvuru sahiplerine ya da üçüncü bir tarafa yükümlülük doğuran ve/veya cezaî sorumluluğa yol açan işlemlere ilişkin idari ve adli süreçlerde itiraz halinde ispat yükü işletmecide/hizmet sağlayıcıdadır.

İdari yaptırımlar

(1) Bu Yönetmelik ile belirlenen yükümlülüklerin yerine getirilmemesi halinde, 5070 sayılı Kanunun 18 inci ve 19 uncu maddeleri ile 15/2/2014 tarihli ve 28914 sayılı Resmî Gazete’de yayımlanan Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği hükümleri uygulanır.

Düzenleme yetkisi

(1) Kurum tarafından gerekli görülmesi halinde bu Yönetmeliğin uygulanmasına ilişkin olarak düzenleme yapılabilir.

Mevcut işlem belgeleri

(1) Islak imza veya güvenli elektronik imza ile imzalanan belgeler hariç olmak üzere; bu Yönetmeliğin yürürlüğe girdiği tarihten önce yapılmış olan;

a) Abonelik sözleşmeleri,

b) Numara taşıma başvurusu,

c) İşletmeci/hizmet sağlayıcı değişikliği başvurusu,

ç) Nitelikli elektronik sertifika başvurusu,

d) Kayıtlı elektronik posta başvurusu,

e) SIM değişikliği başvurusu,

işlemleri için oluşturulan elektronik kalem marifetiyle elde edilen basınç, ivme ve benzeri nitelikleri haiz kişisel verileri içeren elektronik belgelere ilişkin olarak, zaman damgası ile belge tanzim tarihinin ispat yükü ve işlem belgesi tarafı ya da üçüncü bir kişiye yükümlülük doğuran ve/veya cezaî sorumluluğa yol açan işlemlere ilişkin idari ve adli süreçlerde itiraz halinde ispat yükü işletmeci/hizmet sağlayıcıdadır. Bu verilere ait üç boyutlu imza deseninin yeniden kullanılmaması için işletmeci/hizmet sağlayıcı gerekli tedbirleri alır.

(2) Birinci fıkra kapsamındaki belgeler için işletmeci/hizmet sağlayıcı bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden üç ay içinde; işlem belgesi tarafına ait KN bilgisi ve son yedi karakterinin üçü maskelenmiş olan telefon, hizmet veya nitelikli elektronik sertifika numarası ya da kayıtlı elektronik posta adresi bilgisini mobil elektronik haberleşme işletmecilerine ve e-Devlet Kapısının sunmuş olduğu bilgilendirme sistemine iletir. Bu iletim;

a) Mobil elektronik haberleşme işletmecileri tarafından ilgili KN’ye kayıtlı tüm mobil numaralara başlığında birinci fıkra kapsamındaki işlemi yapan işletmeci/hizmet sağlayıcı adının yer aldığı kısa mesaj ile,

b) e-Devlet Kapısının sunmuş olduğu bilgilendirme sistemi kullanılarak ilgili KN’ye tanımlı elektronik posta adreslerine ve e-devlet Kapısı mobil uygulamasına sahip kullanıcılara bu uygulama üzerinden anlık ileti ile,

“XXX**XX kimlik numarası ile elektronik ortamda düzenlenen [gg.aa.yy] tarihli [birinci fıkra kapsamındaki işlem belgeleri]ne [işletmeci/hizmet sağlayıcı çevrim içi işlem merkezi/elektronikislembelgeleri] adresinden erişebilirsiniz. Rızanız/bilginiz dışında işlem belgeleri var ise [işletmeci/hizmet sağlayıcı] ile iletişime geçiniz.” şeklinde bilgilendirme yapılması sağlanır.

(3) Bu madde kapsamındaki ilgili işlem belgelerine itiraz edilmesi halinde işletmeci/hizmet sağlayıcı tarafından rıza/bilgi dışı yapılan işlemlerde yürütülen süreç işletilir.

Yürürlük

(1) Bu Yönetmelik 1/3/2022 tarihinde yürürlüğe girer.

Yürütme

(1) Bu Yönetmelik hükümlerini Bilgi Teknolojileri ve İletişim Kurulu Başkanı yürütür.

EKLER