KYC (Müşterini Tanı) Nedir?

KYC nasıl çalışır?

KYC süreci genellikle risk seviyesine göre kademelidir. Tipik adımlar şunlardır:

1. Kimlik bilgisi: Ad, soyad, doğum tarihi, uyruk ve kimlik numarası.
2. Kimlik belgesi: Kimlik kartı veya pasaportun fotoğrafı ya da çipinin okunması.
3. Canlılık kontrolü: Belgedeki kişinin gerçekten işlemi yapan kişi olduğunu doğrulamak için özçekim veya kısa video.
4. Adres doğrulaması: Fatura veya resmî adres belgesi.
5. Gelir ve fon kaynağı: Yüksek işlem limitleri veya büyük tutarlı transferler için gelirin ya da fonların kaynağına dair belge.

Kuruluş bu bilgileri yaptırım listeleri ve siyasi nüfuz sahibi kişiler listeleriyle karşılaştırır. Hesap açıldıktan sonra da işlemler izlenir; olağandışı hareketler şüpheli işlem bildirimine konu olabilir. KYC tek seferlik bir form değil, müşteri ilişkisi boyunca süren bir müşteri durum tespiti (CDD) sürecinin parçasıdır.

KYC neden zorunlu?

KYC, kara paranın aklanmasının ve terörün finansmanının önlenmesi (AML/CFT) mevzuatının temel parçasıdır. Uluslararası standartları Mali Eylem Görev Gücü (FATF) belirler. FATF, tavsiyelerini sanal varlık hizmet sağlayıcılarını (VASP), yani kripto borsaları ve saklama hizmeti verenleri kapsayacak şekilde genişletti. Bu kapsamda seyahat kuralı (travel rule), belirli transferlerde gönderen ve alıcı bilgilerinin hizmet sağlayıcılar arasında iletilmesini öngörür.

Ülkeler bu standartları kendi mevzuatlarına aktarır:

• Türkiye: Kripto varlık hizmet sağlayıcıları, suç gelirlerinin aklanmasının önlenmesi mevzuatı kapsamında yükümlü sayılır ve Mali Suçları Araştırma Kurulu (MASAK) düzenlemelerine göre müşteri kimlik tespiti yapar.
• Avrupa Birliği: Kripto varlık hizmet sağlayıcıları AML kurallarına ve transferlerde bilgi aktarımı yükümlülüğüne tabidir.
• BAE: Dubai'de VARA, federal düzeyde ve diğer emirliklerde SCA, finans serbest bölgelerinde ise ADGM gibi otoriteler kendi çerçeveleriyle AML ve KYC şartı arar.

Kurallar ülkeye göre değişir; hangi belgelerin istendiği, hizmet sağlayıcının tabi olduğu mevzuata bağlıdır.

KYC nerede gerekir, nerede gerekmez?

• Merkezi borsalar: Türk lirası veya başka bir itibari parayla alım satım, para yatırma ve çekme için KYC neredeyse her zaman zorunludur.
• Emanetçi olmayan cüzdanlar: Anahtarları kullanıcıda olan bir kripto cüzdan kurmak için KYC gerekmez, çünkü cüzdan yazılımı bir hizmet sağlayıcı değildir.
• Merkeziyetsiz borsalar: DEX arayüzleri çoğunlukla KYC istemez; ancak arayüzü işleten şirketler belirli ülkelerden erişimi kısıtlayabilir ve kullanıcılar KYC'li bir borsadan çıkış yaparken yine bu kurallarla karşılaşır.

"KYC'siz borsa" ifadesiyle pazarlanan platformlar, kullanıcının bulunduğu ülkede izinsiz faaliyet gösteriyor olabilir; bu platformlarda hesap dondurma ve fon kaybı riski yüksektir.

KYC ve gizlilik

KYC, finansal suçlarla mücadeleye yardım ederken kişisel verilerin merkezi veri tabanlarında toplanmasına da yol açar. Bu verilerin sızması, kimlik hırsızlığı ve hedefli oltalama saldırılarına neden olabilir. Kullanıcılar için pratik öneriler:

• Kimlik belgelerini yalnızca borsanın resmî uygulamasına veya sitesine yükleyin; e-posta ya da mesaj yoluyla belge isteyenlere yanıt vermeyin.
• Borsadan geldiği iddia edilen, "hesabınızı doğrulayın" diyen bağlantılara tıklamadan önce adresi kontrol edin.
• Borsanın kişisel verileri nasıl sakladığını ve hangi ülkenin veri koruma yasasına tabi olduğunu inceleyin.

KYC'nin kripto ekosistemindeki yeri, DYOR ilkesinin de bir parçasıdır: hizmet sağlayıcının kim olduğunu ve hangi otoriteye bağlı olduğunu bilmek kullanıcıyı korur.