Kripto KYC ve AML 2026: Müşterini Tanı, Risk Bazlı Yaklaşım ve
KYC (Know Your Customer — müşterini tanı) ve AML (Anti-Money Laundering — aklama karşıtı) kurallar; kripto varlık hizmet sağlayıcılarının uymakla yükümlü olduğu temel uyum süreçleridir. Türkiye’de 5549 Sayılı Kanun, MASAK Yönetmelikleri ve 7518 Sayılı Kanun bu süreçlerin çerçevesini belirlemektedir.
KYC Sürecinin Aşamaları
Standart bir KYC süreci şu aşamalardan oluşur: (1) Müşteri kimlik tespiti — ad-soyad, T.C. kimlik no, adres, doğum tarihi; (2) Kimlik doğrulaması — resmi kimlik belgesi, selfie + likelihood kontrolü; (3) Gerçek faydalanıcı tespiti — tüzel kişi müşterilerde nihai kontrol sahibi; (4) Müşteri profili — mesleki durum, kaynak beyanı, işlem hacmi beklentisi; (5) Sürekli izleme — işlem örüntüsü ile profil uyumunun denetimi. Risk bazlı yaklaşım (Risk-Based Approach) esas alınır.
Risk Sınıflandırması
Müşteriler risk seviyelerine göre sınıflandırılır: düşük, orta, yüksek. Yüksek riskli kategorilere PEP (politically exposed persons), yaptırım listesindeki kişiler, yüksek riskli jurisdictionlardan gelen müşteriler ve olağandışı işlem örüntüsü gösteren müşteriler dahildir. Yüksek riskli müşteriler için Enhanced Due Diligence (EDD) uygulanır ve üst yönetim onayı gereklidir.
Şüpheli İşlem Bildirimi
MASAK mevzuatı çerçevesinde yükümlü kurumlar, şüpheli işlem tespit ettiklerinde belirli süre içerisinde MASAK’a bildirmekle yükümlüdür. Bildirimin yapılması gizli tutulur (tipping-off yasağı) ve müşteriye duyurulmaz. Şüpheli işlem bildirimini yapmayan yükümlüler idari yaptırımlarla karşılaşır; bildirimde bulunulduğunun açıklanması ise 5549 sayılı Kanunun 14. maddesi uyarınca cezai sorumluluk doğurur.
Kurumsal Uyum Yapısı
Kripto varlık hizmet sağlayıcılarının bağımsız bir uyum birimi kurması, uyum yetkilisi atamaları ve kurum içi aklama karşıtı politika ve prosedürler oluşturmaları zorunludur. Uyum yetkilisinin doğrudan yönetim kuruluna raporlama yetkisi bulunmalıdır. Yıllık içsel risk değerlendirmesi ve düzenli personel eğitimi de zorunlu yükümlülükler arasındadır.
Sıkça Sorulan Sorular
KYC yapmadan borsa kullanabilir miyim? Lisanslı borsalarda KYC tamamlanmadan tam fonksiyonlu hesap açmak mümkün değildir. Yalnızca görüntüleme veya çok sınırlı işlev mümkün olabilir.
KYC bilgilerim ne kadar süre saklanır? 5549 sayılı Kanun m.8 uyarınca yükümlüler, bu Kanun kapsamındaki belgeleri düzenleme tarihinden, defter ve kayıtları son kayıt tarihinden, kimlik tespit belgelerini ise son işlem tarihinden itibaren sekiz yıl saklamak ve istenmesi hâlinde yetkililere ibraz etmekle yükümlüdür.
EDD (Enhanced Due Diligence) nedir ve bana uygulanırsa ne olur? EDD yüksek risk müşterilerinde uygulanan ek inceleme sürecidir. Kaynak beyanı, ek belgeler ve üst yönetim onayı istenebilir. Reddedilme veya işlem limiti uygulanması ihtimali bulunur.
Şüpheli işlem bildirimi yapılan müşteri bilgilendirilir mi? Hayır. MASAK mevzuatı çerçevesinde tipping-off yasağı gereği bildirimden haberdar etmek suç oluşturur.
Yapay zeka ile yapılan KYC doğrulaması geçerli mi? Otomatikleştirilmiş doğrulama yöntemleri, MASAK Rehberi ve yetkili otorite standartlarına uyduğu sürece geçerlidir; ancak yüksek riskli işlemlerde manuel denetim önerilmektedir.
İlgili Rehberler
Resmi Kaynaklar
- T.C. Resmî Gazete — Mevzuat Bilgi Sistemi
- Sermaye Piyasası Kurulu
- MASAK — Mali Suçları Araştırma Kurulu
- Yargıtay Karar Arama
- Gelir İdaresi Başkanlığı
- Türkiye Cumhuriyet Merkez Bankası
Hazırlayan Avukat
Av. Bilal ALYAR
Marmara Üniversitesi Hukuk Fakültesi mezunu (2015). Kripto para hukuku, bilişim hukuku, şirketler hukuku ve ceza hukuku alanlarında faaliyet göstermektedir. MASAK, SPK ve 7518 Sayılı Kanun kapsamında hukuki danışmanlık sunmaktadır.
Bu içerik yalnızca genel bilgilendirme amaçlıdır; somut hukuki görüş ya da avukat-müvekkil ilişkisi oluşturmaz. Her dosya kendine özgü koşullar içerdiğinden, hukuki süreçlerde bir avukattan görüş alınması yararlı olabilir.
Bu sayfadaki açıklamalar genel bilgilendirme amacıyla derlenmiş olup somut olaylarda sonuç; eylemin niteliği, delil değerlendirmesi, hukuka uygunluk koşulları ve süreler gibi pek çok unsura göre değişebilmektedir. Bilişim veya kripto hukuku alanında dava, şikâyet veya mağdur haklarına ilişkin süreçlerle karşılaşan kişilerin yetkili bir avukata başvurarak süre kaçırmadan destek almaları önerilir.