Özet
Mobil bankacılık dolandırıcılıklarında bankanın sorumluluğu yalnızca teknik güvenlik açıklarına bağlı değildir. Banka, müşterilerini mobil bankacılık kullanımından doğabilecek riskler, dolandırıcılık yöntemleri ve güvenlik önlemleri hakkında açık ve güncel şekilde bilgilendirmekle yükümlüdür. BDDK yönetmeliği ve Yargıtay kararları da bu aydınlatma yükümlülüğünün bankanın sorumluluğunun belirlenmesinde önemli bir kriter olduğunu göstermektedir.
Mobil bankacılık uygulamalarının yaygınlaşması, bankacılık hizmetlerinin klasik şube temelli yapısından uzaklaşarak tamamen dijital bir zemine taşınmasına yol açmıştır. Ancak bu dönüşüm, yalnızca teknik güvenlik sorunlarını değil; aynı zamanda bankaların müşteriyi bilgilendirme ve aydınlatma yükümlülüğünün kapsamını da genişletmiştir.
Mobil bankacılıkta dolandırıcılık yöntemlerinin önemli bir kısmı artık doğrudan bankanın bilişim sistemini değil; müşterinin telefonunu, irade açıklamasını veya şifre paylaşımını hedef almaktadır. Bu durum, bankanın teknik kusurunun bulunmadığı hallerde dahi sorumluluğun nasıl belirleneceği sorusunu gündeme getirmektedir.
Bu noktada belirleyici olan husus, bankanın mobil bankacılığa özgü riskler konusunda müşterisini yeterince bilgilendirip bilgilendirmediğidir.
Mobil bankacılık dolandırıcılığı ve bankaların hukuki sorumluluğu konusunu daha genel bir çerçevede ele aldığımız önceki çalışmamıza da göz atabilirsiniz: “Mobil Bankacılıkta Dolandırıcılık ve Bankanın Hukuki Sorumluluğu”
İşlem Alanı – Risk Alanı Ayrımı ve Aydınlatma Borcunun Konumu
Online bankacılıkta riskler ikiye ayrılmaktadır:
1. Bankanın hakimiyet alanındaki riskler (sistem açığı, veri sızması vb.)
2. Müşteri cihazını veya müşterinin iradesini hedef alan riskler (phishing, sosyal mühendislik, sahte çağrı, zararlı yazılım, SIM swap)
Birinci gruptaki riskler doğrudan bankanın işlem alanında kabul edilir ve bankanın sorumluluğu gündeme gelir.
İkinci grupta ise bankanın teknik kusuru bulunmayabilir. Ancak bu durum, bankanın tamamen sorumluluktan kurtulacağı anlamına gelmez. Zira mobil bankacılık hizmeti sunan banka, müşteriyi bu tür risklere karşı önceden ve açık biçimde bilgilendirmekle yükümlüdür.
Aydınlatma yükümlülüğü tam da bu noktada devreye girer ve sorumluluk sınırının çizilmesinde belirleyici rol oynar.
Mobil Bankacılıkta Aydınlatma Yükümlülüğünün Hukuki Dayanakları
Mobil bankacılık hizmetlerinde bankanın müşteriyi bilgilendirme ve aydınlatma yükümlülüğü, esas olarak elektronik bankacılık hizmetlerine ilişkin düzenlemelerden kaynaklanmaktadır.
Bu kapsamda düzenleyici otorite olan Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) tarafından çıkarılan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (“Yönetmelik”), bankaların elektronik bankacılık hizmetleri bakımından üstlendiği yükümlülükleri ayrıntılı şekilde düzenlemektedir.
Yönetmelik’in 37. maddesine göre banka;
- elektronik bankacılık hizmetinin kapsamı,
- hizmetin kullanım koşulları,
- elektronik ortamdan doğabilecek riskler,
- müşterinin alması gereken güvenlik önlemleri
konusunda müşterilerini bilgilendirmekle yükümlüdür. Bu düzenleme, mobil bankacılık hizmetlerinden doğabilecek risklerin müşterilere açık ve anlaşılır biçimde aktarılmasını zorunlu kılmaktadır.
Yönetmelik’in 18/8. maddesi ise bankalara daha ileri bir yükümlülük yüklemektedir. Buna göre bankalar;
- tespit ettikleri veya haberdar oldukları yeni siber tehditler,
- zararlı yazılımlar,
- bankacılık sektöründe ortaya çıkan yeni dolandırıcılık yöntemleri
hakkında müşterilerini bilgilendirmekle yükümlüdür.
Bu düzenleme, mobil bankacılıkta aydınlatma yükümlülüğünün yalnızca sözleşme kurulması aşamasında yerine getirilen statik bir yükümlülük olmadığını; aksine hizmet süresi boyunca devam eden ve gelişen teknolojik risklere paralel olarak güncellenmesi gereken dinamik bir yükümlülük olduğunu ortaya koymaktadır.
Mobil Bankacılıkta Aydınlatmanın Somut Tezahürleri
Mobil bankacılıkta aydınlatma yükümlülüğü aşağıdaki biçimlerde somutlaşmalıdır:
- Uygulama içi görünür uyarılar
- Push bildirimleri
- SMS ile dolandırıcılık uyarıları
- Güncel siber tehdit duyuruları
- Basit ve anlaşılır dil kullanımı
Özellikle mobil uygulama kullanım sözleşmesinde yer alan uzun ve teknik metinler, tek başına aydınlatma yükümlülüğünü yerine getirmez. Zira mobil bankacılık kullanıcılarının önemli bir kısmı sözleşme metinlerini okumamakta; uygulama üzerinden yönlendirilmektedir.
Dolayısıyla bilgilendirme:
- Erişilebilir,
- Güncel,
- Aktif ve görünür
olmalıdır.
Yargıtay Uygulamasında Bilgilendirmenin Rolü
Online bankacılık uyuşmazlıklarında bankaların yükümlülüklerinin kapsamı, Yargıtay Hukuk Genel Kurulu kararlarında da geniş bir çerçevede ele alınmaktadır. Özellikle internet bankacılığı hizmeti sunan bankaların yalnızca teknik güvenlik önlemleri almakla yetinmeyip, usulsüz işlem veya kötü niyetli girişim tespit edildiğinde müşterilerini derhal bilgilendirme yükümlülüğü bulunduğu vurgulanmaktadır.
Nitekim Yargıtay Hukuk Genel Kurulu’nun 22.11.2018 tarihli, 2017/2224 E., 2018/1753 K. sayılı kararında; işlemlerini internet ortamına taşıyarak daha geniş bir müşteri kitlesine ulaşmayı ve bu suretle faaliyetlerini genişletmeyi hedefleyen bankaların, buna paralel olarak gerekli teknolojik ve yazılımsal tedbirleri almakla yükümlü olduğu belirtilmiştir. Kararda, bankaların gelişen teknoloji karşısında kötü niyetli üçüncü kişilerin internet bankacılığı sistemine yönelik girişimlerini engelleyebilecek güvenlik mekanizmalarını oluşturması, sistemlerini sürekli güncellemesi ve herhangi bir usulsüz işlem veya saldırı girişimi halinde gerekli önlemleri almanın yanında müşterilerini de derhal bilgilendirmesi gerektiği açıkça ifade edilmiştir.
Somut olayda ise davacının üç farklı bankadaki hesaplarına aynı anda farklı bir IP adresi üzerinden internet bankacılığı aracılığıyla kötü niyetli girişimlerde bulunulduğu; davalı banka dışındaki bankaların bu girişimi tespit ederek müşteriyi bilgilendirdiği ve hesaplardan para çıkışını engellediği, buna karşılık davalı bankanın olaydan ancak müşterinin bildirimde bulunması üzerine haberdar olduğu anlaşılmıştır. Hukuk Genel Kurulu, yerel mahkeme tarafından davalı bankanın olayın gerçekleştiği tarihte internet bankacılığı sisteminde sektör uygulamalarına uygun güvenlik tedbirlerini alıp almadığının yeterince araştırılmadığını ve bankanın müşteriyi bilgilendirme yükümlülüğünün değerlendirilmediğini belirterek kararın eksik inceleme nedeniyle bozulması gerektiğine hükmetmiştir.
Bu karar, mobil ve internet bankacılığı hizmetlerinde bankanın yükümlülüklerinin yalnızca teknik güvenlik önlemleriyle sınırlı olmadığını; kötü niyetli girişim veya usulsüz işlem ihtimali ortaya çıktığında müşteriyi zamanında bilgilendirme yükümlülüğünün de bankanın sorumluluk alanının bir parçası olduğunu göstermektedir. Dolayısıyla online bankacılık dolandırıcılığı uyuşmazlıklarında bankanın müşteriyi riskler ve şüpheli işlemler hakkında bilgilendirip bilgilendirmediği hususu, kusur ve sorumluluk değerlendirmesinde belirleyici bir kriter olarak ortaya çıkmaktadır.
Eksik Bilgilendirmenin Hukuki Sonuçları
Mobil bankacılık hizmetlerinde yeterli ve açık bir aydınlatma yapılmamışsa, müşterinin söz konusu riskleri bilerek ve bilinçli şekilde üstlendiğinden söz etmek güçleşir. Bu durumda müşteriye müterafik kusur atfedilmesi de zorlaşacaktır.
Zira online bankacılıkta risk alanı teorisi uyarınca, dijital bankacılık hizmetinin organizasyonunu kuran ve bu hizmetten ekonomik fayda sağlayan taraf bankadır. Bu nedenle banka, müşteri cihazını hedef alan dolandırıcılık yöntemleri bakımından teknik olarak doğrudan sorumlu olmasa dahi, müşteriyi bu riskler konusunda yeterli ve anlaşılır biçimde bilgilendirmemişse kusur değerlendirmesinde bu husus bankanın aleyhine dikkate alınabilecektir.
Sonuç
Mobil bankacılıkta bankanın aydınlatma ve bilgilendirme yükümlülüğü, klasik bankacılık hizmetlerinden farklı olarak dijital ortamın doğasından kaynaklanan risklere uyarlanmış özel bir nitelik taşımaktadır. Bu yükümlülük;
- dijital risklere özgü,
- güncel siber tehditlere duyarlı,
- hizmet süresi boyunca devam eden ve dinamik nitelikte
bir karakter göstermektedir.
Bu nedenle banka, yalnızca mobil bankacılık altyapısını kurmakla yetinemez; müşterilerini mobil bankacılık hizmetlerinin kullanımına ilişkin riskler, dolandırıcılık yöntemleri ve alınması gereken güvenlik tedbirleri konusunda açık, anlaşılır ve güncel biçimde bilgilendirmek zorundadır.
Mobil bankacılık dolandırıcılığı uyuşmazlıklarında sorumluluğun belirlenmesinde ise temel mesele, bankanın somut olayın özellikleri çerçevesinde müşterisini yeterli ve etkin biçimde aydınlatıp aydınlatmadığının değerlendirilmesidir. Zira müşterinin riskler hakkında yeterli biçimde bilgilendirilmediği durumlarda bilinçli bir risk üstlenmesinden söz edilemeyeceği gibi, müterafik kusur değerlendirmesi de buna göre şekillenecektir.
Sonuç olarak mobil bankacılık uyuşmazlıklarında sorumluluk sınırının belirlenmesi, yalnızca işlemin teknik olarak nasıl gerçekleştiğinin değil; bankanın müşteriyi mobil bankacılığın doğasından kaynaklanan riskler konusunda önceden ve etkin biçimde bilgilendirip bilgilendirmediğinin tespiti ile mümkün olacaktır.
