Yeni Yönetmelik ile Elektronik Haberleşme Sektöründe Kimlik Doğrulama Süreci
Bilgi Teknolojileri ve İletişim Kurumu tarafından hazırlanan ve Elektronik Haberleşme Sektöründe Başvuru Sahibinin Kimliğinin Doğrulanma Sürecini düzenleyen yönetmelik, Resmi Gazete’de yayımlanarak yürürlüğe girdi. Bu yönetmelik ile birlikte, abonelik sözleşmesi, numara taşıma, işletmeci değişikliği, nitelikli elektronik sertifika, kayıtlı elektronik posta ve SIM değişikliği gibi başvuruların belgelerinin elektronik ortamda düzenlenmesi durumunda başvuru sahibinin kimliğinin doğrulanmasına yönelik süreçler detaylandırılmıştır.
Düzenlemenin temel amacı, başvuru sahiplerinin işlemlerinin güvenli ve etkin bir şekilde gerçekleştirilmesini sağlamak, sahtecilik ve dolandırıcılık gibi güvenlik risklerini minimize etmek, ulusal ve uluslararası standartlara uyum sağlamak, milli kaynakların azami ölçüde kullanılmasını teşvik etmek ve tüketici haklarını korumaktır. Ayrıca, milli güvenlik ve kamu düzeni gibi önemli hususlar da gözetilmiştir.
İşletmecilerin Sorumlulukları
Yönetmelik çerçevesinde, işletmeciler ve hizmet sağlayıcılar, başvuru sahiplerinin işlemlerini yüz yüze kanallar, kendi internet siteleri, mobil uygulamalar veya benzeri mecralar aracılığıyla güvenli bir şekilde sunabilecekler. Başvuru sahibinin kimlik doğrulama işlemleri, aşağıdaki yöntemlerle gerçekleştirilebilecektir:
- e-Devlet Kapısı üzerinden kimlik doğrulaması
- Uluslararası Sivil Havacılık Teşkilatı (ICAO) 9303 standardına uygun “yakın alan iletişimi” ile doğrulama
- Yapay zeka veya yetkili marifetiyle gerçekleştirilen görüntülü doğrulama
- Türkiye Cumhuriyeti Kimlik Kartı (TCKK) ile PAdES (Gelişmiş Elektronik İmza) oluşturma
- Yüz yüze işlem sırasında kimlik belgesi ile birlikte video görüntüsü alma
Veri Güvenliği ve Kimlik Doğrulama
İşletmeciler, başvuru sahiplerinin kimlik doğrulama bilgilerinin güvenliğini sağlamak için gerekli önlemleri almakla yükümlüdür. Bu kapsamda:
- Kimlik doğrulama bilgileri, şifreli ve geri dönüşümsüz yöntemlerle saklanmalıdır.
- Kimlik doğrulama amacıyla aktarılırken verilerin şifrelenmesi gerekmektedir.
- Tüm süreçlere dair işlem kayıtlarının gizliliği, güvenliği ve bütünlüğü sağlanmalıdır.
Yönetmelik, başvuru sahibinin kimlik doğrulama sürecinin e-Devlet Kapısı üzerinden yapılabileceği gibi, yapay zeka veya yetkililer aracılığıyla görüntülü kimlik doğrulama ile de gerçekleştirilebileceğini belirtmektedir. Görüntülü kimlik doğrulama, gerçek zamanlı ve kesintisiz bir şekilde yapılacak, kimlik belgesindeki fotoğraf ve diğer bilgileri “yakın alan iletişimi” yöntemiyle alınacaktır.
Kimlik Doğrulama Süreci
Görüntülü kimlik doğrulama sırasında, başvuru sahibinin canlılığını tespit etmek için çeşitli teknikler kullanılacaktır. Ayrıca, başvuru sahibinin yüzünün, net bir şekilde görülebileceği aydınlık bir ortamda, gözleri açık halde farklı açılardan görüntüsü alınacaktır. İşletmeci veya hizmet sağlayıcı, alınan görüntü ile kimlik belgesindeki fotoğrafı karşılaştırarak kimlik doğrulamasını yapacaktır.
Yüz yüze yapılan işlemlerde ise kimlik doğrulaması, PDF ile PAdES-LTV (elektronik imza formatı) oluşturularak gerçekleştirilecektir. Alternatif olarak, başvuru sahibinin kimlik belgesi ile birlikte video görüntüsü alınarak da kimlik doğrulaması yapılabilecektir. Yüz yüze kimlik doğrulama sürecinde, başvuru sahibi önce iletişim bilgilerini beyan edecek ve ardından bu bilgilere tek kullanımlık bir parola ya da link gönderilecektir.
Veri Saklama ve Güvenlik Önlemleri
Yönetmelik kapsamında, yapılan tüm işlemler kayıt altına alınacak ve elde edilen veriler yalnızca idari ve adli makamların süreçleri ile başvuru sahibinin kimlik doğrulama amacı için kullanılabilecektir. Ayrıca, elde edilen veriler ilgili mevzuatta belirtilen saklama süreleri boyunca güvenli bir şekilde saklanacaktır. İşletmeci veya hizmet sağlayıcı, sahtekarlık ve kimlik tespiti zayıflıkları gibi durumlar için teknolojik gelişmeleri takip ederek gerekli güncellemeleri yapma sorumluluğuna sahiptir.
Islak imza veya güvenli elektronik imza ile imzalanmamış belgeler için, yönetmeliğin yürürlüğe girdiği tarihten önce yapılmış başvurular, işletmecinin yönetmeliğin yürürlüğünü takip eden üç ay içinde gerekli bilgileri ilgili sistemlere iletmesi gerekecektir. Yönetmelik, 31 Aralık 2021 tarihinde yürürlüğe girecektir.
