Ödeme Kuruluşu Ceza ve Yaptırımları: 6493 Sayılı Kanun'da İdari Para Cezası ve Yöneticinin Ceza Sorumluluğu

Ödeme ve elektronik para kuruluşları Türkiye'de iki ayrı raydan birden yaptırıma uğrar: 6493 sayılı Kanun'un 27. maddesi uyarınca <strong>şirkete kesilen idari para cezası</strong> ve 28 ila 36. maddeler uyarınca kuruluşu yöneten kişilere yönelen <strong>kişisel ceza (hapis) sorumluluğu</strong>. Düzenleyici ve denetleyici tek otorite ise <strong>Türkiye Cumhuriyet Merkez Bankası (TCMB)</strong>'dir. Önemli olan şu: idari para cezasını ödemek ceza dosyasını kapatmaz, yönetim kurulu üyesini ya da imza yetkilisini cezai soruşturmadan kurtarmaz. Bu rehber her iki rayı, güncel tutar mantığını, savunma sürelerini ve ilk denetim temasında ne yapılması gerektiğini açıklıyor.

Fintech ve ödeme kuruluşlarını Türkiye'de hangi kanun ve hangi kurum düzenler?

Ödeme ve elektronik para kuruluşlarının (fintech) faaliyetlerini düzenleyen temel mevzuat 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun'dur. Bu Kanun; lisanslı ödeme kuruluşlarını, elektronik para kuruluşlarını ve işlemleri takas eden ödeme sistemlerini kapsar. İşiniz para hareketi sağlamak, elektronik para ihraç etmek veya bir ödeme sistemi işletmekse, ne yapabileceğinizi ve sınırı aştığınızda ne olacağını bu Kanun belirler.

Düzenleyici tek otorite vardır. 1 Ocak 2020'den bu yana ödeme hizmetleri, ödeme kuruluşları ve elektronik para kuruluşları üzerindeki lisanslama ve denetim yetkisi Türkiye Cumhuriyet Merkez Bankası (TCMB)'ne aittir. Bu tarihten önce bu yetkiler BDDK (Bankacılık Düzenleme ve Denetleme Kurumu)'ndaydı ve birçok eski kaynak hâlâ BDDK'yı fintech düzenleyicisi olarak gösterir. Bu bilgi güncel değildir. Bugün ödeme ve elektronik para kuruluşlarını lisanslayan, denetleyen ve yöneticileri hakkında ceza dosyası açılıp açılamayacağına etki eden tek merci TCMB'dir. BDDK yalnızca 5411 sayılı Bankacılık Kanunu kapsamında bir banka lisansı çakışması doğduğunda yeniden devreye girer.

Sistem paralel iki ray üzerinde işler: kuruluşa yönelen idari yaptırımlar ve onu yöneten gerçek kişilere yönelen cezai sorumluluk. Bu iki rayın birbirinden ayrı olduğunu kavramak en kritik noktadır. Şirket idari para cezasını ödese bile, aynı eylem nedeniyle yöneticileri hakkında ayrıca cezai kovuşturma yürütülebilir. Düzenleyiciyle anlaşmak kişisel cezai riski ortadan kaldırmaz. Henüz kuruluş aşamasındaysanız, şirketi yapılandırmak ve lisansa tabi rolleri kimin üstlendiğini doğru haritalamak, baştan sağlam bir şirketler hukuku kurgusunun parçasıdır.

6493 sayılı Kanun 27. madde idari para cezası nasıl hesaplanır?

6493 sayılı Kanun'un 27. maddesi, "düzenlemelere ve kararlara aykırılık" başlığını taşıyan temel idari yaptırımdır. Bireyleri değil tüzel kişi olarak kuruluşu hedef alır ve rutin denetimde ödeme kuruluşlarının en sık karşılaştığı yaptırımdır.

Cezanın hesaplanma mantığı

Kanun bir parasal taban bant koyar, üzerine de bir "haksız kazancı geri alma" kuralı ekler:

• Kanuni taban bant: Kanun metnindeki ham (yeniden değerlemesiz) rakam her bir aykırılık için belirli bir alt-üst sınır arasındadır. Bu tutarlar Vergi Usul Kanunu (VUK 213) uyarınca her yıl yeniden değerleme oranıyla güncellenir. Dolayısıyla 2026'da fiilen uygulanan tutar, kanundaki ilk tabandan yüksektir. Riskinizi değerlendirmeden önce güncel yeniden değerlenmiş bandı TCMB'den teyit ettirin.
• "Menfaat kuralı": Kuruluş aykırılıktan haksız bir menfaat sağlamış veya bir zarara yol açmışsa, ceza bu tutarın iki katından az olamaz. Ceza kesilmeden önce aynı aykırılığın tekrarlanması hâlinde ceza artırılır; tekrarlanan aykırılık yine kazanç veya zarar doğurursa alt sınır menfaat ya da zararın üç katına yükselir. Bu çarpanlar, etkili cezayı nominal bandın çok üstüne taşıyabilir ve cezayı "işin maliyeti" gibi görmenin önüne geçmek için tasarlanmıştır.

Yazılı savunma hakkı ve itiraz yolu

İdari yaptırımlar sessizce uygulanmaz. Ceza kesinleşmeden önce kuruluşa, konumunu ortaya koyan bir yazılı savunma sunmak için süre tanınır. Gerekçeli ve delillendirilmiş bir savunma cezayı azaltabilir ya da kaldırabilir. Ceza yine de kesilirse, idare mahkemesinde dava açılarak iptali istenebilir; 2577 sayılı İdari Yargılama Usulü Kanunu (İYUK) uyarınca idari para cezalarına karşı dava açma süresi tebliğden itibaren genel olarak otuz gün olup, somut durumda görevli mercie ve cezanın türüne göre değişebilir; bu nedenle tebligattaki süre mutlaka esas alınmalıdır. İdari para cezaları ayrıca 5326 sayılı Kabahatler Kanunu'nun genel çerçevesi içinde yer alır.

Yöneticinin kişisel ceza sorumluluğu nedir? (28-36. maddeler)

Yöneticilerin en çok risk taşıdığı ve en az hazırlıklı olduğu nokta burasıdır. 6493 sayılı Kanun şirkete ceza kesmekle yetinmez; gerçek kişilere -yönetim kurulu üyeleri, müdürler, imza yetkilileri ve eylemin niteliğine göre diğer personel- yönelen suçlar yaratır. Sorumluluk göreve değil eyleme bağlıdır.

Türk hukukunda cezai sorumluluk kişiseldir: 5237 sayılı Türk Ceza Kanunu (TCK) madde 20 uyarınca yalnızca gerçek kişiler cezalandırılabilir; tüzel kişiler (şirketin kendisi) ise TCK madde 60 kapsamında güvenlik tedbirlerine (faaliyet izninin iptali, müsadere gibi) tabidir. İkili rayın altındaki ilke budur: şirket idari para cezasını öder ve güvenlik tedbiriyle karşılaşır; eylemin arkasındaki kişiler hapisle yüz yüze gelir.

Kanundaki başlıca suçlar ve kanun metnindeki yaptırım aralıkları şöyledir:

Birkaç noktayı ayrıca vurgulamak gerekir. İzinsiz faaliyet (m. 28) Kanun'un amiral suçudur: TCMB'den gerekli izni almadan ödeme hizmeti sunmak, elektronik para ihraç etmek ya da ödeme sistemi işletmek -izin verilmeden önce faaliyete geçmek veya izin iptal edildikten sonra sürdürmek dâhil- bu kapsamdadır. Zimmet (m. 36) Kanun'daki en ağır suçtur: kuruluşa tevdi edilen fonların mal edinilmesi altı ila on iki yıl hapsi gerektirir, nitelikli hâlinde alt sınır on iki yıla yükselir ve zararın en az üç katının ödenmesi yükümlülüğü doğar. TCK 5237'deki zimmet suçuyla paralellik taşısa da altı-on iki yıllık aralık bu Kanun'un kendi düzenlemesidir.

Savcılığın kovuşturma kapısı: 37. madde ve TCMB başvurusu

6493 sayılı Kanun'un en önemli usul özelliklerinden biri -ve kuruluşlar ile çalışanları için gerçek bir güvence- 37. maddede yer alır. Bu maddenin kapsadığı suçlar bakımından bir Cumhuriyet savcısı kendiliğinden (re'sen) soruşturma açamaz. Önce TCMB'nin yazılı başvurusuna ihtiyaç duyar.

Uygulamada TCMB bir kapı bekçisi gibi davranır: düzenleyici başvuru yoksa, kapsama giren suçlar bakımından kovuşturma da yoktur. Bu filtre önemlidir; çünkü meseleler ceza mahkemesine ulaşmadan önce düzenleyici düzeyde çözme imkânı tanır.

Önemli istisna: 31. madde doğrudan şikâyet

Kapı bekçisi her şeyi kapsamaz. 28 ve 29. maddeler filtrenin içinde sağlamca dururken, 31. madde için doğrudan şikâyet istisnası vardır: zarar gören veya ilgili taraflar bilgi güvenliği ve kayıt düzeni ihlallerini TCMB başvurusunu beklemeden doğrudan şikâyet edebilir. Büyük hacimde müşteri verisi işleyen bir fintech için bu, tek bir mağdur müşterinin bir ceza sürecini başlatabilmesi anlamına gelir. Veri güvenliği uyumu bu nedenle yalnızca düzenleyici bir kutu işareti değil, doğrudan cezai risk yönetimidir ve KVKK ve bilişim hukuku yükümlülükleriyle iç içe geçer.

31. madde yükümlülükleri nereden doğar? TCMB ikincil mevzuatı

31. maddenin cezai riske dönüştürdüğü bilgi güvenliği ve kayıt düzeni yükümlülükleri havada asılı değildir. Bunlar TCMB'nin ikincil mevzuatında -başlıca Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik ve buna eşlik eden bilgi sistemleri tebliğleri- ayrıntılandırılır. Bu düzenlemeler kuruluşun karşılaması gereken veri saklama, sistem güvenliği ve dış hizmet (outsourcing) standartlarını belirler.

Bu, cezai risk açısından somut bir şey ifade eder: TCMB düzenlemesine yazılı bir yükümlülüğün ihlali, 31. madde suçunun olgusal temeli olabilir. Bilgi sistemleri işinin büyük bölümü tedarikçilere ve bulut sağlayıcılara devredildiğinden, hizmet sağlayıcı ve dış hizmet sözleşmelerinde kararlaştırdığınız şartlar, bir ihlal hâlinde kimin risk altında olduğunu ve savunmanın nasıl delillendirileceğini doğrudan etkiler. 32. madde kapsamındaki gizlilik yükümlülükleri de aynı üçüncü taraf sağlayıcılara uzanır.

Suç gelirlerinin aklanması (MASAK) ile kesişim

Türkiye'de fintech sorumluluğu nadiren tek başına kalır. Ödeme ve elektronik para kuruluşları, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında yükümlü sayılır ve MASAK (Mali Suçları Araştırma Kurulu) denetimine tabidir. Müşterini tanı (kimlik tespiti), şüpheli işlem bildirimi veya kayıt saklama yükümlülüklerindeki eksiklikler kendi başına idari para cezası doğurabilir ve cezai soruşturmaları besler.

Aklama şüphesi bulunan hâllerde eylem ayrıca 5237 sayılı Türk Ceza Kanunu'nu da harekete geçirebilir: madde 282 kapsamında suçtan kaynaklanan malvarlığı değerlerini aklama ve aldatma varsa madde 157-158 kapsamında dolandırıcılık. Bir fintech uyum eksikliği böylece hızla bir 6493 meselesinden, TCMB denetimi, MASAK / aklama yükümlülükleri ve genel ceza hukukunu kapsayan çok-kanunlu bir riske dönüşebilir. İlk düzenleyici temasta uzman ceza savunması bu yüzden bu kadar önemlidir.

Tek denetim, iki paralel dosya: örnek senaryo

İki rayı anlamanın en kolay yolu tekil ve anonim bir senaryodur. Bir TCMB denetim ekibinin bir ödeme kuruluşunu incelediğini ve hizmetin bir kısmının izin tam olarak yerine gelmeden faaliyete geçtiğini, ayrıca bir defterdeki müşteri fonlarının mutabık olmadığını tespit ettiğini varsayalım.

• İdari dosya: Kuruluşa bir bildirim ve 27. madde kapsamında yazılı savunma sunmak için süre verilir. Aykırılık doğrulanırsa şirket, yeniden değerlenmiş taban bant içinde bir cezayla -ve eylemden menfaat sağlamışsa bu menfaatin en az iki katı- karşılaşır. Şirket daha sonra cezayı idare mahkemesine taşıyabilir; süre tebligata göre işler.
• Ceza dosyası: Aynı olgular ayrı bir ceza rayı doğurabilir. İzinden önceki faaliyet 28. maddeyi (izinsiz faaliyet, 1-3 yıl), defter açığı ise olası zimmet bakımından 36. maddeyi (6-12 yıl) işaret eder. 28. madde ayağı için savcının önce TCMB yazılı başvurusuna ihtiyacı vardır; 36. madde ayağı genel kuralları izler.

Tek denetim, iki dosya, iki ayrı takvim - ve ceza rayında adı geçen kişiler, cezayı ödeyen tüzel kişiyle aynı değildir. İlk bildirimden itibaren her iki yanıtı koordine etmek, idari bir sorunun kişisel bir soruna dönüşmesini önler.

Yurt dışındaki yönetim kurulu üyesi için sınır ötesi gerçeklik

Sermayesi yabancı olan kuruluşlarda yöneticilerin bir kısmı Türkiye dışında oturur ve sessiz soru basittir: yurt dışındayken bana fiilen ne ulaşır? Dürüst yanıt şu: mesafe riski azaltır ama ortadan kaldırmaz.

• Çağrı ve ifade: Bir Türk soruşturması adı geçen kişiyi ifade vermeye çağırabilir. Gelmemek, savcı veya mahkemenin tedbirleri artırmasına -ülkeye girişte etkili olacak tedbirler dâhil- yol açabilir.
• Giriş ve seyahat tedbirleri: Açık bir ceza dosyası varsa pratik sıkışma noktaları Türkiye'ye giriş ve mahkemenin erişebildiği kişilere koyabileceği yurt dışı çıkış yasağıdır. Ülkeye giren bir yönetici, kendisini bekleyen bir tedbirle karşılaşabilir.
• Yetki ve iş birliği: Kanunlar ihtilafı soruları 5718 sayılı Milletlerarası Özel Hukuk ve Usul Hukuku Hakkında Kanun (MÖHUK) ile yönetilir; sınır ötesi icra ise karşılıklı adli yardım ve varsa uygulanabilir iade düzenlemelerine bağlıdır; bunlar ülkeye ve suça göre değişir, peşinen varsayılmamalıdır.

Yurt dışından bir yönetim kurulu veya imza yetkilisi rolü taşıyorsanız, riskinizi haritalamanın doğru zamanı dosya açılmadan öncedir, çağrıdan sonra değil. Rollerin ve sorumlulukların net dağıtımı, 28-36. maddelerin çizdiği hattan kişileri uzak tutabilir. Yabancı kararların Türkiye'deki etkisi için tanıma ve tenfiz sürecini de erkenden değerlendirin.

Yabancı sermayeli işletmeler için uyum ve savunma adımları

Yabancı sermayeli ödeme ve elektronik para işletmeleri için hedef, meseleleri idari düzeyde tutmak ve bir ceza dosyası açılırsa adı geçen kişileri korumaktır. Pratik adımlar:

• Belgelenmiş iç kontroller ve net denetim izleri kurun; böylece 27. madde kapsamındaki yazılı savunma, tanınan süre içinde hızlıca delillendirilebilir.
• 31. madde bilgi güvenliği yükümlülüklerini -ve altında yatan TCMB yönetmeliği ile bilgi sistemleri tebliğini- bir cezai risk önceliği olarak ele alın; çünkü müşteriler düzenleyici filtre olmadan doğrudan şikâyet edebilir.
• İmza yetkisi ve yönetim kurulu rollerini kimin taşıdığını haritalayın ve bu kişileri 28-36. maddeler kapsamındaki kişisel cezai riskleri konusunda bilgilendirin.
• Hem 6493 hem MASAK / 5549 amaçları için temiz, erişilebilir bir kayıt saklama sistemi tutun.
• TCMB veya MASAK temas kurduğu anda -ve herhangi bir ifade verilmeden önce- uzman ceza savunması ile şirketler hukuku desteğini birlikte devreye alın.

Kuruluşunuz bir bildirim, yazılı savunma talebi ya da savcılığa sevk işareti aldıysa tek başınıza yanıt vermeyin. İdari ve cezai riskinizi değerlendirmek ve kuruluşun savunmasını, adı geçen yöneticilerin konumuyla birlikte koordine etmek için Lexin Legal ile iletişime geçin.

Sıkça sorulan sorular