MADDE 9 – (1) Kuruluş, faaliyetlerinin yürütülmesi sırasında edindiği ve bilgi sistemleri aracılığıyla işlediği, ilettiği veya sakladığı hassas müşteri verileri ve müşteri bilgilerinin gizliliğini ve güvenliğini sağlamaya ve kuruluş dışına sızmasını önlemeye yönelik politika ve prosedürleri yazılı olarak oluşturur ve bu amaçla gerekli tedbirleri alır.

(2) Kuruluş, faaliyetleri ile ilgili olarak kullandığı bilgi sistemlerinde verilerin gizliliğini sağlayacak önlemleri alır. Verilerin gizliliğini sağlamak üzere alınan önlemlerin, verilerin gizlilik derecesine uygun olması gerekir.

(3) (Değişik cümle:RG-7/10/2023-32332) Hassas müşteri verileri ve müşteri bilgilerinin şifrelenmiş bir şekilde ya da güvenli bileşenlerde saklanması esastır. Kullanılacak şifreleme tekniklerinin günün teknolojisi, ulusal ve uluslararası standartlar ile uyumlu olması, veri güvenliği ve mahremiyeti konusunda makul güvence sağlaması ve güvenilirliğini yitirmemiş olması esastır.

(4) Hassas müşteri verileri, müşteri bilgileri ve rekabete duyarlı verilerin kablosuz biçimde veya internet üzerinden iletilmesi halinde, bu iletim uçtan uca güvenli iletişim ile gerçekleştirilir.

(5) Veri barındıran bilgi sistemleri unsurlarının kullanımının durdurulması durumunda, içerdikleri verilerin gizlilik derecesine uygun olarak güvenli bir şekilde gecikmeksizin imha edilmesi sağlanır.

(6) Hassas müşteri verileri, Kanun, Yönetmelik ve bu Tebliğ kapsamında izin verilen haller saklı kalmak kaydıyla, dış hizmet sağlayıcılar ve kanunlarla açıkça yetkili kılınan merciler dışındaki taraflara verilemez. Müşteri bilgileri, kanunla açıkça yetkili kılınan merciler dışındaki taraflara, ancak müşterinin paylaşım sınırları hakkında aydınlatılması ve müşterilerin açık rızasının alınması kaydıyla verilebilir. Müşterinin açık rızası, 6698 sayılı Kanuna uygun şekilde güvenli yöntemlerle alınır. Elektronik ortamdaki bir sözleşme ile alınacak onay yalnızca ilk defa oturum açılırken ve müşterinin açıkça bilgilendirilmesi kaydıyla gerçekleştirilebilir. Müşterinin bilgilerini paylaşmaya dair rıza göstermesi verilecek hizmet için bir ön şart haline getirilemez.

(7) Kanun kapsamına giren işlemler ile ilgili olarak kişisel verilerin işlenmesi faaliyetlerinde, 6698 sayılı Kanun ve bu Kanun uyarınca yapılan düzenlemelerde yer alan hükümler öncelikli olarak uygulanır ve bu hükümler kapsamında belirlenmiş olan usul ve esaslara uyulması zorunludur.