Dijital kimlik uygulamaları Avrupa’da henüz yasal bir çerçevenin olmadığı dönemlerde özellikle iskandinav ülkelerinde yaygın şekilde kullanılmaktaydı.

BankID, NemId gibi hala kullanımda olan çözümler çok erken tarihlerde kullanıma sunuldu. Avrupa Birliği özellikle serbest dolaşım uygulamasına geçildikten sonra her alanda ülkeler arası farklılıkları ortadan kaldıran, birlikte çalışabilirliği olan bir ekosistem oluşturmaya çalışıyor. Ödeme sistemleri alanında kurulmaya çalışılan SEPA bu girişimlerden biri. Benzer şekilde dijital kimlik kullanımı alanında da bir ülkenin tahsis ettiği dijital kimliğin diğer avrupa birliği ülkelerinde de kabul edilebilir olması kritik öneme sahip.

Bu amaçla 2014 yılında yayınlanan eIDAS regülasyonu dijital kimlik uygulamaları alanındaki yasal çerçeveyi çizmekte. eIDAS yönetmeliği kapsamında, AB Üye Devletleri, gönüllü olarak, diğer Üye Devletlerin tanımakla yükümlü olduğu ulusal elektronik kimlik sistemlerini bildirebiliyordu. Bildirilen elektronik kimliklerin tanınması 2018 yılında zorunlu hale geldi. Ancak, Üye Devletlerin ulusal bir elektronik kimlik geliştirme zorunluluğu yoktu. Birlikte çalışabilirlik, yalnızca çeşitli kimlik sistemlerini birbirine bağlayan ve teknik sorunlara yol açabilen bir birlikte çalışabilirlik üst yapısının uygulanmasıyla sağlanabiliyordu. yani e-IDAS ile uygulamaya konulan dikital cüzdanlar :

• genel kullanıma açık olmayan
• sadece belirli kamu hizmetlerinde geçerli olan ve
• PAN EU kullanımı olmayan

uygulamalardı.

Bu durum, ülkeler arasında tutarsızlıklara yol açmış ve özel dijital hizmetlere genişlemeyi engellemiştir.

Bu sebeple eIDAS 2.0 olarak da isimlendirilen (EU) No 910/2014 regülasyonu yayınlanarak 2026 sonuna kadar bütün EU ülkelerinin vatandaşlarına belirlenen fonksiyonları sunabilen ve gerekli sertifikasyonlardan geçmiş bir dijital kimlik sunmaları zorunlu hale getirilmiştir. Geliştirilecek dijital cüzdanların “Once Only” prensibi ile çalışması yani aynı veriyi farklı devlet kurumlarının farklı zamanlarda vatandaştan talep etmemesi sağlanacaktır.

Temel Özellikler

• Standardize edilmiş arayüzler üzerinden paylaşılan datanın içeriği ve hangi taraflar ile paylaşıldığının kullanıcıya gösterilmesi
• Güvenen tarafın sunulan bilgiyi ifşa etmeden doğrulayabilmesi için Zero Knowledge Proof benzeri kriptografik doğrulama mekanizmalarının uygulanması
• Hem online hem de offline kullanım imkanının bulunması
• Doğrulama mekanizmalarında kullanılan e-imzaların profesyonel kullanım dışında ücretsiz olarak sunulacak olması
• Geliştirilecek cüzdanların kaynak kodlarının “açık kaynak” olması
• Geliştirilen uygulamaların standartlara uygunluğunun sertifikasyonlar ile teyit edilmesi

Teknik Standartlar

• ISO/IEC 18013–5:2021
• ISO/IEC 18013–7:2024
• W3C Verifiable Credentials Data Model 1.1

Pilot Uygulamalar

Zorunluluk tarihi yaklaşırken sınırlı sayıda ülekleri içeren ve bölgesel pilot uygulamalar kullanıma sunulmaya başlandı.

• Home - EUDI Wallet Consortium
• Accueil - Potential - For European Digital Identity
• Home

Ödeme Sistemleri Bakımından Etkisi

eIDAS 2.0 regülasyonu EUDIWallet uygulamalarının online ödemelerde 2027 yılı sonuna kadar SCA uygulanabilir şekilde kabul edilmesini şart koşuyor. Online kartlı ödemelerde kullanıcı doğrulamasına yönelik en yaygın teknoloji olan 3D Secure’un EUDIWallet ekosistemi ile kesişen noktaları söz konusu. Bu konuda pilot konsorsiyumlar ve EMVco ile birlikte yapılan çalışma ile 3DS, SRC ve SPC spesifikasyonlarının eIDAS 2.0 regülasyonuna hizmet eder şekilde düzenlenmesi söz konusu olabilir.

EUDI Wallet uygulamalarının ödemeler alanında da kullanılacak olması global şemalar tarafından yaygınlaştırılması planlanan Click to Pay checkout çözümüne rakip uygulamaların sayısını artırabilir. Bu noktada kullanıcıların tercihlerinin yanında işyerlerinin de hangi checkout çözümünü destekleyeceği kullanımın yaygınlaşması açısından kritik öneme sahip.

Pilot kullanıcı deneyiminde yaş ve sürücü belgesi doğrulaması gerektiren bir araç kiralama işlemi bütünüyle dijital olarak gerçekleştirilebiliyor. Cüzdana entegre edilen mDL (mobile driving licence) ile sürücü belgesinin varlığı teyit edilirken ödeme fonksiyonu cüzdana entgere edilmiş tokenize ödeme verileri ile gerçekleştiriliyor, kullanıcı otantikasyonu ise FIDO passkey ile gerçekleşiyor.

EUDI Wallet projesi dijital cüzdanlara tam anlamıyla “Cüzdan” hüviyeti kazandıran çok kapsamlı bir proje. Aynı dijital cüzdan ile kimlik ibrazı, sürücü belgesi ibrazı, öğrenci kimliği ibrazı yapılabilirken aynı zamanda ödeme işlemi ve bugün ihtiyaç duyulmayan olası farklı fonksiyonların da diğital olarak kullanılabilmesi ve bu yapının farklı kurumlar ve ülkeler arasında birlikte çalışabilirliği olacak şekilde çalışması söz konusu. Avrupa’da yaygınlaşacak bu ekosistemin zaman içerisinde farklı bölgeler için de referans olması olası görünüyor.

Kaynaklar:

https://fidoalliance.org/wp-content/uploads/2023/04/FIDO-EUDI-Wallet-White-Paper-FINAL.pdf

https://eudiwalletconsortium.org/wp-content/uploads/2025/08/EWC-D2.5-Payments-Enablers-Services.pdf

https://github.com/eu-digital-identity-wallet/eudi-app-android-wallet-ui

Kullandığınız şifreleri güvenli bir alanda veya zihninizde saklamanız sizi maalesef güvenli kılmıyor. Şifrenin içerdiği karakter setine de bağlı olarak kötü niyetli kişilerin bu şifreleri brute force atakları ile ele geçirmesi pekala mümkün. Veri sızıntısı yoluyla şifrenin açığa çıkması diğer bir yaygın olasılık.

Quantum sonrası kriptografinin standartları belirleniyor. Bugün itibari ile kişisel şifrelerin güvenliği noktasında quantum bilgisayarlarının yarattığı olası tehlikeden korkmak bir paranoya olarak değerlendirilebilir zira bu teknolojiye ilk sahip olanların kırmak isteyeceği çok daha kıymetli sırlar olacaktır :) Yine de yakın gelecekte bizi neyin beklediğine dair bir ön bilgi vermek gerekirse klasik bilgisayarların 149 milyon yılda yaptığı işi quantum bilgisayarlar 8 saatte yapabiliyor.

Yönetimi zor ve güvenlik riski yaratan şifrelerin yerini almaya aday bir teknoloji olarak geçiş anahtarı kullanımı yaygınlaşıyor.

Nedir ?

Geçiş Anahtarı , FIDO standartlarına dayalı kimlik doğrulama yöntemidir. Kullanılan cihaz ve erişim sağlanacak ortam arasında gereken kriptografik anahtar değişimleri yapıldıktan sonra kişi doğrulaması cihaz üzerinden yüz tanıma, parmak izi, cihaz kullanım patternleri (davranışsal biyometri) vb yöntemler ile yapılır.

Geçiş anahtarları kullanıcının kendisini tanıtmak için ek bir kullanıcı adı, e-posta veya şifre girme gereksinimini ortadan kaldırır. Şifrenin hatalı girilmesi, yeniden yaratılması gibi süreçleri de ortadan kaldırdığı için hizmet sürekliliği ve hızı bakımından iyi bir deneyim sunmaktadır.

Kullanılan açık anahtar şifreleme teknolojisi esasında farklı alanlarda yaygın şekilde kullanılan bir yöntem. Yaratılan en önemli değer dijital işlemlerin koştuğu bütün platformların sistemin bir parçası olarak destek vermeleri, açık kaynak spesifikasyonlar ile “cross platform” bir doğrulama yapısının kurulmuş olması denilebilir. Bu durum geçiş anahtarlarının hem en önemli özelliği hem de en zayıf karnı denilebilir. Platformlar arası kullanım ve uygulama akışlarındaki farklılıklar kullanıcı deneyimini olmumsuz etkileme potansiyeline sahip.

Destekleyen Platformlar

Yaygın kullanılan tarayıcıların tamamı geçiş anahtarı desteğine sahiptir.

Device Support

Çalışma yapısı

Geçiş anahtarı basit tarif ile Açık Anahtarlı Şifreleme tekniği ile çalışmaktadır. Kullanıcının cihazı üzerinde üretilerek saklanan bir gizli anahtar ve bu gizli anahtar ile oluşturulan dijital imzayı doğrulama kabiliyetine sahip olan erişim sağlanan platform tarafından saklanan eşlenik açık anahtar çifti temel kriptografik gizliliği sağlamaktadır.

Kritik öneme sahip gizli anahtar (private key) kullanılan cihazın erişime kapalı alanında (Trusted Execution Environment, Trusted Platform Module vb) saklanır.

Şifre vs Geçiş Anahtarı

Kullanıcı Deneyimi

Geçiş anahtarı yaratılacak platforma, sistemi destekleyen bir tarayıcı üzerinden erişilmeye çalışıldığında tarayıcı kullanıcıya geçiş anahtarının nerede saklanacağını sorar.

Telefon seçeneğinin seçildiği senaryoda oluşturulan QR kod telefon kamerası ile okutulur.

Telefon üzerinden yapılan face ID doğrulaması sonrasında geçiş anahtarı oluşturulmuş ve telefona kaydedilmiş olur.

Oluşturulan geçiş anahtarı sonraki erişim isteklerinde kullanılıyor.

Bankacılık ve Ödemeler Alanında Kullanım

Mastecard ve Visa Secure Card on File ve Click to Pay platformlarında FIDO tabanlı otantikasyonu destekliyor.

Henüz yeterli tarayıcı desteğini alamayan SPC (Secure Payment Confirmation) da yine FIDO tabanlı otantikasyon yönteminin ödeme işlemlerinde 3D Secure’a alternatif olarak kullanımını öngören bir spesifikasyon.

Sonuç

Şifresiz bir geleceğe doğru gidiyoruz, bu konuda bir şüphe yok. Hem kullanılan şifre adedindeki artış hem de şifre güvenliği ile ilgili çekinceler bu noktada bir alternatif geliştirilmesini zorunlu hale getiriyor. Geçiş anahtarı mevcutta şifreye alternatif olabilecek en güçlü aday gibi görünüyor. Platform ve entegrasyon bağımlılığı yaygınlaşmasının önündeki en önemli 2 engel. Ayrıca kullanım senaryolarının cihazlar ve platformlar arası kullanımları destekleyecek şekilde sadeleştirilerek düzenlenmesi gerekiyor. Internet bağımlığı ve offline desteğinin olmaması sebebiyle hard token çözümler ile birlikte hibrit bir yapıda şifrelerin yerini almaya en güçlü aday.

Kaynak :

https://fidoalliance.org/white-paper-secure-payment-confirmation/

https://www.corbado.com/tr/blog/odeme-passkey-ortamina-genel-bakis

https://blogs.windows.com/windowsdeveloper/2024/10/08/passkeys-on-windows-authenticate-seamlessly-with-passkey-providers/

https://fidoalliance.org/

https://www.ncsc.gov.uk/blog-post/passkeys-not-perfect-getting-better

1.TROY kartların Google Play platformunda kabulü yakın zamanda başladı. Bu sayede Play Store’da listelenen bütün uygulamalar için, uygulama içi satın alım ve abonelik gibi işlemlerde TROY kartlar kullanılabilir hale gelmiş durumdadır.

2.Hosting alanında faaliyet gösteren firmalara yönelik altyapı hizmeti sunan WHMCS platformunun şu anda Beta testinde olan 8.13 versiyonunda TROY kart desteği gelmiş durumdadır.

Söz konusu altyapıyı kullanan ve ödeme adımında ödeme kuruluşlarının sunduğu checkout çözümünü kullanmayan firmalar artık TROY desteği bulunan bir altyapı kazanıyor. Firmalar açısından Beta versiyonun kurularak test edilmesi kritik

3.W3C konsorsiyumunun Web Payments çalışma grubu tarafından yönetimi yapılan Payment Request API spesifikasyonunda tanınan ödeme şemaları arasına TROY da dahil oldu.

Söz konusu API’nin Google tarafından uygulanması sayesinde Chromium tabanlı tarayıcılarda kart saklama fonksiyonunda TROY kartlar sorunsuz şekilde logosu ile birlikte kaydedilebilmektedir.

Bütün bu çalışmalar TROY kart hamillerinin sorunsuz bir ödeme deneyimi yaşamasını sağlamaya yöneliktir. Daha güzel haberleri yakın zamanda verebilmek dileğiyle… Sevgiler.

Elektronik veri saklayıcılarından ilki, 1950'lerden itibaren IBM tarafından ticarileştirilerek çeşitli alanlarda kullanılan manyetik bant olarak isimlendirilen katmandır. Manyetik bant teknolojisi, kartın arka yüzeyine entegre edilmiş bir manyetik şerit üzerinde veri depolanmasına imkân tanır. Bu katman üzerine yazılan kart hamilini ve hesabı tanımlayıcı veriler, kart okuyucu terminal tarafından okunarak işlem başlatılabilir. Kullanılmaya başlandığı ilk yıllarda manyetik bantlar sayesinde, ödeme sistemleri daha hızlı, pratik ve otomatik hale gelmiş, manuel doğrulama süreçlerinin yerini daha güvenli ve hızlı işlemler almıştır.

Manyetik bant teknolojisi veri saklama yöntemi olarak bulut çözümlerine karşı popülerliğini korusa da, ödeme sistemleri alanındaki kullanımı bakımından yıldızı çoktan söndü diyebiliriz. Yazılmış olan veriyi tek taraflı ve kriptografik olarak bir koruma unsuru olmaksızın sunuyor olması, veriyi şifreli biçimde saklayan, her işleme özel kriptogram üreten, terminal ile etkileşim kurarak bir akış işletebilen, karar verme ve uygulama kabiliyetine sahip mini bilgisayarlar olarak plastiğin üzerinde konumlandırılan çip karşısında şansını tamamen kaybetmesine neden oldu.

EMVco verilerine göre 2023 yılı içerisinde dünya üzerinde yüzyüze gerçekleşen işlemlerin %95'i çip kullanılarak gerçekleşti. EMV adaptasyonunu henüz tamamlamayan bölgeler olsa da söz konusu oran EMV lehine her geçen yıl artıyor. EMV adaptasyonunun %100'e yaklaştığı bir ekosistemde yüzyüze gerçekleşen işlemler için manyetik bant kullanımına 5–10 yıllık bir vadede ihtiyaç kalmayacağı söylenebilir.

Mayetik bantın varlığına dayalı bir ödeme sistemleri altyapısı işletildiğinden, zaman içerisinde bu altyapının dönüşmesi ve bu dönüşüm sürecinde kartlı işlemlerin aynı güven seviyesinde devam etmesi önem arzediyor. Olası sektör etkilerine dair birkaç başlık şöyle sıralanabilir :

• Kart plastiğine sonradan eklenen bir unsur olması sebebiyle kullanımının sonlandırılması kartın üretim maliyetinde azaltıcı etki yapacaktır
• Manyetik şerit encoding cihazlarının kullanımdan kalkması, kart üretim ve kişiselleştirme sürecini yalınlaştıracaktır
• Manyetik şerite yazılacak verinin ayrı bir veri seti olarak hazırlanarak basım ofisleri ile paylaşılmaması veri güvenliği konusundaki zaafiyet riskini azaltacaktır
• Manyetik bantın kopyalanarak klon kart üretimi olasılığı ortadan kalkacaktır
• Sahtecilik ve chargeback adetlerinde yaşanacak azalma dolaylı olarak ödeme hizmeti maliyetlerine olumlu etki edebilecektir
• Manyetik bant verisi okumak suretiyle aktive olan bazı ödeme terminallerinin uyumlu hale getirilmesi gerekmektedir
• Kart ile ilgili tespiti manyetik bant verisini okuyarak yapan ATM cihazlarında güncelleme yapılması ihtiyacı olacaktır

Kaynaklar:

https://spectrum.ieee.org/goodbye-magstripe-hello-chip-cards

Teknolojik altyapı ve deneyim olarak döneminin bir adım ötesinde olan Mondex, kendine özgü terminallerde kabul ediliyor olması yani nispeten kapalı devre bir sistem olması nedeniyle kritik eşiği aşamadı ve gerekli talebi yaratamadı. Nakitsiz yaşamın bir motivasyon unsuru olmadığı 90'lı yıllarda sadece bu vaat ile insanları ürünü kullanmaya teşvik etmenin çok zor ve maliyetli olduğu tecrübe edilmiş oldu. Kendi içinde yatırım maliyeti ve getirisi bakımından kısır döngüye giren proje sonlandırılarak uygulamadan kaldırıldı.

Dijital Paranın İlk Örneklerinden Biri: Mondex

Merkez Bankası Dijital Paralarının kullanımına ilişkin çok sayıda değerlendirme konusu olmakla birlikte en önemli başlıklardan birinin mevcut ödeme altyapısı ile birlikte çalışabilirliğin sağlanması olduğu söylenebilir. Zira hayli dijitalleşmiş bir ödeme ekosisteminde merkez bankası dijital parasının kullanıcı açısından bir cazibesinin olmayacağı aşikar. Bunun yanında bir de kullanım zorlukları ve kabul problemlerinin yaşanması sistemin kullanılmaması ve atıl kalması sonucunu doğurabilir.

İngiltere Merkez Bankası bir taraftan dijital pound projesi için tasarım çalışmalarına devam ederken diğer taraftan da mevcut kartlı ödeme sistemi rayları üzerinden dijital poundun kullanımını test ettiği projenin çıktılarını yayınladı.

Esasında BOE henüz dijital poundu gerçek anlamda uygulamaya koyacağına dair bir açıklama yapmadı. Yapılan çalışmaların tamamı kullanılacak altyapı ve teknolojinin tespit edilmesine, gerçekleştirilmesi gereken yatırım miktarının tespit edilmesine, konuyla ilgili sektör işbirliğinin ve bilgi birikiminin artırılması amacına hizmet ediyor. Çalışmalardan elde edilecek verilere göre 2025 yılında dijital poundun canlı ortamda kullanıma sunulup sunulmayacağı kararı veriliyor olacak.

Kartlı ödeme altyapısında kullanım için en önemli başlıklar şu şekilde belirlenmiş :

• Temaslı (çipli) işlemlerde mevcut POS terminallerinin kullanımı
• Temassız işlemlerde kullanılacak Kernelin belirlenmesi ve işlemin gerçekleşmesi
• Şifre veya CDCVM ile kart hamili doğrulamasının yapılması

Temassız işlemlerde hangi kernelin kullanılacağı konusunda farklı alternatifler söz konusu :

• Yeni bir CBDC temassız kernel yazılması
• EMVco tarafından hazırlanan C8 Kernel’in kullanılması
• Bir white label kernel kullanımı
• Mevcutta kullanımda olan diğer ödeme sistemlerinin kernellerinden birinin lisanslanması

POC’ye ilişkin işlem akışları ve elde edilen sonuçlar yayınlanan sonuç dokümanında detaylı şekilde yer alıyor.

Kendi açımdan şu notları çıkardım :

• Mevcut POS to Host iletişim protokollerinin uygun olmaması nedeniyle alternatif bir API geliştirilmesi gerekmiş (BOE API)
• ISO 20022 ATICA mesaj yapısına geçiş ek protokol ihtiyacını ortadan kaldırabilir
• Temassız işlemler için ayrı bir kernel ihtiyacı tespit edilmiş.
• EMVco C8 kernel projesi bu konudaki problemi gidermeye yönelik en önemli aday
• Online ödeme ve P2P (Offline) ödeme şeklinde her iki seçenek de test edilmiş. Offline ödemelerde alınan ödemenin terminal üzerinde saklanması için terminal üzerinde bir donanım&yazılım ihtiyacı olabileceği tespit edilmiş

Kaynak :

https://www.bankofengland.co.uk/-/media/boe/files/report/2024/point-of-sale-proof-of-concept-digital-pound-experiment-report.pdf

Avrupa Birliği ülkeleri için hazırlanan istatistiğe göre haziran 2023 itibari ile hibrit araçlar da dahil edildiğinde yeni satışların %48'i elektrikli araçlardan oluşuyor. Bu rakam 1 yıl öncesinde %40 seviyesindeydi.

Türkiye otomobil pazarında da global trende benzer bir eğilim olduğu ilgili sektör kuruluşlarının yayınladıkları raporlardan ve bizzat trafikte gözlemlenebilen elektrikli araçların sayısından anlaşılıyor.

Açık Ödeme — “Open Payment” Gerekliliği

“Open Payment” ifadesi ödeme alan ile ödeme yapan arasında bir sözleşmesel veya üyelik ilişkisi kurulmadan ödeme alınabilmesini ifade eden bir sektör terimi.

Hizmet sağlayıcı olarak şarj istasyonu işleticileri örneğin bir cüzdan geliştirip içerisine basit bir kimlik doğrulama altyapısı koyabilir, ödeme kısmını da sakladığı kart bilgileri üzerinden halledebilir. Bu akış araç sahibi yani hizmet alan ile sarj istasyonu işleticisi arasında kurulan özel ilişki ile mümkün kılınabilir.

Şarj istasyonlarının çoğunlukla geleneksek petrol istasyonlarının aksine otoparklarda, AVM’lerde, site içerisinde veya sokakta yani “self servis” yöntemi ile konumlandırılmaları sebebiyle olası bütün kullanıcılara hizmet verebilecek şekilde “açık ödeme” altyapısına sahip olmaları talep edilir hale gelmektedir.

Şarj ünitelerine yönelik uluslararası standart ISO 15118 ünite ile batarya arasındaki iletişim protokollerine yönelik standartların yanı sıra ödeme fonksiyonu için de yönlendirmeler sağlıyor. Fakat standardın amacı daha çok iletişim protokolünün belirlenmesi olduğu için ödeme tarafında usability açısından alternatifleri içermiyor.

EMVco

Bu konuda yürütülen çalışmalardan biri de EMVco bünyesinde oluşturulan alt çalışma grubu. EMVco sektör kuruluşu olarak gelen talebe karşılık verebilecek bir çözümü oluşturmaya çalışıyor.

Elektrikli araç şarj istasyonlarının büyük oranda self servis oluşu istasyon işleticileri açısından hizmeti verdikten sonra tahsilatı yapamama riskini doğuruyor.

Self Servis Senaryosu

Benzer self servis hizmet yöntemi ülkemizde çok yaygın olmasa da petrol istasyonları için de geçerli. Kartlı ödeme sistemlerinin sunduğu ön otorizasyon özelliği bu riski bertaraf etmek için kullanılabiliyor. Verilecek yakıt miktarı önceden bilinemediğinden sabit bir tutar için ön otorizasyon alınıyor, işlem sonucunda verilen yakıt miktarı ne ise o kadar finansallaşma gerçekleşiyor. Benzer yöntemin elektrikli araç şarj istasyonlarında da kullanılması mümkün.

Hatta uygun şarj soketleri kullanıldığı durumda soket araca takıldığında henüz dolum başlamadan bataryanın seviyesi ve ihtiyaç duyacağı dolum miktarını önden tespit etmek buna uygun ödemeyi önden almak ve doluma bu şekilde başlamak da mümkün olabilir.

Secure Tech Alliance

Secure Technology Alliance da EMV tokenizasyon çözümüne dayanan önerisini bir white paper olarak yayınladı.

Avrupa Birliği Regülasyonu

13 Eylül 2023 tarihinde alternatif enerji altyapılarının Avrupada her açıdan standardize edilmesine yönelik bir regülasyon yayınlanandı. Söz konusu regülasyon ödeme başlığı altında tam olarak ihtiyaç duyulan “Open Payment” yapısının kurulmasını şart koşuyor.

Nisan 2024 itibari ile kurulan şarj cihazlarının kartlı ödeme veya QR ile ödeme alabilir nitelikte olması koşulu yürürlüğe girmiş durumda.

Avrupa Komisyonu, ödeme hizmetlerine ilişkin düzenlemeleri içeren yeni taslak paketini 28 Haziran 2023 tarihinde duyurdu. Söz konusu paket üye ülkelerce uygulanması kendi yasal mekanizmalarının onayına tabi olan bir “directive” ve bütün üyelerce uygulanması zorunlu olan bir “regulation” içeriyor. Yani bir anlamda PSD2, 2 enstrümana ayrılarak belirli konularda uygulama gücü artırılıyor, belirli noktalarda ise güncel gelişmelere paralel olarak kapsama alanı genişletilip piyasa oyuncularına eşit hizmet edecek bir hukuksal çerçeve oluşturulmak istendiği anlaşılıyor.

Avrupa Komisyonu tarafından uygulamaya konulan ilk direktif PSD1 2007 yılında yayınlandı ve bölgesel farklılıkları ortadan kaldıracak bir yasal zemin oluşturulması hedefleniyordu. 2015 yılında devreye alınan PSD2 ise euro ve diğer para birimlerinde yerel ve sınır ötesi ödemeler için bütün kuralları kapsayan açık bankacılık ve güçlü kimlik doğrulama gibi devrimsel düzenlemeler içeren bir direktif oldu. Farklı ödeme yöntemlerinin pazara girişlerinin önündeki engellerin kaldırılması ve ödeme hizmeti kullanıcılarının güvenliğinin sağlanması temel amaçlar arasındaydı.

8 yıllık bir mazisi olan PSD2'nin piyasada nasıl uygulandığına yönelik yapılan etki analizleri revizyon ihtiyacını ortaya koydu.

2020 yılında yayınlanan Digital Finance Strategy ve Retail Payments Strategy belgeleri ile ödemeler alanında gelecek vizyonunu çizen Avrupa Komisyonu aynı amaç doğrultusunda regülatif adımlarını atmaya devam ediyor. Taslak metinde dikkatimi çeken bazı noktaları vurgulamak istedim.

PSR için ayrı bir yazı yayınlamayı planlıyorum.

1.Direktif ve Regülasyon Ayrımının Sebebi

Ödeme hizmetlerinin işleyişine yönelik temel kuralları direktif (PSD2) ile yöneten Avrupa Komisyonunun söz konusu direktifin uygulaması ve lisanslama konularında ülkeler arası rekabeti zedeleyen unsurların tespit edilmesi sebebiyle temel bazı konuları direktif içerisinden çıkararak regülasyon olarak yayınlanma kararı aldı. Yani olmazsa olmaz bazı konular ülkelerin kendi inisiyatiflerine bırakılmadan eşit bir uygulama zemini oluşturulması hedefi ortaya koyuldu.

“Forum Shopping” uluslararası konularda kendi menfaatine en uygun ülke hukukunu ve mahkemelerini tercih etmek anlamında kullanılan bir hukuk terimi. Komisyon, PSD2'nin uygulanmasına yönelik yapılan son pazar araştırması çalışmasında bazı servis sağlayıcıların lisanslarını görece avantajlı oldukları ülkelerde çeşitli istisinalar ile aldıkları fakat bu lisans ile istedikleri ülkede faaliyet gösterdikleri bu durumun ise kurumlar ve ülkeler arası rekabet eşitsizliğine sebep olduğu tespitini yaptı.

Özellikle Litvanya ve Lüksemburg diğer avrupa birliği ülkelerine kıyasla daha kolay lisanslama rejimi uygulamaları sebebiyle yukarıda bahsedilen forum shopping etkisi bu ülkelerin birer “lisans cenneti” olarak görülmelerine sebep oldu.

İşte bu sebeple taslak çalışma ödeme hizmeti sağlayıcıların yetkilendirilmesi ve izlenmesi konusundaki kuralları PSD3 direktifi altında toplarken ödeme hizmetlerinin sunulması noktasındaki kurallar ise yeni bir regülasyon (PSR) ile toparlanmış ve zenginleştirilmiş oldu.

Sonuç olarak belirli ülkelerin lisans bakımından cazip olmaları durumu PSD3 ile birlikte ortadan kalkarak bu anlamda lisansların bütün kıtaya eşit şekilde dağılması ve rekabetin sağlanması amaçlanıyor.

2.EMI (Electronic Money Institution) ve PSD2'nin harmonizasyonu

Pratikte her ne kadar birbirine paralel kurallar içerse de mevcutta elektronik para kuruluşlarına yönelik kurallar ayrı bir direktif ile yönetiliyor (Directive 2009/110/EC). Elektronik para ve ödeme işlerinin pratikte birarada yürütülen ve çokça birbiri içine geçmiş faaliyetler olmaları sebebiyle yönetimsel olarak da yeknesaklığın sağlanması amacıyla söz konusu faaliyetler PSD3 ile tek bir çatı altında toplanıyor. Bu sayede pazar oyuncularının “regulatif arbitraj” olanağına sahip olmadan eşit bir şekilde faaliyetlerini sürdürmelerinin temin edilmesi amaçlanıyor. Bu noktada EMI’lar için başlangıç sermayesi sınırları ve diğer bazı temel unsurlar mevcut oldukları şekilde devam ediyor.

3.Ödeme Kuruluşlarına kredi limiti açma ve kredi ve kredi kartı verme yetkisi

Ödeme kuruluşları ödeme hizmetinde kullanılması ve 12 aylık vadeye sahip olması koşulu ile kredi ve kredi kartı verme hakkına sahip oluyor. Müşterilerden toplanan fonlar ile finanse edilmeyen ve ödeme hizmeti sağlayıcısının kendi sermayesi ve diğer sermaye piyasası araçları ile finanse edilen kredilerin verilebilmesi ödeme hizmeti sağlayıcılara BNPL gibi kredili ödeme çözümlerini sunmaları noktasında kolaylık sağlıyor. Bu düzenleme ödeme hizmeti sağlayıcıların ek bir lisans ihtiyacı olmadan direkt kredi verebilecekleri anlamına tabiki gelmiyor.

4.Yeniden lisanslama

Yeni düzenleme ile birlikte bütün elektronik para ve ödeme kuruluşlarının belirlenen süreler dahilinde yeniden lisans başvurusu yapmaları şartı getiriliyor.

5.“Home country” vs “Host country” kuralı

Ödeme ve/veya elektronik para lisansının alındığı ülkeler ödeme hizmetlerinin “çoğunlukla” kendi ülkelerinde verilmesini ve bunun lisansın bir koşulu olduğunu öne sürebiliyor. PSD2 içerisinde de yer alan söz konusu madde bu şekilde bir yoruma olanak sağlıyor. Bu durumun düzeltilmesi adına lisans alınan “home country” içerisinde faaliyetlerin “çoğunluğunun- majority” değil “bir kısmının -part” gerçekleştirilmesi yeterli sayılacak.

6.İşyerlerinde nakit sunulması

Cashback hizmeti (Pospara) işyerlerinde alışveriş şartı olmaksızın ve lisans gerektirmeksizin işlem başına 50 Eur ile sınırlı olmak üzere uygulamaya konuluyor. Standart uygulamada cash back için işyerinde bir alışveriş şartı aranır ve belli oranda nakit ile bu alışveriş tamamlanabilir. Yapılan düzenleme ile alışveriş şartı olmaksızın nakit teminine ve bunun lisans ihtiyacı olmadan yapılmasına müsaade ediliyor. Nakde erişimin kolaylaştırılması ve ATM kanalı ile rekabet sağlayarak nakde erişimin hesap sahipleri bakımından maliyetinin azaltılması hedefleniyor.

7.Ödeme sistemlerine taraf olma

Mevcut yapı ile ödeme kuruluşlar çeşitli ödeme sistemlerine bankalar ve lisanslı diğer kuruluşlar aracılığı ile katılım sağlarken yapılan düzenleme ile direkt olarak katılım hakkı elde edebilecekler.

Dikkat çeken diğer bazı başlıkları aşağıda listeledim :

• Teknolojinin gelişim hızı düşünüldüğünde “ödeme aracı” tanımının regülatif açıdan teknoloji nötr bir tarife ihtiyacının olduğu
• NFC’nin bir ödeme aracı değil, ödeme araçlarına ait bir özellik olarak düşünülmesi gerektiği
• “Staged Digital Wallet” Türkçe ifadesi ile aşamalı dijital cüzdanların bir ödeme enstrümanı olmadığı, teknolojik çözüm olarak tanımlanabileceği
• Ödeme enstrümanı tanımı yapılırken “personalization- kişiselleştirme” ifadesinin kullanıldığı, güncel teknoloji ve uygulamalara bakıldığında bu ifade yerine “individualised-bireyselleştirilmiş” ifadesinin daha uygun olacağı
• Fatura ödeme hizmetinin bir “ödeme hizmeti” sayılması
• “fon” ifadesinin ileride çıkarılması muhtemel CBDC (Dijital EUR) dahil merkez bankasınca çıkarılan bütün resmi formlar içermesi
• “Electronic money token” yani regüle edilmiş stablecoinlerin e-para sayılması
• Avrupa Merkez Bankasının ödeme ve elektronik para kuruluşları ile ilgili merkezi bir kayıt sistemi oluşturması

Kaynaklar :

https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52023PC0367

https://finance.ec.europa.eu/system/files/2023-06/230628-payments-fida-factsheet_en.pdf

2022 yılında İngiltere’de kayıtlara geçen APP vakası 207 bin adet ve tutarı ise yaklaşık 500 milyon pound olarak raporlandı. Rakamın büyüklüğünden çok artış trendinde olması ve her bir olay karşısında kullanıcıların standart bir tazmin politikası ile karşı karşıya olmaması nedeniyle PSR tarafından konuyla ilgili bir düzenleme yapılması konusunda girişim başlatıldı.

APP vakaları ile ilgili tüketicilerin zararının tazmin edildiği bir program esasında İngiltere’de halihazırda uygulamada. 2019 yılında gönüllü katılım esasına göre uygulamaya alınan Contingent Reimbursement Model (CRM) Code söz konusu işlemlerin %90'ına yakın kaynağı temsil eden 10 farklı banka tarafından kabul edilerek uygulanmaya başlandı. Hem düzenlemenin zorunlu olmaması nedeniyle kapsam dışında kalan müşterilerin bulunması hem de kurumların kendi sorumluluklarını farklı yorumlamaları nedeniyle benzer olaylar karşısında farklı çözümler uygulanmasının konuyla ilgili ek düzenleme yapılması ihtiyacını ortaya çıkardığı belirtiliyor.

PSR tarafından önerilen yeni yapıda temelde aşağıdaki 3 madde ile özetlenen düzenlemelerin devreye almayı amaçlanıyor :

• Ödeme firmalarının kapsam içine giren bütün olaylarda mağdura ödeme yapması
• Gönderici ve Alıcı ödeme firması arasında olayın maliyetinin yarı yarıya paylaşılması
• “Vulnerable” — kırılgan müşteriler için ek korumaların getirilmesi

Söz konusu düzenleme Pay.Uk tarafından işletilen Faster Payments sistemi için yapılıyor olsa da İngiltere Merkez Bankası tarafından işletilen CHAPS sisteminde de benzer bir uygulamanın devreye alınması planlanıyor.

Yapılan düzenlemeler ile APP rakamlarında azalma olması hedefleniyor.

2 Nisan 2024 tarihi uygulamanın devreye alınması için hedef tarih olarak belirlenmiş durumda. Yeni uygulama ile hemen bir iyileşme beklenmese de kademeli olarak işlem adetlerindeki artışa rağmen APP vakalarında azalışın gözlemlenmesi hedefleniyor.

Kaynaklar :

https://www.psr.org.uk/news-and-updates/latest-news/news/psr-confirms-new-requirements-for-app-fraud-reimbursement/

Genel Strateji Belgesi

2020 yılında yayınlanan Avrupa Perakende Ödemeler Strateji Belgesi 4 temel noktaya vurgu yapıyordu :

1. Dijital ve anlık ödeme çözümlerinin bütün Avrupayı kapsayacak şekilde uygulanması
2. Yenilikçi ve rekabetçi bir perakende ödeme ekosisteminin oluşturulması
3. Verimli ve birlikte çalışabilirliği olan perakende ödeme sistemi ve çevre destek sistemlerinin oluşturulması
4. Verimli uluslararası ödemeler

Stratejinin ilk ayağı, anlık ödeme sistemlerinin Avrupa çapında yaygın şekilde kullanılabilmesine yönelik altyapının regulatif olarak hazırlanmasını amaçlıyor. Yerel anlık ödeme sistemlerinin sınır ötesi kullanımlarının artırılması kıta dışı ödeme hizmeti sağlayıcılara olan ihtiyacın azaltılması ve bu noktada bağımsızlığın sağlanması anlamına da geliyor. Öte yandan takip mekanizmasının bulunmadığı kripto ve dijital varlıklara olan meyilin azaltılması da yine anlık ödemeler gibi inovatif altyapıların yaygın şekilde kullanılabilir hale gelmesine bağlı.

Anlık Ödemelerdeki Durum

Anlık ödeme sistemi, gönderici hesabından alıcı hesabına birkaç saniye içerisinde ve zaman kısıtı olmaksızın para gönderiminin yapılabildiği ve tarafların anlık olarak bilgilendirildiği ödeme altyapısı olarak tarif edilebilir.

Avrupa’da birlik ülkeleri arasında yapılan işlemlere yönelik uygulanması düşünülen her çözümün yanlızca birliğin ortak karar alma mekanizmaları tarafından değil aynı zamanda her ülkenin kendi ilgili organları tarafından da onaylanması bir gereklilik. Bu sebepledir ki bölge içi ülkeler arası uygulamaların kullanıma sunulması pek mümkün olamıyor ve fragmante yapıdaki ödeme sistemleri uyum sorunları yaratıyor.

Avrupada gerçekleşen sınır ötesi para transferlerinin sadece %11'i anlık ödeme sistemleri aracılığı ile yapılıyor.

Bu durumun arz ve talep açılarından farklı gerekçeleri var :

• anlık ödemelerin getireceği faydaların yeterince farkında olunmaması
• anlık ödeme yapabilecek yeterli çeşitlilikte ödeme aracının olmaması
• iyi düzeyde yasaklılar listesi kotrollerinin olmayışı sebebiyle işemlerin red edilmesi
• yüksek komisyon ücretleri
• güvenlikle alakalı çekinceler

Önerilen Düzenleme

Avrupa Komisyonu tarafından önerilen düzenleme bütün bu problemlere alternatif çözümler getirerek anlık ödemelerin daha yaygın kullanılmasını sağlamayı amaçlıyor.

Önerilen düzenleme ile Avrupada faaliyet gösteren para transfer hizmeti veren ödeme hizmeti sağlayıcılarının anlık ödeme opsiyonunu da müşterilerine sunmaları zorunlu hale geliyor. Ödeme hizmeti sağlayıcıların kullanıcı arayüzlerini buna uygun şekilde düzenlemeleri gerekiyor.

Ücret konusunda yapılan düzenleme ise anlık ödeme için alınan ücret miktarının diğer alternatif para transfer yöntemlerinden daha yüksek olmaması yönünde.

Güvenlik noktasında en önemli unsurlardan birisi alıcının yasaklı listesinde olup olmadığına dair kontrollerin yapılması ve hesap sahibi ismi ile kullanılan tanımlayıcı numara (IBAN, Tel no vb) arasında bir uyuşmazlık olduğu durumda gönderenin bundan haberdar olması ve işleme devam edip etmeme konusunda karar vermesi. Ödeme hizmeti sağlaycıların bu eşleştirmede hata olması durumunda göndereni uyarması ve onay alması zorunluluğu getiriliyor. Bu da esasında COP (Confirmation of Payee) sisteminin kullanımının zorunlu hale gelmesi anlamına geliyor (Türkiye’de KKB tarafından sunulan IBAN Doğrulama Hizmeti ).

Kaynaklar:

https://ec.europa.eu/finance/docs/law/221026-proposal-instant-payments_en.pdf

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12931-Instant-payments/feedback_en?p_id=22222881

https://www.ecb.europa.eu/paym/integration/retail/instant_payments/shared/pdf/sept2021_comm_on_instant.pdf

https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52022PC0546

https://www.consilium.europa.eu/en/press/press-releases/2023/05/22/capital-markets-union-council-agrees-its-position-on-the-instant-payments-proposal/

https://www.consilium.europa.eu/en/documents-publications/public-register/public-register-search/results/?WordsInSubject=&WordsInText=&DocumentNumber=14125%2F22&InterinstitutionalFiles=&DocumentDateFrom=&DocumentDateTo=&MeetingDateFrom=&MeetingDateTo=&DocumentLanguage=EN&OrderBy=DOCUMENT_DATE+DESC&ctl00%24ctl00%24cpMain%24cpMain%24btnSubmit=

Basit düşünüldüğünde telefonun kılıfına iliştireceğiniz bir temassız kart ile hem de şarj konusunu bir sorun olmaktan çıkararak telefonu temassız ödeme aracı haline getirebilirsiniz. Bu fikir yıllar önce üzerinde çalıştığımız micro SD kart tabanlı nfc projesinin analiz toplantısında ortaya atılmıştı.

Öneri espri amaçlıydı fakat gerçeklik payı da vardı. Bugün telekom operatörleri ile bankaların birarada çalıştığı micro SD kart tabanlı bir ödeme çözümü yok fakat popülaritesi artan ödeme aracı olarak kullanılabilen giyilebilir nesnelerden saat örneğin en iyi ödeme deneyimini kordon içerisine gömülmüş çip ile veriyor.

Kullanıcıya biraz daha kontrol verebilmek, sadece ödeme değil farklı yönetimsel fonksiyonları da bir arayüz ile kullanıcılara sunabilmek istendiğinde cihazın bir dijital cüzdana dönüşmesi söz konusu oluyor. Bu noktada üretilen çözümler ile tokenize edilmiş kart verileri çoğunlukla NFC arayüzünden terminale aktarılarak ödeme işlemi yapılıyor. En yaygını NFC olsa da UWB, BLE vb iletişim protokolleri de benzer amaçla kullanılabiliyor.

MST

MST (Magnetic Secure Transmission) Samsung tarafından kullanıma sunulan manyetik şeritli kart ödeme akışının temassız ortamda Samsung Pay cüzdan üzerinde emüle edilmesine yarayan bir teknolojidir. Bu teknoloji sayesinde temassız okuyucusu bulunmayan elektronik ödeme terminallerinde dahi “temassız” ödeme işlemi yapılabilir hale gelebilmektedir. Teknoloji Loop Pay firması tarafından patentlenmiş olsa da firma Samsung tarafından satın alınıp bir Samsung özelliği olarak kullanıcılara sunulmaya başlanmış.

Manyetik Bant

Ödeme kartları içerisinde karta ilişkin bazı verilerin yer aldığı manyetik bant teknolojisi, her ne kadar eski ve emekli edileceğine dair planlar yayınlanmış olsa da sahip olduğu kabul anlamındaki yaygınlık sayesinde halen kullanılmaya devam edilmektedir.

Manyetik banta yazılan ödeme verileri kartın manyetik bantının bulunduğu kısmın terminalde okuyucunun bulunduğu alana dokundurulması suretiyle oluşan manyetik dalgaların elektrik sinyallerine dönüştürülmesi, elde edilen elektrik sinyallerinin ise tekrar orjinal veri formuna dönüştürülmesi ile ISO 7811 ve 7813 standartları çerçevesinde ödeme akışında kullanılır.

MST kullanılmaya başlandığı ilk yıllarda özellikle ABD piyasasında EMV dönüşümünün henüz tamamlanmamış olması nedeniyle NFC arayüzünden çalışan rakipleri Apple Pay ve Android Pay’e kıyasla çok daha yaygın kullanım olanağı tanımıştır. Zaman içerisinde temassız okuyuculu terminallerin yaygınlaşması, kartların EMV dönüşümü ile birlikte manyetik şeritli işlemlerin onay oranlarında yaşanan düşüşler sebebiyle teknolojinin belli bölgeler için cihazların standart özellikleri arasından çıkarılması sözkonusu oldu.

Kaynak:

https://investor.visa.com/news/news-details/2015/Visa-and-Samsung-Bring-Mobile-Payments-to-the-New-Samsung-Galaxy-S6/default.aspx

https://patents.google.com/patent/US9454679B2/en

https://investorrelations.discover.com/newsroom/press-releases/press-release-details/2017/Discover-Cardmembers-Can-Now-Make-Payments-Using-Samsung-Pay/default.aspx