Kredi Kartınızdan Haberiniz Olmadan Para Çekildi: Banka Parayı İade Etmek Zorunda mı?
Kredi kartı ekstrenizi kontrol ederken hiç yapmadığınız bir alışveriş gördünüz. Belki gece yarısı yurt dışındaki bir internet sitesinden işlem yapılmış, belki kartınız hâlâ cüzdanınızdayken binlerce liralık harcama gerçekleşmiş, belki de telefonunuza hiçbir onay mesajı gelmeden kartınız kullanılmış. Bankayı aradığınızda ise çoğu zaman ilk soru aynı oluyor: “Kart bilgileriniz veya şifreniz üçüncü kişilerle paylaşılmış olabilir mi?” Peki kart sahibinin “Bu işlemi ben yapmadım” demesi yeterli midir, banka 3D Secure kullanıldığını söyleyerek sorumluluktan kurtulabilir mi ve yetkisiz işlemde parayı gerçekten kim ödemek zorundadır?
Bu tür uyuşmazlıklarda en önemli nokta, işlemin kart sahibinin iradesiyle yetkilendirilip yetkilendirilmediğidir. Ödeme mevzuatında bir ödeme işlemi, müşterinin kararlaştırılan yöntemle onay vermesi hâlinde yetkilendirilmiş sayılır. Mutabık kalınan yönteme uygun biçimde onaylanmamış işlem ise yetkilendirilmemiş ödeme işlemidir. Güncel Ödeme Hizmetleri Yönetmeliği bu ayrımı açık biçimde yapmaktadır.
Dolayısıyla kredi kartından bir harcama yapılmış olması, işlemin mutlaka kart sahibi tarafından gerçekleştirilmiş olduğu anlamına gelmez. Kart numarasının, son kullanma tarihinin veya güvenlik kodunun doğru girilmiş olması da tek başına gerçek kullanıcıyı göstermez. Kart bilgilerinin ele geçirilmesi, sahte internet sitesi, zararlı yazılım, uzaktan erişim uygulaması, SIM değişikliği, sosyal mühendislik veya farklı yöntemlerle kart sahibinin bilgileri kullanılmış olabilir.
5464 sayılı Banka Kartları ve Kredi Kartları Kanunu kart sahibine önemli korumalar sağlamaktadır. Kanunun 15. maddesinde, iletişim araçları üzerinden veya kart numarası bildirilerek gerçekleştirilen ve fiziki harcama belgesi düzenlenmeyen işlemlerde hukuka aykırı kullanımdan kaynaklanan zararlar bakımından kart hamilinin korunmasına ilişkin özel düzenleme bulunmaktadır. Kanun ayrıca kart sahibine, iradesi dışında gerçekleşen işlemi öğrendiğinde bankayı derhal haberdar etme yükümlülüğü getirmektedir.
Kart kaybolmuş veya çalınmışsa durum biraz daha farklıdır. 5464 sayılı Kanun’un 12. maddesi uyarınca kart sahibi, yaptığı bildirimden önceki 24 saat içinde gerçekleşen hukuka aykırı kullanımlardan doğan zararlardan kanunda belirtilen sınırlı tutar kapsamında sorumlu tutulabilir. Ancak bu koruma kart sahibinin ağır ihmali veya kastı bulunduğu durumlarda aynı şekilde uygulanmaz. Kartın kaybolduğunu veya çalındığını fark ettikten sonra bankaya bildirim yapılması bu nedenle son derece önemlidir.
Kart fiziken sizdeyse ve buna rağmen internetten işlem yapılmışsa uyuşmazlığın merkezine artık kartın kaybolması değil, kart bilgilerinin nasıl kullanıldığı gelir. Bu durumda bankanın yalnızca “Kart numarası ve güvenlik kodu doğru girilmiş” demesi işlemin tüketici tarafından yetkilendirildiğini tek başına göstermeyebilir.
Ödeme hizmetlerine ilişkin güncel düzenlemelerde ispat yükü bakımından da son derece önemli bir hüküm vardır. Müşteri, gerçekleşen ödeme işlemini yetkilendirmediğini ileri sürüyorsa işlemin müşteri tarafından onaylandığını, doğru kaydedildiğini ve hesaplara doğru işlendiğini ispatlama yükümlülüğü ödeme hizmeti sağlayıcısına aittir. İşlemin yetkilendirilmediğinin ortaya çıkması hâlinde ise ödeme hizmeti sağlayıcısı işlem tutarını müşteriye iade etmek veya hesabı işlem hiç yapılmamış gibi eski hâline getirmekle yükümlüdür.
Bu düzenleme nedeniyle uyuşmazlığın “Banka parayı çekmiş görünüyor, demek ki müşteri yapmıştır” şeklinde çözülmesi mümkün değildir. Bankanın işlem doğrulama kayıtlarını ortaya koyması gerekir. İşlem hangi cihazdan gerçekleştirildi, hangi IP adresi kullanıldı, hangi telefon numarasına doğrulama kodu gönderildi, kod hangi aşamada girildi, kart sahibinin olağan harcama alışkanlıklarıyla işlem arasında nasıl bir ilişki var, bankanın fraud sistemi uyarı verdi mi? Bu soruların cevapları dosyanın sonucunu belirleyebilir.
Kart sahibi bakımından da bildirim süresi önemlidir. Güncel ödeme hizmetleri düzenlemesine göre müşteri, yetkilendirmediği veya hatalı gerçekleştirildiğini düşündüğü ödeme işlemini öğrendiğinde ödeme hizmeti sağlayıcısına gecikmeden bildirmeli; düzeltme talebi kural olarak işlem tarihinden itibaren en geç 13 ay içinde yapılmalıdır. Banka gerekli işlem bilgilerini müşteriye hiç sağlamamışsa bu süreye ilişkin farklı sonuçlar doğabilir.
Kredi kartlarına ilişkin 5464 sayılı Kanun’da ise hesap özetine yönelik daha özel bir itiraz sistemi bulunmaktadır. Kanunun 11. maddesine göre kartla yapılan işlemlere hesap özetindeki son ödeme tarihinden itibaren 10 gün içinde kart çıkaran kuruluşa başvurularak itiraz edilebilir. Kart çıkaran kuruluş da kart kullanımıyla ilgili şikâyet ve itirazları başvuru tarihinden itibaren 20 gün içinde gerekçeli biçimde cevaplandırmak zorundadır. Süresinde itiraz edilmemiş hesap özetinin kesinleşmesi, genel hükümlere göre dava hakkını ortadan kaldırmaz.
Bu nedenle uygulamada “10 günü kaçırdınız, artık hiçbir hakkınız yok” şeklindeki cevap her durumda doğru değildir. Hesap özeti itiraz süresi ile genel dava ve ödeme hizmetleri mevzuatındaki düzeltme hakları birbirinden ayrılmalıdır. Ancak gecikmek ispatı güçleştireceği için yetkisiz işlem fark edilir edilmez bankaya yazılı itiraz yapılması en güvenli yöntemdir.
Peki 3D Secure kullanılmışsa banka otomatik olarak sorumluluktan kurtulur mu?
Hayır. 3D Secure işlemin doğrulanmasında çok önemli bir güvenlik mekanizmasıdır ancak tek başına “müşteri işlemi kesin yaptı” anlamına gelmez. Yargıtay’ın ceza dosyalarında da 3D Secure işleminde doğrulama mesajının hangi telefon numarasına gönderildiğinin, hattın kime ait olduğunun ve kart sahibi dışında bir kişinin onay verebilmesinin teknik olarak mümkün olup olmadığının araştırılması gerektiği vurgulanmıştır. Yargıtay 8. Ceza Dairesinin 2016/12141 E., 2017/2056 K. sayılı kararında eksik araştırma tam olarak bu nedenle bozma sebebi yapılmıştır.
Yargıtay 8. Ceza Dairesinin 2021/8517 E., 2023/8447 K. sayılı kararında ise kart sahibinin kredi kartı bilgileri ile telefonuna gelen şifreyi dolandırıcıyla paylaşması sonrasında bilgisi dışında internet alışverişi yapılması incelenmiş ve kartı izinsiz kullanan kişinin ceza sorumluluğu kabul edilmiştir. Bu karar, bir doğrulama kodunun paylaşılmış olmasının dahi kart sahibinin sonraki işlemi mutlaka istediği anlamına gelmediğini göstermesi bakımından önemlidir.
Bununla birlikte kart sahibinin davranışları özel hukuk sorumluluğu açısından ayrıca incelenir. Kişi banka tarafından defalarca “şifrenizi kimseyle paylaşmayın” şeklinde uyarılmasına rağmen tek kullanımlık şifreyi bilinçli olarak yabancı bir kişiye vermişse veya kart güvenlik bilgilerini açık biçimde paylaşmışsa bankanın tüketicinin ağır ihmalini ileri sürmesi mümkün olabilir. Güncel ödeme hizmetleri düzenlemesi de müşterinin ödeme aracını hileli kullanması veya güvenlik yükümlülüklerini kasten ya da ağır ihmalle ihlal etmesi hâlinde yetkisiz işlem zararının müşteriye yüklenebilmesine imkân tanımaktadır.
Ancak “SMS kodu kullanılmış” ile “müşteri ağır ihmallidir” aynı şey değildir. Öncelikle kodun gerçekten müşterinin kayıtlı telefonuna gidip gitmediği, SIM kartın değiştirilip değiştirilmediği, telefonun zararlı yazılımla ele geçirilip geçirilmediği veya bildirim onayının başka cihazdan yapılıp yapılmadığı araştırılmalıdır.
Bankaların sıradan tacirlerden farklı şekilde yüksek güven yükümlülüğüne sahip olduğu Yargıtay uygulamasında uzun süredir vurgulanmaktadır. Yargıtay 19. Hukuk Dairesinin 2014/7414 E., 2014/12133 K. sayılı kararında, bankaların birer güven ve itimat kurumu olduğu ve hafif kusurlarından dahi sorumlu tutulabilecekleri belirtilmiştir. Aynı kararda, müşteri kişisel bilgilerini koruma yükümlülüğünü ihlal etmiş değilse üçüncü kişilerce gerçekleştirilen internet işlemlerinden müşterinin sorumlu tutulamayacağı ifade edilmiştir.
Bu yaklaşım, bankanın her dolandırıcılık olayında otomatik olarak yüzde yüz sorumlu olduğu anlamına gelmez. Her dosyada banka ile müşterinin güvenlik yükümlülüklerini yerine getirip getirmediği ayrı ayrı incelenir. Bankanın şüpheli işlemi fark etme imkânı, işlem limiti, müşterinin olağan harcama profili, art arda yapılan işlemler, cihaz değişiklikleri ve müşteriye gönderilen uyarılar önemlidir.
Örneğin müşterinin yıllardır kartıyla aylık birkaç bin liralık alışveriş yaptığı bir hesapta gece saatlerinde kısa aralıklarla farklı ülkelerden yüz binlerce liralık işlemler yapılmışsa bankanın dolandırıcılık önleme sisteminin neden işlem üretmediği sorgulanabilir. Buna karşılık müşteri işlemi kendi cihazından gerçekleştirmiş, banka uygulamasına giriş yapmış, şifreleri kendisi paylaşmış ve açık uyarılara rağmen işleme devam etmişse kusur değerlendirmesi değişebilir.
Kartın fiziken kullanılmadığı internet alışverişlerinde üye işyerinin sorumluluğu da gündeme gelebilir. Üye işyeri, kart bilgilerini mevzuata ve üye işyeri sözleşmesine uygun korumak zorundadır. 5464 sayılı Kanun’un 23. maddesi, üye işyerlerinin kart ve kart hamili hakkında edindikleri bilgileri başkalarına açıklamasını, saklamasını veya kopyalamasını önemli ölçüde sınırlandırmaktadır. Kart bilgilerinin bir alışveriş sitesinden sızdığı tespit edilirse üye işyerinin ve ödeme altyapısının sorumluluğu ayrıca incelenebilir.
Kartın başka bir ülkede kullanıldığı görülüyorsa yalnızca işlem konumu yeterli değildir. İnternet alışverişlerinde işyeri başka ülkede kayıtlı olabilir. Bu nedenle işlem türünün fiziksel POS, temassız ödeme, mobil cüzdan, sanal POS veya mail-order olup olmadığı bankadan sorulmalıdır.
Kart sahibinin bankaya yapacağı itirazda “Ben yapmadım” demekle yetinmemesi faydalıdır. İtiraz edilen işlemler tek tek tarih, saat, işyeri adı ve tutarıyla belirtilmeli; kartın kişinin elinde olduğu, herhangi bir alışveriş yapılmadığı ve varsa aynı tarihte kişinin farklı yerde bulunduğunu gösteren kayıtlar sunulmalıdır.
Mobil bankacılık ekranının, hesap ekstresinin ve bankadan gelen SMS’lerin ekran görüntüleri saklanmalıdır. İşlem sırasında hiçbir SMS veya push bildirimi gelmediyse bu da itirazda açıkça belirtilmelidir. Banka “3D Secure yapıldı” diyorsa doğrulama mesajının gönderildiği numara ve teknik kayıtlar talep edilmelidir.
Kart hemen kullanıma kapatılmalı ve yeni kart istenmelidir. Ancak kartın iptal edilmesi geçmiş işlemlere yönelik itirazdan vazgeçildiği anlamına gelmez. Aksine hızlı bildirim, kart sahibinin güvenlik yükümlülüğünü yerine getirdiğini gösterebilir.
İşlem devam ediyorsa veya kart bilgilerinin ele geçirildiğinden şüpheleniliyorsa mobil bankacılık parolaları, e-posta hesabı parolası ve cihaz güvenliği de kontrol edilmelidir. Çünkü sorun yalnızca kredi kartında olmayabilir. Dolandırıcı telefon veya e-posta hesabına erişmişse yeni kart bilgilerini dahi ele geçirebilir.
Bankaya yapılan itirazın mutlaka kayıt altına alınması önemlidir. Telefon görüşmesi yapıldıysa başvuru numarası istenmeli, mümkünse internet bankacılığı veya e-posta üzerinden ayrıca yazılı itiraz verilmelidir. 5464 sayılı Kanun bankaya şikâyet ve itirazlara 20 gün içinde gerekçeli cevap verme yükümlülüğü getirmektedir.
Bankanın “3D Secure kullanılmıştır, itirazınız reddedilmiştir” şeklinde tek cümlelik cevabı uyuşmazlığı kesin olarak çözmez. Tüketici, işlemin hangi teknik kayıtlarla kendisine bağlandığını ve neden bankanın güvenlik sistemlerinin yeterli kabul edildiğini yargı önünde tartışabilir.
Kredi kartı harcamasının chargeback yani ters ibraz süreci de gündeme gelebilir. Chargeback, kart sistemlerinin uluslararası kuralları kapsamında üye işyeri bankası ile kartı çıkaran banka arasında yürütülen itiraz mekanizmasıdır. Bu süreç tüketicinin kanundan kaynaklanan dava haklarıyla aynı şey değildir. Bankanın chargeback talebinin reddedildiğini söylemesi, tüketicinin hukuken mutlaka borçlu olduğu anlamına gelmez.
Yargıtay 11. Hukuk Dairesinin 2017/1050 E., 2018/5510 K. sayılı kararında chargeback işlemleri ve 3D Secure sistemi üye işyeri-bankacılık ilişkisi bakımından değerlendirilmiş, uluslararası ters ibraz kuralları ile tarafların sözleşmesinin önemi vurgulanmıştır.
Yetkisiz işlemin kredi kartı değil banka kartı veya doğrudan hesaptan yapılan ödeme olması hâlinde de 6493 sayılı Kanun ve güncel Ödeme Hizmetleri Yönetmeliği önem kazanır. Özellikle müşterinin onaylamadığı ödeme işleminde işlemin yetkilendirildiğini ispat yükünün ödeme hizmeti sağlayıcısına ait olması ve yetkisiz işlem ortaya çıkarsa tutarın eski hâle getirilmesi ilkeleri uygulanır.
Kartınızdan fiziksel POS ile alışveriş yapılmışsa süreç farklı delillere dayanır. POS slipi, imza, kamera kaydı, kartın çipli olarak mı yoksa manyetik şeritle mi kullanıldığı, PIN girilip girilmediği ve işlemin yapıldığı işyerindeki görüntüler araştırılabilir.
Temassız işlem söz konusuysa, belirli limitler altında PIN kullanılmaması mümkündür. Kartın çalınması veya kaybolması hâlinde bildirim zamanı daha da önemli hâle gelir. Hangi işlemlerin kayıp bildiriminden önce, hangilerinin sonra gerçekleştiği ayrıştırılmalıdır.
Kart kopyalama yani skimming iddiasında ATM veya POS cihazının teknik incelemesi gündeme gelebilir. Kart sahibinin kartı elinde olmasına rağmen manyetik şerit verilerinin kopyalanması ve başka ülkede sahte kart üretilmesi teknik olarak mümkün olabilmektedir. Böyle dosyalarda işlem lokasyonu, ATM kameraları ve kart doğrulama yöntemi belirleyici olabilir.
Apple Pay, Google Pay veya diğer dijital cüzdanlara kart eklenmesi üzerinden işlem yapılmışsa kartın dijital cüzdana hangi cihazdan tanımlandığı, ekleme sırasında hangi doğrulama yönteminin kullanıldığı ve bankanın yeni cihaz ekleme uyarısı gönderip göndermediği araştırılmalıdır.
Dolandırıcı müşteriyi arayıp “Bankanızdan arıyoruz” diyerek güvenlik kodlarını aldıysa hukuki tablo daha karmaşıktır. Kart sahibi bazı bilgileri kendi eliyle vermiş olabilir ancak verilen bilginin hangi amaçla istendiği, banka ekranındaki uyarının ne kadar açık olduğu, dolandırıcının bankaya aitmiş gibi görünen numara veya sistemleri kullanıp kullanmadığı ve işlem güvenlik sistemlerinin davranışı birlikte değerlendirilmelidir.
Yargıtay’ın ceza kararlarında da kart sahibinin şifre paylaşmasının, sonrasında kartın izinsiz kullanılmasını meşru hâle getirmediği görülmektedir. Önemli olan kart sahibinin hangi işleme onay verdiğidir. Bir kişiye “iade işlemi yapacağız” denilerek doğrulama kodu alınıp alışveriş yapılması, müşterinin alışverişe rıza gösterdiği anlamına gelmez.
Bankanın güvenlik sisteminin müşteriye alışveriş tutarını ve işyeri adını açıkça gösterip göstermediği de önemlidir. “8.500 TL X işyerindeki işlem için onay kodu” şeklinde açık uyarıya rağmen kodun paylaşılması ile yalnızca genel bir doğrulama mesajının gönderilmesi aynı kusur değerlendirmesine tabi olmayabilir.
Yetkisiz kredi kartı kullanımının ceza hukuku boyutu da bulunmaktadır. Başkasına ait banka veya kredi kartını rıza dışında kullanarak kendisine veya başkasına yarar sağlamak Türk Ceza Kanunu’nun 245. maddesi kapsamında suç oluşturabilir. Dolandırıcılık yöntemiyle kart bilgileri ele geçirilmişse somut olayın niteliğine göre başka suçlar da gündeme gelebilir.
Ceza soruşturmasında savcılıktan işyeri kayıtlarının, IP adreslerinin, GSM ve cihaz bilgilerinin, kamera görüntülerinin ve ödemenin ulaştığı kişi veya şirket bilgilerinin getirtilmesi istenebilir. Yargıtay 8. Ceza Dairesi de kartlı işlemlerde IP ve GSM bilgilerinin araştırılmasını önemli görmektedir.
Ancak savcılığa suç duyurusunda bulunmak, bankaya yapılacak harcama itirazının yerine geçmez. İki süreç birbirinden farklıdır. Bankaya mümkün olan en kısa sürede yazılı itiraz yapılmalı; dolandırıcılık söz konusuysa aynı zamanda ceza soruşturması başlatılması değerlendirilmelidir.
Banka itirazı reddederse tüketici açısından Tüketici Hakem Heyeti veya Tüketici Mahkemesi yolu uyuşmazlığın değerine ve niteliğine göre gündeme gelebilir. Bankacılık hizmetinin tüketici işlemi niteliğinde olduğu bireysel kredi kartı uyuşmazlıklarında tüketici mevzuatı uygulanabilir. Ayrıca Türkiye Bankalar Birliği Bireysel Müşteri Hakem Heyeti gibi sektörel başvuru yolları da olayın özelliklerine göre değerlendirilebilir.
Mahkemede temel soru çoğu zaman şudur: Bu işlemi gerçekten müşteri mi yetkilendirdi, yoksa üçüncü kişi mi gerçekleştirdi?
Bu sorunun cevabı bilirkişi incelemesiyle teknik kayıtlardan çıkarılabilir. Bankanın işlem logları, IP adresleri, cihaz kimliği, kart doğrulama yöntemi, SMS kayıtları, mobil operatör bilgileri ve müşterinin olağan işlem geçmişi birlikte incelenebilir.
Banka yalnızca “doğru şifre kullanıldı” diyorsa mahkeme şifrenin nasıl ele geçirildiğini ve güvenlik sisteminin yeterli olup olmadığını değerlendirebilir. Bankacılık hizmetinin güven temeline dayanması nedeniyle bankanın sistemsel güvenliğini ve işlem doğrulama sürecini ispatlaması önemlidir. Yargıtay’ın bankaları güven ve itimat kurumu olarak gören yaklaşımı bu nedenle özellikle önem taşır.
Öte yandan müşterinin ağır ihmali varsa banka tamamen sorumlu tutulmayabilir. Örneğin kartın ön ve arka yüzünü, şifreyi ve tek kullanımlık doğrulama kodunu bilinçli olarak tanımadığı kişiye gönderen müşteri bakımından kusur değerlendirmesi yapılabilir. Ancak ağır ihmal iddiasının somut olayda gerçekten ispatlanması gerekir; banka müşteriyi yalnızca “dolandırıldı” diye otomatik olarak ağır kusurlu ilan edemez.
Kartın kullanıldığı işyerinin de işlem güvenliği yükümlülüğü olabilir. İnternet mağazasının 3D Secure kullanmaması, olağan dışı işlemi hiçbir teyit almadan gerçekleştirmesi veya kart verilerini mevzuata aykırı saklaması sorumluluk zincirinde önem kazanabilir.
İşlem tutarı çok yüksekse ve kart limiti kısa süre önce artırılmışsa limit artışının kim tarafından ve hangi yöntemle yapıldığı da araştırılmalıdır. Dolandırıcı müşteri adına mobil bankacılığa girip önce limiti yükseltmiş, ardından harcama yapmış olabilir. Böyle bir durumda iki ayrı güvenlik işleminin nasıl doğrulandığı sorgulanmalıdır.
Aynı gece peş peşe çok sayıda işlem yapılmışsa bankanın neden ilk şüpheli işlemden sonra kartı durdurmadığı da değerlendirmeye açıktır. Fraud sisteminin hangi eşiklerle çalıştığı, müşterinin önceki alışveriş davranışlarından ne kadar sapma olduğu bilirkişi tarafından incelenebilir.
Yurt dışı işlemlerine kapalı olan bir karttan yurt dışı harcama yapılmışsa veya internet alışverişine kapalı bir kart üzerinden online işlem gerçekleştirilmişse bu durum bankanın sistem kayıtları açısından kritik bir çelişkidir. Kart ayarlarının işlem öncesinde ne zaman ve hangi cihazdan değiştirildiği incelenmelidir.
Yetkisiz işlem fark edildiğinde müşteri bankadan yalnızca kartı kapatmasını değil, ilgili harcamaya yönelik harcama itirazı kaydı oluşturmasını da istemelidir. Başvuru numarası mutlaka saklanmalıdır.
Aynı anda e-posta hesabı, GSM hattı ve mobil bankacılık hesabında olağan dışı bir durum olup olmadığı kontrol edilmelidir. Özellikle SIM kartın bir anda servis dışı kalması, telefonun çekmemesi veya operatörden “yeni SIM tanımlandı” mesajı gelmesi SIM swap ihtimalini gösterebilir.
Banka veya operatör kayıtlarının zaman içinde silinebileceği dikkate alınarak soruşturma makamlarından teknik kayıtların erken aşamada talep edilmesi önemlidir. Özellikle kamera kayıtları sınırlı süre tutulabilir.
Bankanın tüketiciye geri ödeme yapması, dolandırıcıya karşı hukuki ve cezai başvuru yapılamayacağı anlamına gelmez. Banka ödediği tutar bakımından şartları oluştuğunda sorumlu kişilere rücu edebilir.
Tüketicinin de aynı zarar için iki kez tahsilat yapması mümkün değildir. Banka tutarı iade etmişse ceza davasındaki maddi talep veya diğer alacaklar buna göre değerlendirilir.
Sonuç olarak kredi kartınızdan haberiniz olmadan para çekildiğinde “şifre kullanılmış, banka sorumlu değil” veya “kart bende, banka her durumda öder” şeklindeki iki uç yaklaşım da doğru değildir. Dosyanın sonucu işlemin nasıl gerçekleştirildiğine, hangi güvenlik yönteminin kullanıldığına ve tarafların yükümlülüklerini yerine getirip getirmediğine bağlıdır.
Mevzuatın temel sistemi tüketiciyi önemli ölçüde korumaktadır. Yetkilendirilmediği ileri sürülen ödeme işleminin müşteri tarafından gerçekten onaylandığını ispat etme yükümlülüğü ödeme hizmeti sağlayıcısına aittir; yetkisiz işlem ortaya çıkarsa tutarın iadesi veya hesabın eski hâline getirilmesi gerekir. Buna karşılık kart sahibinin güvenlik bilgilerini kasten veya ağır ihmalle korumaması hâlinde sorumluluk değerlendirmesi değişebilir.
Kredi kartı işlemlerinde ayrıca 5464 sayılı Kanun’un özel hükümleri uygulanır. Kart sahibi, yetkisiz işlemi öğrendiğinde bankayı derhal haberdar etmeli, hesap özetindeki işleme mümkün olduğunca hızlı ve yazılı şekilde itiraz etmeli ve bütün teknik delilleri korumalıdır. Bankanın “itiraz reddedildi” cevabı yargısal denetimin sonu değildir.
Bu dosyalarda gerçek soru “Kart bilgileri doğru muydu?” değildir. Asıl soru şudur: İşleme gerçekten kart sahibi mi onay verdi, banka bu onayı güvenli biçimde doğruladı mı ve üçüncü kişinin gerçekleştirdiği işlemi önlemek için üzerine düşen güvenlik yükümlülüklerini yerine getirdi mi?
