Обязанности поставщиков услуг в сфере криптоактивов: руководство по SPK и MASAK

Краткое содержание

Обязанности поставщика услуг в сфере криптоактивов в Турции не сводятся к получению документа, удостоверяющего личность, или к направлению сообщений о подозрительных операциях. Разрешение на создание и разрешение на деятельность, достаточный капитал, обособление активов клиентов, надёжное хранение и безопасные переводы, эффективная программа комплаенса, сохранение записей и ответственность перед клиентом оцениваются в совокупности. Включение в список SPK не является разрешением на деятельность; листинг криптоактива также не является государственной гарантией. В этом руководстве на основании регулирования 2024–2026 годов разъясняется, что должны делать компании и какими путями могут воспользоваться клиенты в случае нарушения. [1, 2, 3, 6]

Кто такой поставщик услуг в сфере криптоактивов и какие виды деятельности охватываются?

Закон о рынке капитала № 6362 определяет криптоактив как нематериальный актив, который может создаваться и храниться в электронной форме с использованием технологии распределённого реестра или аналогичной технологии, распространяется по цифровым сетям и может выражать стоимость или права. Понятие поставщика услуг в сфере криптоактивов охватывает платформы, организации, оказывающие услуги по хранению, и иных поставщиков услуг, определяемых на основании Закона. Употребляемое в повседневной речи выражение «криптобиржа» не означает, что все организации обладают одинаковыми полномочиями. [1]

Платформа — это организация, в которой совершаются такие операции, как торговля и первичная продажа или распространение; услуга хранения означает хранение криптоактивов или закрытых ключей, дающих право распоряжаться ими при переводе, и управление ими. То, что платформа, банк, программная компания и компания-хранитель входят в одну экономическую группу, не означает, что они составляют одно юридическое лицо. С какой компанией заключён договор, на чей счёт внесены денежные средства и кто контролирует криптоактив — всё это определяется отдельно. [1, 3]

Поставщик технологий, который лишь разрабатывает программное обеспечение или не контролирует закрытый ключ клиента, находится не в том же положении, что и организация, осуществляющая переводы на счёт клиента. Вместе с тем одно лишь название деятельности «программное обеспечение», «децентрализованные финансы» или «кошелёк» само по себе не выводит её из сферы применения. Правовая квалификация даётся исходя из контроля над активами, услуги, предлагаемой клиенту, вознаграждения, передачи приказов и фактической роли в операциях. В отношении NFT, внутриигровых активов и подобных продуктов также учитывается не название, а предоставляемое право и услуга. [1, 2, 3]

Поэтому при создании новой бизнес-модели прежде всего следует составить карту деятельности. Какая компания будет принимать клиентов, принимать приказы, одобрять переводы, хранить активы и заключать договоры с клиентом? Пока на эти вопросы нет ответов, одна лишь регистрация в торговом реестре или создание компании за рубежом не решает вопроса о разрешении в Турции.

Как изменились рамки регулирования?

Поставщики услуг в сфере криптоактивов были включены в число обязанных лиц MASAK 1 мая 2021 года. Законом № 7518, опубликованным 2 июля 2024 года, полномочия SPK по созданию, деятельности, надзору и санкциям были определены чётче; подробные правила введены сообщениями (Tebliğ) III-35/B.1 и III-35/B.2 от 13 марта 2025 года. Регулирование MASAK конца 2024 года и 2025 года также создало новые рамки в отношении статуса финансовой организации, программы комплаенса и сведений о переводах. [1, 2, 3, 7]

В отношении 2026 года особенно следует рассматривать вместе три события: денежные суммы в бюллетене SPK № 2025/68; переходное решение № 18/617 от 26 марта 2026 года; Общее сообщение MASAK (Genel Tebliğ) серии № 34 от 23 сентября 2026 года. К ним добавились практика Центральной системы реестра криптоактивов Центрального депозитария (MKK) и изменение 2026 года об удалённой идентификации иностранных физических лиц по паспорту. [4, 5, 12, 13, 14, 15]

SPK регулирует, какие услуги и на каких условиях организация может предлагать на рынке; MASAK — меры, направленные на предотвращение отмывания доходов от преступлений, финансирования терроризма и связанных рисков финансовых преступлений. BDDK выполняет самостоятельную функцию в отношении деятельности банков по хранению, TÜBİTAK — в отношении критериев технической инфраструктуры, MKK — в отношении инфраструктуры реестра и сверки, а KVKK — в отношении персональных данных. Выполнение требований одного органа не снимает обязанностей перед другими органами. [1, 2, 7, 14, 16]

Почему разрешение SPK и включение в список — не одно и то же?

Разрешение на создание, разрешение на деятельность и свидетельство о полномочиях

Создание поставщиков услуг в сфере криптоактивов и начало их деятельности зависят от разрешения SPK. Создание в форме акционерного общества, структура долей, качества участников, капитал, организация, информационные системы и объём деятельности — составные части этой проверки для выдачи разрешения. Разрешение на создание не означает, что соблюдены все условия, необходимые для обслуживания клиентов. Этапы разрешения на деятельность и свидетельства о полномочиях, предусмотренные в III-35/B.1, должны быть пройдены отдельно. [1, 2]

Общий срок подачи заявления на разрешение на деятельность после разрешения на создание не следует путать с переходными сроками, введёнными для тех, кто осуществлял деятельность ранее. Шестимесячный срок подачи заявления по ст. 17 Сообщения и полномочие Совета (Kurul) SPK продлевать его не применяются единообразно ко всем организациям из переходного списка. По новому заявлению из материалов дела определяется, какое решение о разрешении было принято и с какого события начался срок. [2]

«Список осуществляющих деятельность» (Faaliyette Bulunanlar Listesi) SPK — это общедоступная информация об уведомлениях и оценках в переходный период. SPK прямо указала, что включение в список не означает наличия полномочий, предоставленных в соответствии с законодательством. Следует также читать актуальные сноски к списку, ограничения деятельности и решения, касающиеся положения самой организации. Разрешение банка на хранение и полномочие на торговлю платформы той же группы не могут заменять друг друга. [6, 25]

Пределы решения от 26 марта 2026 года

Решение SPK № 18/617 предусматривает, что срок, предоставленный платформам в рамках переходного периода для подписания договора о хранении и представления его Совету, и срок, предоставленный организациям из Списка осуществляющих деятельность для получения свидетельства о полномочиях, будут определены после того, как уполномоченные организации-хранители начнут широко оказывать услуги. Текст решения не объявляет нового фиксированного конечного срока. [5]

Это решение не является общим освобождением от требований законодательства. Нельзя сделать вывод, что отложены все обязанности — идентификация, защита активов клиентов, достоверная реклама, сообщение о подозрительных операциях, порядок ведения записей. Переходный статус организации, принятые позднее решения в её отношении и состояние вступления в силу соответствующего положения подлежат отдельному рассмотрению. Заявление клиентам о «лицензии SPK» также должно соответствовать реальной записи о получении полномочий. [1, 2, 5, 6]

Каковы капитал, собственные средства и финансовые обязанности в 2026 году?

Если исходить из сумм, определённых на 2026 год в бюллетене SPK № 2025/68 от 31 декабря 2025 года, минимальный уставный капитал составляет 250 000 000 TL для платформ и 630 000 000 TL для организаций, хранящих криптоактивы. Суммы 150 и 500 миллионов TL периода первой публикации Сообщения нельзя использовать как действующие суммы для создания. Особый режим, которому подчиняются банки в отношении деятельности по хранению, оценивается отдельно. [3, 4]

Уставный капитал, собственные средства, которые необходимо поддерживать в ходе деятельности, база достаточности капитала и ликвидный резерв — это не одна и та же величина. База достаточности капитала отслеживается исходя из резервов на риски и расходов на деятельность; предел заимствований и достаточность оборотных активов — по их собственным расчётам. Ежегодный срок приведения в соответствие по ст. 34/3 III-35/B.2 также входит в календарь денежных обновлений. Одного взгляда на цифру капитала в торговом реестре недостаточно для доказательства финансовой достаточности. [3, 4]

Один процент доходов платформ за предыдущий год, за исключением процентных доходов, выплачивается SPK, и один процент — в бюджет TÜBİTAK не позднее конца мая соответствующего года в соответствии со ст. 130/5 Закона. Эта сумма не является налогом на криптооперации, взимаемым с прибыли инвестора; это корпоративная обязанность платформы. Сборы за услуги MKK, налоговые и бухгалтерские обязанности, расходы на аудит и хранение — отдельные от неё статьи. [1, 24]

Какую ответственность несут совет директоров и сотрудник по комплаенсу?

Совет директоров обязан создать внутренний контроль, управление рисками, внутренний аудит и необходимую организацию. Возложение соответствующих функций на назначенных лиц не снимает с руководства обязанности надзора. В программе комплаенса MASAK должны присутствовать вместе корпоративные политики, управление рисками, мониторинг и контроль, сотрудник по комплаенсу и его заместитель, обучение и внутренний аудит. За эффективное осуществление программы в соответствии с масштабом деятельности организации в конечном счёте отвечает совет директоров. [2, 7, 9]

Задача сотрудника по комплаенсу не сводится к заполнению формы сообщения. Он должен иметь возможность вмешиваться в сомнительных ситуациях при принятии клиента, проводить оценку независимо от подразделения продаж, иметь доступ к записям и доводить необходимые вопросы до уровня руководства. Организация, которая лишает эффективности проверку подозрительных операций из-за плановых показателей продаж, давления значимых клиентов или опасения потерять доход, создаёт серьёзный риск комплаенса несмотря на должностные обязанности на бумаге. [7]

Приобретать юридические, аудиторские или технические услуги извне возможно; однако договор аутсорсинга сам по себе не переносит на другую компанию функцию, которая по закону должна присутствовать в организации, и ответственность за неё. Объём услуги, доступ к данным, субподрядчики, возможность проверки, управление перебоями и возврат данных при прекращении должны быть чётко урегулированы. Покупка готовой «процедуры MASAK» не означает, что фактические операции были проверены. [2]

Знай своего клиента: на каком этапе идентификация обязательна?

Постоянные деловые отношения и разграничение по сумме операции

При установлении постоянных деловых отношений, например при открытии счёта, идентификация проводится независимо от суммы. В актуальном руководстве MASAK идентификация разъясняется также вне постоянных деловых отношений — когда операция или сумма связанных операций составляет 15 000 TL и более, — и для переводов криптоактивов, превышающих ту же сумму. При подозрительной операции или при сомнении в достаточности ранее полученных идентификационных данных денежный порог не требуется. Порог 75 000 TL из прежних текстов нельзя использовать как актуальную практику. [7, 8]

Эти пороги не означают, что счёт без идентификации можно использовать до определённой суммы. Установление постоянных деловых отношений само по себе уже является самостоятельным основанием для идентификации. Получение документа при одной операции также не означает, что все последующие операции должны одобряться без ограничений. Цель деловых отношений, экономическое положение клиента, источник средств, ожидаемый объём операций и профиль риска должны поддерживаться в актуальном состоянии. [7, 8]

У физического лица необходимо проверить личность и адрес; у юридического лица — регистрацию компании, полномочия представительства и полномочия лица, совершающего операцию. Лицо, действующее от имени компании, и физическое лицо, в конечном счёте контролирующее компанию, могут быть разными. Проверка бенефициарного владельца не завершается внесением в систему имени лица, имеющего право подписи. Если структура участия и контроля многоуровневая, необходимое исследование углубляется. [7, 8]

Удалённая идентификация и иностранные клиенты

Удалённое привлечение клиента не сводится к отправке фотографии через мессенджер. Для применимого способа требуются вместе проверка документа, оценка подлинности личности, меры безопасности и фиксация процесса. В 2026 году расширена возможность удалённой идентификации по паспорту физических лиц, не являющихся гражданами Турции; это изменение не означает, что иностранный клиент освобождён от проверок личности и риска. [2, 7, 13]

Если идентификацию провести невозможно или не удаётся получить достаточные сведения о цели деловых отношений, встают вопросы положений об отказе в открытии счёта, отказе в совершении операции или прекращении существующих отношений. С другой стороны, сведения и документы, запрашиваемые у клиента, должны быть связаны с обязанностью. Считать каждого иностранца, каждую операцию на крупную сумму или каждый личный кошелёк автоматическим признаком преступления — это не риск-ориентированная проверка. Основание конкретного риска и соразмерность применённой меры должны быть зафиксированы. [7, 8]

Как применяется travel rule при криптопереводах?

Travel rule — это обязанность в отношении сведений об отправителе и получателе, которые должны сопровождать перевод криптоактива. В рамках ст. 24/A Положения о мерах (Yönetmelik) при переводах от 15 000 TL и выше регламентируются такие поля, как наименование или фирма отправителя, адрес кошелька или ссылка на операцию и дополнительные идентифицирующие сведения, а также наименование или фирма получателя и адрес кошелька или ссылка на операцию. Для операций ниже этой суммы также предусмотрены определённые основные сведения; это не область переводов, полностью лишённых информации. [7, 8]

Обязанность подтверждения у организации, первой получившей сведения, меры, которые должны принимать промежуточная и получающая организации при недостающих сведениях, и безопасная передача сообщения о переводе различаются между собой. Неполное сообщение необходимо дополнить, провести оценку рисков и при необходимости рассмотреть отклонение перевода или оценить отношения по обслуживанию. То, что поставщик технологий передал сообщение, не делает институциональный контроль излишним. [7, 8]

Операции с кошельками, находящимися под контролем самого лица, или с иностранными поставщиками услуг сами по себе также не запрещены. Однако заявления о получателе или отправителе, характер кошелька, сведения о контрагенте и риски оцениваются по соответствующим правилам. Адрес, видимый в блокчейне, сам по себе не доказывает личность стоящего за ним физического лица. Заявление клиента, записи по счёту и технические данные необходимо рассматривать вместе. [7]

В рамках travel rule безопасная передача персональных сведений и запись этих сведений в общедоступный блокчейн — не одно и то же. Техническая конструкция должна передавать необходимые сведения нужному адресату и не приводить к распространению ненужных идентификационных данных в открытой или неконтролируемой среде. Если используется служба обмена сообщениями или комплаенса за рубежом, передача данных оценивается отдельно. [7, 16, 18]

Ожидание 48 и 72 часа и лимиты по стейблкоинам

Общим сообщением MASAK (Genel Tebliğ) серии № 29 урегулировано ожидание для выводов в пределах сферы применения на кошельки, не зарегистрированные ни у одного поставщика услуг, либо иностранным поставщикам услуг или финансовым организациям с полномочием на перевод, которые по собственному законодательству не обязаны обмениваться сведениями об отправителе и получателе. Как правило, такие выводы криптоактивов должны совершаться не ранее чем через 48 часов после операции покупки, обмена или внесения, а первый вывод — не ранее чем через 72 часа. Это регулирование нельзя описывать как приостановку на 72 часа всех выводов наличных средств или всех операций внутри платформы. Вид операции и исключения, предусмотренные Сообщением, рассматриваются отдельно. [7, 10]

При выводе стабильных криптоактивов, стоимость которых стремятся удерживать неизменной по отношению к официальной валюте, драгоценному металлу или другим активам, общий предел составляет эквивалент 3 000 долларов США в день и 50 000 долларов США в месяц. При соблюдении условий Сообщения, например при передаче необходимых сведений по travel rule контрагенту-поставщику услуг, лимиты могут применяться в двойном размере. Дробление операции на мелкие части не снимает обязанностей; связанные операции и риск оцениваются в целом. [7, 10]

Исключения, связанные с такими целями, как обеспечение ликвидности, маркет-мейкинг и арбитраж между рынками, не могут применяться только на основании заявления клиента. Необходимо показать характер соответствующей деятельности, сумму и частоту перевода, сведения о контрагенте и кошельке, а также документы, на основании которых проведены необходимые проверки. По каждому клиенту требуются отдельное одобрение совета директоров, периодическое получение документов об источнике и счетах, постоянный мониторинг и контроль; если выяснится, что операция не подпадает под исключение, лимиты применяются немедленно. Исключение — это не неограниченный путь перевода, открытый для всех. [7, 10]

Переводы между платформой и организацией-хранителем, вытекающие из законодательства о рынке капитала, и переводы, совершаемые хранителем от имени клиента, также не одно и то же; ко второй группе применяются соответствующие ограничения. Сообщение предусматривает также получение при переводах пояснения не менее чем в двадцать символов, описывающего суть операции. Случайные символы, повторяющиеся общие фразы или пояснение, не совместимое с операцией, не достигают цели обязанности. Пояснение и движение по счёту должны быть согласованы; если возникло подозрение, получение пояснения не должно делать сообщение о подозрительной операции излишним. [7, 10]

Как и когда направляется сообщение о подозрительной операции?

Подозрительная операция возникает при наличии информации, подозрения или обстоятельства, дающего основание для подозрения в том, что имущество получено незаконным путём либо используется в незаконных целях, либо используется в связи с террористическими актами или террористическими организациями. Для сообщения не требуются ни обвинительный приговор, ни завершённое преступление, ни какая-либо минимальная сумма. Может оцениваться и операция на стадии покушения. [7, 9]

Основанием для проверки могут быть объём, не соответствующий экономическому профилю клиента, множество необъяснимых связей с третьими лицами, невозможность документально подтвердить источник средств, совпадение с санкционным списком или заметное отклонение от обычного способа использования. Однако один-единственный признак не делает клиента преступником. Фактическая информация, показатель риска, объяснение клиента и результат проверки должны фиксироваться раздельно. Примерные типологии не образуют закрытого перечня. [7]

Сообщение направляется не позднее чем в течение десяти рабочих дней с даты возникновения подозрения, а в случаях, когда промедление недопустимо, — незамедлительно. Этот срок не всегда начинается в тот же день, что и дата совершения операции; когда возникло подозрение, должно быть объяснено записями. Установленный законом срок сообщения нельзя превышать под предлогом завершения внутреннего расследования или получения всех документов; существенная информация, полученная позднее, передаётся дополнительным сообщением. [7]

Сообщение направляется через уполномоченного сотрудника по комплаенсу с использованием актуальной электронной системы сообщений и руководств MASAK. Сообщение о подозрительной операции, пользовательская заявка через MASAK Online и операции электронного уведомления — разные функции. Загрузку файла не на тот портал или отправку лишь электронного письма в службу поддержки не следует считать надлежаще направленным сообщением. [7, 11]

Конфиденциальность сообщения

О том, что о подозрительной операции сообщено, нельзя сообщать неуполномоченным лицам, включая лиц, участвующих в операции. Сообщения о подозрительных операциях внутри организации и данные доступа к системе также подлежат защите. Принадлежность к одной финансовой группе не допускает неограниченного распространения информации о том, что сообщение направлено. Установленные законом исключения для надзора и судопроизводства действуют в пределах своего объёма. [7, 9]

При предоставлении информации клиенту необходимо соблюдать эту обязанность конфиденциальности; однако ответом «MASAK» на каждый вопрос нельзя лишать эффективности все корпоративные разъяснения и процедуры рассмотрения жалоб. Вопросы, которые можно раскрыть, запрашиваемые документы, статус операции и канал обращения следует сообщать понятным образом в юридически допустимом объёме. Само по себе направление сообщения о подозрительной операции не является решением об окончательной конфискации или бессрочной заморозке счёта. [1, 7, 9]

Задержка операций, отсрочка, заморозка имущества и судебный арест

Когда эти понятия используются как взаимозаменяемые, возникает риск обращения не в тот орган и потери времени. Счёт может оказаться недоступным из-за обычного периода ожидания перевода, недостающих идентификационных данных, проверки безопасности платформы, отсрочки в рамках MASAK или решения судебного органа. При первой проверке следует выделить конкретное правовое основание ограничения. [7, 9, 10, 12, 19]

Рамки отсрочки не более семи рабочих дней по ст. 19/A Закона № 5549 не являются общим «семидневным сроком подачи заявления» для всех возражений клиента. Введённая в конце 2025 года ст. 128/A CMK предоставляет соответствующей финансовой организации возможность приостановить на срок до сорока восьми часов счёт, на котором находятся выгоды, полученные от преступлений, перечисленных в статье; она обязывает незамедлительно сообщать о приостановлении и о движении по счёту прокуратуре Республики (Cumhuriyet Başsavcılığı). То, что и это положение, и правило MASAK об ожидании перевода содержат «48 часов», не означает, что это одна и та же операция. Уведомление направляется и владельцу счёта; владелец счёта может направить прокуратуре ходатайство о снятии, и прокурор принимает решение по этому ходатайству в течение двадцати четырёх часов. [9, 19]

Общее сообщение MASAK серии № 34 от 23 сентября 2026 года регламентирует меры по незамедлительному сообщению и отсрочке операций в отношении лиц и организаций, являющихся объектом соответствующих решений Совета Безопасности Организации Объединённых Наций о включении в списки. Организации должны наладить контроль, своевременно обрабатывающий обновления списков, а также исследовать неверное сопоставление разных лиц с одинаковыми или схожими именами. Сообщение регулирует срочные меры в рамках своего объёма; его нельзя читать как полномочие закрыть все счета клиентов по тому же основанию. [12]

Обязанность направить в течение десяти дней в физической или электронной форме информацию и документы, запрошенные в рамках ст. 128/A CMK, также следует отслеживать отдельно. Этот срок не следует путать с десятью рабочими днями при сообщении MASAK о подозрительной операции. При судебном аресте положения об одобрении судьи, сроке и возврате владельцу применяются на своих условиях. Предусмотренное для законного приостановления положение об освобождении от ответственности нельзя распространять на любое произвольное или бессрочное ограничение счёта. [19]

Как оцениваются риски преступных доходов и финансирования терроризма?

При риске отмывания значение имеют происхождение средств от преступления и придание им законного вида; при финансировании терроризма может иметь значение цель, на которую будут использованы средства. Источник, полученный законным путём, также может быть направлен на запрещённую цель. Поэтому проверку на комплаенс нельзя свести только к первоначальному источнику денег или размеру операции. [7, 9, 12]

Пожертвование, помощь, коммерческая продажа, взнос члена или иное объяснение само по себе не делает операцию ни законной, ни подозрительной. Реальная цель, стороны, выгодоприобретатель, схема операций и имеющаяся информация должны оцениваться вместе. Законную деятельность гражданского общества и запрещённое финансирование нельзя относить к одной категории. Проверка должна следовать методу, разъясняющему конкретные риски, а не заранее обвиняющему людей в правомерно защищённой деятельности. [7]

К клиенту или операции с высоким риском могут применяться такие меры, как дополнительные сведения об источнике средств и состояния, одобрение руководства высшего уровня и усиленный мониторинг. Оценка риска, сформированная с помощью технологий, не является окончательной правовой оценкой. На какие факты опирается алгоритм, как обрабатываются ложноположительные срабатывания и обоснование решения уполномоченного лица должны при необходимости поддаваться проверке. [7]

Как следует защищать денежные средства и криптоактивы клиентов?

Обособление активов, хранение и сверка

Денежные средства и криптоактивы клиентов обособлены от собственного имущества организации. Записи должны вестись по клиентам; долги организации и активы клиента смешивать нельзя. Предусмотренная Законом защита от ареста, залога и включения в конкурсную массу относится к этому обособлению. Она не создаёт абсолютной неприкосновенности в отношении собственного долга клиента или законного судебного решения, направленного на его собственные активы. [1, 3]

Денежные средства клиентов на банковских счетах должны быть отдельно обозначены, не объединяться с собственным счётом платформы и не использоваться не по назначению. Платформа не может принимать или передавать наличные из рук в руки; денежные переводы проводятся через собственный банковский счёт клиента. Направление платежа на личный IBAN сотрудника или перевод денег другой, нераскрытой компании не может считаться обычным операционным выбором. [3]

Модель хранения по ст. 41 III-35/B.2 основана на том, что не менее 95 процентов криптоактивов, которые клиент не выбрал хранить в собственном кошельке, находятся у организации-хранителя, и на пределе 5 процентов для части, остающейся в кошельках платформы. Внутридневной предел 10 процентов, сверка, ликвидный резерв 3 процента и особые положения о расчёте малых остатков применяются совместно. Без изучения того, от какой общей суммы активов рассчитываются эти доли и как переходные решения влияют на конкретную организацию, не следует ограничиваться резюме «95 процентов в холодном кошельке». [3, 5]

В договоре хранения должны быть чётко определены распределение обязанностей, одобрение переводов, определения кошельков, сверка, нестандартные переводы, перерыв в услугах, возврат активов и прекращение. Использование нескольких хранителей не должно приводить к разрыву записей между собой. То, что показанный клиенту остаток виден в системе, само по себе не доказывает, что актив действительно хранится в верном количестве. [3]

Заблуждение о страховании и государственной гарантии

Разрешение SPK — не обязательство сохранить стоимость инвестиции. Листинг криптоактива не означает публичной гарантии; ст. 35/C/6 Закона выводит активы и денежные средства, находящиеся в соответствующем хранении, из режима страхования вкладов и фондов участия. Запись в MKK также не является безграничной гарантией выплаты при убытке. Если существует частное страхование, застрахованный риск, выгодоприобретатель, лимит, франшиза и исключения следует читать отдельно. [1, 14]

Информационные системы, кибербезопасность и независимый аудит

Информационные системы организации, управление ключами, полномочия доступа, резервное копирование, непрерывность деятельности и реагирование на инциденты должны быть выстроены в соответствии с соответствующим регулированием SPK и критериями инфраструктуры TÜBİTAK. Многофакторная аутентификация важна, но сама по себе не устраняет всех рисков. Новое устройство, необычный IP-адрес, изменение настроек безопасности, добавление адреса вывода и переводы с высоким риском необходимо отслеживать в совокупности. [2, 3]

Хранение закрытого ключа и защита входа в счёт клиента — разные уровни безопасности. Если пароль счёта защищён, а административный доступ неограничен или права сотрудника остаются открытыми после его ухода, это может создать серьёзный риск. Доступ внешних поставщиков услуг также следует ограничивать с той же дисциплиной; их записи и право аудита должны быть обеспечены договором. [2]

Согласно ст. 48 III-35/B.1, ежегодный аудит информационных систем, аудит внутренних процессов и соответствия инфраструктуры, а также аудит подтверждения резервов по состоянию на конец третьего, шестого, девятого и двенадцатого месяцев — отдельные обязанности. Дифференцированные положения для банков и полномочие Совета запрашивать дополнительный аудит сохраняются. Проведение одного аудита не заменяет других аудитов или ежедневной сверки. [2]

При кибер-инциденте приоритетом является не допустить роста ущерба, сохранить записи и отдельно оценить необходимые уведомления. Изменение системных журналов, перезапись старых записей или отсутствие хронологии, объясняющей инцидент, впоследствии ослабляют и проверку, и защиту. Так же важно, как наличие плана обеспечения непрерывности деятельности, то, был ли он протестирован и действительно ли применялся во время инцидента. [2]

Хранение записей, предоставление информации и обязанности перед MKK

Для документов, книг и записей в рамках Закона № 5549 установлен срок хранения в восемь лет; он исчисляется с различных начальных моментов, указанных в Законе, таких как составление, последняя запись и последняя операция. Для идентификационных документов важна дата последней операции. Предусмотренные регулированием SPK десятилетние обязанности по хранению записей об операциях и клиентах также учитываются отдельно. Истечение восьми лет не означает, что все записи по криптоуслугам можно удалить. [2, 7, 9]

Хранению подлежат не только скриншоты и бухгалтерские итоги. Запись о привлечении клиента, версия договора, данные согласия, время приказов и переводов, адреса кошельков, идентификаторы операций, проверки безопасности, жалобы и записи сверки должны при необходимости представляться вместе. Если текст договора впоследствии изменился, особенно важно определить версию на дату спора. [2, 3]

Законные запросы MASAK и проверяющих о предоставлении информации и документов исполняются в срок после проверки полномочий и объёма. Соображения конфиденциальности или персональных данных не препятствуют категорически предоставлению информации уполномоченному законом органу; но они не оправдывают и беспорядочную передачу всех данных клиентов сверх запроса. Получение запроса, направление ответственному лицу и проверка отправки должны фиксироваться. [7, 9, 16]

Система KVMKS MKK служит для регистрации операций и остатков, хранящихся в учётных системах поставщиков услуг, и для сопоставления остатков платформы и хранителя. В 2026 году продолжились практика и объявления, касающиеся системы; заявление MKK о соответствующем решении TCMB опубликовано 3 августа 2026 года. Членство, реестр, отчётность и сверка должны осуществляться в соответствии с соответствующими инструкциями и циркулярными письмами. Отчётность перед MKK не означает, что криптоактив хранится непосредственно в MKK, и не заменяет сообщения MASAK. [14, 15, 24]

Персональные данные и поставщики услуг за рубежом

Идентификационные сведения, адреса кошельков и записи об операциях могут быть персональными данными, если их можно связать с определённым или определяемым физическим лицом. То, что у платформы есть правовая обязанность проводить идентификацию, не означает, что она может неограниченно использовать эти данные для рекламы, профилирования или иных целей. Цель обработки, правовое основание, информирование, полномочия доступа и срок хранения определяются отдельно. [16]

В системах с биометрической верификацией условия для данных особой категории рассматриваются отдельно. Не каждое видео или фотография автоматически относятся к одной правовой категории; важны цель и работа применяемой техники по однозначной идентификации лица. Получение у клиента общей галочки согласия не заменяет необходимых технических и правовых оценок. [16]

При использовании зарубежного облачного сервиса, службы поддержки, аналитики или службы travel rule оценивается механизм передачи за границу. Если используется метод стандартных договоров, существует обязанность уведомить Орган в течение пяти рабочих дней с момента завершения подписания. Наличие этого механизма не отменяет особых требований SPK к информационным системам и месту нахождения данных. Соответствие KVKK и соответствие отраслевой инфраструктуре должны обеспечиваться вместе. [2, 16, 18]

С момента, когда стало известно о нарушении защиты персональных данных, возникает обязанность уведомить Совет KVKK без промедления и не позднее чем в течение семидесяти двух часов, а затронутых лиц — в рамках соответствующих принципов. Эти 72 часа совершенно отличаются от 72-часового правила ожидания при первом выводе криптоактивов. Один и тот же кибер-инцидент может иметь отдельные последствия в части уведомления в отношении SPK, MASAK, KVKK и судебных органов. [2, 7, 17]

Листинг, договоры с клиентами, реклама и конфликты интересов

Листинг и документирование отношений с клиентом

У платформы должна быть письменная процедура листинга и делистинга. Оцениваются заявления владельца проекта, технологические риски, правовая природа, объём торгов, конфликты интересов и процесс принятия решения. Решение комитета или начало торгов на платформе не является гарантией того, что актив безопасен или прибылен. Существенные риски, выявленные позднее, также входят в предмет надзора после листинга. [1, 3]

Рамочный договор с клиентом должен понятно объяснять объём услуг, порядок приказов и переводов, вознаграждение, хранение, риски, связь, жалобы и условия прекращения. Должна быть возможность доказать, какой текст был одобрен в какую дату. В соответствии со ст. 35/C/1 Закона условия договора, отменяющие или ограничивающие ответственность поставщика услуг перед клиентом, недействительны. Положением «весь ущерб несёт клиент» установленная законом ответственность устранена быть не может. [1, 2]

Реклама, направление клиентов и запрещённые операции

Гарантия доходности, не соответствующее действительности заявление о лицензии, впечатление безрисковой торговли и направление клиентов, использующее его неосведомлённость, создают правовой риск. Запреты, такие как привлечение вкладов или средств фондов участия, несанкционированное распоряжение сбережениями клиентов и неучтённые операции, действуют отдельно. Общая рыночная информация, направляющие общие рекомендации и индивидуальное инвестиционное консультирование должны разграничиваться между собой. [2, 3]

Кампании и контент в социальных сетях следует проверять не только по формулировкам, но и по совокупному эффекту. Спонсорский контент, вознаграждение за привлечение, операции сотрудников и отношения, связанные с листингом за вознаграждение, входят в оценку конфликта интересов. Фраза «это не инвестиционная рекомендация» сама по себе не защищает, если контент фактически является индивидуальной рекомендацией или вводящей в заблуждение рекламой. [2, 3]

Разрешение платформе нельзя считать полномочием предлагать любые операции с кредитным плечом, кредитование, займы или управление портфелем. Следует изучить фактическую экономическую структуру продукта и соответствующие положения о запретах и разрешениях. То, что пользователь может получить доступ к тому же продукту в иностранном приложении, само по себе не делает законным предоставление этой услуги клиенту, проживающему в Турции. [1, 2, 3]

Платформы за рубежом и запрет оплаты криптоактивами

Лицензия или запись в реестре за рубежом не заменяет необходимости разрешения в Турции. Статья 99/A Закона рассматривает такие случаи, как открытие места деятельности в Турции, создание сайта на турецком языке или продвижение и маркетинг среди лиц, проживающих в Турции, напрямую или через посредников, как деятельность, направленную на Турцию. Связь с Турцией не ограничивается адресом головного офиса группы. [1]

В договорах с контрагентами за рубежом важны применимое право, подсудность, уведомление, доступ к записям, возврат активов и исполнимость решения. Указание в договоре иностранного права само по себе не исключает обязательных к применению в Турции положений о разрешении и защите клиентов. При прямом переводе на иностранную платформу или при иностранном хранении необходимо изучить и отраслевые правила, и правила передачи данных. [1, 2, 3, 18]

Положение TCMB о неиспользовании криптоактивов в платежах (Yönetmelik) регулирует прямое или косвенное использование криптоактивов в платежах и оказание соответствующих услуг. Существует и отдельное ограничение на посредничество платёжных организаций и организаций электронных денег при переводе средств на криптоплатформы или с них. Торговля криптоактивами и превращение криптоактива в платёжное средство — не одна и та же деятельность. Предположение, что платформа для своих операций в TL может интегрироваться с любой платёжной организацией, ошибочно. [20]

Каковы административные и уголовные последствия нарушений?

При нарушении правил о разрешении, капитале, организации, активах клиентов и деятельности могут встать вопросы надзора SPK, административного штрафа, ограничения деятельности или приостановления и, при наличии условий, лишения полномочий. При несанкционированной деятельности в интернете или запрещённом продвижении рассматриваются также удаление контента и блокировка доступа. Письмо о проверке не означает, что разрешение на деятельность непременно будет отозвано; правовая природа выявленного нарушения и применимая санкция определяются отдельно. [1, 2]

Статья 109/A Закона за несанкционированную деятельность в качестве поставщика услуг в сфере криптоактивов предусматривает лишение свободы на срок от трёх до пяти лет и судебный штраф в размере от пяти тысяч до десяти тысяч дней. В отношении неправомерных распоряжений активами клиентов дополнительно могут применяться положения о растрате и иных преступлениях ст. 110/A. Не каждое нарушение договора является растратой, и не каждый ущерб — мошенничеством. Деяние, полномочия, умысел и движение имущества рассматриваются конкретно. [1]

Нарушение обязанностей MASAK может повлечь административные или судебные санкции, предусмотренные Законом № 5549. Знание клиента, сообщение о подозрительных операциях, программа комплаенса, предоставление информации, а также хранение и предъявление — разные обязанности. Следует учитывать переоценённые на 2026 год суммы штрафов, повышенное применение для группы обязанных лиц и нижние пределы, связанные с суммой операции. Представлять первоначальную базовую сумму из Закона как окончательный штраф, применяемый сегодня, неверно. [7, 9, 23]

При оценке нарушения исследуются дата операции, действовавшее на эту дату правило, число независимых друг от друга деяний, вручение, компетентный орган, обоснование, расчёт и соразмерность. Административный штраф, уголовное расследование и возмещение клиенту служат разным целям; результат одного процесса сам по себе не прекращает все остальные.

Кто несёт ответственность при причинении ущерба клиенту?

Обязанность передачи и кибер-потери

Статья 99/B/3 Закона регулирует ответственность поставщика услуг за убытки, возникшие из-за противоправной деятельности и неисполнения обязанности выплатить денежные средства или передать криптоактивы. Необходимо определить, на какой актив, в каком количестве и по какому договору клиент имеет право, когда было направлено его требование и почему оно не было исполнено. Эквивалент в TL, отображаемый на экране приложения, и количество единиц криптоактива, которое необходимо передать, — это не одно и то же требование. [1]

Статья 99/B/4, в свою очередь, при потерях криптоактивов, возникших в связи с эксплуатацией информационных систем, кибератакой, нарушением информационной безопасности или поведением персонала, отсылает к ст. 71 Кодекса обязательств Турции (Türk Borçlar Kanunu, TBK). Общей защиты вида «кибератаку совершило третье лицо; организация вообще не несёт ответственности» недостаточно. Исследуются, с какой системой и деятельностью связан ущерб, установленный законом режим ответственности и причинная связь. [1, 21]

Вместе с тем тот же пункт выводит из-за рамок этой особой ответственности ущерб от невозможности совершить приказ, операцию или перевод из-за временных перерывов в услугах, произошедших без вины поставщика услуг, и подобные случаи. Это исключение не охватывает автоматически постоянную потерю доступа, исчезновение активов или ненадлежащее управление безопасностью. Нельзя также утверждать, что все требования об упущенной выгоде будут удовлетворены исходя из несостоявшейся гипотетической продажи по высокой цене. [1]

Ответственность сотрудников и поведение клиента

Если ущерб не может быть возмещён поставщиком услуг или явно очевидно, что он не будет возмещён, ответственность сотрудников (mensup) встаёт на условиях ст. 99/B и 110/B. Нельзя привлечь к ответственности каждого работника, участника или руководителя по одному и тому же основанию и без ограничений. Должность, полномочия, вина, влияние на ущерб и условия соответствующего особого положения в отношении лица устанавливаются отдельно. [1]

Передача клиентом пароля, ввод данных на поддельном сайте или игнорирование предупреждения о безопасности могут повлиять на обсуждение причинной связи и уменьшения размера возмещения. Однако использование OTP при операции не во всех случаях безусловно доказывает, что настоящий владелец счёта дал действительное поручение. Следует также выяснить, кто изменил настройки безопасности, как было распознано новое устройство и какой проверкой был одобрен рискованный перевод. [21, 26, 27]

Что показывают судебные решения в части безопасности и доказывания?

Апелляционный суд Стамбула (BAM), 14-я гражданская палата: проверка доказательств и безопасности платформы

Решение 14-й гражданской палаты Регионального апелляционного суда Стамбула (Bölge Adliye Mahkemesi, BAM) E.2022/244, K.2025/1603 от 09.10.2025 относится к требованию о возмещении ущерба к платформе в связи с утверждением, что криптоактивы были выведены со счёта клиента без его ведома. В решении обсуждались записи о пароле и верификации, предпочтения безопасности счёта, время уведомления и техническое возникновение события; было признано, что в конкретном деле не удалось показать условия, требующие вменения вины платформе, и решение об отказе в иске оставлено в силе. [26]

Основной принцип, на который указывает решение, — нельзя ограничиваться одним заявлением «с моего счёта был совершён перевод». Доступ к учётной записи пользователя, изменения безопасности и время операции вывода должны быть показаны по отдельности. С другой стороны, организация также должна объяснить применённые ею проверки конкретными записями. Одно лишь представление типового договора не показывает, как работала система во время инцидента.

Предел решения: события спора предшествуют новым положениям об ответственности Закона № 7518. Неверно обобщать решение в том смысле, что при всех кибер-потерях после 2024 года платформа отвечает лишь при доказанной вине. В сегодняшних событиях особенно следует отдельно изучать ст. 99/B/4. В решении BAM оставлен открытым путь кассационного обжалования; результат кассационного обжалования после решения здесь не установлен. Решение также не является общеобязательным постановлением об унификации судебной практики. [1, 26]

Кассационный суд, 3-я гражданская палата: подделка SIM-карты, право на дату события и возмещение

Решение 3-й гражданской палаты Кассационного суда (Yargıtay) E.2025/5307, K.2026/2209 от 15.04.2026 относится к требованию о возмещении материального и морального вреда к оператору сотовой связи в связи с заменой SIM-карты 23–24 июня 2023 года и операциями, совершёнными со счёта криптоактивов. Суд первой инстанции признал ответственность оператора за операцию с SIM-картой у дилера и вытекающий из неё недостаток безопасности. Кассационный суд основной результат по возмещению не изменил; он исправил пункты о гонораре представителя и оставил решение в силе с исправлениями. [27]

Важное установление решения касается последующих положений SPK, на которые ссылался оператор в своих возражениях: «соответствующие статьи на дату события не действовали». Тем самым конкретно показано, что новое регулирование нельзя автоматически применять к событию в прошлом. Отмечено также, что заключение эксперта, положенное в основу решения, было пригодным для проверки и вынесения решения. [27]

Решение сохранило основной результат по 7 990,71 USD материального и 25 000 TL морального возмещения, а результат об отказе в части отдельно заявленного увеличения стоимости криптоактива не изменён. Эти суммы не являются тарифом для других дел. Решение нельзя представлять как решение о возмещении против криптоплатформы; ответчик — оператор сотовой связи. [27]

При подготовке дела необходимо показать по отдельности смену телефонной линии, доступ к электронной почте, входы на платформу, настройки безопасности и операции вывода. Возражение организации «у другого поставщика услуг была обязанность по безопасности» не выводит влияние её собственных действий из-под проверки. По каждому ответчику необходимо определить нарушенную обязанность, правило на дату события, причинную связь и ущерб. [26, 27]

Какие документы должен собрать клиент и как ему обращаться?

На первом этапе необходимо обеспечить безопасность счёта и операций; о подозрении на несанкционированный доступ следует незамедлительно сообщить платформе. Канал уведомления, время отправки и полученный ответ должны быть сохранены. Даже для юридической помощи нельзя передавать закрытый ключ, слова для восстановления, пароль счёта или одноразовый код подтверждения. Для проверки идентификаторы операций, адреса и записи по счёту в большинстве случаев дают достаточные исходные данные.

В деле должны быть версия договора на дату события, сведения об идентификации и открытии счёта, выписки об остатках и операциях, банковские квитанции, адреса кошельков, идентификатор операции, использованная сеть, уведомления по электронной почте и SMS, записи службы поддержки и прежние обращения. Следует пояснить, указано ли время по турецкому времени или в другом часовом поясе; наряду со скриншотами по возможности нужно сохранить исходную цифровую запись. [2, 3, 22]

У платформы можно потребовать сохранить счёт, настройки безопасности и соответствующие записи. При риске утраты записей рассматривается обеспечение доказательств по ст. 400 и следующим HMK; при надлежащем ходатайстве и наличии условий — обеспечительная мера или предварительный арест имущества. Знание адреса кошелька не означает, что судебное решение технически можно прямо исполнить в блокчейне. Важно определить лицо или поставщика услуг, которые фактически контролируют актив. [1, 22]

Жалоба в SPK касается надзорного направления, сведения, переданные в MASAK, — риска финансового преступления, заявление о преступлении — уголовного расследования, а частноправовое требование — возврата и возмещения. Все они не разрешаются одним заявлением и одним органом. Клиент должен отдельно следовать необходимым судебным путём для устранения собственного ущерба. Жалоба в орган или переговоры с другой стороной сами по себе не приостанавливают все сроки для подачи иска. [1, 9, 21, 22]

Компетентный суд определяется оценкой статуса сторон, природы договора, цели операции и запрашиваемой правовой защиты. Режим подсудности для разных требований к платформе, организации-хранителю, банку или оператору сотовой связи может быть неодинаковым. Нельзя сказать, что каждое дело рассматривается в потребительском суде лишь потому, что одна из сторон — физическое лицо, или в коммерческом суде лишь потому, что оно связано с криптоактивами. Медиация как условие предъявления иска также рассматривается в зависимости от определённого вида спора. [22, 26, 27, 28]

По договорным требованиям при отсутствии особого срока может применяться десятилетний срок ст. 146 TBK; по деликту — двухлетний срок с момента, когда лицо узнало, и десятилетний срок с момента деяния по ст. 72, а также исключение о более длительной уголовной давности. Начало, момент осведомлённости, прерывание и истинная природа требования рассчитываются отдельно. В судебном порядке на заключение эксперта по ст. 281 HMK, как правило, конкретные возражения подаются в течение двух недель с момента вручения. По административным и уголовным решениям отслеживаются способ обжалования и срок, специфичные для вида решения. [21, 22]

Практическая матрица обязанностей и документов для организаций

Приведённая ниже таблица — рабочий инструмент, показывающий, по каким записям внутри организации можно отслеживать установленные законом обязанности. Она не утверждает, что аудит проведён или что для всех организаций будет достаточно одной и той же организации работы.

Первая оценка на уровне руководства не должна ограничиваться вопросом «какого документа не хватает?». Можно ли проследить все записи по образцовой операции от принятия клиента до возврата активов; кому поступает предупреждение о высоком риске; кто может остановить операцию в экстренном случае; кем и по какой записи завершается рассмотрение жалобы клиента? Ответы на эти вопросы показывают, действительно ли процедура применяется. [2, 3, 7]

Заключение

Правовое соответствие поставщика услуг в сфере криптоактивов требует совместного построения разрешения, финансовой достаточности, знания клиента, безопасности переводов, хранения, записей, защиты данных и ответственности за ущерб. Использование прежних денежных порогов, признание переходного списка лицензией или объединение всех ограничений счёта под названием «блокировка MASAK» может привести к утрате прав как для организации, так и для клиента.

Для организации решающее значение имеет то, чтобы обязанность могла быть продемонстрирована не только в виде письменной политики, но и записями об операциях и аудите. Для клиента вместе определяются надлежащий адресат, право на дату события, технический ход инцидента безопасности и сроки обращения. Надёжная правовая оценка опирается не на ярлык или единственный скриншот, а на верную правовую квалификацию и проверяемые записи.

Связанные материалы: статья Наследуются ли криптоактивы? Переход биржевого счёта, Bitcoin и холодного кошелька отдельно рассматривает переход криптоактивов к наследникам в случае смерти, разграничение биржевого счёта и холодного кошелька и правовые последствия данных доступа.

Часто задаваемые вопросы

Лицензирована ли каждая платформа, находящаяся в списке SPK?

Нет. Список осуществляющих деятельность — это не то же самое, что разрешение на деятельность или свидетельство о полномочиях. Актуальное решение о разрешении в отношении соответствующей организации, его объём и ограничения, если они есть, изучаются отдельно. [6, 25]

Каков минимальный капитал для криптоплатформы в 2026 году?

На 2026 год для платформ определена сумма 250 миллионов TL, для организаций, хранящих криптоактивы, — 630 миллионов TL. Особый режим банков и обязанности по собственным средствам и резервам, которые необходимо поддерживать в ходе деятельности, оцениваются отдельно. [3, 4]

При открытии счёта я внесу небольшую сумму; обязательна ли идентификация?

Да. При установлении постоянных деловых отношений сумма не учитывается. Денежные пороги для переводов и иных операций эту самостоятельную обязанность не отменяют. [7, 8]

Действует ли ещё порог идентификации 75 000 TL?

Этот порог в прежнем тексте не соответствует актуальному руководству. Руководство, специально предназначенное для поставщиков услуг в сфере криптоактивов, принимает за основу 15 000 TL и более для операций вне постоянных деловых отношений и для криптопереводов. При открытии счёта и в подозрительных случаях порог по сумме не требуется. [7]

Почему при первом выводе криптоактивов нужно ждать 72 часа?

Вследствие меры безопасности и комплаенса по Сообщению MASAK № 29 при первом выводе криптоактивов в пределах сферы применения действует правило о минимальном ожидании 72 часа, а при остальных соответствующих выводах — 48 часов. Вид операции и исключения оцениваются отдельно. [7, 10]

Действует ли дневной лимит 3 000 долларов для всех криптопераций?

Нет. Регулирование направлено на соответствующие выводы стабильных криптоактивов. Месячный предел, двойное применение при обмене информацией и документально подтверждённые исключения необходимо рассматривать вместе. [7, 10]

Запрещено ли мне переводить на собственный кошелёк?

Перевод на личный кошелёк не запрещён лишь по этой причине. Идентификация, сведения о контрагенте, проверка рисков, ожидание и условия применимого лимита сохраняются. [3, 7]

Сообщают ли клиенту о сообщении о подозрительной операции?

Нет. Информация о том, что сообщение направлено, за исключением установленных законом случаев, не может раскрываться неуполномоченным лицам, включая участников операции. Раскрываемые сведения об операции и конфиденциальность сообщения регулируются раздельно. [7, 9]

Нужно ли для сообщения о подозрительной операции доказывать преступление?

Нет. Может быть достаточно информации, подозрения или обстоятельства, дающего основание для подозрения. Сообщение — это не судебное решение о виновности клиента. [7, 9]

Обжалуется ли каждое ограничение счёта в одном и том же суде?

Нет. Проверка платформы, отсрочка MASAK, заморозка имущества, приостановление в рамках CMK и судебный арест — разные меры. Верный путь определяется по конкретному основанию и решению. [9, 12, 19]

Можно ли арестовать активы клиентов за долг платформы?

В силу предусмотренной Законом защиты обособления на активы клиента за долг платформы обратить взыскание нельзя. Однако законная судебная мера в отношении собственного долга клиента или его собственных активов — отдельный вопрос. [1]

Означает ли запись в MKK, что инвестиция находится под государственной гарантией?

Нет. KVMKS — инфраструктура реестра и сверки. Запись в MKK не создаёт гарантии цены криптоактива или выплаты при любом убытке. [1, 14]

Освобождается ли платформа от ответственности обязательно, если её атаковали?

Нет. Изучаются отсылка ст. 99/B/4 Закона к ст. 71 TBK и особенности конкретного случая. Исключение для временных перерывов без вины не является общим освобождением от ответственности, применимым ко всем кибер-потерям. [1, 21]

Считается ли каждая операция, подтверждённая OTP, подлинным поручением клиента?

Однозначного вывода только из этого сделать нельзя. Исследуются, кто контролировал телефон, электронную почту, устройство и настройки безопасности, а также технический ход операции. [26, 27]

Срок хранения записей — восемь лет или десять?

Восьмилетний срок хранения по MASAK и десятилетние обязанности по записям по SPK применяются в зависимости от вида документа и начального события. Нельзя удалять все записи, исходя из более короткого срока. [2, 7, 9]

Достаточно ли иностранной лицензии для деятельности в Турции?

Нет. Для услуг и маркетинга, направленных на Турцию, отдельно применяются условия о разрешении и деятельности по турецкому праву. [1]

Если я пожалуюсь в SPK, вернут ли мне деньги автоматически?

Нет. Надзорное обращение отличается от требования о возврате или возмещении. Требование должно быть направлено надлежащему адресату и, при необходимости, компетентному суду; сроки отслеживаются отдельно. [1, 21, 22]

Следует ли мне передавать закрытый ключ для правовой проверки?

Нет. Закрытый ключ, слова для восстановления, пароль счёта и код подтверждения передавать нельзя. Безопасно начать проверку можно с хронологии события, идентификаторов операций, адресов и записей по счёту.

Источники

1. Закон о рынке капитала № 6362 (Sermaye Piyasası Kanunu). В частности ст. 3, 35/B, 35/C, 99/A, 99/B, 109/A, 110/A–B и 130/5. Текст законодательства на сайте SPK.
2. SPK, Сообщение (Tebliğ) № III-35/B.1. Сообщение об основах создания и деятельности поставщиков услуг в сфере криптоактивов (Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Hakkında Tebliğ); Официальная газета 13.03.2025/32840.
3. SPK, Сообщение (Tebliğ) № III-35/B.2. Сообщение о порядке и основах работы и достаточности капитала поставщиков услуг в сфере криптоактивов (Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ); Официальная газета 13.03.2025/32840.
4. SPK, Бюллетень № 2025/68. 31.12.2025; денежные суммы на 2026 год, таблица по III-35/B.2.
5. SPK, объявление о решении № 18/617 от 26.03.2026. Бюллетень № 2026/18, с. 6, E/1. Экземпляр бюллетеня SPK, доступный на PRM Finans.
6. SPK, Список осуществляющих деятельность (Faaliyette Bulunanlar Listesi). Разъяснение о том, что переходный список не означает получения полномочий, и актуальные записи об организациях.
7. MASAK, Руководство по соблюдению обязанностей для поставщиков услуг в сфере криптоактивов (Kripto Varlık Hizmet Sağlayıcılar İçin Yükümlülüklere Uyum Rehberi). Сентябрь 2025 года; идентификация, travel rule, контроль переводов, сообщения и хранение. Последующие изменения оценивались отдельно.
8. Положение о мерах по предотвращению отмывания доходов от преступлений и финансирования терроризма (Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik). В частности ст. 4–26/A; идентификация, бенефициарный владелец, сведения о переводах и усиленные меры.
9. Закон № 5549 о предотвращении отмывания доходов от преступлений (Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun). В частности ст. 3–8, 13–14 и 19/A.
10. Общее сообщение MASAK серии № 29. Официальная газета 28.06.2025; сроки ожидания переводов, лимиты по стабильным криптоактивам и обязанность пояснения. Совместно со с. 17–18 Руководства MASAK.
11. Руководство по подаче заявки в MASAK Online (MASAK Online Başvuru Kılavuzu). Март 2025 года; разграничение пользовательской заявки и системы сообщений о подозрительных операциях.
12. Общее сообщение MASAK серии № 34. Официальная газета 23.09.2026/33379. Санкционные списки Организации Объединённых Наций, сообщение и отсрочка; изложение нормативного акта на Legalbank.
13. MASAK, объявление об удалённой идентификации по паспорту (Pasaportla Uzaktan Kimlik Tespitine İlişkin Duyuru). 29.06.2026. Изменяющее сообщение серии № 32, Официальная газета 27.06.2026/33293.
14. MKK, Центральная система реестра криптоактивов (Kripto Varlık Merkezi Kayıt Sistemi). Функция системы по регистрации, сопоставлению и сверке.
15. MKK, заявление об одобрении KVMKS со стороны TCMB (KVMKS’nin TCMB Tarafından Onaylanmasına İlişkin Açıklama). Корпоративное заявление от 03.08.2026.
16. Закон № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu). В частности ст. 4–6, 9–12; ограничение целью, правовое основание, передача и безопасность.
17. KVKK, Порядок и основы уведомления о нарушении защиты персональных данных (Kişisel Veri İhlali Bildirim Usul ve Esasları). Объявление о решении № 2019/10 от 24.01.2019.
18. KVKK, Публичное объявление о стандартных договорах при передаче за границу (Yurt Dışına Aktarımda Standart Sözleşmeler Hakkında Kamuoyu Duyurusu). Подписание стандартного договора и срок уведомления в пять рабочих дней.
19. Закон № 7571, ст. 128/A CMK, добавленная ст. 22. Принятый текст TBMM; приостановление счёта, судебный арест, уведомление и предоставление информации.
20. TCMB, Положение о неиспользовании криптоактивов в платежах (Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik). Официальная газета 16.04.2021/31456; ст. 3–4.
21. Кодекс обязательств Турции № 6098 (Türk Borçlar Kanunu). В частности ст. 49–52, 71–72, 112 и 146–149.
22. Гражданский процессуальный кодекс № 6100 (Hukuk Muhakemeleri Kanunu). В частности ст. 190, 219–220, 266, 281–282, 389 и 400 и следующие.
23. MASAK, Обязанности и санкции (Yükümlülükler ve Yaptırımlar). Группы обязанностей по Закону № 5549 и рамки административных/судебных санкций; раздел Руководства о санкциях.
24. MKK, Тарифы на услуги KVMKS на 2026 год (KVMKS 2026 Yılı Ücret Tarifesi). Циркулярное письмо от 20.01.2026; финансовое планирование обязанностей.
25. SPK, Поставщики услуг в сфере криптоактивов (Kripto Varlık Hizmet Sağlayıcılar). Официальная страница о получении полномочий, переходных записях и заявках.
26. Региональный апелляционный суд Стамбула, 14-я гражданская палата (İstanbul BAM 14. Hukuk Dairesi). E.2022/244, K.2025/1603, 09.10.2025. Безопасность платформы, учётная запись пользователя и возмещение. Отклонение апелляционной жалобы по существу; путь кассационного обжалования открыт. Полная запись решения в De Jure.
27. Кассационный суд, 3-я гражданская палата (Yargıtay 3. Hukuk Dairesi), E.2025/5307, K.2026/2209, 15.04.2026. Операция с SIM-картой и убыток в криптоактивах; оператор сотовой связи. Оставление в силе с исправлениями в части пунктов о гонораре представителя. Полная запись решения в De Jure.
28. Закон № 6502 о защите прав потребителей (Tüketicinin Korunması Hakkında Kanun). В частности ст. 3, 73 и 73/A; оценка подсудности и условия предъявления иска в зависимости от договора и статуса сторон.