8 Ocak 2026 tarihinde Estonya Yüksek Mahkemesi, 3-23-125 sayılı davada, 2022 sonlarında Estonya’da şirket kuruluşu ve sanal ofis hizmetleri sunan lisanslı tüm trust and company service provider’lardan (TCSP) önemli miktarda bilgi talep eden Estonya Financial Intelligence Unit (FIU veya Rahapesu Andmebüroo) tarafından yayımlanan kapsamlı talimatı hukuka aykırı ilan etti.
Bu karar, tüm AML denetim sistemi açısından önemli bir dönüm noktası oldu ve devletin meşru şirketlerin faaliyetlerine izin verilen müdahalesinin sınırlarını belirledi. Estonya Yüksek Mahkemesinin tutumu, Postimees ve ERR dâhil Estonya medyasında da geniş yer buldu; kararın yalnızca meslek çevresi için değil, daha geniş kamu hukuku tartışması için de önemini vurguladı.
Ocak 2026’da Estonya Yüksek Mahkemesinin bu emsal niteliğindeki kararına yol açan yargı sürecini başlatanlardan biri, Eesti Firma OÜ‘nün ana şirketi olan Ühinenud Õigusbürood OÜ idi. Mahkemeye başvurunun amacı, AML/KYC alanında denetim yetkilerinin izin verilen sınırlarına ilişkin hukuki kesinlik sağlamak ve düzenleyici ile lisanslı işletmeler arasındaki ilişkide orantılılık ilkesini korumaktı.
AML gözetimi ve toplu veri talebi
Aralık 2022’de FIU, 322 lisanslı TCSP’ye 44 soruluk bir anketi yanıtlamalarını zorunlu kılan tek bir talimat gönderdi. Talep; dahili AML/KYC prosedürlerinden müşteri yapısına, faaliyetlerin coğrafi kapsamına, mali göstergelere ve yaptırım tedbirlerinin uygulanmasına kadar geniş bir konu yelpazesini kapsıyordu.
Düzenleyici, eylemlerini sektördeki risklerin kapsamlı biçimde anlaşılması ve risk odaklı AML denetimi kurulması ihtiyacıyla gerekçelendirdi. Aynı zamanda talep, belirli şüpheler, ihlaller veya münferit incelemelerle bağlantılı değildi. Önleyici nitelikteydi ve büyüklükleri, iş modelleri veya risk profilleri ne olursa olsun tüm piyasa katılımcılarına eşit şekilde uygulandı.
Uyuşmazlığın konusu tam olarak bu yaklaşım oldu. Talimata zaten uymuş olan bazı şirketler, hukuka uygun AML denetimi ile aşırı idari yük arasındaki sınırın nerede olduğunu ve düzenleyicinin soyut bir risk değerlendirmesi kapsamında işletmelerden bu denli kapsamlı ve analitik açıdan karmaşık bilgi talep edip edemeyeceğini gündeme getirdi.
Yüksek Mahkemenin temel hukuki görüşü
Yüksek Mahkeme, 3-23-125 sayılı davayı incelerken mali sistemi koruma araçları olarak AML/KYC tedbirlerinin önemini sorgulamadı. Bunun yerine, denetim makamının işlemlerinin usuli doğruluğuna ve hukuki dayanaklarına odaklandı.
FIU işlevleri arasındaki ayrım
Mahkeme, Estonya’daki FIU’nun iki farklı rolü birleştirdiğine işaret etti. Bir yandan şüpheli işlemleri analiz eden bir mali istihbarat birimidir (FIU). Diğer yandan, yükümlü kuruluşların AML/KYC gerekliliklerine uyumunu denetleyen bir denetim makamıdır.
Bu roller farklı hukuki niteliklere sahiptir ve farklı hukuk hükümlerine dayanır. FIU’ya mali istihbarat görevlerini yerine getirmesi için verilen yetkiler, devlet denetimi yürütmek için otomatik olarak kullanılamaz. Düzenleyici, denetim faaliyetlerinde bulunurken yalnızca bu amaçla açıkça öngörülen araçlar çerçevesinde hareket etmelidir.
Temel hata olarak yanlış hukuki dayanak
Mahkeme, FIU’nun önleyici denetim kapsamında özel şirketlerden toplu bilgi talepleri için öngörülmemiş bir hukuk hükmüne dayandığı sonucuna vardı. Yanlış hukuki dayanak kullanılması, belirtilen amacından bağımsız olarak talimatı hukuka aykırı kılan önemli bir ihlal sayıldı.
Önemle belirtmek gerekir ki Mahkeme, bilgi toplanmasının özünde yasak olduğunu ileri sürmedi. AML/KYC alanında dahi denetim tedbirlerinin açık, belirli ve uygun bir hukuki gerekçeye sahip olması gerektiğine işaret etti.
“Önce siciller, sonra işletme” ilkesi
Mahkeme, bilgi kaynaklarına özel önem verdi. Önleyici AML denetimi bağlamında düzenleyici, öncelikle devletin elinde bulunan veya resmî siciller yoluyla erişilebilen verileri kullanmakla yükümlüdür.
Şirketlerden, onların katılımı olmadan elde edilebilecek bilgileri talep etmek kabul edilemez. Böyle bir yaklaşım orantılılık ilkesine uygun değildir ve düzenleyicinin analitik çalışmasını haksız biçimde işletmelere aktarır.
Veriler ile “yeni raporlar” arasındaki sınır
Kararın en pratik sonuçlarından biri, bilgi talebinin, bu ayrıntı kanunen önceden gerekli kılınmamışsa şirketlerin yeni belgeler veya analitik özetler oluşturma yükümlülüğüne dönüştürülemeyeceği yönündeki tespitti.
Şirketler elbette faaliyetlerine ilişkin birincil verilere sahiptir. Ancak verilerin mevcut olması, denetim makamını ilgilendirebilecek her kırılımda hazır raporlara sahip olma yükümlülüğü anlamına gelmez. Mahkeme, AML denetiminin işletmelerden yalnızca düzenleyicinin kolaylığı için geriye dönük olarak karmaşık analizler üretmelerini talep edemeyeceğini vurguladı.
AML denetiminin zorunlu unsuru olarak orantılılık
Mahkeme, sektör risklerinin değerlendirilmesi şeklindeki amacın meşruluğunu kabul ederken bile seçilen aracın orantısızlığına dikkat çekti. Bireysel özellikleri dikkate alınmaksızın tüm piyasa katılımcılarına yöneltilen aynı 44 soruluk talep, kapsamı ve müdahalecilik derecesi bakımından aşırı kabul edildi. Mahkemenin görüşüne göre AML denetimi evrensel ve aşırı olmaktan ziyade hedefe yönelik ve asgari düzeyde yeterli olmalıdır.
Kararın TCSP’ler ve FinTech için pratik önemi
TCSP’ler ile AML/KYC düzenlemesine tabi fintech şirketleri açısından bu kararın önemli pratik sonuçları vardır. **İlk olarak**, denetim uygulamalarının öngörülebilirliğini artırır. Şirketler, bilgi taleplerinin gerekçeli, orantılı ve hukuken sağlam olmasını bekleme hakkına sahiptir.
İkinci olarak karar, uyum süreçlerinin daha iyi iç organizasyonunu teşvik eder. Bir şirketin kanunen tutmakla yükümlü olduğu veriler ile yalnızca iç yönetim amaçları için üretilen verilerin hangileri olduğunu anlamak, düzenleyicilerle etkileşimde kritik önem taşır.
Üçüncü olarak karar, denetim makamlarının kendileri için AML gözetiminin daha az etkili olmadan, hukuken daha sürdürülebilir hâle geldiği bir çerçeve oluşturur. Hedefe yönelik incelemeler, taleplerin açık gerekçelendirilmesi ve mevcut devlet bilgi kaynaklarının kullanılması, sonraki uyuşmazlık riskini azaltır ve sisteme duyulan genel güveni artırır.
Sonuç
Estonya Yüksek Mahkemesinin 8 Ocak 2026 tarihli kararı AML/KYC sistemini zayıflatmaz. Aksine, onu daha olgun hâle getirir. Mahkeme, kara para aklamayla mücadelenin hukuk çerçevesinde, orantılılık ilkesine ve işletmeler için usuli güvencelere saygı gösterilerek yürütülmesi gerektiğini açıkça belirtti.
Lisanslı TCSP’ler açısından bu karar, hukuki kesinlik ile etkili denetimin birbiriyle çelişmediğini doğruladı. Düzenleyici açısından ise kamu yararının hassas alanlarında dahi düzenleyici yetkilerin sınırları olduğunu hatırlattı. Estonya’da iş gelişimi için istikrarlı, öngörülebilir ve güvene dayalı ortamı oluşturan tam da bu dengedir.
