Kişisel Verilerin Korunması Kanunu Tasarısı, 6698 sayılı Kişisel Verilerin Korunması Kanunu adı ile 18 Ocak 2016 tarihinde TBMM Başkanlığına sevk edilmiş, 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış ve 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe girmiştir.

Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin (kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi) parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Bu doğrultuda, özel sektörde faaliyet gösteren kuruluşlar ile kamu kurum ve kuruluşları bakımından bir ayrım yapılmamış olup, öngörülen usul ve esasların tüm kurum ve kuruluşlar açısından uygulanması benimsenmiştir. Kanunda verisi işlenen gerçek kişilerden bahsedildiği için hak ehliyetine sahip olan herkes Kanun kapsamındadır.

Kimliği belirli ya da belirlenebilir nitelikteki gerçek kişiye ilişkin her türlü bilgidir. Kişisel veriden söz edebilmek için, verinin gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir. Buna göre:

a) Gerçek kişiye ilişkin olma: Kişisel veri, gerçek kişiye ilişkin olup, tüzel kişilere ilişkin veriler kişisel verinin tanımının dışındadır. Dolayısıyla, bir şirketin ticaret unvanı, adresi, vergi kimlik numarası, MERSİS numarası ve cirosu gibi tüzel kişiliğe ilişkin bilgiler (bir gerçek kişiyle ilişkilendirilebilecekleri durumlar haricinde) kişisel veri sayılmayacaktır.

b) Gerçek kişiyi belirli veya belirlenebilir kılması: Kişisel veri, T.C. kimlik numarasında olduğu üzere ilgili kişinin doğrudan kimliğini gösterebileceği gibi, o kişinin kimliğini doğrudan göstermemekle birlikte araç plaka numarasında olduğu üzere herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsar.

c) Her türlü bilgi: Bu ifade son derece geniş olup, bir gerçek kişinin sadece kimliğini ortaya koyan, adı, soyadı, doğum tarihi ve doğum yeri gibi bilgiler olabileceği gibi; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, e-posta adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler de kişisel veri olarak kabul edilmektedir. Kanunda hangi bilgilerin kişisel veri olarak kabul edileceğine ilişkin sınırlı sayım esası benimsenmediğinden, kişisel verilerin kapsamının genişletilmesi mümkündür. Önemli olan, verinin herhangi bir gerçek kişi ile ilişkilendirilebiliyor olması ya da o gerçek kişiyi tanımlayabilmesidir.

Özel nitelikli kişisel veriler, işlenmeleri halinde ilgili kişilerin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olma riski taşıyan verilerdir. Bu nedenle, diğer kişisel verilere göre çok daha sıkı şekilde korunmaları gerekmektedir. Kanunun 6. maddesi gereğince özel nitelikli kişisel veriler; “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri”dir. Bu veriler Kanunda sınırlı sayıda belirlenmiş olduğundan bunların genişletilmesi mümkün değildir.

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder. Bu kişiler, gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir. Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında bizzat veri sorumlusu olup, ilgili düzenlemelerde belirtilen hukuki sorumluluğu üstlenecektir. Bu konuda kamu hukuku tüzel kişileri ve özel hukuk tüzel kişileri bakımından bir farklılık gözetilmemiştir. Bu çerçevede hukuki ve cezai sorumluluk bakımından, tüzel kişilerin sorumluluğuna ilişkin özel hukuk ve kamu hukukundaki genel hükümler uygulanır.

Veri sorumlusunun tespiti için kişisel verilerin işlenmesi ve işlenme amacı, işlenecek kişisel veri türleri, işlenen kişisel verilerin hangi amaçlarla kullanılacağı, hangi kişilerin kişisel verilerinin işleneceği, kişisel verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa kimlerle paylaşılacağı, ne kadar süreyle saklanacağı, ilgili kişilerin erişim hakkı ve diğer haklarının uygulanıp uygulanmayacağı gibi hususlara kimin karar verdiği dikkate alınır.

Herhangi bir hukuki düzenlemenin, kişisel veri işleme amaçlarını ve vasıtalarını belirlemesi durumunda, bu hukuki düzenleme kapsamında belirlenen görevleri yerine getirecek gerçek veya tüzel kişiler veri sorumlusu olarak kabul edilmelidir.

Kişisel verilerin işlenmesinde her zaman Kanunda ortaya konulan genel ilkelere uygun davranılmalıdır. Kişisel verilerin işlenmesinde genel ilkeler şunlardır:

1) Hukuka ve dürüstlük kurallarına uygun olma

2) Doğru ve gerektiğinde güncel olma

3) Belirli, açık ve meşru amaçlar için işlenme,

4) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,

5) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişisel veri işleme faaliyetlerinin özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak gerçekleştirilmelidir.

Kişisel verilerin işlenmesinde amaçların detaylandırılması, kişisel verilerin işleneceği amaçların bildirilmesi bakımından ne seviyede bir detay beklendiğinin her bir olay özelinde ayrı ayrı ele alınmasıdır.

Dar bir çevreye yönelik mal ve hizmet sunan küçük ölçekli bir işletme ile bir perakende zinciri tarafından sunulan veri işleme amaçlarının aynı detayda olması beklenemez. Bir market zinciri bakımından çok farklı araçlar vasıtasıyla ve amaçlarla (sadakat programı ya da çapraz satış vb. gibi) veri işleneceği için tüm bu amaçların detaylandırılması gerekmektedir.

Aynı anda birbirinden çok farklı hizmetler sunan bir web sitesinin (e-ticaret, sosyal platform vb. gibi) amaçlarını bildirirken genel ifadelerden kaçınması ve hedef kitlenin niteliklerine uygun düşen bir dil ve terminolojiyle makul bir detay seviyesinde bilgi sunması gerekir.

Özel nitelikli kişisel verilerin işlendiği alanlarda, veri işleme amaçlarının diğer alanlara nazaran daha detaylı olarak sunulması gerekmektedir. Örneğin, özel nitelikli bir kişisel verinin işlenme amacının insan kaynakları faaliyetlerini yerine getirmek gibi genel bir kişisel veri işleme amacına işaret etmesi, bu noktada yeterli detayın verilmesini sağlamamaktadır.

Ancak, özlük dosyasının oluşturulması amacıyla özel nitelikli kişisel verinin işlenmesi daha detaylı ve belirliliği sağlayacak şekilde kişisel veri işleme amacını ortaya koymaktadır.

Kanunun 5. maddesinde kişisel verilerin işlenme şartları düzenlenmiştir. Özel nitelikli kişisel verilerin işlenme şartları ise Kanunun 6. maddesinde farklı esaslara bağlanmıştır.

Bu çerçevede, özel nitelikli olmayan kişisel verilerin hangi hallerde hukuka uygun olarak işlenebileceği Kanundaki esaslara göre aşağıdaki şekilde düzenlenmiş olup, bu şartlardan sadece bir tanesinin bulunması özel nitelikli olmayan kişisel verilerin işlenmesi için yeterli hukuki şartı oluşturacaktır:

• İlgili kişinin açık rızasının varlığı,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun

meşru menfaatleri için veri işlenmesinin zorunlu olması.

Veri işleme, Kanunda bulunan ilgili kişinin açık rızası dışındaki veri işleme şartlarından en az birine dayanıyorsa, bu durumda veri sorumlusu tarafından ilgili kişiden açık rıza alınması yoluna gidilmemelidir.

Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişilerin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olma riski taşıyan verilerdir.

Kanunda, hangi kişisel verilerin özel nitelikli kişisel veri olduğu tek tek belirtilmiş olup, bu sayılanlar dışındakiler özel nitelikli kişisel veri olarak kabul edilemez. Bu bakımdan, özel nitelikli kişisel verilerin sınırlı olarak sayıldığı kabul edilir.

Özel nitelikli kişisel veriler ilgili kişinin açık rızasına dayalı olarak işlenebilir. Ancak Kanun, bazı istisnai durumlarda açık rıza aranmaksızın özel nitelikli kişisel verilerin işlenmesine izin vermiştir. Buna göre; sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler kanunlarda açıkça öngörülmüş olması halinde; sağlık ve cinsel hayata ilişkin kişisel veriler de ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile finansmanın planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebilecektir. Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması gerekmektedir.

İlgili kişinin Kanunda tanımlı haklarını kullanırken dürüstlük kuralına uygun davranmak şartıyla veri sorumlusuna yapacağı başvurularla alakalı olarak ilgili kişiye verilecek cevaplar, Veri Sorumluları Siciline açıklanacak bilgiler çerçevesinde ve kategorik şekilde olmalıdır. Veri Sorumluları Siciline açıklanan bilgilerle ilgili kişiye verilecek bilgiler arasında uyum olmalıdır.

Bu kapsamda verilecek bilgiler, temel olarak kişilerin hangi verilerinin işlendiğine dair bilgilerdir.

Kanunun 13. maddesi gereğince, veri sorumluları ilgili kişilerin taleplerini en kısa sürede ve en geç otuz gün içinde incelemelidir. İnceleme sonucuna göre talebi kabul etmeli veya gerekçesini açıklayarak reddetmeli, ayrıca cevabını ilgili kişiye bildirmelidir.

İlgili kişi, Kanunun 14. maddesi gereğince haklarına ilişkin başvurusunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; veri sorumlusu tarafından verilen cevabı öğrendiği tarihten itibaren otuz ve herhalde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.

Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kişisel Verileri Koruma Kurulu, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek, bu kararı ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.

Kişisel Verileri Koruma Kurulu, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.

Ayrıca, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kişisel Verileri Koruma Kurulu, bu konuda ilke kararı alır.

Kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması halinde, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir. Başka bir ifade ile Kanunda yer alan kişisel verilerin işlenmesine ilişkin şartların tamamının ortadan kalkması durumunda kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.

Veri sorumlularının yükümlülükleri Kanunda belirtilmiştir. Buna göre;

1) Kişisel veri işleme faaliyetinde bulunan herkes, Kanun gereği hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme genel ilkelerine uygun hareket etmelidir.

2) Veri sorumluları tarafından kişisel veriler, Kanunda yer alan düzenlemelere uygun olarak, özel nitelikli kişisel veriler ise Kişisel Verileri Koruma Kurulu tarafından belirlenecek yeterli önlemler alınmak şartıyla Kanunda yer alan düzenlemelere uygun olarak işlenmelidir.

3) Kanun ve ilgili diğer mevzuata uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

4) Kişisel verilerin üçüncü kişilere aktarılmasında Kanunun 8. ve 9. maddelerinde yer alan düzenlemelere uygun olarak hareket edilmelidir.

5) Kanunun 10. maddesine uygun olarak ilgili kişiler aydınlatılmalıdır.

6) Kanunun 12. maddesine uygun olarak veri güvenliğini sağlamaya yönelik gerekli her türlü teknik ve idari tedbirler alınmalıdır.

7) İlgili kişilerin veri sorumlularına yönelttiği başvurular Kanunun 13. maddesine uygun olarak cevaplandırılmalıdır.

8) Kanunun 16. maddesi gereğince Veri Sorumluları Siciline kayıt olunmalıdır

Veri sorumlusunun aydınlatma yükümlülüğü Kanunun 10. maddesinde düzenlenmiştir.

Buna göre, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;

1) Veri sorumlusunun ve varsa temsilcisinin kimliği,

2) Kişisel verilerin hangi amaçla işleneceği,

3) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

4) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

5) Kanunun 11. maddesinde sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.

Aydınlatma yükümlülüğünün yerine getirilmesi ilgili kişinin onayına tabi değildir.

Öte yandan kişisel veri işleme faaliyetinin ilgili kişinin açık rızasına bağlı olmadığı ve faaliyetin Kanundaki başka şartlar kapsamında yürütüldüğü durumlarda da veri sorumlusunun ve yetkilendirdiği kişinin ilgili kişiyi aydınlatma yükümlülüğü devam etmektedir.

Veri güvenliğinin sağlanması konusunda veri sorumlusuna düşen yükümlülükler Kanunun 12. maddesinde sayılmıştır. Buna göre veri sorumlusu;

a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,

c) Kişisel verilerin muhafazasını sağlamak,

amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

Ayrıca; veri sorumluları, kendi kurum veya kuruluşlarında, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumluları bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerektiği hallerde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

Veri Sorumluları Sicili, veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri bir kayıt sistemidir.

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak Kanunun 16 ncı maddesiyle Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirme yetkisi Kurula verilmiş olup buna istinaden Kurulca hazırlanarak 30.12.2017 tarihli Resmi Gazetede yayımlanan Veri Sorumluları Sicili Hakkında Yönetmeliğin 16. Maddesinde istisna getirmeye yönelik objektif kriterler aşağıdaki şekilde belirlenmiştir.

a) Kişisel verinin niteliği.

b) Kişisel verinin sayısı.

c) Kişisel verinin işlenme amacı.

ç) Kişisel verinin işlendiği faaliyet alanı.

d) Kişisel verinin üçüncü kişilere aktarılma durumu.

e) Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması.

f) Kişisel verilerin muhafaza edilmesi süresi.

g) Veri konusu kişi grubu veya veri kategorileri.

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.

Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:

a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri,

b) Kişisel verilerin hangi amaçla işleneceği,

c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,

ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,

d) Yabancı ülkelere aktarımı öngörülen kişisel veriler,

e) Kişisel veri güvenliğine ilişkin alınan tedbirler,

f) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

Regtech kurumların hukuki düzenlemelere uyum sağlamaları için teknoloji kullanımına karşılık gelir. Örneğin; şüpheli işlem analizi ya da regülasyon statü analizleri gibi.

Ayrıca Regtech, işletmelerin düzenlemelere verimli ve daha ucuza uyum sağlamasına yardımcı olmak için bir hizmet olarak yazılım (SaaS) aracılığıyla bulut bilişim teknolojisini kullanan bir şirketler grubundan oluşur.

Amaçları;

• Şirket ya da kurumların uyum süreçlerini kolaylaştırmak ve takibini sağlamak
• Riski en aza indirmek
• Şirketin risk-uyum sürecini belirlemek
• Uygun maliyet yapısı ile gerçek zamanlı çözümler üretmek

Regtech belli kategorileri vardır. Bu kategoriler şunlardır;

Identity Management&Control: Kimlik yönetimi sağlanır ve gerekli kontroller yapılır. KYC(müşteriyi tanıma) yöntemiyle müşteri akışları incelenir ve müşteriyi tanıma sağlanmış olur.

Regulatory Reporting: Mevzuata bağlı regülasyonların kişisel veri varlıkları bazında raporlaması sağlanır.

Transaction Monitoring: Genellikle blokchain teknolojisi kullanılarak yapılan bu yöntemde işlem takibi yapılır. Şüpheli işlemlerin tespiti ve dolandırıcılığın önüne geçmek hedeflenir.

Compliance(Uyum): Mevcut uyumluluk durumu çeşitli görüşmelerle değerlendirilir ve uymayan yerler şeffaflıkla uyumlu hale getirilir.

Risk Management (Risk Yönetimi): Potansiyel riskli ya da güvenli olmayan alanları tespit eder. Bazı risk katsayıları ile mevcut riskleri oluşturup çeşitli tedbirlerin alınmasını önerebilir ve alınması gereken aksiyonlar hakkında bilgi verilir.

Regtech kategorilerinden şirketler/kurumlar kendilerine uygun olan kategori/kategorileri seçerler ve bu kategoride faaliyet gösterirler. Örneğin; compliance alanında hizmet veren bir danışmanlık şirketi uyum faaliyetini gerçekleştirebilmek amacıyla veri minimizasyonu, veri izleme, veri maskeleme gibi alanlarda faaliyet gösterebilirler.

Kimler Kullanabilirler?

Regtech kategorilerini genel olarak bankalar, şüpheli işlem takibi yapan kurumlar(MASAK gibi), teknoloji, sigorta ya da danışmanlık şirketleri kullanabilirler.

Çünkü Regtech çeviktir, analitiktir ve entegrasyon alanı geniştir. Yani karmaşık ve iç içe geçmiş veri kümelerini hızla ayırabilir ve düzenleyebilir. Çözümlerin kısa sürede çalışmasını sağlamak için entegrasyon amacıyla da kullanılabilir. Büyük veri kümelerini çıkarmak ve bunları farklı amaçlar için kullanmak için analitik araçlar kullanır.

Aynı zamanda düzenleyici teknoloji olarak da geçen Regtech, bulut tabanlıdır. Bulut bilişim, kullanıcıların verilerini diğer kuruluşlara hızlı ve güvenli bir şekilde paylaşabileceği düşük maliyetli bir teknolojidir.

Birçok alanda kullanılabilir yenilikler sunar. Regtech, finansal ve düzenleyici kurumlarda faaliyet gösterebilir. Uyumluluk takipleri ve yönetimi, dolandırıcılığı önleme, denetimler, çalışan faaliyetleri ve gözetimi gibi bir dizi faaliyet içerisinde yer alır.