5070 Sayılı Kanun ve KVKK: Dijital İmza Platformları İçin Rehber
Şirketler kâğıt sözleşmeden dijital süreçlere geçerken iki temel mevzuat çerçevesini anlamak zorunda: 5070 sayılı Elektronik İmza Kanunu ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK). Bu iki kanun farklı konuları düzenler; ancak uygulamada çoğu zaman birbirine karıştırılır. Kim hangi kanuna muhatap? Hangi veri kategorisi hangi yükümlülüğü doğurur? Yurt dışı sunucu kullanımı ne anlama gelir?
Bu yazı, dijital imza platformlarını kullanan veya bu platforma geçmeyi düşünen şirketler için her iki kanunun sınırlarını, pratik uyum adımlarını ve 10 maddelik bir uyum kontrol listesini özetliyor.
5070 Sayılı Kanun: Muhatap Kim?
5070 sayılı Elektronik İmza Kanunu, 2004 yılında yürürlüğe girerek Türkiye’de güvenli elektronik imzanın hukuki çerçevesini belirledi. Kanunun kapsamı (m.2) elektronik imzanın hukuki yapısını, elektronik sertifika hizmet sağlayıcılarının (ESHS) faaliyetlerini ve elektronik imzanın kullanımına ilişkin işlemleri içerir. Kanunun düzenleme ağırlığı, nitelikli sertifika üreten, saklayan ve iptal eden kuruluşlar olan ESHS’ler üzerindedir.
Kanun; nitelikli elektronik sertifikanın teknik kriterlerini, ESHS’lerin yükümlülüklerini ve kriptografik anahtar güvenliği standartlarını düzenler. ESHS olmayan bir yazılım uygulaması, bu yükümlülüklerin doğrudan muhatabı değildir.
Peki dijital imza platformları ne? Bu platformlar, halihazırda bir ESHS tarafından üretilmiş sertifikaları kullanan tüketici konumundadır. İmzalama deneyimini sunan yazılım, nitelikli sertifika üretmediği sürece bir ESHS faaliyeti yürütmez. Bu ayrım önemlidir: kullanıcıların imza attığı platform ile imzayı kriptografik olarak mümkün kılan sertifika altyapısı birbirinden ayrı katmanlardır.
Kısaca: 5070 sayılı Kanun’un ESHS’lere yönelik yükümlülükleri, sertifika üreten kuruluşları hedef alır. Mevcut sertifika altyapısını kullanan yazılım platformları (imzala.org dahil) bu anlamda sertifika tüketen uygulamalardır. Somut bir işlemde hangi imza türünün gerektiği ise ayrı bir hukuki değerlendirmedir.
Güvenli Elektronik İmza ve Basit Elektronik İmza Farkı
5070 sayılı Kanun iki temel kavramı ayırır:
Güvenli (nitelikli) elektronik imza (m.4-5): Nitelikli sertifikaya ve güvenli imza oluşturma aracına (USB token, akıllı kart) dayanan imzadır. Kanun, bu imzanın elle atılan ıslak imzayla aynı hukuki sonucu doğurduğunu öngörür (m.5); HMK m.205/2 uyarınca senet hükmündedir. Bir sözleşmede taraf güvenli elektronik imza kullanmışsa, bu imza ıslak imza ile aynı ispat gücüne sahiptir.
Basit (sıradan) elektronik imza: E-posta onayı, tek seferlik kod (OTP), tablette çizilen imza gibi yöntemler bu kategoriye girer. Hukuki bakımdan HMK m.199 kapsamında belge niteliği taşır; delil değeri mahkemece takdir edilir. Tek başına ıslak imza ile eşdeğer değildir; ancak sözleşme özgürlüğü çerçevesinde pek çok ticari ilişkide kullanılır ve HMK m.202 anlamında delil başlangıcı işlevi görebilir.
Dijital imza platformlarının büyük bölümü iki katmanda hizmet sunar: günlük ticari sözleşmeler için pratik basit/gelişmiş elektronik imza, mevzuatın nitelikli imza aradığı işlemler için ise güvenli elektronik imza (USB token) entegrasyon desteği.
KVKK: Dijital İmza Platformları İçin Veri İşleme Çerçevesi
6698 sayılı KVKK, kişisel verilerin işlenmesini düzenler ve dijital imza süreci doğası gereği birden fazla kişisel veri kategorisini barındırır. Bir sözleşme imzalanırken işlenen başlıca kişisel veriler:
- Ad-soyad, e-posta adresi, telefon numarası
- IP adresi ve cihaz bilgisi
- İmza tarihi ve saati
- Opsiyonel olarak T.C. kimlik numarası (sözleşmeye göre)
- Çizilen imzanın görüntüsü
Bu veriler genel nitelikli kişisel veri kategorisindedir. KVKK m.5 kapsamında “sözleşmenin kurulması veya ifası” hukuki sebebine dayanılarak, açık rıza aranmadan işlenebilir. Ancak veri sorumlusu, bu verileri hangi amaçla, ne süreyle sakladığını ve kimlerle paylaştığını KVKK aydınlatma metni ile şeffaf biçimde açıklamak zorundadır.
Dijital imza platformunu kullanan şirket, KVKK açısından veri sorumlusu konumundadır. Platform ise bu şirketin veri işleyeni olarak hareket eder. Bu ayrım, KVKK m.12 kapsamındaki teknik ve idari tedbir yükümlülüklerinin kime ait olduğunu belirler.
KVKK m.6: Biyometrik Veri Sorumluluğu
KVKK’nın sık yanlış anlaşılan maddelerinden biri m.6’dır. Bu madde; ırk, sağlık, siyasi görüş gibi verilerle birlikte biyometrik veriyi özel nitelikli kişisel veri olarak tanımlar ve işlenmesini açık rıza ya da kanunda öngörülme koşuluna bağlar.
KVKK Kurulu’nun 27.08.2020 tarih ve 2020/649 sayılı kararı bu noktayı netleştirir: imza atılırken uygulanan basınç, yazma açısı, kalemin hızı ve ivmesi gibi dinamik (davranışsal) biyometrik parametreler toplanıyorsa, bu veriler özel nitelikli kişisel veri sayılır ve m.6 kapsamında değerlendirilir.
Önemli bir ayrım: yalnızca görüntü olarak alınan çizim imzası (imzalama ekranında çizilen şeklin piksel görüntüsü), dinamik biyometrik parametreler içermediğinden, bu görüntünün tek başına davranışsal biyometrik veri oluşturmadığı değerlendirilir; genel nitelikli kişisel veri olarak ele alınır.
imzala.org, davranışsal biyometrik veri toplamaz. Platform, imza sürecinde yalnızca çizim imajını alır; basınç, hız veya ivme gibi davranışsal biyometrik parametreler işlenmez. Bu tercih, m.6 kapsamındaki ek uyum yükümlülüklerini doğurmamak ve veri minimizasyonu ilkesine uymak içindir.
KVKK m.9: Yurt Dışı Veri Aktarımı
KVKK m.9, kişisel verilerin yurt dışına aktarılmasını belirli koşullara bağlar. 2024 değişikliğiyle aktarım için kademeli bir sistem öngörülür: Kurul’un yeterlilik kararı, bunun yokluğunda uygun güvenceler (örneğin Kurul’a bildirilen standart sözleşme veya bağlayıcı şirket kuralları) ya da kanunda sayılan istisnalar (açık rıza dahil).
Dijital imza platformu seçerken bu madde kritik önem taşır. Verilerin işlendiği sunucunun konumu, aktarımın hangi hukuki zemine dayanacağını etkiler. Türkiye’den AB ülkelerine (örneğin Almanya) yapılan aktarım da m.9 kapsamındadır; bu aktarım için de uygun bir hukuki mekanizmanın (standart sözleşme, veri işleme sözleşmesi vb.) kurulmuş olması gerekir. imzala.org altyapısı Almanya’daki (AB/GDPR alanı) veri merkezlerinde çalışır. Türkiye’den yapılan bu aktarım KVKK m.9 kapsamındadır ve uygun güvence (standart sözleşme) dayanağı gerektirir; kurumsal müşteriler için ayrıca veri işleme sözleşmesi (DPA) sağlanır.
Pratik sonuç: Yurt dışı aktarım, lokasyon ne olursa olsun m.9 kapsamındadır. Veri sorumlusu olarak siz de kullandığınız platformun aktarım dayanağını değerlendirmelisiniz.
Aydınlatma ve Veri Sahibi Hakları
KVKK m.10 kapsamında veri sorumlusu, imzalama sürecini başlatmadan önce kullanıcıyı aydınlatmak zorundadır. Aydınlatma metninde en az şu bilgiler yer almalıdır: veri sorumlusunun kimliği, kişisel verilerin işlenme amacı, aktarılacak taraflar ve veri sahibinin m.11 kapsamındaki hakları.
KVKK m.11 kapsamında veri sahibi hakları: işlenip işlenmediğini öğrenme, bilgi talep etme, amaca aykırı kullanımda itiraz etme, düzeltme, silme veya yok etme isteme. Bu hakların kullanımı için bir başvuru mekanizması kurulmalı ve başvurular yasal süre içinde yanıtlanmalıdır.
Dikkat edilmesi gereken bir nokta: KVKK kapsamındaki silme/yok etme talepleri sözleşme arşivlemesiyle çelişebilir. Türk Ticaret Kanunu kapsamındaki ticari belgeler için saklama yükümlülükleri vardır. Bu durumda kullanıcı hesabına ait bazı kişisel veriler silinebilir; ancak imzalı sözleşme arşivi, yasal saklama süresi boyunca tutulabilir. Bu iki yükümlülüğün aydınlatma metni ve gizlilik politikasında açıkça ayrıştırılması gerekir.
Şirketler İçin KVKK + 5070 Uyum Kontrol Listesi
Dijital imza sürecini hayata geçirirken veya mevcut akışı denetlerken aşağıdaki maddeleri gözden geçirin:
- VERBİS kaydı güncel mi? İmzalama sürecinde işlenen kişisel veri kategorileri ve veri işleyenler (dijital imza platformu) kayıtla uyumlu olmalı.
- İrtibat kişisi belirlendi mi? VERBİS’e kayıt yükümlüsü veri sorumluları için bir irtibat kişisi atanır. (KVKK’da GDPR’daki “DPO” karşılığı doğrudan yer almaz; veri koruma sorumluluğu veri sorumlusundadır.)
- KVKK aydınlatma metni dijital imza akışını kapsıyor mu? İmzalama anında toplanan IP, cihaz, imza görüntüsü verilerini açıkça içermeli.
- Davranışsal biyometrik veri işleniyorsa açık rıza ayrı alınıyor mu? Basınç, hız, ivme gibi parametreler işleniyorsa KVKK m.6 kapsamında ayrı ve açık rıza gerekir. (imzala.org bu veriyi toplamaz.)
- Yurt dışı sunucu kullanılıyorsa m.9 dayanağı var mı? Uygun güvenceler (standart sözleşme), istisnalar veya açık rıza mekanizması değerlendirilmeli.
- Silme/yok etme talepleri yönetiliyor mu? Kullanıcı hesabı silme talepleri yasal süre içinde yanıtlanmalı; ticari belge arşivi ile ayrıştırılmalı.
- Veri ihlali bildirimi için prosedür hazır mı? Kurul’a bildirim ve etkilenen kişilerin bilgilendirilmesi akışı dokümante edilmeli.
- Alt veri işleyen (sub-processor) listesi yayında mı? Platformun kullandığı altyapı sağlayıcıları (bulut, SMS, e-posta) listelenmeli.
- Çalışan verisi ile müşteri sözleşme verisi ayrı kanalda mı işleniyor? İş sözleşmesi yönetimiyle müşteri sözleşme arşivi karıştırılmamalı.
- İşlem kaydı (audit log) saklama politikası KVKK’ya uygun mu? Erişim logları ile ticari sözleşme imza kayıtları farklı sürelerle, ayrı politikalarla yönetilmeli.
Sonuç
5070 sayılı Kanun ile KVKK birbirini tamamlayan ama farklı alanları düzenleyen iki çerçevedir. 5070, ESHS’leri ve nitelikli sertifika altyapısını; KVKK ise sözleşme sürecinde işlenen kişisel verilerin korunmasını kapsar. Dijital imza platformunu kullanan bir şirket için kritik soruların yanıtı:
- ESHS faaliyeti mi yürütüyorsunuz? Sertifika üreten değil, kullanan bir platform iseniz hayır; ESHS yükümlülükleri sizin muhatabınız değildir.
- Biyometrik veri açık rızası gerekiyor mu? Yalnızca çizim imajı alınıyorsa hayır; davranışsal biyometrik parametreler (basınç, hız, ivme) işleniyorsa evet (KVKK m.6).
- Yurt dışı sunucu nasıl değerlendirilir? Lokasyon ne olursa olsun aktarım KVKK m.9 kapsamındadır; uygun bir hukuki dayanak kurulmalıdır.
Bu iki kanunun sınırlarını bilmek, hem hukuki riski azaltır hem de müşteri güvenini pekiştirir.
Daha fazla bilgi için:
- KVKK Aydınlatma Metni: İmzala.org’un veri işleme politikasının tamamı
- Yargıtay Emsalleri ve Yasal Güvence: Dijital imzanın Türk mahkemelerindeki delil değeri
- Sık Sorulan Sorular: ESHS, biyometrik veri ve platform güvenliği
- Veri İşleme Sözleşmesi (DPA): Kurumsal müşteriler için KVKK m.12 kapsamında veri işleyen güvencesi
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. KVKK uyum süreci için bir KVKK uzmanı veya hukuk danışmanına başvurun.