5070 Sayılı Kanun ve KVKK: Dijital İmza Platformları İçin Rehber
Şirketler kâğıt sözleşmeden dijital süreçlere geçerken iki temel mevzuat çerçevesini anlamak zorunda: 5070 sayılı Elektronik İmza Kanunu ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK). Bu iki kanun farklı konuları düzenler; ancak uygulamada çoğu zaman birbirine karıştırılır. Kim hangi kanuna muhatap? Hangi veri kategorisi hangi yükümlülüğü doğurur? Yurt dışı sunucu kullanımı ne anlama gelir?
Bu yazı, dijital imza platformlarını kullanan veya bu platforma geçmeyi düşünen şirketler için her iki kanunun sınırlarını, pratik uyum adımlarını ve 10 maddelik bir uyum kontrol listesini özetliyor.
5070 Sayılı Kanun: Muhatap Kim?
5070 sayılı Elektronik İmza Kanunu, 2004 yılında yürürlüğe girerek Türkiye’de güvenli elektronik imzanın hukuki çerçevesini belirledi. Kanunun kapsamı (m.2) elektronik imzanın hukuki yapısını, elektronik sertifika hizmet sağlayıcılarının (ESHS) faaliyetlerini ve elektronik imzanın kullanımına ilişkin işlemleri içerir. Kanunun düzenleme ağırlığı, nitelikli sertifika üreten, saklayan ve iptal eden kuruluşlar olan ESHS’ler üzerindedir.
Kanun; nitelikli elektronik sertifikanın teknik kriterlerini, ESHS’lerin yükümlülüklerini ve kriptografik anahtar güvenliği standartlarını düzenler. ESHS olmayan bir yazılım uygulaması, bu yükümlülüklerin doğrudan muhatabı değildir.
Peki dijital imza platformları ne? Bu platformlar, halihazırda bir ESHS tarafından üretilmiş sertifikaları kullanan tüketici konumundadır. İmzalama deneyimini sunan yazılım, nitelikli sertifika üretmediği sürece bir ESHS faaliyeti yürütmez. Bu ayrım önemlidir: kullanıcıların imza attığı platform ile imzayı kriptografik olarak mümkün kılan sertifika altyapısı birbirinden ayrı katmanlardır.
Kısaca: 5070 sayılı Kanun’un ESHS’lere yönelik yükümlülükleri, sertifika üreten kuruluşları hedef alır. Mevcut sertifika altyapısını kullanan yazılım platformları (imzala.org dahil) bu anlamda sertifika tüketen uygulamalardır. imzala.org bir ESHS değildir; BTK’nın yayımladığı listede yer alan ESHS ARKİMZA’nın nitelikli sertifikalarını yetkili satıcı olarak satar, sertifikayı ise ESHS düzenler. Somut bir işlemde hangi imza türünün gerektiği ise ayrı bir hukuki değerlendirmedir.
Güvenli Elektronik İmza ve Basit Elektronik İmza Farkı
5070 sayılı Kanun iki temel kavramı ayırır:
Güvenli (nitelikli) elektronik imza (m.4-5): Nitelikli sertifikaya ve güvenli imza oluşturma aracına (USB token, akıllı kart) dayanan imzadır. Kanun, bu imzanın elle atılan ıslak imzayla aynı hukuki sonucu doğurduğunu öngörür (m.5); HMK m.205/2 uyarınca senet hükmündedir. Bir sözleşmede taraf güvenli elektronik imza kullanmışsa, bu imza ıslak imza ile aynı ispat gücüne sahiptir. Ancak m.5/2 uyarınca “Kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukukî işlemler ile banka teminat mektupları ve Türkiye’de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri dışındaki teminat sözleşmeleri, güvenli elektronik imza ile gerçekleştirilemez.”
Elektronik imza (m.3): E-posta onayı, tek seferlik kod (OTP), tablette çizilen imza gibi yöntemler bu kategoriye girer. Bu yöntemlerle oluşturulan veri HMK m.199 anlamında belgedir; ispat değerini mahkeme takdir eder; senetle ispat zorunlu hâllerde (HMK m.200) delil başlangıcı (m.202) olarak değerlendirilebilir. Tek başına ıslak imza ile eşdeğer değildir; ancak sözleşme özgürlüğü çerçevesinde pek çok ticari ilişkide kullanılır.
Dijital imza platformlarının büyük bölümü iki katmanda hizmet sunar: günlük ticari sözleşmeler için güvenli elektronik imza niteliği taşımayan pratik dijital imza, mevzuatın nitelikli imza aradığı işlemler için ise güvenli elektronik imza (USB token) entegrasyon desteği.
KVKK: Dijital İmza Platformları İçin Veri İşleme Çerçevesi
6698 sayılı KVKK, kişisel verilerin işlenmesini düzenler ve dijital imza süreci doğası gereği birden fazla kişisel veri kategorisini barındırır. Bir sözleşme imzalanırken işlenen başlıca kişisel veriler:
- Ad-soyad, e-posta adresi, telefon numarası
- IP adresi ve cihaz bilgisi
- İmza tarihi ve saati
- Opsiyonel olarak T.C. kimlik numarası (sözleşmeye göre)
- Çizilen imzanın görüntüsü
- Gönderen açarsa: yüz ve canlılık doğrulaması verileri (biyometrik, özel nitelikli; KVKK m.6/3, imzacının ayrı açık rızasıyla; aşağıdaki m.6 bölümüne bakın)
- Gönderen açarsa: kimlik fotoğrafı doğrulaması (kimlik kartı görüntüsü ve kart üzerinden okunan bilgiler; biyometrik veri değildir)
Yüz ve canlılık doğrulaması verileri dışındaki bu veriler (kimlik fotoğrafı doğrulaması dahil) genel nitelikli kişisel veri kategorisindedir. Kimlik ve iletişim verileri KVKK m.5/2-c (“sözleşmenin kurulması veya ifası”), IP ve cihaz bilgisi ise kötüye kullanımın önlenmesine yönelik meşru menfaat (m.5/2-f) hukuki sebebine dayanılarak, açık rıza aranmadan işlenebilir; kimlik fotoğrafı doğrulamasında hukuki sebebi gönderen kurum belirler. Ancak veri sorumlusu, bu verileri hangi amaçla, ne süreyle sakladığını ve kimlerle paylaştığını KVKK aydınlatma metni ile şeffaf biçimde açıklamak zorundadır.
Dijital imza platformunu kullanan şirket, KVKK açısından veri sorumlusu konumundadır. Platform ise imzacı ve belge verileri bakımından bu şirketin veri işleyeni olarak hareket eder; platformun kendi delil ve güvenlik kayıtları (IP, cihaz, denetim izi) bakımından ise kendisi de veri sorumlusu olabilir. Bu ayrım, KVKK m.12 kapsamındaki teknik ve idari tedbir yükümlülüklerinin kime ait olduğunu belirler.
KVKK m.6: Biyometrik Veri Sorumluluğu
KVKK’nın sık yanlış anlaşılan maddelerinden biri m.6’dır. Bu madde; ırk, sağlık, siyasi görüş gibi verilerle birlikte biyometrik veriyi özel nitelikli kişisel veri olarak tanımlar. 7499 sayılı Kanunla 2024’te yapılan değişiklikten sonra bu verilerin işlenmesi kural olarak yasaktır ve yalnızca m.6/3’te sayılan sınırlı şartlardan birinin (ilgili kişinin açık rızası, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk vb.) varlığında mümkündür.
KVKK Kurulu’nun 27.08.2020 tarih ve 2020/649 sayılı kararı bu noktayı netleştirir: imza atılırken uygulanan basınç, yazma açısı, kalemin hızı ve ivmesi gibi dinamik (davranışsal) biyometrik parametreler toplanıyorsa, bu veriler özel nitelikli kişisel veri sayılır ve m.6 kapsamında değerlendirilir.
Önemli bir ayrım: yalnızca görüntü olarak alınan çizim imzası (imzalama ekranında çizilen şeklin piksel görüntüsü), dinamik biyometrik parametreler içermediğinden, bu görüntünün tek başına davranışsal biyometrik veri oluşturmadığı değerlendirilir; genel nitelikli kişisel veri olarak ele alınır.
imzala.org, davranışsal biyometrik veri toplamaz. Platform, imza sürecinde yalnızca çizim imajını alır; basınç, hız veya ivme gibi davranışsal biyometrik parametreler işlenmez. Bu tercih, veri minimizasyonu ilkesine uymak içindir. Bundan ayrı olarak, gönderen isteğe bağlı olarak yüz ve canlılık doğrulamasını açabilir; bu doğrulama biyometrik veri işler ve imzacının ayrı açık rızasıyla yapılır. İmzacı rıza vermezse biyometrik veri toplanmaz; canlılık adımı uygulanmaz ve süreç bu adım olmadan ya da gönderenin belirlediği diğer doğrulama adımlarıyla devam eder. Bu veriler varsayılan olarak 365 gün saklanır; kurum 30, 90, 180 veya 365 gün seçebilir.
KVKK m.9: Yurt Dışı Veri Aktarımı
KVKK m.9, kişisel verilerin yurt dışına aktarılmasını belirli koşullara bağlar. 2024 değişikliğiyle aktarım için kademeli bir sistem öngörülür: Kurul’un yeterlilik kararı, bunun yokluğunda uygun güvenceler (örneğin Kurul’a bildirilen standart sözleşme veya bağlayıcı şirket kuralları) ya da bunların da sağlanamadığı durumda yalnızca arızi aktarımlar için kanunda sayılan istisnalar (açık rıza dahil, m.9/6).
Dijital imza platformu seçerken bu madde kritik önem taşır. Verilerin işlendiği sunucunun konumu, aktarımın hangi hukuki zemine dayanacağını etkiler. Türkiye’den AB ülkelerine (örneğin Almanya) yapılan aktarım da m.9 kapsamındadır; bu aktarım için de m.9’da sayılan dayanaklardan birinin (yeterlilik kararı, Kurul’a bildirilen standart sözleşme gibi uygun güvenceler ya da arızi aktarım istisnaları) bulunması gerekir. imzala.org verileri birincil olarak Türkiye’deki (İstanbul) veri merkezinde işler; trafik yönlendirme (Cloudflare), e-posta iletimi ve yedekleme gibi bazı işlemlerde yurt dışındaki alt işleyenler devreye girer. Bu aktarımların listesi ve dayanakları alt işleyenler sayfasında ve aydınlatma metninde yer alır. imzala.org, veri işleyen sıfatıyla, talimatınızla ve yayımlanan Veri İşleme Sözleşmesi metnindeki koşullar çerçevesinde işlem yapar.
Pratik sonuç: Yurt dışı aktarım, lokasyon ne olursa olsun m.9 kapsamındadır. Veri sorumlusu olarak siz de kullandığınız platformun aktarım dayanağını değerlendirmelisiniz.
Aydınlatma ve Veri Sahibi Hakları
KVKK m.10 kapsamında veri sorumlusu, imzalama sürecini başlatmadan önce kullanıcıyı aydınlatmak zorundadır. Aydınlatma metninde en az şu bilgiler yer almalıdır: veri sorumlusunun kimliği, kişisel verilerin işlenme amacı, aktarılacak taraflar ve veri sahibinin m.11 kapsamındaki hakları.
KVKK m.11 kapsamında veri sahibi hakları: işlenip işlenmediğini öğrenme, bilgi talep etme, amaca aykırı kullanımda itiraz etme, düzeltme, silme veya yok etme isteme. Bu hakların kullanımı için bir başvuru mekanizması kurulmalı ve başvurular yasal süre içinde yanıtlanmalıdır. imzala.org üzerinden imzalanan belgelerde ilgili kişi başvurusu önce belgeyi gönderen kuruma (veri sorumlusuna) yapılır; hesabı olmayan imzacılar imzala.org’a [email protected] adresinden ulaşabilir.
Dikkat edilmesi gereken bir nokta: KVKK kapsamındaki silme/yok etme talepleri sözleşme arşivlemesiyle çelişebilir. Türk Ticaret Kanunu kapsamındaki ticari belgeler için saklama yükümlülükleri vardır. Bu durumda kullanıcı hesabına ait bazı kişisel veriler silinebilir; ancak imzalı sözleşme arşivi, yasal saklama süresi boyunca tutulabilir. Bu iki yükümlülüğün aydınlatma metni ve gizlilik politikasında açıkça ayrıştırılması gerekir.
Şirketler İçin KVKK + 5070 Uyum Kontrol Listesi
Dijital imza sürecini hayata geçirirken veya mevcut akışı denetlerken aşağıdaki maddeleri gözden geçirin:
- VERBİS kaydı güncel mi? İmzalama sürecinde işlenen kişisel veri kategorileri ve veri işleyenler (dijital imza platformu) kayıtla uyumlu olmalı.
- İrtibat kişisi belirlendi mi? VERBİS’e kayıt yükümlüsü veri sorumluları için bir irtibat kişisi atanır. (KVKK’da GDPR’daki “DPO” karşılığı doğrudan yer almaz; veri koruma sorumluluğu veri sorumlusundadır.)
- KVKK aydınlatma metni dijital imza akışını kapsıyor mu? İmzalama anında toplanan IP, cihaz, imza görüntüsü verilerini açıkça içermeli.
- Davranışsal biyometrik veri işleniyorsa açık rıza ayrı alınıyor mu? Basınç, hız, ivme gibi parametreler işleniyorsa KVKK m.6/3’teki sınırlı şartlardan birine dayanılmalıdır; uygulamada bu çoğunlukla ayrı açık rızadır. (imzala.org bu veriyi toplamaz; isteğe bağlı yüz ve canlılık doğrulaması ise imzacının ayrı açık rızasıyla çalışır.)
- Yurt dışı sunucu kullanılıyorsa m.9 dayanağı var mı? Yeterlilik kararı, uygun güvenceler (örneğin standart sözleşme) ya da yalnızca arızi aktarımlar için istisnalar (açık rıza dahil) değerlendirilmeli.
- Silme/yok etme talepleri yönetiliyor mu? Kullanıcı hesabı silme talepleri yasal süre içinde yanıtlanmalı; ticari belge arşivi ile ayrıştırılmalı.
- Veri ihlali bildirimi için prosedür hazır mı? Kurul’a bildirim ve etkilenen kişilerin bilgilendirilmesi akışı dokümante edilmeli.
- Alt veri işleyen (sub-processor) listesi yayında mı? Platformun kullandığı altyapı sağlayıcıları (bulut, SMS, e-posta) listelenmeli.
- Çalışan verisi ile müşteri sözleşme verisi ayrı kanalda mı işleniyor? İş sözleşmesi yönetimiyle müşteri sözleşme arşivi karıştırılmamalı.
- İşlem kaydı (audit log) saklama politikası KVKK’ya uygun mu? Erişim logları ile ticari sözleşme imza kayıtları farklı sürelerle, ayrı politikalarla yönetilmeli.
Sonuç
5070 sayılı Kanun ile KVKK birbirini tamamlayan ama farklı alanları düzenleyen iki çerçevedir. 5070, ESHS’leri ve nitelikli sertifika altyapısını; KVKK ise sözleşme sürecinde işlenen kişisel verilerin korunmasını kapsar. Dijital imza platformunu kullanan bir şirket için kritik soruların yanıtı:
- ESHS faaliyeti mi yürütüyorsunuz? Sertifika üreten değil, kullanan bir platform iseniz hayır; ESHS yükümlülükleri sizin muhatabınız değildir.
- Biyometrik veri için m.6 şartı gerekiyor mu? Yalnızca çizim imajı alınıyorsa hayır; davranışsal biyometrik parametreler (basınç, hız, ivme) işleniyorsa veya yüz ve canlılık doğrulaması kullanılıyorsa evet: KVKK m.6/3’teki sınırlı şartlardan biri gerekir (imzala.org’da yüz doğrulaması imzacının ayrı açık rızasıyla yapılır).
- Yurt dışı sunucu nasıl değerlendirilir? Lokasyon ne olursa olsun aktarım KVKK m.9 kapsamındadır; uygun bir hukuki dayanak kurulmalıdır.
Bu iki kanunun sınırlarını bilmek, hem hukuki riski azaltır hem de müşteri güvenini pekiştirir.
Daha fazla bilgi için:
- KVKK Aydınlatma Metni: İmzala.org’un veri işleme politikasının tamamı
- Yargıtay Emsalleri ve Yasal Güvence: Dijital imzanın Türk mahkemelerindeki delil değeri
- Sık Sorulan Sorular: ESHS, biyometrik veri ve platform güvenliği
- Veri İşleme Sözleşmesi (DPA): Veri işleyen sıfatıyla uyguladığımız koşulları içeren yayımlanmış metin
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. KVKK uyum süreci için bir KVKK uzmanı veya hukuk danışmanına başvurun.