ELEKTRONİK İMZA YASASI

Elektronik İmza Yasası

Şule TANSAL - Bilgisayar Mühendisi

Giriş

Bu yazıda, çok kapsamlı bir konu olan elektronik imzanın detaylı bir şekilde anlatılması yerine, konuya ilişkin genel bir bakış açısı ve fikir verilmesi amaçlanmıştır.

Elektronik imza yasanın ilk taslağı, Dış Ticaret Müsteşarlığına bağlı Elektronik Ticaret Koordinasyon Kurulu tarafından hazırlanmış ve tartışmaya açılmıştır. Sonrasında Adalet Bakanlığı tarafından yeni tasarı hazırlanmış ve Bakanlar Kurulu tarafından kabul edilen tasarı 9 Haziran 2003 tarihinde TBMM ye yasalaşması amacıyla gönderilmiş ve Meclis komisyonlarından geçerek Genel Kurulda 15 Ocak 2004 tarihinde yasalaşmıştır.

5070 Sayılı e-imza yasası, 23 Ocak 2004’te resmi gazetede yayınlandıktan sonra, yasa hükmü gereği 23 Temmuz 2004’te yürürlüğe girmiştir.

6 Ocak 2005’te yayınlanan tebliğ ve yönetmeliklerle yasanın şekillenmesi sağlanmıştır.

E-devlete geçişte önemli bir adım sayılabilecek bu yasal düzenleme ile özellikle güvenlik ve güvenilirlik konusu hukuksal boyut kazanmıştır.

Neden E-imza Yasasına Gerek Duyuldu? - Olası Uyuşmazlıkları Önlemek İçin…

Bilgisayar ve internet kullanımının yaygınlaşması, teknolojinin gelişmesi, yeni sosyal-sanal, ekonomik ortamların, dinamiklerin ortaya çıkmasını sağladı. İletişim yöntemlerimiz-alışkanlıklarımız değişti.

Elektronik iletişim yöntemlerine doğru hızlı bir değişim ve geçiş yaşıyoruz.

Doğal olarak bu değişimler Internet ortamında da bazı anlaşmazlık ve uyuşmazlıkları gündeme getirecekti.

İlginç ve sevindiricidir ki, ilk kez yaygın uygulama alanı olmayan bir konu, hukuki açıdan düzenlenmiş oldu.

90 elektrik mühendisliği

Birçok ülke ya Internet’e özel yasalar hazırlamakta ya da var olan yasalara Internet’i de içine alan düzenlemeler eklemektedir.

Bu düzenlemeler, Internet’i sınırlamaktan çok Internet üzerinde bilgi-belge-veri alışverişinde bulunanların hak ve özgürlüklerini güvence altına alma amacını taşımaktadır.

İş süreçlerinin otomasyonu diyebileceğimiz, e-ticaret, e-devlet işlemlerinde e-imzanın kullanılabilmesi bilgi-belge-veri alışverişlerimizde oluşabilecek anlaşmazlıkların önüne geçilebilecek ve elektronik ortamlarda gerçekleştireceğimiz işlemler yasal bir karşılığa kavuşmuş olacak.

Bu konuda ki diğer bir faktörde, Avrupa Komisyonunun 99/93/EC numaralı direktifidir.

Yasa bu direktif çerçevesinde hazırlanmış Almanya – Belçika – Avusturya – Fransa yasalarından esinlenilmiştir.

Tanım

Elektronik imza, 5070 sayılı Elektronik İmza Kanunu 3. madde b bendinde şöyle tanımlanmaktadır, “başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veri.”

Diğer bir deyişle, elektronik ortamda iletilen bilgi-veri ve belgelerin, kesinlikle bunları gönderen kuruma veya kişiye ait olduğunu doğrulayarak, verinin başkası tarafından yollanmadığını garanti edecek teknolojik uygulamadır.

Bu uygulama ile elektronik olarak imzalanmış bir belgeyi yollayan kişi, onu yolladığını, alıcı da aldığını inkar edememektedir.

E-imza İle Neler Yapılamaz?

Yasadaki şekliyle,

“Kanunların resmi şekle veya özel merasime tabi tuttuğu hukuki işlemler ile teminat sözleşmeleri güvenli elektronik imza ile gerçekleştirilemez”.

Bu kapsamda noterlerce yapılan işlemler, gayrimenkul ve motorlu araç alım satımları, evlenme işlemleri e-imza ile gerçekleştirilemez.

Kesin ve Takdiri Delil Ne Demektir?

Klasik imza (ıslak imza) ile imzaladığımız belgeler kesin delil kapsamında yer alırken, elektronik ortamda üretilen belgeler takdiri delil sayılmaktadır. Elektronik ortamda yaratılan belgelerde, güvenli elektronik imza kullanılması durumunda bu belgeler kesin delil kapsamına girmektedir.

(Madde 5 Güvenli Elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur.)

Ayrıca e-imza yasasında, Borçlar Kanunu ve Hukuk Usulü Muhakemeleri Kanuna eklenen maddelerle e-imzalanmış belgeler kesin delil sayılacaktır.

Borçlar Kanunu 14. Madde Birinci Fıkrasına eklenen cümle:

Madde 22 Güvenli elektronik imza elle atılan imza ile aynı ispat gücüne haizdir.

Hukuk Usulü Muhakemeleri Kanuna 295/A Maddesi olarak eklenen cümle:

Madde 23 Usulüne göre güvenli elektronik imza ile oluşturulan elektronik veriler senet hükmündedir. Bu veriler aksi ispat edilinceye kadar kesin delil sayılırlar.

Hukuksal çerçevesini kısaca tanımladığımız e-imza’yı daha nesnel tanımlayabilmemiz için uygulamanın bileşenlerine ve tanılama yöntemlerine değinmemiz gerekecek.

E-imza Bileşenleri

E-imza da kurumsal veya kişisel kullanımı seçmemiz mümkün, ticari bir servis olduğu için hizmeti, bu hizmeti sağlayan ve Elektronik Sertifika Hizmet Sağlayıcısı veya kısaca ESHS olarak adlandırılan

elektrik mühendisliği 91

kuruluşlardan alınması söz konusu, ESHS’lerin Türk Telekomünikasyon Kurumu denetiminde olduğu unutulmamalı.

Kullanım aşamasında, imzasına güvendiğimiz kurumlar veya kişiler olabileceği gibi, e-imzalı belgelerimizi ilettiğimiz üçüncü kişiler kurumlar veya kişiler olabilmektedir.

Kullanım Boyutu (Servisi alanlar)

• Kurumsal • Kişisel Servis Boyutu (Servisi sağlayanlar) • Elektronik Sertifika Hizmet Sağlayıcıları – ESHS Denetim Boyutu (Hukuki – Teknik – Mali) • Kurum – Türk Telekomünikasyon Kurumu Güvenen Taraflar (Üçüncü kişiler) • Bireyler • Kurumlar

Tanılama Yöntemleri

Tanıma ya da tanılama kavramındaki yöntemler kişinin bildiği bir şey olabileceği gibi, sahip olduğu bir şey ya da kişinin bir parçası olabilir, örnek olarak bildiğimiz şifreler - PİN kodları, sahip olduğumuz anahtarlar ya da biyolojik olarak sahip olduğumuz parmak izimiz, göz retinamız tanımamızı / tanınmamızı sağlayabilecek unsurlardır.

e-imza konusundaki tanılama yöntemlerinde, daha çok sahip olunan bir şey yaklaşımı ile Akıllı Kart veya USB Token’lar kullanılmaktadır.

Güvenli Elektronik İmza

Hukuki düzenlemeden anlaşılacağı üzere en önemli konu güvenlik ve güvenilirlik olmaktadır.

Yasada tanımı yapılan güvenli elektronik imza şu özellikleri taşır:

a) Münhasıran imza sahibine bağlı olan, b) Sadece imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracı ile oluşturulan, c) Nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğinin tespitini sağlayan, d) İmzalanmış elektronik veride sonradan herhangi bir değişiklik yapılıp yapılmadığının tespitini sağlayan, elektronik imzadır.

Güvenli elektronik imza oluşturma araçları a) Ürettiği elektronik imza oluşturma verilerinin kendi aralarında bir eşi daha bulunmamasını, b) Üzerinde kayıtlı olan elektronik imza oluşturma verilerinin araç dışına hiçbir biçimde çıkarılamamasını ve gizliliğini, c) Üzerinde kayıtlı olan elektronik imza oluşturma verilerinin, üçüncü kişilerce elde edilememesini, kullanılamamasını ve elektronik imzanın sahteciliğe karşı korunmasını, d) İmzalanacak verinin imza sahibi dışında değiştirilememesini ve bu verinin imza sahibi tarafından imzanın oluşturulmasından önce görülebilmesini sağlayan imza oluşturma araçlarıdır.

Güvenli elektronik imza doğrulama araçları a) İmzanın doğrulanması için kullanılan verileri, değiştirmeksizin doğrulama yapan kişiye gösteren, b) İmza doğrulama işlemini güvenilir ve kesin bir biçimde çalıştıran ve doğrulama sonuçlarını değiştirmeksizin doğrulama yapan kişiye gösteren, c) Gerektiğinde, imzalanmış verinin güvenilir bir biçimde gösterilmesini sağlayan, d) İmzanın doğrulanması için kullanılan elektronik sertifikanın doğruluğunu ve geçerliliğini güvenilir bir biçimde tespit ederek sonuçlarını değiştirmeksizin doğrulama yapan kişiye gösteren, e) İmza sahibinin kimliğini değiştirmeksizin doğrulama yapan kişiye gösteren, f) İmzanın doğrulanması ile ilgili şartlara etki edecek değişikliklerin tespit edilebilmesini sağlayan imza doğrulama araçlarıdır.

Nitelikli Elektronik Sertifika

Yasadaki tanımıyla nitelikli elektronik sertifikada, a) Sertifikanın “nitelikli elektronik sertifika” olduğuna dair bir ibarenin, b) Sertifika hizmet sağlayıcısının kimlik bilgileri ve kurulduğu ülke adının, c) İmza sahibinin teşhis edilebileceği kimlik bilgilerinin, d) Elektronik imza oluşturma verisine karşılık gelen imza doğrulama verisinin, e) Sertifikanın geçerlilik süresinin başlangıç ve bitiş tarihlerinin, f) Sertifikanın seri numarasının, g) Sertifika sahibi diğer bir kişi adına hareket ediyorsa bu yetkisine ilişkin bilginin, h) Sertifika sahibi talep ederse meslekî veya diğer kişisel bilgilerinin, ı) Varsa sertifikanın kullanım şartları ve kullanılacağı işlem-

92 elektrik mühendisliği

lerdeki maddî sınırlamalara ilişkin bilgilerin, j) Sertifika hizmet sağlayıcısının sertifikada yer alan bilgileri doğrulayan güvenli elektronik imzasının bulunması zorunludur. Elektronik Sertifika Hizmet Sağlayıcısı (ESHS), nitelikli elektronik sertifika vereceği kişilerin kimliğini; nüfus cüzdanı, pasaport, sürücü belgesi gibi fotoğraflı ve geçerli resmi belgelere göre tespit eder. Nitelikli elektronik sertifika verilecek kişi kimlik tespiti esnasında bizzat hazır bulunur. Nitelikli elektronik sertifika başvurusu sırasında sertifika verilecek kişiye ait kimliğin doğru ve güvenilir biçimde tespit edilmesinden ESHS sorumludur.

ESHS, nitelikli elektronik sertifika sahibinin diğer bir kişi adına hareket edebilme yetkisinin, mesleki veya diğer kişisel bilgilerinin sertifikada yer alması durumunda, bu bilgileri resmi belgelere dayanarak eksiksiz, doğru ve güvenilir biçimde tespit eder; sertifika verilecek kişiden, sertifika vermek için gerekli olan bilgiler hariç, bilgi talep edemez. ESHS, bu bilgileri nitelikli elektronik sertifika sahibinin onayı olmaksızın üçüncü kişilere iletemez ve başka amaçlarla kullanamaz.

Nitelikli Elektronik Sertifikanın Oluşturulması

ESHS, nitelikli elektronik sertifika

başvurusundan sonra sertifikayı oluşturur ve sertifika sahibine teslim eder. Nitelikli elektronik sertifikanın geçerlilik süresi sözleşmeyle belirlenir.

Nitelikli Elektronik Sertifikanın Yayımlanması

ESHS, sertifika sahibinin onayını almak kaydıyla nitelikli elektronik sertifikayı kamuya açık bir dizinde yayımlar. ESHS, dizin hizmetinin kesintisiz olarak verilmesini sağlar.

Nitelikli Elektronik Sertifikanın Yenilenmesi

Nitelikli elektronik sertifika, geçerlilik süresinin sona ermesinden önce sertifika sahibinin veya sertifika sahibinin onayını almak koşuluyla kurumsal başvuru sahibinin talebi doğrultusunda ESHS tarafından yenilenebilir. ESHS nitelikli elektronik sertifikayı, sertifika sahibine ait bilgilerin geçerliliğini doğrulayarak yeniler.

Kısa Kısa

• Avrupa da 3 milyon e-imza kullanıcısı bulunmakta.

• Sahip olma maliyetinin 20$ - 65$ arasında • ESHS yatırım maliyeti 3 milyon$ - 15 milyon$ arasında olması bekleniyor • ESHS’lerin 7/24 çalışan çağrı merkezleri olacak • Güvenlik Standartları:

1. CWA14167-1

2. ETSI TS 101 456

3. TS ISO/IEC 17799

• Ticari olarak çalışmalarını sürdüren firmalar

- Türktrust (TSK Elele Vakfı Kuruluşu)

- Tursign

- E-güven

• ESHS'lerin Noter veya Yeminli Müşavir gibi güvenilir kuruluşlar olmaları beklenmekte. • Tüm kamu kurum ve kuruluşların kurumsal sertifika gereksinimlerini, kök sertifika sağlayıcı olarak Tübitak - UEKAE karşılayacak, Tübitak Nisan sonu itibariyle çalışmalarını tamamlamış olacak. • Özel güvenlik gereksinimleri nedeniyle TSK, Emniyet, MİT ve Sahil Güvenlik gibi kurumlar sertifikalarını kendileri sağlayacak.

Yararlanılan Kaynaklar

www.tk.gov.tr

http://turk.internet.com

<

elektrik mühendisliği 93