Elektronik imza ile ilgili süreçlere ve teknik kriterlere ilişkin tebliğ, sertifika üretiminden imzanın doğrulanmasına kadar uzanan teknik zinciri düzenler. Bu teknik zincirin hukuki karşılığı ise oldukça somuttur: bir uyuşmazlıkta elektronik imzalı belgenin ispat gücü, bu kriterlere uyulup uyulmadığına bağlıdır.
Güvenli elektronik imzanın hukuki değeri
Hukuk Muhakemeleri Kanunu, güvenli elektronik imzayla oluşturulmuş verilere senet hükmü tanır. Bu, ıslak imzalı bir belgeye tanınan ispat gücüne denk bir sonuç doğurur. Buna karşılık her elektronik işaret, taranmış imza görüntüsü veya elektronik posta altındaki isim, güvenli elektronik imza sayılmaz. Uygulamada tarafların en çok karıştırdığı nokta budur.
Sertifika hizmet sağlayıcısının rolü
İmzanın güvenilirliği, imza sahibinin kimliğinin doğru tespit edilmesine, sertifikanın geçerlilik süresine ve iptal durumunun anlık olarak sorgulanabilmesine dayanır. Bir uyuşmazlıkta ilk sorulacak sorular şunlardır: imzanın atıldığı iddia edilen anda sertifika geçerli miydi, iptal edilmiş miydi, zaman damgası var mıydı?
İmzanın inkârı hâlinde ispat
Taraflardan biri imzayı inkâr ettiğinde inceleme, klasik imza incelemesinden farklı yürür; teknik doğrulama kayıtları, sertifika durum bilgisi ve zaman damgası kayıtları esas alınır. Bu nedenle kurumların, imzalı belgeyi saklamakla yetinmeyip doğrulama çıktısını ve zaman damgasını da aynı dosyada saklaması gerekir. Yalnızca belgenin kendisini saklamak, yıllar sonra doğrulama yapılamaması riskini doğurur.
Kurumsal kullanımda risk noktaları
- İmza aracının çalışanlar arasında paylaşılması
- Görevden ayrılan personelin sertifikasının iptal edilmemesi
- İmza yetkisi ile temsil yetkisinin karıştırılması
- Zaman damgası kullanılmaması nedeniyle imza anının tartışmalı kalması
- Arşivde belge saklanırken doğrulama kayıtlarının atılması
Şirket içi asgari politika
Elektronik imza kullanan bir kurumun yazılı bir kullanım politikası bulunmalı; hangi işlem türünde kimin imza atacağı, imza aracının teslim ve iadesi, kayıp veya şüpheli kullanım durumunda izlenecek adımlar belirlenmelidir. Kişisel verilerin işlenmesi söz konusu olduğunda 6698 sayılı Kanun kapsamındaki yükümlülüklerin de bu politikayla birlikte değerlendirilmesi gerekir.
Bu yazı genel bilgilendirme niteliğindedir; elektronik imzalı bir belgeye dayanan ya da böyle bir belgeye karşı ileri sürülen taleplerde teknik kayıtların incelenmesi şart olduğundan, uyuşmazlık doğduğunda kayıtları silmeden hukuki değerlendirme alınması önerilir.