E-İmza Aracı Yalnız İmza Sahibinin Tasarrufunda mı Olmalı? 5070 m.4/b | 2026

5070 m.4/b hangi şartı getirir?

5070 sayılı Elektronik İmza Kanunu m.4, güvenli elektronik imzayı sıradan elektronik işaretlerden ayıran dört kurucu unsur sayar. Bunlardan m.4/b, imzanın sadece imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracıyla oluşturulmasını zorunlu tutar. Kanun burada yalnız cihazın mülkiyetini değil, fiilî ve güvenli kontrolü esas alır. İmza sahibinin kullandığı aracın başka kişiler tarafından serbestçe erişilebilir olması, hükmün korumak istediği kişisel kontrol alanıyla bağdaşmaz.

İmza oluşturma aracı yalnız USB token değildir. Kanundaki sistem, imza oluşturma verisinin güvenli biçimde kullanıldığı donanım veya yazılım bileşenlerini kapsar. Mobil imza altyapısında araç farklı teknik biçimde kurulabilir; buna rağmen hukuki ölçüt aynıdır: elektronik imza oluşturma işlemini başlatan ve imza oluşturma verisini kullanan süreç imza sahibinin kontrolünde olmalıdır.

Bu şart, m.4/a’daki imzanın münhasıran imza sahibine bağlı olması kuralını tamamlar. Kişiye bağlılık teorik kimlik bağını, m.4/b ise günlük kullanımda fiilî kontrolü korur. Bu nedenle iki bent ayrı ayrı fakat birlikte uygulanır.

“Yalnız imza sahibinin tasarrufu” ne anlama gelir?

Tasarruf kavramı, imza sahibinin aracı kendi iradesiyle kullanabilmesini ve üçüncü kişilerin bağımsız biçimde imza üretememesini ifade eder. Bir işyerinde tokenın açık çekmecede tutulması, PIN’in ekip içinde paylaşılması veya yöneticinin imzasının sekreter tarafından rutin biçimde atılması kişisel kontrol ilkesini ortadan kaldıran örneklerdir. Cihazın fiziksel olarak imza sahibinin odasında bulunması da tek başına yeterli değildir; erişim şifresinin başkalarında olması aynı riski yaratır.

Kanunun amacı, imza sahibinin iradesi ile oluşan elektronik imza arasında güvenilir bağ kurmaktır. Üçüncü kişi imza sahibinden bağımsız biçimde imza oluşturabiliyorsa, belgenin kimin iradesiyle imzalandığı konusunda uyuşmazlık doğar. Bu nedenle kurum içi kolaylık gerekçesiyle kişisel e-imza aracının ortaklaştırılması, güvenli imza sisteminin temel mantığına aykırıdır.

İmza aracı üzerinde teknik erişim kontrolü bulunması kadar organizasyonel tedbir de gerekir. PIN’in yazılı kâğıtla cihazın yanında tutulmaması, uzaktan erişim yetkilerinin sınırlandırılması, cihaz kaybında derhal bildirim yapılması ve işten ayrılma süreçlerinin kayıtlı yürütülmesi bu kontrolün fiilî göstergeleridir.

Güvenli imza oluşturma aracı hangi özellikleri taşımalıdır?

5070 m.6, güvenli elektronik imza oluşturma araçlarının temel özelliklerini ayrıca düzenler. İmza oluşturma verisinin eşi bulunmamalı, araç dışına çıkarılamamalı ve gizliliği korunmalı; üçüncü kişilerce elde edilememeli, kullanılamamalı ve imza sahteciliğine karşı korunmalıdır. Ayrıca imzalanacak veri imza sahibinin onayından önce görülebilmeli ve imza oluşturma işlemi dışında değiştirilememelidir.

Bu teknik şartlar m.4/b’deki kişisel tasarrufun soyut bir sözleşme hükmü olarak kalmasını önler. Araç, mimarisi gereği gizli anahtarın kopyalanmasını veya üçüncü kişinin fark edilmeden imza üretmesini engellemelidir. Güvenli donanımın bulunması, kullanıcı davranışındaki bütün riskleri ortadan kaldırmaz; kullanıcı kendi PIN’ini paylaşırsa teknik koruma fiilen aşılabilir.

Bir uyuşmazlıkta yalnız marka veya cihaz modeli değil, olay tarihinde kullanılan sertifika, imza formatı, cihaz erişimi ve doğrulama verileri birlikte değerlendirilir. Teknik araç hukuki sonucun taşıyıcısıdır; belgenin geçerliliği ise işlem türünün tabi olduğu maddi hukuk ve şekil kurallarıyla birlikte incelenir.

Token veya PIN başka çalışana verilebilir mi?

5070 m.10/f, elektronik sertifika hizmet sağlayıcısının sertifika sahibini, sertifikadaki imza doğrulama verisine karşılık gelen imza oluşturma verisini başkasına kullandırmaması konusunda bilgilendirmesini zorunlu kılar. Bu hüküm, güvenli elektronik imzanın kişisel niteliğini açık biçimde destekler. İmza sahibi, tokenı, akıllı kartı, PIN’i veya imza oluşturma verisine erişim sağlayan başka unsurları üçüncü kişinin kullanımına bıraktığında ciddi hukuki ve ispat sorunları ortaya çıkar.

Bir belgenin teknik doğrulamada geçerli görünmesi, yetkisiz kullanım iddiasını otomatik olarak ortadan kaldırmaz. Uyuşmazlıkta imza aracının kimde olduğu, erişim bilgilerine kimlerin ulaşabildiği, imza zamanı, sertifika iptal zamanı, cihaz veya sistem kayıtları ve tarafların yazışmaları birlikte incelenebilir. Özellikle “imzayı ben atmadım, çalışanım kullandı” savunması bakımından imza aracının korunmasına ilişkin olgular belirleyicidir.

İmza oluşturma verisinin rıza dışında elde edilmesi, verilmesi, kopyalanması, yeniden oluşturulması veya izinsiz imza üretiminde kullanılması 5070 m.16’da ayrıca suç olarak düzenlenmiştir. Bu nedenle imza aracının korunması yalnız özel hukuk açısından değil, ceza hukuku bakımından da önemlidir.

Şirket adına e-imza atıldığında imza kime bağlıdır?

Şirket adına yapılan elektronik işlemde güvenli elektronik imzanın sahibi yine gerçek kişidir. Bir şirket müdürü, yönetim kurulu üyesi veya temsilci şirket adına sözleşme imzaladığında elektronik imza o gerçek kişinin nitelikli elektronik sertifikasına dayanır. Şirketi bağlayan sonuç ise imza sahibinin temsil yetkisinden doğar.

Bu nedenle ticari sözleşmelerde iki ayrı kontrol yapılmalıdır. Birinci kontrol, elektronik imzanın teknik olarak geçerli olup olmadığıdır. İkinci kontrol ise imza sahibinin şirket adına o işlem bakımından temsil ve ilzam yetkisinin bulunup bulunmadığıdır. Teknik olarak geçerli bir e-imza, temsil yetkisi bulunmayan kişiye şirket adına sınırsız işlem yetkisi vermez.

Yetki sınırı ticaret sicili kayıtları, şirket sözleşmesi, yönetim organı kararları, iç yönerge ve özel vekâletname gibi belgelere göre değerlendirilir. Nitelikli elektronik sertifikada kişinin başka biri adına hareket yetkisine ilişkin bilgi bulunması mümkündür; ancak somut işlemde temsil yetkisinin kapsamı ayrıca kontrol edilmelidir.

İmza sahibi “tokenı çalışan kullandı” derse ne incelenir?

İnkâr halinde ilk adım özgün elektronik dosyanın teknik doğrulamasıdır. Sertifika kime ait, imza ne zaman oluşturulmuş, sertifika o anda geçerli mi, dosya imzadan sonra değiştirilmiş mi ve varsa zaman damgası ne gösteriyor soruları cevaplanır. Ardından yetkisiz kullanım iddiası bakımından cihazın kimde olduğu ve PIN’e kimlerin erişebildiği araştırılır.

İşletme içi loglar, cihaz zimmet tutanakları, e-posta ve mesaj kayıtları, işlem sistemindeki kullanıcı hareketleri, uzaktan erişim kayıtları, sertifika iptal talebi ve olay sonrasındaki bildirimler önem kazanabilir. İmza sahibinin uzun süre kendi aracını başkasına kullandırdığı ortaya çıkarsa, bu olgu uyuşmazlığın özel hukuk ve ispat değerlendirmesinde ayrıca dikkate alınır.

Belgenin yalnız yazdırılmış kopyası üzerinden sonuca gidilmemelidir. Çıktı, sertifika zinciri ve kriptografik bütünlük bilgisini taşımaz. Elektronik imzaya ilişkin ihtilafta özgün dosyanın korunması, teknik incelemenin ön koşuludur.

İmza aracının izinsiz kullanılması suç oluşturur mu?

5070 m.16, elektronik imza oluşturma amacıyla ilgili kişinin rızası dışında imza oluşturma verisini veya aracını elde etme, verme, kopyalama, yeniden oluşturma ve izinsiz elde edilen araçlarla elektronik imza oluşturma fiillerini suç olarak düzenler. Bu hüküm, imza aracının sıradan bir şirket parolası olmadığını ve kişisel kontrolün ceza hukuku ile de korunduğunu gösterir.

Fiilin elektronik sertifika hizmet sağlayıcısı çalışanı tarafından işlenmesi halinde Kanun ayrıca ağırlaştırma öngörür. Dolayısıyla olayın yalnız “işyeri içi yetki aşımı” olarak görülmesi doğru değildir; rıza dışı ele geçirme veya kullanım varsa ceza hukuku boyutu doğabilir. Somut fiil, failin kastı ve elde edilen verinin niteliği ayrıca değerlendirilir.

Rıza verilmiş bir paylaşım ile rıza dışında ele geçirme aynı suç değerlendirmesine tabi değildir. Buna rağmen rızayla paylaşım da güvenli kullanım yükümlülüklerini ve sonradan çıkabilecek özel hukuk uyuşmazlıklarını ortadan kaldırmaz.

Token kaybolursa veya çalınırsa hangi işlem yapılmalıdır?

İmza oluşturma aracı kaybolduğunda veya yetkisiz kişinin eline geçtiğinden şüphe edildiğinde sertifika hizmet sağlayıcısına gecikmeksizin bildirim yapılmalıdır. 5070 m.11, nitelikli elektronik sertifikanın sertifika sahibinin talebi üzerine derhal iptal edilmesini öngörür. İptal zamanı sonradan doğabilecek işlemlerin değerlendirilmesinde kritik kayıt haline gelir.

ESHS iptal zamanını tam olarak belirleyebilecek ve üçüncü kişilerin hızlı ve güvenli biçimde erişebileceği kayıt oluşturmakla yükümlüdür. Kanun geçmişe dönük iptale izin vermez. Bu nedenle cihazın kaybolduğunu günler sonra bildirmek, aradaki dönemde oluşturulan imzalar bakımından ispat sorununu büyütür.

Kurumsal prosedürde kayıp anı, bilgi güvenliği bildirimi, ESHS başvurusu, sertifika iptal zamanı ve varsa kolluk başvurusu ayrı kayıtlar halinde saklanmalıdır. Yeni cihaz veya yeni sertifika çıkarılması, eski sertifikanın olay tarihindeki durumunu geriye dönük değiştirmez.

Çalışan işten ayrıldığında e-imza aracı nasıl yönetilmelidir?

İşten ayrılan çalışan veya şirket temsilcisine ait e-imza aracı başka bir personele devredilip kullanılamaz. Çünkü sertifika ve imza oluşturma verisi belirli gerçek kişiye bağlıdır. İş ilişkisinin sona ermesi, sertifikanın teknik olarak o anda kendiliğinden geçersiz hale geldiği anlamına gelmese de eski çalışanın artık şirket adına temsil yetkisi bulunmayabilir. Bu nedenle erişim ve temsil tarafı birlikte kapatılmalıdır.

İşten ayrılış kontrol listesinde tokenın teslimi, şirket sistemlerindeki erişimlerin kaldırılması, gerekiyorsa sertifika iptali veya kullanım alanının sona erdirilmesi, ticaret sicili ve imza yetkisi kayıtlarının güncellenmesi ve devam eden elektronik iş akışlarının yeni yetkiliye yönlendirilmesi yer almalıdır. Eski çalışanın PIN’ini yeni kullanıcıya vererek aynı sertifikayla devam etmek hukuken doğru bir çözüm değildir.

Özellikle mali işlemler, kamu ihaleleri, KEP, UYAP veya ticari sözleşme platformlarında eski yetkilinin hesabı ve sertifikasıyla işlem yapılması sonradan temsil yetkisi ve yetkisiz imza tartışmasına yol açabilir.

E-imza iş akışı kişisel kontrolü nasıl korumalıdır?

Kurumsal elektronik imza sistemi, belgeyi hazırlayan kişi ile imzalayan yetkiliyi teknik olarak ayırmalıdır. Hazırlayan kullanıcı nihai metni imza kuyruğuna gönderebilir; fakat imza işlemi yetkilinin kendi kimlik doğrulaması ve kendi imza aracıyla tamamlanmalıdır. Sistem, yetkilinin görmediği veya sonradan değiştirilen dosyayı otomatik imzalatmamalıdır.

Onay ekranında belgenin konusu, tarafları, kritik tutarı ve nihai dosya sürümü görülebilmelidir. Yetkili, imza vermeden önce imzalanacak veriyi kontrol etmelidir. Bu yaklaşım m.4/b’nin kişisel tasarruf şartıyla m.6/d’nin imzalanacak verinin imza sahibince görülebilmesi şartını birlikte yerine getirmeye yardımcı olur.

İş akışı kayıtları da saklanmalıdır: belgeyi kim hazırladı, kim onaya gönderdi, yetkili hangi tarihte hangi dosyayı görüntüledi ve imza hangi sertifikayla üretildi. Bu kayıtlar uyuşmazlıkta yalnız teknik imza doğrulamasına değil, gerçek kurumsal iradenin ortaya konulmasına da katkı sağlar.

Şirketler için e-imza aracı kontrol listesi

Şirket, her e-imza aracını belirli kullanıcıya zimmetlemeli; ortak PIN kullanımını yasaklamalı; işlem hazırlama ve imzalama görevlerini ayırmalı; uzaktan erişimi sınırlamalı ve işten ayrılmada sertifika/cihaz prosedürünü işletmelidir. Yetki matrisinde hangi kişinin hangi işlem ve parasal sınır için temsil yetkisi bulunduğu da açıkça gösterilmelidir.

Elektronik sözleşme imzalanmadan önce yetkili kişi nihai dosyayı görmeli, dosyanın sürümünü ve eklerini kontrol etmeli, kendi aracıyla imzalamalıdır. Sistem yalnız imzanın başarılı olduğunu değil, belge sürümü, imzalayan kimliği ve işlem zamanını da kaydetmelidir. Bu kayıtlar daha sonra “başka metin imzalandı” iddiasını azaltır.

Denetim sırasında tek amaç teknik güvenlik değildir. Hukuki açıdan m.4/b’deki kişisel tasarruf, m.10/f’deki başkasına kullandırmama bilgilendirmesi ve m.16’daki izinsiz kullanım suçu birlikte ele alınmalıdır. Böylece cihaz güvenliği ile temsil yetkisi aynı kontrol sisteminde buluşturulur.

5070 m.4/b bakımından sonuç

5070 m.4/b güvenli elektronik imzanın temel güven varsayımını korur: imzayı üreten araç, imza sahibinin kişisel kontrolündedir. Bu şart olmadan sertifika sahibinin kimliği ile somut belgedeki irade açıklaması arasındaki bağ zayıflar. Bu nedenle e-imza cihazını ortaklaştırmak yalnız bilgi güvenliği sorunu değil, doğrudan elektronik imza hukukunun konusudur.

Somut dosyada “imza teknik olarak geçerli mi?” ve “imza aracını fiilen kim kullandı?” soruları ayrı ayrı cevaplanmalıdır. Teknik doğrulama sertifika ve bütünlük bilgisini verir; yetkisiz kullanım iddiası ise erişim kayıtları, bildirimler, şirket prosedürleri ve diğer delillerle incelenir.

Uygulamada en güvenli yaklaşım basittir: kişiye tahsisli aracı kişi kullanır, son metni kişi görür, temsil yetkisi işlemden önce kontrol edilir ve kayıp/şüphe halinde sertifika derhal iptal ettirilir.

Resmî kaynaklar ve site içi bağlantılar

Yürürlükteki temel metin için 5070 sayılı Elektronik İmza Kanunu, ikincil mevzuat için BTK Elektronik İmza Mevzuatı esas alınmalıdır. İmzanın kişiye bağlılığının ilk unsuru için 5070 m.4/a rehberi, genel hukuki sonuç için e-imzanın ıslak imzaya eşdeğerliği, sertifika iptali için 5070 m.11 rehberi ve elektronik delil için HMK 199 rehberi kullanılabilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →