Güvenli E-İmzada İmza Sahibine Münhasır Bağlılık Şartı Nedir? 5070 m.4/a | 2026

5070 m.4/a hangi kuralı getirir?

5070 sayılı Elektronik İmza Kanunu, her elektronik veriyi “güvenli elektronik imza” olarak kabul etmez. Kanunun 3 üncü maddesinde elektronik imza geniş biçimde tanımlanırken, 4 üncü maddede güvenli elektronik imza için daha sıkı şartlar belirlenmiştir. Madde 4/a’daki ilk şart, imzanın münhasıran imza sahibine bağlı olmasıdır. Bu nedenle bir belgeye yazılan isim, taranmış ıslak imza görüntüsü, e-posta sonuna eklenen imza bloğu veya ekranda çizilen bir imza şekli sırf görünüşünden dolayı 5070 m.4 anlamında güvenli elektronik imza sayılmaz.

“Bağlılık” kavramının hukuki işlevi açıktır: Elektronik imza, belirli bir imza sahibinin irade açıklamasıyla ilişkilendirilebilir olmalıdır. Kanunun sistemi yalnız belge üzerinde bir işaret bulunmasına değil, imzanın sahibiyle teknik olarak doğrulanabilir bir bağ kurulmasına dayanır. Bu bağın kurulması tek başına m.4/a ile tamamlanmaz; nitelikli elektronik sertifika ve güvenli imza oluşturma aracına ilişkin diğer bentler de aynı sistemin parçalarıdır.

Resmî ve güncel mevzuat metni için 5070 sayılı Elektronik İmza Kanunu, elektronik imzaya ilişkin ikincil düzenlemeler için BTK Elektronik İmza Mevzuatı esas alınmalıdır.

“Münhasıran imza sahibine bağlı” ne demektir?

Kanundaki “münhasıran” sözcüğü, güvenli elektronik imzanın herhangi bir kişi grubuna, kurumsal hesaba veya ortak kullanılan bir kimliğe değil, belirli bir imza sahibine bağlanmasını ifade eder. 5070 sayılı Kanun m.3/c’ye göre imza sahibi, elektronik imza oluşturmak amacıyla bir imza oluşturma aracını kullanan gerçek kişidir. Bu tanım nedeniyle güvenli elektronik imzanın merkezinde bir gerçek kişi bulunur.

Bu kuralın sonucu, elektronik imzanın kurumsal unvanla tek başına özdeşleştirilememesidir. Bir şirket, dernek, vakıf veya kamu tüzel kişisi adına hukuki işlem yapılırken elektronik imzayı kullanan kişi yine gerçek kişidir. Tüzel kişi adına işlem yapılabilmesi için ayrıca temsil yetkisinin bulunması gerekir. Dolayısıyla “imzanın kime ait olduğu” ile “imza sahibinin kimi temsil ettiği” iki ayrı hukuki sorudur.

Münhasır bağlılık, bir hesabın kullanıcı adı ve şifresini bilmekten daha güçlü bir hukuki-teknik yapı ifade eder. Kullanıcı hesabı birden fazla kişiye açılabilir veya parola paylaşılabilir. Güvenli elektronik imzada ise Kanun, imza sahibine özgü imza oluşturma verisi, güvenli araç ve nitelikli elektronik sertifika üzerinden kişisel bağ kurar. Bu nedenle sistemin güvenilirliği, imza oluşturma verisinin başka kişilerin kullanımına bırakılmamasıyla doğrudan bağlantılıdır.

5070 m.4’teki dört şart birlikte mi aranır?

Evet. Güvenli elektronik imzanın Kanundaki tanımı dört ayrı unsurdan oluşur ve bunlar birbirinin alternatifi değildir. İmzanın münhasıran imza sahibine bağlı olması m.4/a’daki ilk unsurdur. Madde 4/b, imzanın yalnız imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracıyla oluşturulmasını; m.4/c, nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğinin tespitini; m.4/d ise imzalanmış elektronik veride sonradan değişiklik yapılıp yapılmadığının belirlenebilmesini arar.

Bu yapı uygulamada önemli bir ayrım doğurur. Örneğin bir PDF’nin sonuna kişinin adı ve imza resmi eklenmiş olabilir. Belgenin görünüşü imzalanmış izlenimi verse de m.4/b, c ve d’deki teknik koşullar yoksa güvenli elektronik imza statüsünden söz edilemez. Buna karşılık güvenli elektronik imza doğrulaması; sertifika sahibini, sertifikanın niteliğini ve belgenin bütünlüğünü teknik olarak kontrol etmeye imkân verir.

Güvenli elektronik imzanın elle atılan imzayla aynı hukuki sonucu doğurmasına ilişkin temel kural 5070 m.5’tedir. Bu konuda ayrıntılı değerlendirme için E-İmza Islak İmza ile Aynı mı? başlıklı rehber incelenebilir. Madde 5’teki hukuki sonuçtan yararlanılabilmesi için öncelikle kullanılan elektronik imzanın m.4 anlamında güvenli elektronik imza niteliğini taşıması gerekir.

Münhasır bağlılık şartı kimlik tespitiyle aynı şey midir?

Hayır. Madde 4/a’daki kişiye bağlılık ile m.4/c’deki kimlik tespiti birbiriyle bağlantılı fakat farklı unsurlardır. Münhasır bağlılık, oluşturulan elektronik imzanın belirli imza sahibine özgü olmasını hedefler. Kimlik tespiti ise nitelikli elektronik sertifika üzerinden bu kişinin kim olduğunun doğrulanmasına ilişkindir.

Bu ayrım özellikle sahte hesaplar, başkasının adıyla açılmış kullanıcı profilleri ve taranmış imza görsellerinde önem kazanır. Bir dosyada “Ahmet Yılmaz” yazması, dosyanın gerçekten o kişi tarafından güvenli elektronik imzayla imzalandığını kanıtlamaz. Güvenli elektronik imza doğrulamasında sertifika bilgileri ve imza doğrulama verisi incelenir. Böylece yalnız görünür ad değil, sertifika altyapısı üzerinden kimlik bağı kurulmuş olur.

Elektronik sertifikadaki kimlik verilerinin hangi şartlarla bulunması gerektiği 5070 m.9’da ayrıca düzenlenmiştir. Sitedeki Nitelikli Elektronik Sertifika Nedir? rehberi bu yapıyı genel olarak açıklar. Yeni bir uyuşmazlıkta yalnız sertifika ekran görüntüsüne değil, özgün elektronik belgenin doğrulama sonucuna bakılması gerekir.

İmza oluşturma aracıyla kişiye bağlılık arasındaki ilişki nedir?

5070 m.4/b, güvenli elektronik imzanın yalnız imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracıyla oluşturulmasını şart koşar. Madde 6 ise güvenli imza oluşturma araçlarının teknik güvenlik özelliklerini düzenler. Bu hükümler m.4/a’daki kişiye bağlılık ilkesini fiilen koruyan mekanizmalardır.

İmza oluşturma verisi, Kanunun 3 üncü maddesinde imza sahibine ait olan ve elektronik imza oluşturmak için kullanılan, eşi bulunmayan şifreler veya kriptografik gizli anahtarlar gibi veriler olarak tanımlanır. Güvenli araç bu verinin dışarı çıkarılamamasını, üçüncü kişilerce elde edilememesini ve elektronik imzanın sahteciliğe karşı korunmasını sağlamalıdır. Böylece imza sahibine bağlanan imza oluşturma verisinin kontrolsüz biçimde çoğaltılması önlenir.

Bu nedenle “imza bana ait ama cihazı herkes kullanıyor” şeklindeki bir kurumsal kullanım düzeni, güvenli elektronik imzanın mantığıyla bağdaşmaz. İmza oluşturma aracının fiziksel veya dijital erişim güvenliği, PIN/şifre koruması, kayıp ve çalınma durumunda yapılacak iptal işlemleri somut uyuşmazlıkta önem taşır.

Nitelikli elektronik sertifikanın m.4/a bakımından rolü nedir?

Nitelikli elektronik sertifika, imza sahibinin kimliği ile imza doğrulama verisi arasında güvenilir bağ kurulmasını sağlar. Madde 4/c bu sertifikaya açıkça atıf yapar. Madde 9’da nitelikli elektronik sertifikada bulunması zorunlu bilgiler tek tek sayılmıştır. Sertifikanın nitelikli olduğuna dair ibare, hizmet sağlayıcının kimliği ve kurulduğu ülke, imza sahibinin teşhis edilebilmesini sağlayan bilgiler, imza doğrulama verisi, geçerlilik tarihleri ve seri numarası bu sistemin temel öğeleridir.

Sertifikanın görevi, “bu elektronik imzayı oluşturan kişi kimdir?” sorusunun teknik olarak doğrulanmasına zemin hazırlamaktır. İmzanın münhasır bağlılığı ise bu kimlik bağının uygulamada başka kişi tarafından kullanılmamasını gerektirir. Sertifika doğru kişiye verilmiş olsa bile imza oluşturma aracının üçüncü kişilere kullandırılması ayrı bir risk yaratır.

Elektronik Sertifika Hizmet Sağlayıcısı kimliği doğrularken 5070 m.10’daki yükümlülüklere uymak zorundadır. Bu nedenle sertifika başvurusu sırasında yapılan kimlik doğrulama işlemi, sonraki elektronik imzanın kişiye bağlanmasının başlangıç aşamasıdır.

Token, akıllı kart, PIN veya imza aracının paylaşılması ne sonuç doğurur?

5070 m.10/f, elektronik sertifika hizmet sağlayıcısının sertifika sahibini, sertifikadaki imza doğrulama verisine karşılık gelen imza oluşturma verisini başkasına kullandırmaması konusunda bilgilendirmesini zorunlu kılar. Bu hüküm, güvenli elektronik imzanın kişisel niteliğini açık biçimde destekler. İmza sahibi, tokenı, akıllı kartı, PIN’i veya imza oluşturma verisine erişim sağlayan başka unsurları üçüncü kişinin kullanımına bıraktığında ciddi hukuki ve ispat sorunları ortaya çıkar.

Bir belgenin teknik doğrulamada geçerli görünmesi, yetkisiz kullanım iddiasını otomatik olarak ortadan kaldırmaz. Uyuşmazlıkta imza aracının kimde olduğu, erişim bilgilerine kimlerin ulaşabildiği, imza zamanı, sertifika iptal zamanı, cihaz veya sistem kayıtları ve tarafların yazışmaları birlikte incelenebilir. Özellikle “imzayı ben atmadım, çalışanım kullandı” savunması bakımından imza aracının korunmasına ilişkin olgular belirleyicidir.

İmza oluşturma verisinin rıza dışında elde edilmesi, verilmesi, kopyalanması, yeniden oluşturulması veya izinsiz imza üretiminde kullanılması 5070 m.16’da ayrıca suç olarak düzenlenmiştir. Bu nedenle imza aracının korunması yalnız özel hukuk açısından değil, ceza hukuku bakımından da önemlidir.

Şirket adına e-imza atıldığında imza kime bağlıdır?

Şirket adına yapılan elektronik işlemde güvenli elektronik imzanın sahibi yine gerçek kişidir. Bir şirket müdürü, yönetim kurulu üyesi veya temsilci şirket adına sözleşme imzaladığında elektronik imza o gerçek kişinin nitelikli elektronik sertifikasına dayanır. Şirketi bağlayan sonuç ise imza sahibinin temsil yetkisinden doğar.

Bu nedenle ticari sözleşmelerde iki ayrı kontrol yapılmalıdır. Birinci kontrol, elektronik imzanın teknik olarak geçerli olup olmadığıdır. İkinci kontrol ise imza sahibinin şirket adına o işlem bakımından temsil ve ilzam yetkisinin bulunup bulunmadığıdır. Teknik olarak geçerli bir e-imza, temsil yetkisi bulunmayan kişiye şirket adına sınırsız işlem yetkisi vermez.

Yetki sınırı ticaret sicili kayıtları, şirket sözleşmesi, yönetim organı kararları, iç yönerge ve özel vekâletname gibi belgelere göre değerlendirilir. Nitelikli elektronik sertifikada kişinin başka biri adına hareket yetkisine ilişkin bilgi bulunması mümkündür; ancak somut işlemde temsil yetkisinin kapsamı ayrıca kontrol edilmelidir.

İmzanın belirli kişiye bağlı olmadığı iddia edilirse hangi kayıtlar incelenir?

Elektronik imza uyuşmazlığında özgün elektronik dosya korunmalıdır. Yazdırılmış çıktı veya ekran görüntüsü, kriptografik doğrulama için yeterli veri sağlamayabilir. Özgün dosya üzerinden imzanın sertifika bilgileri, sertifika seri numarası, geçerlilik zamanı, imza doğrulama sonucu, dosyanın imzadan sonra değişip değişmediği ve varsa zaman damgası incelenebilir.

Sertifika iptal kayıtları da önemlidir. İmza aracı kaybolmuş, çalınmış veya yetkisiz kullanımdan şüphe edilmişse sertifika sahibinin ESHS’ye yaptığı bildirim ile gerçek iptal zamanı karşılaştırılır. Nitelikli elektronik sertifikaların hangi hâllerde iptal edileceğine ilişkin ayrıntılar için 5070 m.11 Sertifika İptali Rehberi incelenebilir.

Hukuk yargılamasında elektronik verinin belge ve senet niteliği ayrıca HMK çerçevesinde değerlendirilir. Elektronik delilin genel çerçevesi için HMK m.199 Elektronik Belge Rehberi yararlıdır. Teknik geçerlilik ile belgenin somut uyuşmazlıktaki hukuki etkisi birbirinden ayrılmalıdır.

İmza sahibi, imzayı inkâr ederse ne yapılır?

Bir kişinin “bu elektronik imza bana ait değil” demesi, doğrulama sürecinin sonu değil başlangıcıdır. Öncelikle belgenin gerçekten güvenli elektronik imzayla oluşturulup oluşturulmadığı ve sertifikanın kime ait olduğu teknik olarak belirlenir. Ardından yetkisiz kullanım iddiası varsa imza oluşturma aracının kontrolü, PIN güvenliği, olay tarihindeki sertifika durumu ve bildirim kayıtları değerlendirilir.

İmza sahibinin tokenı üçüncü kişiye isteyerek vermesi ile cihazın rızası dışında ele geçirilmesi aynı olgu değildir. Kanun hem imza sahibine bağlılık hem de yalnız imza sahibinin tasarrufundaki güvenli araç şartını birlikte aradığı için uyuşmazlıkta kullanım koşulları önem taşır. İmza aracının kurum içinde ortak çekmecede tutulması, şifrenin ekip üyeleriyle paylaşılması veya uzak erişimle başkasına kullandırılması ispat değerlendirmesini doğrudan etkileyebilir.

Bu nedenle şirket ve kurumların kişiye tahsis edilen e-imza araçları için zimmet, erişim, kayıp/çalınma ve işten ayrılma prosedürlerini yazılı hale getirmesi gerekir. Hukuki uyuşmazlık çıktığında geriye dönük olarak kimin hangi tarihte araca eriştiğini gösteren kayıtların bulunması delil yönetimini kolaylaştırır.

Uzaktan kimlik doğrulama m.4/a’daki kişisel bağı zayıflatır mı?

Hayır. 5070 m.10, nitelikli sertifika verilecek kişinin kimliğinin resmî belgelere göre veya Türkiye Cumhuriyeti kimlik kartı vasıtasıyla uzaktan güvenilir biçimde tespit edilebilmesine izin verir. Kimliğin uzaktan doğrulanması, güvenli elektronik imzanın kişiye bağlı olma şartını ortadan kaldırmaz. Aksine, uzaktan süreç de mevzuatın öngördüğü güvenilir kimlik tespiti mekanizmasına uymalıdır.

Kimlik kartı vasıtasıyla uzaktan güvenilir kimlik tespiti yapılmışsa ESHS’nin nitelikli sertifikayı kimlik kartına uzaktan güvenilir biçimde yükleyebilmesine ilişkin ayrıca m.10’da hüküm vardır. Burada belirleyici olan işlemin fiziksel şubede mi yoksa uzaktan mı yapıldığı değil, kimlik tespitinin ve sertifika üretim sürecinin Kanun ve ikincil düzenlemelere uygun yürütülmesidir.

İşletmeler ve bireyler için uygulama kontrol listesi

Bir elektronik belgenin güvenli e-imza ile imzalandığından emin olmak için önce dosyanın özgün elektronik sürümü korunmalıdır. İmza doğrulama yazılımında sertifikanın nitelikli olup olmadığı, sertifika sahibinin kimliği, geçerlilik tarihleri, iptal durumu ve belgenin bütünlüğü kontrol edilmelidir. Belgeyi imzalayan kişi bir şirket veya başka tüzel kişi adına hareket ediyorsa temsil yetkisi ayrıca doğrulanmalıdır.

İmza sahibi bakımından temel kural, imza oluşturma aracı ve erişim verilerinin üçüncü kişilerle paylaşılmamasıdır. Kayıp, çalınma veya yetkisiz erişim şüphesinde ESHS’ye gecikmeksizin başvurulmalı ve iptal sürecinin zamanı kayıt altına alınmalıdır. Şirketlerde işten ayrılan personelin e-imza aracının başka çalışana devredilmesi yerine yeni yetkili için kendi kimliğine bağlı sertifika süreci yürütülmelidir.

E-imzalı belgenin UYAP veya benzeri sistemlerde kullanımında teknik kurulum sorunları yaşanıyorsa UYAP E-İmza Kurulum Hataları rehberi ayrıca kullanılabilir. Teknik kurulumun tamamlanması, hukuki temsil ve belge içeriği kontrolünün yerine geçmez.

5070 m.4/a ile m.16 arasındaki bağlantı nedir?

Madde 4/a güvenli elektronik imzanın münhasıran imza sahibine bağlı olmasını kurucu unsur olarak belirlerken, m.16 imza oluşturma verisi veya aracının kişinin rızası dışında ele geçirilmesi ve kullanılmasına ceza hukuku sonucu bağlar. Böylece Kanun bir yandan güvenli imzanın kişisel bağını tanımlar, diğer yandan bu bağın izinsiz müdahaleyle bozulmasına karşı yaptırım öngörür.

Madde 16’ya göre elektronik imza oluşturma amacıyla ilgili kişinin rızası dışında imza oluşturma verisini veya aracını elde eden, veren, kopyalayan, yeniden oluşturan ya da izinsiz elde edilen araçlarla elektronik imza oluşturan kişiler için hapis ve adlî para cezası öngörülmüştür. Fiilin elektronik sertifika hizmet sağlayıcısı çalışanı tarafından işlenmesi hâlinde Kanun cezayı ayrıca ağırlaştırır. Bu hüküm, “PIN paylaşımı küçük bir teknik konu” yaklaşımının hukuken doğru olmadığını gösterir.

Güvenli e-imzada kişiye bağlılık neden ayrı bir arama niyetidir?

Kullanıcıların önemli bir kısmı “e-imza kimin adına çıkar”, “şirket e-imzası kişiye mi şirkete mi ait”, “e-imza başkasına kullandırılır mı”, “e-imza sahibine bağlı mı” ve “token paylaşılırsa ne olur” gibi dar sorularla arama yapar. Bu sorular genel “e-imza nedir?” içeriğinden farklıdır. 5070 m.4/a, bu arama niyetlerinin ortak hukuki temelini oluşturur.

Bu nedenle bu rehber, sitedeki genel e-imza ve nitelikli sertifika yazılarını tekrar etmek yerine yalnız kişiye bağlılık unsurunu derinleştirir. Genel hukuki sonuç için m.5, sertifika içeriği için m.9, sertifika iptali için m.11 ve elektronik delil için HMK 199 rehberlerine iç bağlantı verilmesi bu içeriklerin birbirini tamamlamasını sağlar.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →