Elektronik İmzanın Oluşturulması ve Doğrulanması: Hukuki Etkisi Nedir?

İnternet üzerindeki etkileşimlerde, karşı tarafı yüz yüze görmeye gerek olmadığından, bilgi gönderenin ve alıcının gerçekten kim olduklarını ve bilginin yolda değiştirilip değiştirilmediğini doğrulamak gereklidir.

Burada, bu amaç için etkili bir araç olan kriptografi teknolojisinin uygulandığı dijital imza oluşturma ve doğrulama hakkında açıklama yapacağız.

Elektronik İmza Nedir

“Elektronik İmza Kanunu (Japon Elektronik İmza ve Doğrulama İşlemleri Hakkında Kanun)” elektronik belgelere uygulanan “elektronik imza”nın tanımını, etkisini ve bu doğrulama işlemini düzenleyen ve elektronik imzanın yasal geçerliliğini belirleyen bir kanundur.

Bu Elektronik İmza Kanunu’na göre “elektronik imza”, elektromanyetik kayıtlara kaydedilebilecek bilgilerle ilgili olarak alınan bir önlemdir ve;

1. Elektronik imzanın gerçek kişi tarafından oluşturulduğunu gösteren bir şey olması (kişilik)
2. Elektronik imzanın değiştirilip değiştirilmediğini kontrol edebilen bir şey olması (değiştirilemezlik)

gibi iki gerekliliği karşılaması gerekmektedir. (Elektronik İmza Kanunu Madde 2, Fıkra 1) Eğer sadece gerçek kişinin yapabileceği bir elektronik imza uygulanmışsa, bu, gerçek kişinin imzasının veya mührünün bulunduğu belgeyle aynı şekilde, gerçekten oluşturulmuş bir belge olarak kabul edilir (Elektronik İmza Kanunu Madde 3).

Elektronik Sözleşmenin Yasal Etkisi

Sözleşmeler, sözleşme içeriğini gösteren ve bu sözleşmeyi kabul etme niyetini ifade eden bir teklife karşı tarafın kabul etmesi durumunda oluşur (Japon Medeni Kanunu Madde 522). Ancak, sözleşme bir anlaşmazlık konusu olduğunda, mahkemede kanıt olarak sunulabilecek bir belge gereklidir.

Bu konuda, “Bir belgenin gerçekten oluşturulduğunu kanıtlamak gereklidir” (Japon Medeni Usul Kanunu Madde 228, Fıkra 1) ifadesi bulunmaktadır. Ancak, kağıt üzerindeki bir belgeyi kanıt olarak sunarken, belgede gerçek kişinin veya temsilcisinin imzası veya mührü bulunuyorsa, bu belgenin gerçekten oluşturulmuş bir belge (gerçek kişinin iradesiyle oluşturulmuş bir belge) olduğu kabul edilir (Japon Medeni Usul Kanunu Madde 228, Fıkra 4).

Buna karşılık, elektronik belgeler için de, Elektronik İmza Kanunu ile elektronik sözleşmelerin yasal etkisi düzenlenmiştir.

Elektronik İmzanın Doğrulama İşlemi

Mahkemede kanıt olarak kabul edilecek bir elektronik sözleşme yapmak için, “gerçek kişi tarafından oluşturulduğu” gerekliliğini karşılamak gereklidir. Ancak, kağıt üzerindeki bir imzayı gözlemleyerek doğrulayabileceğimizden farklı olarak, elektronik imza bir elektronik veri olduğu için, bunun gerçek kişi tarafından oluşturulduğunu kanıtlamak için bir araca ihtiyaç vardır.

Bu konuda, Elektronik İmza Kanunu Madde 2,

Elektronik İmza Kanunu (Tanım) Madde 2

Fıkra 2 Bu kanuna göre “doğrulama işlemi”, kendi elektronik imzasını kullanan kişi (bundan sonra “kullanıcı” denir.) veya başka bir kişi tarafından talep edildiğinde, kullanıcının elektronik imzasını kullandığı konusunda kullanılan bilgilerin kullanıcıya ait olduğunu kanıtlama işlemidir.

Fıkra 3 Bu kanuna göre “belirli doğrulama işlemi”, elektronik imzalar arasında, sadece gerçek kişinin yapabileceği ve Bakanlık Kararnamesi ile belirlenen standartlara uygun olanları doğrulama işlemidir.

şeklinde belirtir. Elektronik İmza Kanunu, bir üçüncü tarafın gerçek kişi tarafından yapılan bir elektronik imzayı kanıtlamasını öngörür ve bu işlemi “doğrulama işlemi” olarak adlandırır. Bunun arasında, sadece gerçek kişinin yapabileceği ve Bakanlık Kararnamesi ile belirlenen standartlara uygun olanları doğrulama işlemi “belirli doğrulama işlemi” olarak tanımlanmıştır.

Şu anda, “belirli doğrulama işlemi” standardı olarak kabul edilen doğrulama teknolojisi, PKI (Public Key Infrastructure) teknolojisi adı verilen bir şifreleme yöntemi olan açık anahtar şifrelemesidir (Elektronik İmza Kanunu Uygulama Yönetmeliği Madde 2). “Belirli doğrulama işlemi”, bu teknolojiyi kullanarak, elektronik belgelerin şifrelenmesi ve gerçek kişinin doğrulanması işlemlerini gerçekleştirir ve elektronik imzanın gerçek kişiye ait olduğunu kanıtlamak için elektronik sertifika verir. Bu doğrulama işlemi, özel şirketler tarafından yapılabilir ve doğrulama işlemi yapan üçüncü taraf kuruluşlar “elektronik sertifika otoritesi” olarak adlandırılır ve Elektronik İmza Kanunu Madde 4 ve sonrasında bu otoritenin onay kriterleri belirlenmiştir.

Elektronik İmza ve Zaman Damgası

Elektronik imza ve zaman damgası, internet toplumunda “ne zaman”, “ne” ve “kim” olduğunu garanti eden “kanıtlar” olup, elektronik belgelerin orijinalliğini doğrulamanın güçlü bir yoludur.

Elektronik İmzanın Oluşturulması ve Gönderilmesi

Elektronik imzanın oluşturulması ve gönderilmesi, günümüzde, özel anahtar ve genel anahtarın bir çift olarak kullanıldığı “genel anahtar şifreleme yöntemi” ve hash fonksiyonu kullanılarak aşağıdaki akışta gerçekleştirilir.

1. Oluşturucu, bir sertifika otoritesine elektronik sertifika kullanımını başvurur.
2. Sertifika otoritesi, kimlik doğrulamasını yapar ve özel anahtar ve genel anahtarın eşleştirilmesini doğrular. Ardından, belgeyi şifrelemek için kullanılan özel anahtarı ve belgeyi deşifre etmek için kullanılan genel anahtarı oluşturur.
3. Sertifika otoritesi, oluşturucunun kaydettiği genel anahtarın elektronik sertifikasını verir.
4. Oluşturucu, sertifika otoritesinden elektronik sertifikayı kabul eder.

Bu durumda, gönderen elektronik sertifikayı kullanarak elektronik veriyi gönderir.

1. Gönderen, elektronik veriyi bir hash fonksiyonu ile dönüştürerek bir hash değeri (aynı zamanda mesaj özeti olarak da bilinir) oluşturur. Hash fonksiyonu, karakterler, sayılar vb. verileri (giriş değerleri) belirli bir sayıya (çıkış değeri) dönüştüren bir fonksiyondur.
2. Bu hash değerini, elektronik sertifika ile doğrulanan genel anahtara karşılık gelen özel anahtarla şifreler. Bu eyleme “elektronik imza” denir.
3. Gönderen, elektronik veriyi (düz metin) ve elektronik imzayı birleştirir ve elektronik sertifikayı alıcıya gönderir.
4. Alıcı, alınan veriyi elektronik veri (düz metin) ve elektronik imza olarak ayırır ve elektronik veriden (düz metin) gönderenin aynı hash fonksiyonunu kullanarak bir hash değeri oluşturur.
5. Elektronik imzayı gönderenin genel anahtarı ile deşifre eder ve hash değerini elde eder.
6. 4 ve 5’te elde edilen hash değerlerini karşılaştırır ve eşleşiyorsa, verinin gönderenden geldiği ve değiştirilmediği doğrulanabilir.

Hash değerleri, özelliklerine göre, elektronik belgenin içeriği elektronik imza atıldığındakiyle tamamen aynıysa, oluşturulan hash değeri ve deşifre edilen hash değeri tamamen aynı olur. Ancak, bir karakter bile farklıysa, tamamen farklı bir hash değeri oluşur.

Bu nedenle, iki hash değerinin eşleştiğini doğrulayarak, ilgili elektronik belgenin değiştirilmediği doğrulanabilir.

Zaman Damgası

Elektronik belge ve imza metninin hash değerlerinin eşleşmesi, belgenin içeriğinin değiştirilmediğini doğrulayabilir. Ancak buna ek olarak, belgenin “ne zaman” var olduğunu (varlık kanıtı) ve o zaman damgasından sonra belgenin içeriğinin değiştirilmediğini kanıtlamak (değişiklik kanıtı) için “zaman damgası” (TS) kullanılır. Zaman damgası, elektronik belgenin orijinalliğini doğrulamanın etkili bir yolu olarak kabul edilir.

Kullanıcılar, orijinal verinin hash değerini bir Zaman Damgalama Otoritesine (TSA: Time-Stamping Authority) gönderir ve TSA, bu hash değerine zaman bilgisi ekleyerek TS’yi kullanıcıya gönderir. Elektronik belgenin hash değeri ve zaman damgasının hash değerinin eşleşmesini doğrulayarak, içeriğin değiştirilmediğini kanıtlar.

Veri Saklama

Şirketler ve bireysel işletmeler, sipariş formları, sözleşmeler vb. muhasebe işlemlerine tabi olan belgeleri 7 yıl (veya 10 yıl) süreyle saklamak zorundadır ve Japon Elektronik Kayıt Saklama Yasası (Elektronik hesap makineleri kullanılarak oluşturulan ulusal vergi ilgili belgelerin saklama yöntemleri hakkında özel yasa) ile, elektronik işlemler gerçekleştirildiğinde işlem bilgilerini veri saklama olarak saklamak zorundadırlar (Japon Elektronik Kayıt Saklama Yasası Madde 10).

Bu elektronik belgelerin uzun süreli saklanması hakkında, Japon Elektronik Kayıt Saklama Yasası Uygulama Yönetmeliği’ne göre, ilgili elektronik belgelere “Japonya Veri İletişim Derneği’nin onayladığı işlemlerle ilgili bir zaman damgası eklemek” gereklidir (Japon Elektronik Kayıt Saklama Yasası Uygulama Yönetmeliği Madde 3, Paragraf 5, Alt Paragraf 2) ve “ilgili manyetik kaydın saklanmasını gerçekleştiren kişi veya bu kişiyi doğrudan denetleyen kişi hakkındaki bilgileri doğrulayabilecek şekilde saklamak” gerekmektedir (Japon Elektronik Kayıt Saklama Yasası Uygulama Yönetmeliği Madde 8).

Özet

Elektronik belgeleme, iş süreçlerinin yeniden düzenlenmesi, müşteri hizmetlerinin iyileştirilmesi gibi iş verimliliğinin temelini oluşturur ve elektronik belgeleme ile kayıt ve yönetimin önemi her geçen gün artmaktadır.

Elektronik sözleşmelerin geçerliliği kabul edilir ve mahkemede de elektronik sözleşme belgeleri kanıt olarak kullanılabilir. İşletmeler arasındaki sözleşmelerin elektronikleşme eğilimi hızla ilerlemektedir. Elektronik sözleşmelerle ilgili çeşitli yasaları ve yönetmelikleri anlamak ve uygun şekilde yanıt vermek gereklidir.

Büromuz Tarafından Alınan Önlemler Hakkında Bilgi

Monolith Hukuk Bürosu, özellikle internet ve hukuk olmak üzere IT alanında yüksek uzmanlığa sahip bir hukuk bürosudur. Son yıllarda, elektronik imzanın kullanımı artmış ve hukuki kontrol ihtiyacı giderek artmıştır. Büromuz, çeşitli Japon yasalarının düzenlemelerini göz önünde bulundurarak, mevcut veya başlatmayı planladığınız işletmelerle ilgili hukuki riskleri analiz eder ve işletmeyi durdurmadan yasalara uygun hale getirmeye çalışır. Ayrıntılar aşağıdaki makalede belirtilmiştir.