Yurt dışında kurulu bir şirketin Türkiye'deki iştirakiyle sözleşme imzalaması, yabancı bir yöneticinin Türkiye'deki bir belgeyi kendi ülkesinde aldığı elektronik imzayla imzalaması ya da bir yabancı sertifika hizmet sağlayıcısının Türkiye pazarına girmesi — bu üç senaryonun cevabı aynı kanunda, 15/1/2004 tarihli ve 5070 sayılı Elektronik İmza Kanunu'nda toplanmıştır. Kanun kısa bir metindir (25 madde ve iki ek madde), ancak sınır ötesi işlemler bakımından iki kritik hüküm barındırır.
Aşağıdaki çerçeve 6 Eylül 2026 tarihinde mevzuat.gov.tr üzerindeki güncel 5070 sayılı Kanun metninden doğrulanmıştır.
Önce sınır: güvenli elektronik imza her işlemde kullanılamaz
Kanun'un 5 inci maddesinin birinci fıkrası temel kuralı koyar: "Güvenli elektronik imza, elle atılan imza ile aynı hukukî sonucu doğurur." Ancak ikinci fıkra, bu eşitliğin dışında kalan alanı çizer:
"Kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukukî işlemler ile banka teminat mektupları ve Türkiye'de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri dışındaki teminat sözleşmeleri, güvenli elektronik imza ile gerçekleştirilemez."
Cümle yoğun olduğu için sırayla okumak gerekir. Dışarıda kalan iki grup vardır: (i) kanunların resmî şekle veya özel bir merasime tabi tuttuğu işlemler — taşınmaz satış vaadi, tapu işlemleri, evlenme gibi — ve (ii) teminat sözleşmeleri. İkinci grup için ise iki istisna tanınmıştır: banka teminat mektupları (15/7/2016 tarihli ve 6728 sayılı Kanun'un 45 inci maddesiyle) ve Türkiye'de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri (22/12/2021 tarihli ve 7349 sayılı Kanun'un 8 inci maddesiyle).
Bu ikinci istisnadaki "Türkiye'de yerleşik" ibaresi, sınır ötesi işlemler bakımından doğrudan bir sınırdır: kefalet senedini düzenleyen sigorta şirketi Türkiye'de yerleşik değilse istisnadan yararlanılamaz ve senet güvenli elektronik imzayla düzenlenemez. Yabancı bir sigortacıdan alınan kefalet senedinin elektronik olarak imzalanması planlanıyorsa, bu hüküm işlem kurgusunun başında hesaba katılmalıdır.
Yabancı elektronik sertifikalar: iki ayrı yol
Kanun'un 14 üncü maddesi yalnız iki fıkradan oluşur, ama iki farklı hukuki mekanizma kurar.
Birinci fıkra kamu hukuku yoludur: "Yabancı bir ülkede kurulu bir elektronik sertifika hizmet sağlayıcısı tarafından verilen elektronik sertifikaların hukukî sonuçları milletlerarası anlaşmalarla belirlenir." Yani karşılıklı tanıma, kural olarak devletlerarası bir belgeye bağlanmıştır.
İkinci fıkra ise özel hukuk yoludur ve pratikte çok daha sık işler:
"Yabancı bir ülkede kurulu bir elektronik sertifika hizmet sağlayıcısı tarafından verilen elektronik sertifikaların, Türkiye'de kurulu bir elektronik sertifika hizmet sağlayıcısı tarafından kabul edilmesi durumunda, bu elektronik sertifikalar nitelikli elektronik sertifika sayılır. Bu elektronik sertifikaların kullanılması sonucunda doğacak zararlardan, Türkiye'deki elektronik sertifika hizmet sağlayıcısı da sorumludur."
İki sonuç birlikte doğar. Birincisi, Türkiye'de kurulu bir sağlayıcının kabulü, yabancı sertifikayı nitelikli elektronik sertifika statüsüne taşır; bu da o sertifikaya dayanan imzanın güvenli elektronik imza sayılmasının yolunu açar (m.4/c). İkincisi, bu köprünün bedeli sorumluluktur: doğacak zararlardan Türkiye'deki sağlayıcı de sorumlu olur. "De" ifadesi, yabancı sağlayıcının sorumluluğunun ortadan kalkmadığını, Türkiye'deki sağlayıcının sorumluluğun yanına eklendiğini gösterir.
Bu yapı, yabancı sertifikayı Türkiye'de kullanmak isteyen için pratik bir yol açar; ancak kabul kararı, kabul eden Türk sağlayıcı bakımından ticari bir risk üstlenme kararıdır. Kabul ilişkisinin sözleşmesel çerçevesi, rücu ve teminat düzeni bu nedenle baştan kurulmalıdır.
| Yol | Dayanak | Sonuç | Sorumluluk |
|---|---|---|---|
| Milletlerarası anlaşma | m.14/1 | Hukuki sonuçlar anlaşmayla belirlenir | Anlaşma rejimine göre |
| Türk sağlayıcının kabulü | m.14/2 | Yabancı sertifika nitelikli sayılır | Türkiye'deki sağlayıcı da sorumlu |
| Kabul yok, anlaşma yok | — | Nitelikli sertifika statüsü doğmaz | — |
Kanun'un 9 uncu maddesi de bu tabloyu tamamlar: nitelikli elektronik sertifikada, sertifika hizmet sağlayıcısının kimlik bilgileri ile kurulduğu ülke adının yer alması zorunludur. Sertifikanın kaynağı, sertifikanın içeriğinden okunabilir olmalıdır.
Sağlayıcı olmak: izin değil, bildirim
Türkiye'de elektronik sertifika hizmeti sunmak isteyen bir yatırımcı bakımından rejim, çoğu düzenlenmiş sektörden farklıdır. Kanun'un 8 inci maddesine göre elektronik sertifika hizmet sağlayıcısı, "Kuruma yapacağı bildirimden iki ay sonra faaliyete geçer." Yani önden alınan bir ruhsat değil, bildirim ve iki aylık bekleme süresi öngörülmüştür.
Bildirimde üç şartın sağlandığı ayrıntılı biçimde gösterilir: güvenli ürün ve sistemleri kullanmak, hizmeti güvenilir bir biçimde yürütmek ve sertifikaların taklit ile tahrif edilmesini önlemek için her türlü tedbiri almak. Kurum bir eksiklik tespit ederse bir ayı geçmemek üzere süre verir ve bu süre içinde faaliyeti durdurur; süre sonunda eksiklik giderilmezse faaliyete son verir. Aynı hüküm, şartların faaliyet sırasında kaybedilmesi hâlinde de uygulanır.
Bu yapının pratik anlamı şudur: giriş eşiği düşük, ancak çıkış riski yüksektir. Faaliyet durdurma, önden bir yaptırım kararı değil, eksikliğin giderilmesi için verilen sürenin doğal sonucudur.
Sorumluluk rejimi: ispat yükü tersine döner
Kanun'un 13 üncü maddesi, sağlayıcının sorumluluğunu genel hükümlerden daha ağır bir yere oturtur ve bu, hizmet almadan önce okunması gereken maddedir.
Sertifika sahibine karşı sorumluluk genel hükümlere tabidir. Buna karşılık üçüncü kişilere verilen zararlarda kural şudur: sağlayıcı, Kanun'un veya ona dayanılarak çıkarılan yönetmelik hükümlerinin ihlali suretiyle verdiği zararları tazminle yükümlüdür; ancak "kusursuzluğunu ispat ettiği takdirde tazminat ödeme yükümlülüğü doğmaz." İspat yükü zarar görene değil, sağlayıcıya aittir.
Üçüncü fıkra bunu bir adım ileri taşır: yükümlülük ihlali sağlayıcının istihdam ettiği kişilerin davranışına dayansa bile sağlayıcı zarardan sorumludur ve "Borçlar Kanununun 55 inci maddesinde öngörülen türden bir kurtuluş kanıtı getirerek" kurtulamaz. Burada bir künye ayrıntısı vardır: 2004 tarihli metnin gönderme yaptığı 818 sayılı Borçlar Kanunu yürürlükten kalkmış, adam çalıştıranın sorumluluğu 11/1/2011 tarihli ve 6098 sayılı Türk Borçlar Kanunu'nun 66 ncı maddesinde düzenlenmiştir. Gönderme güncellenmemiştir; hükmün anlamı ise korunmuştur — sağlayıcı, çalışanını seçme ve denetlemede özen gösterdiğini kanıtlayarak sorumluluktan kurtulamaz.
Dördüncü fıkra sözleşme özgürlüğüne doğrudan bir sınır çeker: "Nitelikli elektronik sertifikanın içerdiği kullanım ve maddî kapsamına ilişkin sınırlamalar hariç olmak üzere, elektronik sertifika hizmet sağlayıcısının üçüncü kişilere ve nitelikli elektronik imza sahibine karşı sorumluluğunu ortadan kaldıran veya sınırlandıran her türlü şart geçersizdir." Yani sorumluluk, sertifikanın kendi içindeki kullanım ve tutar sınırları dışında sözleşmeyle daraltılamaz.
Son olarak Kanun bir teminat katmanı kurar: sağlayıcı, yükümlülüklerini yerine getirmemesi sonucu doğan zararların karşılanması için sertifika malî sorumluluk sigortası yaptırmak zorundadır ve nitelikli sertifikayı imza sahibine "sigorta ettirerek teslim etmekle" yükümlüdür. Burada da yerelleştirme kuralı tekrar eder: bu sigorta, "Türkiye'de ilgili branşta çalışmaya yetkili olan sigorta şirketleri tarafından" yapılır ve bu şirketler sigortayı yapmakla yükümlüdür.
Böylece Kanun içinde tutarlı bir çizgi ortaya çıkar: imzanın kaynağı yabancı olabilir, ama teminatın ve sorumluluğun muhatabı Türkiye'de bulunmalıdır.
Para cezalarında iki farklı kuşak
Kanun, idari para cezaları bakımından iki ayrı dönemin izini taşır ve bu, metni okurken sık yapılan bir hataya yol açar.
18 inci madde (23/1/2008 tarihli ve 5728 sayılı Kanun'la değişik) yükümlülük ihlallerine göre bantlar belirler: 10 uncu maddedeki yükümlülükler için onbeşbin–otuzbin Türk Lirası, 11 inci madde için onikibin–yirmibin, 12 nci madde için onbeşbin–otuzbin, 13 üncü maddenin beşinci ve yedinci fıkraları için onikibin–yirmibin, 15 inci madde için otuzbin–ellibin Türk Lirası. Maddenin son cümlesi bir tavan koyar: "ilgili tüzel kişi hakkında verilecek olan idarî para cezasının üst sınırı yetmişbeşbin Türk Lirasıdır."
Buna karşılık 13 üncü maddede, sertifika malî sorumluluk sigortası yapma yükümlülüğüne uymayan sigorta şirketleri için öngörülen ceza "sekizmilyar lira" olarak yazılmıştır. Bu ibare 2004 metninden kalmadır ve para biriminden altı sıfırın atılmasından önceki nominal değeri yansıtır.
Buradan çıkan kural, bu Kanun'a özgü değildir ama burada çok net görünür: kanunda yazan rakam bir tabandır, güncel tutar değildir. İdari para cezaları 30/3/2005 tarihli ve 5326 sayılı Kabahatler Kanunu'nun 17 nci maddesi uyarınca her yıl yeniden değerleme oranında artırılır. Dolayısıyla bir uyum çalışmasında Kanun metnindeki rakam değil, ilgili yıl için ilan edilen güncel tutar esas alınmalıdır.
19 uncu maddedeki tekerrür kuralı ise para cezasından daha ağır bir sonuç doğurur: idari para cezasını gerektiren eylemlerin işlendikleri tarihten itibaren geriye doğru üç yıl içinde üçüncü kez işlenmesi hâlinde, Kurum tarafından sağlayıcı tüzel kişinin faaliyet izninin iptaline karar verilir. 21 inci maddeye göre bu hüküm, sertifika hizmeti sunan kamu kurum ve kuruluşları hakkında uygulanmaz.
2021 eklentileri: elektronik mühür ve site sertifikası
28/1/2021 tarihli ve 7263 sayılı Kanun, Kanun'a iki ek madde eklemiştir ve bunlar kurumsal kullanım bakımından en az m.14 kadar önemlidir.
Ek madde 1 elektronik mührü tanımlar: başka bir elektronik veriye eklenen veya onunla mantıksal bağlantısı bulunan, mühür sahibinin bilgilerini doğrulama amacıyla kullanılan elektronik veridir. Mühür sahipleri arasında kamu kurumlarının yanında kamu ve özel hukuk tüzel kişileri de sayılmıştır. Maddenin kilit cümlesi şudur: "Elektronik mühür, resmî mühür dâhil her türlü fiziki mühür ile aynı hukuki niteliği haizdir." Ayrıca kanunlardaki elektronik imza hükümleri kıyasen elektronik mühür hakkında da uygulanır.
Ayrım pratikte şudur: elektronik imza gerçek kişinin iradesini, elektronik mühür ise tüzel kişinin kaynak ve bütünlük garantisini taşır. Türkiye'de faaliyet gösteren yabancı sermayeli bir şirketin belge akışını tasarlarken bu ikisinin hangi belgede kullanılacağı ayrı bir karardır.
Ek madde 2 ise internet sitesi kimlik doğrulama sertifikasını, "bir internet sitesi ile bu sitenin sahibi olan gerçek veya tüzel kişinin bilgilerini birbirine bağlayan elektronik kayıt" olarak tanımlar ve benzer altyapıyı kullanan diğer sertifikaları da kapsama alır. Her iki ek maddede de aynı yaptırım köprüsü kurulmuştur: yükümlülüklere aykırı hareket eden sağlayıcılar hakkında 18 inci maddedeki idari para cezaları uygulanır.
| Araç | Dayanak | Kim kullanır | Karşılığı |
|---|---|---|---|
| Güvenli elektronik imza | m.4, m.5 | Gerçek kişi | Elle atılan imza |
| Elektronik mühür | Ek m.1 | Tüzel kişi, kamu idaresi, noterlik | Resmî mühür dâhil fiziki mühür |
| Site kimlik doğrulama sertifikası | Ek m.2 | Site sahibi gerçek/tüzel kişi | Site–sahip bağı |
| Yabancı nitelikli sertifika | m.14/2 | Yabancı sertifika sahibi | Türk sağlayıcının kabulüyle nitelikli |
Sonuç
5070 sayılı Kanun, yabancı elektronik sertifikalar için tek bir kapı değil iki kapı açar: milletlerarası anlaşma yolu ve Türkiye'de kurulu bir sağlayıcının kabulü yolu. İkincisi hızlıdır, ama Türk sağlayıcıya ek bir sorumluluk yükler. Sınır ötesi işlem kurgularken ayrıca güvenli elektronik imzanın yasak alanı — resmî şekle tabi işlemler ve "Türkiye'de yerleşik" olmayan sigortacının kefalet senedi — baştan kontrol edilmelidir. Kurumsal belge akışında ise 2021'de eklenen elektronik mühür, tüzel kişi tarafında imzadan farklı ve çoğu zaman daha doğru araçtır.
Elektronik ortamda yapılan bildirim ve tebliğlerin usulü için elektronik tebligat yazımıza, elektronik imzayla kurulan ticari sözleşmelerin damga vergisi tarafı için ticari sözleşmelerde damga vergisi yazımıza, sertifika ve kimlik verilerinin yurt dışına aktarımı için ise KVKK'da yurt dışına veri aktarımı yazımıza bakılabilir.
Bu çerçeve genel bilgilendirme amaçlıdır; somut işlemde kullanılacak sertifikanın niteliği ve kabul zinciri ayrıca incelenmelidir.
