E-imza sağlayıcısının hukuki sorumluluğu ve yükümlülükleri (5070 m.13)

Sertifika hizmet sağlayıcısı kimdir?

5070 sayılı Kanun m.8'e göre elektronik sertifika hizmet sağlayıcısı, elektronik sertifika, zaman damgası ve elektronik imzalarla ilgili hizmetleri sağlayan kamu kurum ve kuruluşları ile gerçek veya özel hukuk tüzel kişileridir. Hizmet sağlayıcı, Kuruma yapacağı bildirimden iki ay sonra faaliyete geçer ve güvenli ürün kullanmak, hizmeti güvenilir biçimde yürütmek ve sertifikaların taklit ve tahrifini önlemek şartlarını sağladığını göstermek zorundadır. Güvenli elektronik imzaya duyulan güvenin kaynağı bu kuruluşlardır.

Temel yükümlülükler

m.10'a göre hizmet sağlayıcı; hizmetin gerektirdiği nitelikte personel istihdam etmek, nitelikli sertifika verdiği kişilerin kimliğini resmî belgelere göre veya kimlik kartı vasıtasıyla uzaktan güvenilir biçimde tespit etmek, sertifikanın kullanımına ilişkin özellikler ve güvenli elektronik imzanın elle atılan imza ile eş değer olduğu hakkında talep eden kişiyi sertifikanın tesliminden önce bilgilendirmek, sertifika sahibini imza oluşturma verisini başkasına kullandırmaması konusunda bilgilendirmek ve tüm kayıtları yönetmelikle belirlenen süreyle saklamakla yükümlüdür. Aynı maddeye göre hizmet sağlayıcı üretilen imza oluşturma verisinin bir kopyasını alamaz veya bu veriyi saklayamaz.

Kişisel verilerin korunması

m.12'ye göre hizmet sağlayıcı, sertifika talep eden kişiden sertifika vermek için gerekli bilgiler hariç bilgi talep edemez ve bu bilgileri kişinin rızası dışında elde edemez. Sertifika sahibinin izni olmaksızın sertifikayı üçüncü kişilerin ulaşabileceği ortamlarda bulunduramaz. Bu bilgileri sertifika sahibinin onayı olmaksızın üçüncü kişilere iletemez ve başka amaçlarla kullanamaz.

Sertifika sahibine ve üçüncü kişilere karşı sorumluluk

m.13/1'e göre hizmet sağlayıcının sertifika sahibine karşı sorumluluğu genel hükümlere tabidir. m.13/2'ye göre ise hizmet sağlayıcı, bu Kanun veya bu Kanuna dayanılarak çıkarılan yönetmelik hükümlerinin ihlali suretiyle üçüncü kişilere verdiği zararları tazminle yükümlüdür; kusursuzluğunu ispat ettiği takdirde tazminat ödeme yükümlülüğü doğmaz. Burada ispat yükü tersine çevrilmiştir: zarar gören, sağlayıcının kusurunu ispat etmek zorunda değildir.

Çalışanların davranışı ve sorumluluğu sınırlama yasağı

m.13/3'e göre yükümlülük ihlalinin sağlayıcının istihdam ettiği kişilerin davranışına dayanması hâlinde de sağlayıcı zarardan sorumludur ve Borçlar Kanununda öngörülen türden bir kurtuluş kanıtı getirerek bu sorumluluktan kurtulamaz. m.13/4'e göre sertifikanın içerdiği kullanım ve maddi kapsamına ilişkin sınırlamalar hariç olmak üzere, sağlayıcının üçüncü kişilere ve imza sahibine karşı sorumluluğunu ortadan kaldıran veya sınırlandıran her türlü şart geçersizdir.

Zorunlu sigorta

m.13'e göre hizmet sağlayıcı, Kanundan doğan yükümlülüklerini yerine getirmemesi sonucu doğan zararların karşılanması amacıyla sertifika mali sorumluluk sigortası yaptırmak zorundadır ve nitelikli sertifikayı imza sahibine sigorta ettirerek teslim etmekle yükümlüdür. Bu sigorta, zarar görenin tazminatı tahsil edebilmesini güvenceye alır.

Örnek senaryo

Bir kişi, başkasının kimlik fotokopisini kullanarak bir sertifika sağlayıcısından onun adına nitelikli sertifika almayı başarır ve bu sertifikayla bir kredi sözleşmesi imzalar. Zarar gören banka ve adına imza atılan kişi, sağlayıcının kimliği resmî belgelere göre güvenilir biçimde tespit etme yükümlülüğünü ihlal ettiğini ileri sürerek tazminat ister. Sağlayıcı, kusursuz olduğunu ispat edemezse zararı tazmin eder; sözleşmesindeki sorumluluğu sınırlayan şart da geçersizdir.

Sık yapılan hatalar

• Zarar görenin sağlayıcının kusurunu ispat etmesi gerektiğini sanmak.
• Sağlayıcının sözleşmedeki sorumsuzluk şartlarına güvenmek.
• Sağlayıcının çalışanının hatasından sorumlu olmadığını düşünmek.
• Sertifikaya yazılan kullanım ve tutar sınırlamalarını kontrol etmemek.