Bir teklifteki dijital imza hukuken geçerli mi? Basit, gelişmiş ve nitelikli imza arasındaki fark nedir, 25. madde ne diyor ve bir denetim kaydında neler bulunmalı? eIDAS kuralları Hollanda ve AB için açıklanıyor.
Evet, neredeyse tüm durumlarda. Temeli, 2016'dan bu yana her üye devlette doğrudan uygulanan ve Hollanda'da Medeni Kanun'un 3:15a maddesi üzerinden hayata geçirilen Avrupa eIDAS Tüzüğü'dür (EU 910/2014). Temel kural şudur: kullanılan yöntem hizmet ettiği amaç için yeterince güvenilir olduğu sürece, elektronik imza el yazısıyla atılan imzayla aynı hukuki sonucu doğurur. İki şirket arasındaki ticari bir teklif için bu amaç basittir: müşterinin tarif edilen kapsamı ve fiyatı kabul ettiğini kayda geçirmek. İmzalı bir PDF'in posta yoluyla gelmesini beklemek için bir neden yoktur. Asıl önemli olan, ileride kimin hangi sürümü ne zaman kabul ettiği konusunda bir anlaşmazlık çıkarsa elinizde tuttuğunuz delildir. Bu yazı üç eIDAS seviyesini, bir denetim kaydında nelerin bulunması gerektiğini ve ne zaman daha ağır bir seviyeye ihtiyaç duyduğunuzu anlatıyor. Bu genel bilgidir, hukuki tavsiye değildir, bu yüzden tereddüt ederseniz bir avukata danışın.
eIDAS, her birinin kendi gereklilikleri olan üç seviyeyi birbirinden ayırır. Basit elektronik imza (SES), başka verilere eklenen ve imzalayanın imzalamak için kullandığı her türlü elektronik veridir. Bir e-postanın altındaki yazılı ad, "Kabul ediyorum" ifadesinin yanındaki bir onay işareti ya da fareyle çizilmiş bir imza, hepsi birer SES'tir. Gelişmiş elektronik imza (AES) dört gereklilik ekler: imzalayana tekil olarak bağlıdır, imzalayanı tanımlayabilir, yalnızca imzalayanın denetimindeki araçlarla oluşturulur ve belgeye sonradan yapılan her değişiklik tespit edilebilecek biçimde bağlanır. Nitelikli elektronik imza (QES), nitelikli bir imza oluşturma aracıyla üretilen ve denetime tabi bir güven hizmeti sağlayıcısının verdiği nitelikli bir sertifikaya dayanan bir AES'tir. Hollanda'da bu alanın gözetimi Dijital Altyapı Kurumu'ndadır. Yalnızca QES kanunen otomatik olarak el yazısı imzaya denktir. SES ve AES için ise yöntemin yeterince güvenilir olup olmadığını mahkeme olaydan olaya değerlendirir.
eIDAS'ın 25. maddesi bilinmesi gereken maddedir. Birinci fıkra, bir elektronik imzanın yalnızca elektronik biçimde olduğu ya da nitelikli imza gerekliliklerini karşılamadığı gerekçesiyle hukuki sonuç doğurmasının ve delil olarak kabul edilmesinin reddedilemeyeceğini söyler. Bu, bir mahkemenin bir SES'i "yalnızca" elektronik bir imza olduğu gerekçesiyle reddedemeyeceği anlamına gelir. İkinci fıkra QES'e el yazısı imzanın hukuki sonucunu tanır. Üçüncü fıkra, bir üye devletin sertifikasına dayanan QES'in diğer tüm üye devletlerde tanındığını belirtir. Uygulamada bu, bir SES'in size geçerli bir imza verdiği, ancak bir uyuşmazlıkta imzanın müşteriden geldiğini ve belgenin o zamandan beri değişmediğini kendinizin göstermeniz gerektiği anlamına gelir. Denetim kaydı tam da burada devreye girer.
Denetim kaydı, imzanın etrafındaki seyir defteridir ve delilinizin ne kadar güçlü olduğunu belirler. Kullanışlı bir denetim kaydı en azından şunları içerir. 1. İmzalayanın kimliği: ad ve e-posta adresi ile o kişinin belgeye nasıl eriştiği, örneğin yalnızca o adrese gönderilen tekil bir bağlantı. 2. Her olayın zamanı: gönderme, açma, bölümleri görüntüleme ve imzalama, saat dilimiyle birlikte. 3. İmzalamak için kullanılan IP adresi ve cihaz. 4. İmza anındaki belgenin kriptografik özeti, böylece metnin değişmediğini gösterebilirsiniz. 5. İmzalanan teklifin sürümü, çünkü teklifler gönderildikten sonra sık sık revize edilir. 6. İmzalanan belge üzerinde bir mühür ve müşterinin ya da üçüncü bir tarafın imzayı doğrulayabileceği bir yer. Proposal Expert, eIDAS kapsamında tam olarak bu tür bir denetim kaydıyla bir SES sunar: zaman damgası, IP kaydı, mühürlenmiş bir belge ve her imza için tekil bir doğrulama adresi. Delil raporunun içerdiği alanları elektronik imza sayfasında bulabilirsiniz.
QES sınırlı sayıda durumda gereklidir. Belirli senetlerde, bazı mahkeme başvurularında ve kamu kurumu işlemlerinde olduğu gibi bir kanunun açıkça nitelikli imza öngördüğü hallerde. Karşı tarafla yapılan bir sözleşmenin ya da bir sektör kuralının bu seviyeyi talep ettiği hallerde, ki bunu ağırlıklı olarak finans kuruluşlarında ve kamu ihalelerinde görürsünüz. Riskin, imzalayanın kimliği hakkındaki her tartışmayı dışlamak isteyeceğiniz kadar yüksek olduğu hallerde, örneğin bir şirket satın alımı ya da yüksek değerli uzun vadeli bir sözleşme. Bir de sınır ötesi çalıştığınızda ve imzanın her üye devlette tartışmasız tanınacağından emin olmak istediğinizde. Bir web sitesi, bir danışmanlık işi ya da bir tadilat teklifi için bunların hiçbiri geçerli değildir. Orada sağlam bir denetim kaydına sahip bir SES yeterlidir ve Proposal Expert bilinçli olarak bunu sunar.
Bir örnek. Bir pazarlama ajansı pazartesi günü bir müşteriye tekil bir bağlantı üzerinden 14.500 euroluk bir teklif gönderir. Salı günü müşteri teklifi açar, yaklaşımı ve fiyatlandırmayı okur ve bağlantıyı mali işler direktörüne iletir. Çarşamba günü direktör aynı bağlantıdan, adını yazarak ve koşulların yanındaki kutuyu işaretleyerek imzalar. Delil raporu bunun ardından şunları gösterir: iki farklı IP adresi ve cihaz, her adımın zamanı, o anda açık olan teklifin 2. sürümünün özeti ve imzadan sonra uygulanan mühür. Üç ay sonra müşteri başka bir tutarda anlaşıldığını iddia ederse, imza anında ekranda hangi metnin bulunduğunu ve o metnin sonradan değiştirilmediğini gösterebilirsiniz. 25. maddenin bir SES'te sizden istediği delil tam olarak budur.
Bu bir SES'tir ve bu nedenle ilke olarak geçerlidir, ancak delil zayıftır. O görüntüyü herkes kopyalayabilir ve belge imzalandıktan sonra, üstelik belli olmadan düzenlenebilir. Elinizde zaman damgası, kayıt ve mühür yoktur. Bir uyuşmazlıkta kimin neyi ne zaman imzaladığı sorusunu yanıtlamak zorlaşır.
AB içinde evet, eIDAS her üye devlette geçerlidir. Birleşik Krallık, Brexit'ten sonra ana hatlarıyla aynı şekilde işleyen kendi eIDAS sürümünü korudu. Avrupa dışındaki müşteriler için, örneğin Amerika Birleşik Devletleri'nde, ESIGN Act gibi başka kanunlar geçerlidir ve bunlar da elektronik imzaları tanır. AB dışındaki yüksek tutarlar için yerel olarak neyin geçerli olduğunu kontrol edin.
O zaman iş denetim kaydınıza kalır. Bağlantının yalnızca müşterinin e-posta adresine gönderildiğini, imzanın hangi IP adresinden ve cihazdan, hangi saatte atıldığını ve belgenin o zamandan beri mühürlü olduğunu gösterirsiniz. Delil raporunu imzalanmış teklifle birlikte, sözleşme ve zamanaşımı süresi boyunca saklayın.