Avrupa Dijital Kimlik Cüzdanı ve Seçici Veri Paylaşımı
Yazar: Av. Yiğit Neyiğit
Dijital hizmetlerde kimliğin doğrulanması çoğu zaman kişinin kimliğine ilişkin çok sayıda verinin karşı tarafa aktarılması anlamına geliyor. Oysa hizmet sağlayıcının gerçekten ihtiyaç duyduğu bilgi ile kullanıcıdan elde edilen veri her zaman aynı kapsamda değil. Bir çevrim içi hizmet bakımından kullanıcının belirli bir yaşın üzerinde olduğunun bilinmesi yeterliyken doğum tarihinin, adının, soyadının ve kimlik numarasının da paylaşılması gerekebiliyor. Benzer şekilde kişinin belirli bir mesleki yeterliliğe sahip olup olmadığının doğrulanması gereken bir işlemde, bu yeterlilikten bağımsız kimlik bilgilerinin de işlenmesi söz konusu olabiliyor.
Avrupa Birliği’nin son yıllarda geliştirdiği dijital kimlik yaklaşımının bu alışkanlığı değiştirmeyi amaçladığı görülmektedir. Sistemin merkezinde, kişinin kimliğini her işlemde bütünüyle açıklaması yerine yalnızca ilgili işlem bakımından gerekli bilgiyi veya niteliği güvenilir şekilde ortaya koyabilmesi bulunuyor.
Bu değişimin hukuki temelini, 11 Nisan 2024 tarihli ve 2024/1183 sayılı Avrupa Birliği Tüzüğü (“Tüzük”) oluşturuyor. Söz konusu Tüzük, elektronik kimlik belirleme ve iç pazardaki elektronik işlemler bakımından güven hizmetlerini düzenleyen 910/2014 sayılı Tüzüğü değiştirerek Avrupa Dijital Kimlik Çerçevesini kurdu. Düzenleme 30 Nisan 2024’te Avrupa Birliği Resmi Gazetesi’nde yayımlandı ve 20 Mayıs 2024’te yürürlüğe girdi.
Yeni çerçevenin en önemli unsuru ise şüphesiz Avrupa Dijital Kimlik Cüzdanı’dır. Mevzuatta “European Digi
Hukuk ve Bilişim DergisihukukvebilisimProfili düzenletal Identity Wallet” olarak adlandırılan ve uygulamada “EUDI Wallet” şeklinde kısaltılan bu yapı, klasik anlamda bir dijital kimlik kartından daha geniş bir işleve sahiptir. Cüzdanın yalnızca kişinin kimliğini göstermesinden ziyade, belirli nitelikleri, yetkileri veya statüleri elektronik ortamda taşıması ve gerektiğinde bunların doğrulanmasına imkan vermesi öngörülmektedir.
24 Aralık 2026 neden önemli?
2024/1183 sayılı Tüzük uyarınca her üye devletin en az bir Avrupa Dijital Kimlik Cüzdanı sunması gerekiyor. Bu yükümlülük için mevzuatta doğrudan belirli bir takvim günü belirlenmemiştir. Süre, ilgili uygulama düzenlemelerinin yürürlüğe girmesinden itibaren yirmi dört ay olarak belirlenmiştir. Cüzdanın temel işlevleri ve sertifikasyonuna ilişkin ilk uygulama düzenlemeleri 28 Kasım 2024’te kabul edilmiş, 4 Aralık 2024’te yayımlanmış ve yirminci gün olan 24 Aralık 2024’te yürürlüğe girmiştir. Bu nedenle üye devletlerin en az bir Avrupa Dijital Kimlik Cüzdanını sunmaları gereken tarih 24 Aralık 2026 olarak ortaya çıkmaktadır. Avrupa Komisyonunun güncel bilgilendirmelerinde de takvim bu şekilde uygulanmaktadır.
Özel sektör bakımından ise ayrı bir takvim söz konusudur. Avrupa Birliği veya ulusal hukuk uyarınca çevrim içi kimlik belirlemede güçlü kullanıcı doğrulaması kullanmak zorunda olan belirli özel hizmet sağlayıcılar açısından, mikro ve küçük işletmelere ilişkin istisna saklı kalmak üzere, cüzdanların kullanıcı tarafından talep edilmesi hâlinde kabul edilmesi yükümlülüğü ilgili uygulama düzenlemelerinin yürürlüğe girmesinden itibaren otuz altı ay sonra doğacaktır. Mevcut takvime göre bu tarih 24 Aralık 2027‘dir. Bankacılık, finansal hizmetler, sağlık, telekomünikasyon, enerji, ulaşım ve eğitim gibi alanlar düzenlemede açıkça örneklenmiştir.
Dolayısıyla Avrupa Dijital Kimlik Cüzdanı artık uzak bir düzenleme projesi değildir. Günümüz itibarıyla üye devletlere tanınan temel uygulama süresinin son aylarına girilmiş durumdadır.
Üstelik teknik çerçeve 2026 yılı içerisinde de geliştirilmeye devam etmiştir. Avrupa Komisyonu 7 Nisan 2026’da kabul ettiği 2026/798 sayılı Uygulama Tüzüğü ile kullanıcıların uzaktan cüzdana dahil edilmesinde kullanılacak belirli kimlik doğrulama standartlarını düzenlemiştir. 15 Temmuz 2026 tarihli 2026/1731 sayılı Uygulama Tüzüğü ile de 2024 yılında kabul edilen temel teknik düzenlemelerde kullanılan standart ve teknik şartnameler güncellenmiştir. Son düzenleme 22 Temmuz 2026’da yayımlanmış olup yürürlüktedir.
Bu gelişmeler, sistemin hukuki çerçevesi kurulmuş olmakla birlikte teknik mimarisinin durağan olmadığını da göstermektedir. Dijital kimlik alanında mevzuat ile teknik standartların birlikte takip edilmesi bu nedenle önem taşımamaktır.
Kimlik doğrulamadan nitelik doğrulamaya
Avrupa Dijital Kimlik Cüzdanının kanaatimce en önemli yönü, kişiye ilişkin bütün kimlik verilerinin paylaşılması ile belirli bir niteliğin doğrulanması arasındaki ayrımı görünür hâle getirmesidir.
2024/1183 sayılı Tüzük bu amaçla “selective disclosure”, diğer bir ifadeyle seçici veri açıklaması kavramını kullanmaktadır. Düzenlemenin gerekçesinde seçici açıklama, daha geniş bir veri kümesinin yalnızca belirli bölümlerinin paylaşılması ve böylece hizmet sağlayıcının talep edilen hizmet için gerekli olan bilgiyle yetinmesi şeklinde açıklanmaktadır. Cüzdanların teknik olarak bu imkanı desteklemesi zorunludur.
Bunun pratik sonucu basit bir örnekle açıklanabilir. Bir hizmetin yalnızca on sekiz yaşından büyük kişilere sunulduğunu varsayalım. Geleneksel yöntemde kullanıcıdan kimlik belgesinin görüntüsünün talep edilmesi, kullanıcının doğum tarihinin sistem üzerinden sorgulanması veya kimliğin başka kişisel verilerle birlikte doğrulanması mümkündür. Oysa hizmet sağlayıcının hukuken bilmesi gereken husus yalnızca yaş şartının sağlanıp sağlanmadığı ise kişinin tam doğum tarihinin veya kimliğinin açıklanmasına her durumda ihtiyaç bulunmayabilir.
Avrupa Komisyonunun 2026 yılında kullanıma hazır hale getirdiği yaş doğrulama çözümü bu yaklaşımın güncel örneklerinden biridir. Komisyon 15 Nisan 2026’da çözümün kullanıma hazır olduğunu açıklamış, 29 Nisan 2026’da ise üye devletlere sistemin yaygınlaştırılmasını hızlandırmaları yönünde tavsiyede bulunmuştur. Komisyonun hedefi, çözümün 31 Aralık 2026’ya kadar vatandaşların kullanımına sunulmasıdır. Bu tarih Avrupa Dijital Kimlik Cüzdanı için geçerli 24 Aralık 2026 tarihli hukuki yükümlülükle karıştırılmamalıdır; yaş doğrulama çözümü bakımından söz konusu olan Komisyonun uygulamaya yönelik hedefi ve tavsiyesidir.
Sistem, hizmet sağlayıcıya kişinin tam yaşını veya kimliğini açıklamak yerine belirli bir yaş eşiğinin aşıldığının doğrulanabilmesini hedeflemektedir. Üye devletler bu çözümü ayrı bir uygulama olarak kullanabilecekleri gibi Avrupa Dijital Kimlik Cüzdanlarına da entegre edebilecektir.
Burada terminoloji bakımından önemli bir hususa dikkat etmek gerekir. Bu yapının “kimliksiz doğrulama” olarak tanımlanması ilk bakışta cazip görünse de hukuken tam olarak doğru değildir. Avrupa Dijital Kimlik Cüzdanı kimlikten bağımsız bir sistem değildir. Aksine güvenilirliği, kullanıcının hukuki kimliğinin güvenilir bir kaynağa dayanmasına bağlıdır. 2024/1183 sayılı Tüzük de cüzdanların Avrupa Birliği vatandaşlarının, Avrupa Birliği’nde ikamet eden kişilerin ve tüzel kişilerin hukuki kimliğine dayanmasını öngörmektedir. Ancak hukuki kimliğin açıklanmasının gerekli olmadığı işlemlerde takma ad kullanımının ve kişinin yalnızca belirli nitelikleri açıklamasının önünün açılması amaçlanmaktadır. Bu nedenle yapılmakta olan değişikliği, kimliğin işlem için gerekli olmayan bölümlerinin açıklanmamasına imkan veren bir doğrulama modeli olarak değerlendirmek isabetli olacaktır.
Veri minimizasyonunun teknik bir özelliğe dönüşmesi
Avrupa Birliği Genel Veri Koruma Tüzüğü’nde veri minimizasyonu uzun süredir temel ilkelerden biridir. Türk hukukunda da 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“6698 sayılı Kanun”) 4’üncü maddesi uyarınca kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir. Kişisel Verileri Koruma Kurumu da bu ilkeyi, veri işleme amacı için gereğinden fazla kişisel veri toplanmaması ve verilerin yalnızca gerektiği ölçüde işlenmesi şeklinde açıklamaktadır.
Dijital kimlik cüzdanı modelinin farklılığı, veri minimizasyonunu yalnızca veri sorumlusunun sonradan uyması gereken soyut bir hukuk kuralı olarak bırakmamasıdır. Amaç, aynı ilkeyi kimlik doğrulama mimarisinin içerisine yerleştirmektir.
Bu noktada cüzdan üzerinden veri talep eden hizmet sağlayıcılar bakımından getirilen kayıt sistemi önem taşıyor. Avrupa mevzuatında “wallet-relying party” olarak adlandırılan bu kişilerin, cüzdan üzerinden kamu veya özel hizmet sunmak istemeleri halinde yerleşik oldukları üye devlette kaydolmaları gerekiyor. Kayıt sırasında cüzdanı hangi amaçla kullanacaklarını ve kullanıcıdan hangi verileri talep edeceklerini bildirmeleri zorunludur. Daha sonra kullanıcıdan kayıt sırasında belirtilen verilerin dışında başka veriler talep edilemez.
6 Mayıs 2025 tarihli ve 2025/848 sayılı Uygulama Tüzüğü bu sistemi daha ayrıntılı hale getirmiştir. Hizmet sağlayıcının her kullanım amacı bakımından hangi veri ve nitelikleri talep edeceğini ve bunları hangi amaçla kullanacağını kayda geçirmesi öngörülmektedir. Cüzdanın da hizmet sağlayıcının kayıtlı kapsamın dışında veri talep etmesi hâlinde kullanıcıyı uyarabilecek şekilde tasarlanması amaçlanmaktadır.
Bununla birlikte bu kayıt mekanizmasının veri koruma hukuku bakımından bir izin sistemi olarak anlaşılmaması gerekir. 2024/1183 sayılı Tüzüğün gerekçesinde hizmet sağlayıcıların kayıt işleminin bir ön izin süreci olmadığı açıkça belirtilmektedir. Bir şirketin belirli bir veriyi talep edeceğini kayıt sırasında bildirmiş olması, o verinin işlenmesini kendiliğinden hukuka uygun hâle getirmez. Veri sorumlusunun kişisel veri işleme faaliyeti bakımından Avrupa Birliği Genel Veri Koruma Tüzüğü uyarınca geçerli bir hukuki sebebe dayanması ve veri minimizasyonu dâhil diğer ilkelere ayrıca uyması gerekir.
Aynı ayrım Türk hukuku açısından da önemlidir. Bir kullanıcının dijital cüzdan üzerinden belirli bir veriyi teknik olarak paylaşmayı kabul etmesi, tek başına 6698 sayılı Kanun bakımından her durumda geçerli bir açık rıza bulunduğu veya veri işlemenin hukuka uygun olduğu anlamına gelmez. Teknik kullanıcı onayı ile kişisel verilerin işlenmesine ilişkin hukuki şart birbirinden ayrılmalıdır.
Bu yönüyle Avrupa’daki modelin asıl değeri, kullanıcının daha fazla kutucuk işaretlemesini sağlamasında değil; veri sorumlusunun ihtiyaç duymadığı veriye teknik olarak ulaşmasını güçleştirmesinde aranmalıdır.
Elektronik niteliklerin hukuki değeri
Cüzdanın kullanım alanı yalnızca yaş veya kimlik doğrulamasıyla sınırlı değildir. Sistem, mevzuatta “electronic attestation of attributes” olarak ifade edilen ve kişinin belirli niteliklerinin elektronik ortamda doğrulanmasına yarayan kayıtların kullanılmasına da imkan vermektedir.
Bunlar, örneğin kişinin belirli bir mesleki yeterliliğe sahip olması, bir diplomasının bulunması, sürücü belgesinin geçerli olması veya belirli bir yetkiye sahip bulunması gibi durumları elektronik ortamda doğrulamak için kullanılabilir.
Burada dikkat çekici olan husus, düzenlemenin bu kayıtların hukuki etkisini de ayrıca ele almış olmasıdır. 2024/1183 sayılı Tüzük ile 910/2014 sayılı Tüzüğe eklenen 45b maddesine göre, bir elektronik nitelik doğrulamasının yalnızca elektronik biçimde olması nedeniyle hukuki etkisi veya yargılamada delil olarak kabul edilebilirliği reddedilemez. Nitelikli elektronik nitelik doğrulamaları ile yetkili bir kamu kurumu tarafından veya onun adına güvenilir bir kaynağa dayanılarak düzenlenen doğrulamaların ise hukuka uygun şekilde düzenlenmiş kâğıt belgelerle aynı hukuki etkiye sahip olması öngörülmektedir.
Bu düzenleme dijital kimlik cüzdanını basit bir giriş veya kimlik doğrulama aracının ötesine taşımaktadır. Uzun vadede çeşitli resmî belgelerin, mesleki yeterliliklerin ve temsil yetkilerinin sınır ötesi doğrulanmasında ortak bir güven altyapısı oluşturulması hedeflenmektedir.
Mahremiyet bakımından sınırlar
Avrupa Dijital Kimlik Cüzdanının kullanıcı merkezli tasarlanması, sistemin mahremiyet bakımından risksiz olduğu anlamına gelmez.
Düzenleme bu risklerin bir bölümüne doğrudan cevap vermeye çalışmaktadır. Cüzdanın kullanımı gönüllüdür ve cüzdan kullanmayan kişilerin kamu veya özel hizmetlere erişiminin dezavantajlı hâle getirilmemesi öngörülmektedir. Kullanıcıların mevcut diğer kimlik belirleme ve doğrulama yöntemlerini kullanabilmeye devam etmesi gerekir. Ayrıca gerçek kişiler bakımından cüzdanın verilmesi, kullanılması ve iptali ücretsiz olmak zorundadır.
Cüzdanda ayrıca kullanıcının hangi hizmet sağlayıcıyla bağlantı kurduğunu, hangi verilerin talep edildiğini ve hangi verilerin paylaşıldığını görebileceği bir işlem paneli öngörülmektedir. Kullanıcı, belirli şartlarda kişisel verilerinin silinmesini bu panel üzerinden talep edebilecek ve hukuka aykırı veya şüpheli bir veri talebini yetkili veri koruma makamına bildirebilecektir.
Daha önemlisi, düzenleme kimliğin açıklanmasının gerekli olmadığı durumlarda farklı işlemlerin birbiriyle ilişkilendirilmesini engellemeye yönelik mahremiyet koruyucu tekniklerin kullanılmasını öngörmektedir. Elektronik nitelik sağlayıcısının, doğrulamanın daha sonra nerede ve hangi işlem için kullanıldığını takip edebilmesine karşı da sınırlamalar getirilmiştir.
Bu nokta dijital kimlik sistemlerinin geleceği bakımından önemlidir. Merkezi veya yarı merkezi bir kimlik altyapısı yalnızca kimlik hırsızlığı riski yaratmaz; farklı sektörlerde gerçekleştirilen işlemlerin tek bir kişi etrafında birleştirilebilmesi halinde son derece ayrıntılı davranış profilleri de ortaya çıkabilir. Dolayısıyla başarılı bir dijital kimlik sistemi yalnızca kişinin gerçekten kim olduğunu güvenilir şekilde doğrulayan sistem değildir. Aynı zamanda kişinin farklı işlemlerinin gereksiz yere birbirine bağlanmasını engelleyebilen sistemdir.
Bu açıdan seçici veri paylaşımı ile işlemlerin ilişkilendirilemezliği birbirini tamamlayan iki farklı güvence olarak görülmelidir. Birincisi hizmet sağlayıcının hangi veriyi gördüğünü, ikincisi ise farklı işlemlerin birbiriyle ne ölçüde ilişkilendirilebildiğini ilgilendirir.
Türkiye bakımından olası etkiler
Türkiye halihazırda güçlü elektronik kimlik doğrulama altyapılarına sahiptir. Yeni nesil Türkiye Cumhuriyeti Kimlik Kartı kullanılarak kişilerin kimliklerinin elektronik ortamda doğrulanabilmesi amacıyla Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü tarafından Elektronik Kimlik Doğrulama Sistemi geliştirilmiştir. Sistem, kimlik kartının yetkili kurum tarafından düzenlenip düzenlenmediği ve doğrulama yapan kişinin kart sahibi olup olmadığı gibi hususların kontrolüne imkan vermektedir. Mevcut sistemde kimlik doğrulama işleminin nerede, ne zaman, kim tarafından ve hangi amaçla gerçekleştirildiğine ilişkin kayıtlar da tutulmaktadır. Türkiye Cumhuriyeti Kimlik Kartı aynı zamanda e-Devlet Kapısı’nda kullanılan kimlik doğrulama yöntemlerinden biridir.
Bununla birlikte Avrupa Dijital Kimlik Cüzdanında öne çıkan seçici veri paylaşımı modeli ile Türkiye’deki mevcut elektronik kimlik doğrulama altyapılarını aynı yapı olarak değerlendirmek doğru değildir. Sistemlerin hukuki dayanakları, kullanım amaçları ve teknik mimarileri farklıdır.
Türkiye açısından Avrupa’daki gelişmenin asıl dikkate değer tarafı, yeni bir mobil uygulamanın ortaya çıkmasından ziyade kimlik doğrulamanın hangi kapsamda yapılması gerektiğine ilişkin yaklaşım değişikliğidir.
6698 sayılı Kanun zaten kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını zorunlu tutmaktadır. Bu ilkenin dijital kimlik altyapılarına uygulanması halinde sorulması gereken soru yalnızca “Bu kişinin kimliğini güvenilir şekilde doğrulayabilir miyiz?” olmamalıdır. Bundan önce “Bu işlem için kişinin hangi bilgisini doğrulamamız gerçekten gerekiyor?” sorusu cevaplanmalıdır.
Örneğin mevzuat bir hizmet sağlayıcının müşterinin tam kimliğini tespit etmesini zorunlu kılıyorsa seçici veri paylaşımı bu yükümlülüğü ortadan kaldıramaz. Bankacılık, ödeme hizmetleri veya suç gelirlerinin aklanmasının önlenmesine ilişkin düzenlemelerin gerektirdiği müşteri tanıma yükümlülükleri buna örnek gösterilebilir. Buna karşılık yalnızca belirli bir yaşın, mesleki yeterliliğin veya yetkinin doğrulanmasının yeterli olduğu bir işlemde kişinin bütün kimlik bilgilerinin işlenmesi zorunlu olmayabilir.
Kanaatimce Türkiye bakımından üzerinde durulması gereken esas mesele budur. Dijital kimlik sistemlerinin gelişimi, yalnızca kimlik doğrulamanın daha hızlı veya daha güvenli yapılmasına indirgenmemelidir. Aynı teknolojiler, kişisel verilerin daha az işlenmesini sağlayacak biçimde de kullanılabilir.
Sonuç
Avrupa Dijital Kimlik Cüzdanı, 24 Aralık 2026 tarihinden itibaren Avrupa Birliği’nde somut bir uygulama aşamasına geçecek olması nedeniyle güncel bir teknoloji projesi olmanın ötesinde, dijital kimliğin hukuki yapısına ilişkin önemli bir değişimi temsil ediyor.
Bu değişimin merkezinde kişinin her dijital işlemde bütün kimliğini açıklamak zorunda olup olmadığı sorusu bulunuyor.
Bugüne kadar dijital kimlik doğrulamasında çoğu zaman güven ile veri miktarı arasında doğrusal bir ilişki kurulmuştur. Daha güçlü doğrulama için daha fazla veri toplamak olağan kabul edilmiştir. Oysa güvenilir bir kamu kaynağından veya yetkilendirilmiş bir sağlayıcıdan elde edilen elektronik doğrulamalar sayesinde bazı işlemlerde tam tersi bir model kurulabilir.
Bu nedenle Avrupa Dijital Kimlik Cüzdanının en önemli yönünün kimlik kartını cep telefonuna taşımak olduğu kanaatinde değilim. Daha önemli olan, kişinin bütün kimliğini açıklaması ile belirli bir niteliğini ispatlaması arasındaki hukuki ve teknik ayrımı sistematik hale getirmesidir.
Kişisel verilerin korunması hukukunda yıllardır ifade edilen veri minimizasyonu ilkesi, bu yaklaşımla birlikte soyut bir uyum yükümlülüğünden dijital hizmetlerin tasarımına ilişkin somut bir kurala dönüşebilir.
Yazar: Av.Yiğit Neyiğit
Hukuk ve Bilişim Dergisi ve Blog kısmımızda,
Bilişim Suçları
Blockchain ve Dijital Paralar
Yapay Zekâ ve Robot Hukuku
Elektronik Ticaret Hukuku
İnternet Hukuku
Kişisel Verilerin Korunması Hukuku
Start-Up Hukuku
E-Spor Hukuku
Fikri Mülkiyet Hukuku ve benzer teknoloji hukuku alanlarında yazılar okuyucularımıza sunulmaktadır.