İngiltere Elektronik İmza Tüzüğü________________________________________
2002 Elektronik İmza Tüzüğü (Regulations, Bakanın işlemi olduğu için tüzük denmiştir)
2002 tarihli 318 sayılı
Elektronik İletişim
Hazırlanışı 13 Şubat 2002
Parlamentoya Sunuluşu 14 Şubat 2002
Yürürlüğe Girişi 8 Mart 2002
Bakan, 1972 tarihli Avrupa Toplulukları Kanununun Madde 2(2)’si uyarınca elektronik imzalara ilişkin olarak görevlendirildiği üzere, sözü geçen Madde 2(2)’nin ona verdiği yetkinin kullanımı olarak, aşağıdaki Tüzüğü çıkartmıştır.
Atıf ve Başlangıç:
1. Bu Tüzük, 2002 Elektronik İmza Tüzüğü olarak anılabilir ve 8 Mart 2002’de yürürlüğe girecektir.
Yorum
2. Bu Tüzükte,
“güvenli elektronik imza”,
(a) münhasıran imza sahibine bağlı olan,
(b) imza sahibini tanımlama imkanını veren,
(c) imza sahibinin sadece kendi kullanımına özgülenmiş bir araç kullanılarak yaratılan,
(d) bağlı olduğu veride sonradan yapılan değişiklikleri ortaya çıkaran,
bir elektonik imza anlamına gelir;
“sertifika” imzayla doğrulanacak veriyi bir kişiye bağlayan ve o kişinin kimliğini belirleyen bir elektronik doğrulama anlamına gelir;
“sertifika hizmet sağlayıcısı” sertifika düzenleyen veya elektronik imzalara ilişkin diğer hizmetleri veren kişi anlamına gelir;
“Yönerge” Avrupa Parlamentosu ve Konseyinin elektronik imzalar için Topluluk çerçevesini belirleyen 1999/93/EC Yönergesidir;
“elektronik imza” kimlik doğrulama metodu olarak başka bir elektronik veriye eklenen veya bu elektronik veriyle mantıksal bağlantısı bulunan elektronik veriyi ifade eder;
“nitelikli sertifika” Tarife 2’deki koşullara uygun olan bir sertifika hizmet sağlayıcısı tarafından verilen ve Tarife 1’de aranan koşulları karşılayan bir sertifika anlamına gelir;
“imza sahibi” kendi hesabına veya temsil ettiği kişi hesabına hareket eden ve bir imza oluşturma aracına sahip olan kişi anlamına gelir;
“imza oluşturma verisi” imza sahibi tarafından bir elektronik imza oluşturmak için kullanılan ve (şifreler ve kriptografik gizli anahtarlar dahil olmak üzere ama bunlarla sınırlı olmadan) bir eşi daha olmayan veri anlamına gelir;
“imza oluşturma aracı” imza oluşturma verisini tamamlamak için kullanılmak üzere hazırlanmış yazılım veya donanımı ifade eder;
“gönüllü akreditasyon” böyle hak ve yükümlülüklere uygunluğun detaylarını belirleleyip denetimini yapmakla görevlendirilen kişi tarafından ilgili sertifika hizmet sağlayıcısının talebi üzerine verilen, sertifika hizmeti sağlamaya özgü haklar ve yükümlülükler tesis eden herhangi bir izin anlamına gelir; sertifika hizmet sağlayıcısının bu kişinin kararı olmadan izinden kaynaklanan hakları kullanmaya yetkisi yoktur.
Sertifika Hizmet Sağlayıcılarının Denetimi
3. (1)
(2) Birleşik Krallıkta kurulmuş olan ve halka nitelikli sertifika arz eden sertifika hizmet sağlayıcılarının bir sicilini oluşturmak ve tutmak yine Bakanın görevi olacaktır.
(3) Bakan, Birleşik Krallıkta kurulmuş olduğunun ve halka nitelikli sertifika arz ettiğinin farkında olduğu sertifika hizmet sağlayıcılarının isimlerini ve adreslerini sicile kaydedecektir.
(4) Bakan sicili uygun gördüğü şekilde yayımlayacaktır.
(5)
Sertifika Hizmet Sağlayıılarının Sorumluluğu
4. (1)
(a)
(i) halka nitelikli sertifika arz eden veya,
(ii) halka bir nitelikli sertfika konusunda teminat veren,
bir sertifika hizmet sağlayıcısı,
(b) aşağıdaki sebeplerden birisine dayanarak bu sertifikaya güvenmesi makul olan kişiye
(i) nitelikli sertifikanın düzenlenme zamanında içerdiği bilgilerin kesinliği ve doğru olması,
(ii) nitelikli sertifikanın Tarife 1’de atıf yapılan tüm detayları kapsaması,
(iii) seritifikada verilen veya tanımlanan imza doğrulama verisinin karşılığı olan imza yaratma aracının düzenlenme tarihinde sertifikada belirlenen imza sahibince kullanıldığı,
(iv) imza oluşturma aracı ve imza doğrulama verisinin, sertifika hizmet sağlayıcısının ikisini de üretmesi söz konusuysa, tamamlayıcı şekilde kullanılabilmesi imkanı,
(c) bu kişinin güveni sebebiyle bir zarar vermesi durumunda
(d)
(i) sertifika hizmet sağlayıcısı ile yukarıdaki (b) bendinde atıf yapılan kişi arasında “gözetme görevinin ” olması ve
(ii) sertifika hizmet sağlayıcısının kusurlu olması halinde
sertifika hizmet sağlayıcısı her türlü kayıptan sorumlu olacaktır. Sertifika hizmet sağlayıcısının kusurlu olduğuna dair bir delil olmasa bile, sertifika hizmet sağlayıcısı aynı şekilde sorumlu olacaktır, meğer ki sertifika hizmet sağlayıcısı kusursuz olduğunu ispatlamış olsun.
(2) Yukarıdaki birinci fıkra açısından sertifika hizmet sağlayıcısının sorumluluğundan bahsedebilmek için, sertifika hizmet sağlayıcısı ile fıkra (1)(b)’de atıf yapılan kişi arasında gözetme görevi olmalıdır.
(3) (a) halka nitelikli sertifika arz eden sertifika hizmet sağlayıcısı,
(b) bu sertifikaya güvenmesi makul olan kimseye bir zarar vermesi durumunda,
(c) bu kişinin, sertifika hizmet sağlayıcısının sertifikanın geri alınmasını tescil ettrimesindeki herhangi bir ihmal nedeniyle bir zarara uğraması halinde,
(d) (i) sertifika hizmet sağlayıcısı ile yukarıdaki (b) bendinde atıf yapılan kişi arasında gözetme görevinin olması ve
(ii) sertifika hizmet sağlayıcısının kusurlu olması halinde
sertifika hizmet sağlayıcısı tüm zararlardan sorumlu olacaktır. Sertifika hizmet sağlayıcısının kusurlu olduğuna dair bir delil olmasa bile, sertifika hizmet sağlayıcısı aynı şekilde sorumlu olacaktır, meğer ki sertifika hizmet sağlayıcısı kusursuz olduğunu ispatlamış olsun.
(4) Yukarıdaki üçüncü fıkra açısından sertifika hizmet sağlayıcısının sorumluluğundan bahsedebilmek için, sertifika hizmet sağlayıcısı ile fıkra (3)(b)’de atıf yapılan kişi arasında gözetme görevi olmalıdır.
Veri Korunması
5. (1) Halka sertifika arz eden ve aşağıdaki altınca fıkra gereğince bu fıkra hükmüne tabi bir sertifika hizmet sağlayıcısı
(a) sertifikayı vermek veya sürdürmek için veri süjesinden (data subject = veri sahibi) doğrudan gelmeyen veya onun açıkça muvafakat vermediği hiç bir veriyi elde edemez.
(b) (a) bendinde atıf yapılan kişisel verileri
(i) sertifikayı vermek veya sürdürmek için gerekli olandan daha fazla
(ii) veri süjesinin açıkça muvafakat gösterdiği kapsamdan daha fazla
işleyemez, meğer ki sözleşme tarafından öngörülenden başka herhangi bir hukuki yükümlülük gereğince bu işleme gerekli olsun.
(2) Yukarıdaki birinci fıkraya uyma yükümlülüğü, bunun ihlal edilmesi durumunda zarar görebilecek herkese karşı bir görevdir.
(3) İkinci fıkra hükmü uyarınca veri süjesine karşı bir görev mevcutsa, bu görevin veri süjesinin zarar ve ziyanına yola açan her ihlali, veri süjesi tarafından dava edilebilir.
(4) Yukarıdaki birinci fıkraya uygun davranma, adli takibatla tedbir kararı veya başka münasip bir tazminat veya telafi istenmek suretiyle Kraliyet tarafından da icbar edilebilir.
(5) Yukarıdaki dördüncü fıkra hükmü, üçüncü fıkra mucibince veri süjesinin birinci fıkranın ihlalini adli takibat konusu yapma hakkına halel getirmez .
(6) Yukarıdaki birinci fıkra hükmü bir sertifika servis sağlayıcısına, sadece sertifika servis sağlayıcısının Birleşik Krallık’ta kurulmuş olması ve kişisel verinin bu kuruluşun amacı kapsamında işlenmiş olması durumunda uygulanır.
(7) Yukarıdaki altınca fıkra hükmüne ilişkin olarak, aşağıdakiler Birleşik Krallık’ta kurulmuş kabul edilir –
(a) Yerleşim yeri Birleşik Krallık’ta olan bireyler,
(b) Birleşik Krallık kanunlarına göre kurulmuş olan veya bir kısmı Birleşik Krallık’ta bulunan tüzel kişiler ,
(c) Birleşik Krallık kanunlarına göre kurulmuş olan veya bir kısmı Birleşik Krallık’ta bulunan ortaklar ve tüzel kişiliği olmayan dernek veya birlikler ve,
(d) Yukarıdaki (a), (b), veya (c)’ye girmemekle birlikte Birleşik Krallık’ta,
(i) faaliyetlerini sürdürdüğü bir büro, şube veya acentası,
(ii) düzenli olarak mesleğini icra ediyorsa.
(
Bu Tüzükte,
“veri süjesi”, “kişisel veri”ve “işleme” 1998 Veri Koruması Kanunu Madde 1(1)’deki anlamında kullanılmıştır.
“elde etmek” 1998 Veri Koruması Kanunu Madde 1(2)’deki “elde etme” ile aynı şekilde yorumlanacaktır.
Douglas Alexander
Ticaret ve Endüstri Bakanlığı, Avrupa’da E-Ticaret ve Rekabet Müsteşarı
13 Şubat 2002
TARİFE 1
(Tüzük 2)
(Yönergeye Ek I)
NİTELİKLİ SERTİFİKALAR İÇİN KOŞULLAR
Nitelikli sertifikalar şunları kapsamalıdır:
(a) Sertifikanın nitelikli sertifika olarak düzenlendiğinin belirtilmesi,
(b) Sertifika hizmet sağlayıcısının kimlik bilgileri ve kurulduğu ülke,
(c) İmza sahibinin kimliğinin saptanabilmesi için ismi veya takma adı,
(d) Sertifikanın amacına bağlı olarak, bununla ilgili olmak kaydıyla imza sahibinin belirli bir niteliğinin sağlanması,
(e) İmza sahibinin kontrolündeki imza oluşturma aracına karşılık gelen imza doğrulama verisi,
(f) Sertifikanın geçerliliğinin başlangıç ve bitiş tarihleri,
(g) Sertifikanın tanım kodu,
(h) Sertifikayı düzenlemiş olan sertifika hizmet sağlayıcısının güvenli elektronik imzası,
(i) Varsa, sertifikanın kullanım alanındaki sınırlamalar,
(j) Varsa, sertifikanın kullanılabileceği işlemlerin değerine ilişkin sınırlamalar,
TARİFE 2
(Tüzük 2)
(Yönergeye Ek II)
Sertifika hizmet sağlayıcıları:
(a) Sertifika hizmetleri sağlamak için gerekli olan güvenilirliği sergilemek,
(b) Çabuk ve güvenli bir rehber ile güvenli ve çabuk bir iptal sisteminin çalışmasını güvence altına almak,
(c) Sertifikanın düzenlendiği ve iptal edildiği tarih ve zamanın kesin olarak belirlenebilmesini güvence altına almak.
(d) Nitelikli sertifika verilen kişilerin ulusal hukuka uygun olarak kimliğini ve diğer bilgilerinin doruluğunu münasip şekilde kanıtlamak,
(e) Sağlanan hizmetin gerektirdiği uzman bilgi, tecrübe ve niteliğe sahip, özellikle yönetim seviyesinde yetenekli, elektronik imza teknolojisinde uzman ve uygun güvenlik prosedürlerine aşina; ayrıca tanınmış standartlar açısından yeterli ve uygun idari prosedürleri uygulayan personel istihdam etmek,
(f) Değiştirilmeye karşı korunmuş güvenilir sistem ve ürünler kullanmak ve bunların sağladığı sürecin teknik ve kriptografik güvenliğini güvence altına almak,
(g) Sertifikaların taklit edilmesine karşı tedbirler almak, sertifika hizmet sağlayıcılarının imza oluşturma verisini ürettiği durumlarda bu verinin gizliliğini garanti etmek,
(h) Yönerge’de öngörülen koşullara uygunluk içerisinde çalışmaya izin verecek, özellikle uygun bir sigorta yaptırmak gibi zarara karşı sorumluluğun riskini taşıyabilecek, yeterli mali kaynaklara sahip olmak,
(i) Özellikle dava muamelelerinde sertifikaya ilişkin deliller sağlaması amacıyla, nite
(j) Sertifika hizmet sağlayıcısının anahtar idare hizmetini sağladığı kişinin imza oluşturma verisini saklamamak veya kopyalamamak,
(k)
(l) Sertifikaları gerçekliği ispat edilebilir bir şekilde saklamak için güvenilir bir sistem kullanmak, böylece:
- sadece yetkili kişilerin giriş ve değişiklikler yapabilmesi,
- bilginin doğru olduğunun kontrol edilebilmesi,
- sertifikanın, sertifika sahibinin rızasının olduğu durumlarda aleni olarak elde edilebilmesi,
- bu güvenlik gerekleriyle uyuşan herhangi bir teknik değişikliğin sistemi işletence görülür olması,
ile yükümlüdür.
--------------------------------------------
Çeviren Doç Dr. Leyla KESER, Bilgi Üniversitesi
“advanced” kelimesini Türk Elektronik İmza Kanunu terminolojisine sadık kalarak “gelişmiş” veya “ileri” yerine güvenli elektronik imza olarak çevrilmiştir.
“configure” kelimesi şekillendirilmiş anlamına geliyordu, bu şekilde tercüme etmek daha doğru görünmüştür.
“Duty of care”: İlliyet bağının bir bölümü olarak kabul ediliyor. Kişinin başka bir kişiye karşı hukuk ilkelerine göre belirlenen sorumluluğu gibi anlaşılabilir.
“apprehended” kelimesini metin içinde tercüme edilememiştir. Ya ihlalin durdurulmuş olması ya da bu ihlal hakkında devletin zaten takibat başlatmış olması anlamında kullanılmış olabilir.
“a body incorporated ...”
