Blokzincir Teknolojisinde Kişisel Veri Kavramı ve Temel Veri Koruma İlkeleri

Günümüzde dijital dönüşümün en önemli yapı taşlarından biri olan blokzincir teknolojisi, sunduğu alternatif güven modeli ile veri işleme faaliyetlerinde yeni bir çağ başlatmıştır. Merkezi bir otoriteye ihtiyaç duymayan, şeffaf ve dağıtık bir veri tabanı olan bu teknoloji, kişisel verilerin korunması bağlamında hem büyük fırsatlar hem de ciddi hukuki zorluklar barındırmaktadır. Avrupa Birliği Genel Veri Koruma Tüzüğü (GVKT) ve iç hukukumuzdaki yansımaları dikkate alındığında, kişisel veri kavramı oldukça geniş yorumlanmaktadır. Bu durum, blokzincir ağı üzerinde kaydedilen verilerin hukuki statüsünün dikkatle değerlendirilmesini zorunlu kılar. Zira blokzincirin dış müdahalelere kapalı ve değiştirilemez yapısı, veri sahiplerinin hakları ve veri koruma hukukunun temel ilkeleri ile zaman zaman çatışma potansiyeli taşır. Bu makalede, uzman bir hukuki perspektifle, blokzincir ekosisteminde yer alan verilerin kişisel veri niteliği ve veri işleme faaliyetlerine hakim olan temel ilkelerin uygulanabilirliği analiz edilmektedir.

Blokzincir Ağlarında Kişisel Veri Niteliği

Veri koruma mevzuatlarında kişisel veri tanımı, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kapsayacak şekilde geniş bir çerçevede ele alınmaktadır. Blokzincir üzerinde işlenen veriler temelde işlem verileri ve kimlik tanımlayıcı açık anahtarlar olmak üzere ikiye ayrılır. Birçok kişi blokzincirde şifreleme veya hash (özet değer) fonksiyonları kullanıldığı için verilerin anonimleştiğini düşünse de, hukuki açıdan bu durum tam olarak böyle değildir. GVKT uyarınca, verinin anonim hale getirilmesi için güncel teknoloji ve gelecekteki olası teknolojik gelişmeler ışığında gerçek kişiyle bağlantısının kesin olarak koparılması aranır. Oysaki blokzincir ağlarında asimetrik şifreleme veya hash algoritmaları kullanılsa dahi, büyük veri analitiği aracılığıyla bu verilerin diğer veri setleriyle birleştirilerek kişinin gerçek kimliğinin ifşa edilme riski her zaman mevcuttur. Bu nedenle blokzincir üzerindeki kayıtlar anonim veri değil, ilave bilgiler olmaksızın kişiyle ilişkilendirilemeyecek şekilde gizlenmiş takma adlı (pseudonymous) veri olarak kabul edilmekte ve kişisel veri niteliğini korumaya devam etmektedir.

Veri İşleme Faaliyetlerine Hakim Olan Temel İlkeler

Blokzincir ekosisteminde kişisel veri işleme ilkelerinin uygulanabilirliği şu şekilde özetlenebilir:

• Bütünlük ve Gizlilik: Kriptografik şifreleme ve dağıtık yapı sayesinde merkezi sistemlerden çok daha yüksek bir veri güvenliği sağlar.
• Şeffaflık ve Hesap Verilebilirlik: Değiştirilemez işlem geçmişi sayesinde, verilerin kim tarafından ve ne zaman işlendiği şüpheye yer bırakmayacak şekilde kanıtlanabilir bir yapı sunar.
• Veri Minimizasyonu: Kümülatif olarak büyüyen ve veri silinmesine izin vermeyen mimari, asgari veri işleme kuralı ile ciddi bir uyumsuzluk gösterir.

Veri Minimizasyonu ve Depolamada Sınırlılık

Blokzincir teknolojisi ile veri koruma hukuku arasındaki en belirgin gerilim alanlarından birini veri minimizasyonu ilkesi ve depolamada sınırlılık ilkesi oluşturur. İlgili ilkeler uyarınca, veri sorumlularının yalnızca işleme amacı için zorunlu olan verileri toplaması ve amaç gerçekleştiğinde bu verileri silmesi veya anonimleştirmesi emredilmektedir. Ancak blokzincir, doğası gereği tek yönlü olarak genişleyen, sürekli büyüyen ve dışarıdan müdahaleye izin vermeyen değiştirilemez bir defter yapısına sahiptir. Zincire kaydedilen her bir işlem, kronolojik olarak bloklara işlenir ve bu kayıtlar ağdaki tüm düğümlere kopyalanır. Dolayısıyla kişisel verilerin amaç gerçekleşmesine rağmen zincir üzerinde kümülatif olarak süresiz şekilde saklanması, veri koruma hukukunun temel ilkeleri ile doğrudan çelişir. Açık anahtarlar gibi meta verilerin zincir dışına taşınması teknik olarak mümkün olmasa da, işlem verileri bakımından bu katı yapının getirdiği uyum sorununu aşmak için uygulamada zincir dışı (off-chain) depolama gibi farklı teknik çareler üretilmektedir.

Şeffaflık, Bütünlük ve Hesap Verilebilirlik

Blokzincir altyapısı, içerdiği bazı katı kurallara rağmen, veri koruma hukukunun ruhunu yansıtan bazı ilkelerle son derece uyumlu bir yapı sergilemektedir. Özellikle şeffaflık ilkesi ve hesap verilebilirlik ilkesi, blokzincirin merkeziyetsiz doğası ile doğrudan örtüşür. Ağ üzerinde gerçekleştirilen tüm kişisel veri işleme faaliyetlerinin ve işlemlerin zaman damgası ile kaydedilmesi, hem bireyler hem de denetleyici otoriteler tarafından erişilebilir ve geriye dönük olarak izlenebilir bir mekanizma sunar. Bu durum, veri sorumlularının mevzuata uyumlu hareket ettiklerini kanıtlamaları bakımından güvenilir bir ispat vasıtası yaratır. Bunun yanı sıra, blokzincirin kriptografik güvencelere dayalı yapısı sayesinde, siber saldırılara ve yetkisiz erişimlere karşı çok daha dirençli bir güvenlik ağı sunulmaktadır. Böylece kişisel verilerin korunmasında hayati önem taşıyan verilerin bütünlüğü ve gizliliği prensibi teknolojik düzeyde güvence altına alınarak, dağıtık sistemlerin veri koruma alanındaki tamamlayıcı rolü gözler önüne serilmektedir.