Blokzinciri Sistemlerinde KVKK İhlallerine Çözüm Yolları

Teknolojinin hızla dijitalleşmesiyle birlikte blokzinciri uygulamaları, finans, sağlık, lojistik gibi birçok sektörde devrim yaratma potansiyeline sahip inovatif olanaklar sunmaktadır. Ancak bu yenilikçi ekosistem, dağıtık ve şeffaf doğası gereği Kişisel Verilerin Korunması Kanunu (KVKK) regülasyonları ile zaman zaman ciddi hukuki çatışmalar yaşamaktadır. Geleneksel merkezi veri kayıt sistemlerinin aksine, bu ağlarda katılımcıların kamuya açık ve kalıcı kimlik tanımlayıcıları ile işlem yapabilmesi, veri işleme süreçlerinde yasal zorunlulukların takibini oldukça zorlaştırmaktadır. Ortaya çıkan bu tablo, veri koruma hukukunun temelini oluşturan amaca bağlılık, süreyle sınırlılık ve veri minimizasyonu gibi ilkelerin ihlaline zemin hazırlayabilmektedir. Bu noktada, veri koruma hukuku prensipleri çerçevesinde bireylerin temel hak ve özgürlüklerini tehlikeye atmadan ilgili teknolojiden faydalanabilmek için hukuki ve donanımsal entegrasyonların sağlanması mutlak bir şarttır. Bahsi geçen çatışmaları giderebilmek adına hukuk pratiğinde birtakım muhtemel çözüm yolları tatbik edilmekte ve sistemin yapısına uygun idari çözümler üretilmektedir.

Blokzinciri Kullanımının Gerekliliğinin Değerlendirilmesi ve Ağ Seçimi

Bir projede blokzinciri teknolojisinin kullanımına karar verilmeden önce, sürecin gerçekten bu teknolojiye ihtiyaç duyup duymadığı detaylıca sorgulanmalıdır. KVKK uyumunu sağlamanın ilk adımı, hedeflenen getirinin ve katma değerin blokzincirinin teknik gerekliliklerini karşılayıp karşılamadığını yasal bir düzlemde analiz etmektir. Şayet sistemin kurulumu hukuken ve teknik olarak gerekli görülürse, kanuni regülasyonlara daha rahat entegre edilebilen özel (kapalı) blokzincirleri veya izne tabi ağlar tercih edilmelidir. Herkese açık ağlarda yönetimi sağlamak oldukça güçken; kapalı ağlarda yetkilendirilmiş bir konsorsiyum üzerinden veri işleme faaliyetleri çok daha net sınırlandırılabilir. Bu sayede, kişisel verilerin hangi coğrafi bölgede işleneceği ve idari tedbirlerin nasıl uygulanacağı hususunda mevzuat gereklilikleri çok daha pratik bir şekilde kontrol altında tutulabilmektedir.

Kişisel Veriler Yerine Anonim Verilerin Kullanılması

Blokzinciri sistemlerinde yasal ihlalleri önlemenin bir diğer etkili yolu, ağ üzerinde kişisel veri niteliği taşıyan bilgiler yerine yalnızca anonim verilerin işlenmesi yöntemidir. Eğer işlenen veriler, makul şartlarda bir gerçek kişiyle hiçbir şekilde ilişkilendirilemiyorsa ve kişinin kimliğini tespit edilemez hale getiriyorsa, bu tür veriler KVKK kapsamı dışında kalacaktır. Hukuk uygulamalarında veri minimizasyonu ilkesi gereğince, verileri maskeleme, gizli adresler kullanma veya işlemlere gürültü (noise) ekleme gibi ileri şifreleme ve anonimleştirme tekniklerinden faydalanılması önerilmektedir. Ancak burada dikkat edilmesi gereken en kritik husus, işlemlerin kriptografik özetini ifade eden hash değerlerinin tam bir anonimlik sağlamamasıdır. İlgili veri özetleri, başka bilgilerle birleştirildiğinde gerçek kişiyi dolaylı yoldan da olsa belirlenebilir kılabileceğinden hukuken anonim değil bulanık (psödonim) veri statüsünde değerlendirilmektedir.

Zincir Dışı (Off-Chain) Veri Saklama Modeli

Sistemde depolanan verilerin kalıcı olarak tutulması zorunluluğu, mevzuatın getirdiği süre sınırı ve orantılılık gibi temel ilkelerle zaman zaman açıkça ters düşmektedir. Bu engeli aşmak için uygulamaya geçirilen en temel ve güvenli çözümlerden biri zincir dışı (off-chain) veri saklama metodudur. Bu yenilikçi yöntemde kişisel verilerin aslı doğrudan blokzinciri üzerinde değil; yetkisiz erişimlere kapalı, harici bir veri tabanında tutulmaktadır. Blokzinciri ağına ise yalnızca bu zincir dışı veriye referans sağlayan bir kriptografik özet göstergesi kaydedilmektedir. İlgili yasal mevzuat uyarınca, verinin işlenme amacı ortadan kalktığında veya hukuki bir gereklilik doğduğunda, harici veri tabanındaki asıl bilgi kolaylıkla silinebilir. Asıl bilgi ortadan kalktığında blokzincirindeki kriptografik özet anlamsızlaşacağı için, blokzincirinin mimarisi zedelenmeden yasal kurallara tam uyum sağlanmış olur.

Blokzincirinde Alternatif Çözümler

Yukarıda bahsedilen temel tekniklere ek olarak, uygulamada sistem tasarımcılarının yararlanabileceği bazı alternatif veya tamamlayıcı uyum stratejileri de bulunmaktadır. Sistem mimarisinin sunduğu yüksek güvenlikli ve şeffaf yapının, yasal düzenlemelerin temel hedefleriyle uyuşan yönlerini ön plana çıkarmak projenin hukuki güvenliğini ciddi ölçüde artıracaktır. İlgili teknolojik yapının esnetilerek kişisel verilerin korunması hukukuna hizmet edebilmesi için başvurulan destekleyici pratikler şu şekilde sıralanabilir:

• Hatalı olduğu sonradan tespit edilen bilgilerin silinmesi yerine, hatalı işlemin geçersiz kılındığını gösteren yeni bir hata kaydının zincire eklenmesi (eski hatalı bilgi varlığını sürdürdüğü için eleştirilere açıktır).
• Tek seferlik veya geçici açık anahtarlar üretilerek ağ üzerinde dışarıdan yapılabilecek kullanıcı profillemesinin engellenmesi.
• Ağın yetkisiz işlemleri ve dolandırıcılığı zorlaştıran teknolojik yapısının doğrudan bir veri güvenliği tedbiri olarak kullanılması.

Tatbik edilen bu idari ve donanımsal pratikler, kişisel bilgilerin hukuka aykırı şekilde üçüncü şahısların eline geçmesini önlemekte ve uygulanması mecburi teknik tedbirler arasında güçlü bir hukuki koruma argümanı olarak öne çıkmaktadır.