Blokzincir Teknolojilerinde "Unutulma Hakkı" Çelişkisi ve KVKK Regülatif Uyum Sorunları

Giriş

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), bireylere kendi kişisel verileri üzerinde mutlak bir denetim yetkisi tanımaktadır. Bu yetkinin en radikal yansımalarından biri olan “Unutulma Hakkı” (Veri Silme Hakkı), veri sorumlularına, işleme şartları ortadan kalkan kişisel verileri kalıcı olarak imha etme yükümlülüğü yükler. Buna karşın, dağıtık defter teknolojisi (blokzincir), doğası gereği verilerin geriye dönük olarak değiştirilemez, silinemez ve tahrif edilemez (immutability) bir mimariyle kaydedilmesi esasına dayanır. Teknolojik değişmezlik iddiası ile yasal silme zorunluluğu arasındaki bu ontolojik çelişki, blokzincir tabanlı projelerin yasal uyum (compliance) süreçlerindeki en büyük regülatif çıkmazı oluşturmaktadır.

1. KVKK Veri İmha Rejimi ve Blokzincirin Değişmezlik Mimarisi

KVKK'nın 7. maddesi ve ilgili yönetmelikler uyarınca; kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde, bu verilerin veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hale getirilmesi zorunludur.

• Silme Kavramının Yasal Tanımı: KVKK'ya göre kişisel verilerin silinmesi; verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
• Blokzincirin Teknik Engeli: Kamusal ve merkeziyetsiz bir blokzincir ağında (örneğin Bitcoin veya Ethereum), bir blok ağa eklendikten sonra o blok içerisindeki veriyi silmek veya değiştirmek matematiksel ve kriptografik olarak imkansıza yakındır. Veriyi silmeye çalışmak, zincirin kriptografik bütünlüğünü (karma/hash bağlarını) bozacağı için ağ tarafından reddedilir. Bu durum, KVKK m. 7'nin emredici hükmünün teknik olarak yerine getirilememesi sonucunu doğurur.

2. Kriptografik Çözümler: "Kalıcı Silme" Yerine "Erişilmez Kılma"

Mevzuattaki katı silme tanımı ile blokzincir gerçeği arasındaki köprüyü kurmak adına, veri koruma otoriteleri ve bilişim hukukçuları birtakım hibrid ve kriptografik alternatifleri tartışmaktadır:

• Zincir Dışı (Off-Chain) Veri Saklama: En temel ve regülatif uyumu en yüksek yöntemdir. Kişisel veriler doğrudan blokzincir üzerine yazılmaz. Veriler geleneksel ve silinebilir merkezi bir veri tabanında (zincir dışında) saklanır; blokzincir üzerine ise sadece o verinin benzersiz kriptografik özeti (şifrelenmiş hash değeri) kaydedilir. İlgili kişi unutulma hakkını kullandığında, zincir dışındaki veri tabanından silme işlemi gerçekleştirilir. Blokzincir üzerindeki hash değeri tek başına anlamlı bir kişisel veri ifade etmeyeceği için uyum sağlanmış olur.
• Özel Anahtarın İmhası (Kriptografik Silme): Eğer kişisel veri doğrudan zincir üzerine (on-chain) şifrelenerek yazılmışsa, unutulma hakkı talebi geldiğinde veriyi çözmeye yarayan kriptografik özel anahtarın (private key) kalıcı olarak imha edilmesi yöntemi önerilmektedir. Anahtar yok edildiğinde, veri matematiksel olarak sonsuza kadar çözülemez (anlamsız rastgele karakter dizisi) hale gelecektir. Ancak hem KVKK hem de GDPR otoriteleri, şifrelenmiş verinin teknik olarak hala zincirde bulunması ve ileride kuantum bilgisayarlar gibi teknolojilerle çözülme ihtimali bulunması nedeniyle, bu yöntemi her zaman “tam bir imha” olarak kabul etmemekte, ihtiyatlı yaklaşmaktadır.

3. Blokzincir Ağlarında "Veri Sorumlusu" Kimdir?

KVKK uyum süreçlerinin ilk adımı, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen “Veri Sorumlusunun” tespiti ve VERBİS'e kaydedilmesidir. Merkeziyetsiz blokzincir yapılarında bu tespit hukuki bir kaosa dönüşür.

• Düğümlerin (Nodes) Durumu: Kamusal bir blokzincirde, ağın güvenliğini sağlayan ve tüm defterin bir kopyasını bilgisayarında barındıran binlerce bağımsız düğüm (node/madenci) bulunmaktadır. Teorik olarak her bir düğüm veriyi sakladığı için veri sorumlusu veya veri işleyen sıfatına haiz olabilir. Ancak binlerce anonim kişiye veri sorumlusu yükümlülükleri yüklemek ve idari para cezası uygulamak pratik hukuka aykırıdır.
• Uygulama Geliştiricileri ve Akıllı Sözleşme Yazarları: KVKK otoritelerinin güncel eğilimi; ağın kendisini değil, o blokzincir üzerinde çalışan dApp (merkeziyetsiz uygulama) arayüzlerini sunan, akıllı sözleşmeyi tasarlayan ve sisteme veri girişini organize eden platform sahibi ticari şirketleri veri sorumlusu olarak konumlandırmaktır.

4. Sonuç ve Regülatif Uyum Önerileri

Blokzincir teknolojisi ile KVKK arasındaki uyuşmazlık, hukukun statik kuralları ile teknolojinin dinamik ve merkeziyetsiz doğası arasındaki uyumsuzluğun en somut örneğidir. Blokzincir tabanlı projeler geliştiren (Fintech, Web3, NFT, DeFi) girişimlerin Kişisel Verileri Koruma Kurulu'nun fahiş idari para cezalarıyla karşılaşmamaları için şu mimari stratejileri benimsemesi elzemdir:

• Tasarım Yoluyla Mahremiyet (Privacy by Design): Sistem mimarisi kurgulanırken “Asla doğrudan zincir üstüne (on-chain) yalın metin (clear text) kişisel veri yazılmaması” altın kural haline getirilmelidir.
• Hibrid Depolama: Hassas veriler, kimlik bilgileri ve kişisel detaylar mutlaka geleneksel KVKK uyumlu bulut veya yerel sunucularda (zincir dışında) tutulmalı; blokzincir sadece bu işlemlerin doğrulanması ve zaman damgası için bir şeffaflık katmanı olarak kullanılmalıdır.
• Anonimleştirme Algoritmaları: Zincir üzerinde işlem yapılması zorunlu hallerde, veriler geri döndürülemeyecek şekilde anonimleştirilmeli, yapay kimliklendirme (pseudonymization) tekniklerinden kaçınılmalıdır; zira yapay kimlikli veriler yasal olarak hala kişisel veri sayılmaktadır.