Şirket müdürü yurt dışındayken e-imzasının Türkiye'deki muhasebeci tarafından kullanılması ve KEP ihtarname gönderiminde IP logu riski

Bu senaryo, şirket operasyonlarında pratik nedenlerle sıklıkla başvurulan ancak hem teknik adli bilişim (forensic) hem de 5070 Sayılı Elektronik İmza Kanunu açısından telafisi imkansız hukuki riskler barındıran son derece tehlikeli bir yöntemdir. Sorunuzun cevabını mevzuat, KEP delil kayıtları ve adli süreçler bağlamında adım adım açıklayalım:

1. 5070 Sayılı Kanun ve E-İmzanın Şahsiliği İlkesi:
5070 Sayılı Elektronik İmza Kanunu'nun 5. maddesi uyarınca 'Güvenli elektronik imza, elle atılan imza ile aynı hukukî sonucu doğurur' ve 6100 Sayılı Hukuk Muhakemeleri Kanunu (HMK) Madde 205/A gereğince kesin delil (senet) niteliğindedir. Ancak Kanun'un 14. maddesi son derece açık bir emir içerir: 'Nitelikli elektronik sertifika sahibi, imza oluşturma verisini yetkisiz kişilerin kullanımından korumakla yükümlüdür.' Elektronik imza, ıslak imzadan farksız olarak şahsa sıkı sıkıya bağlı bir haktır. Şirket müdürünün PIN kodunu telefonla muhasebeciye vermesi bir vekalet veya yetkilendirme doğurmaz; aksine kanuni saklama yükümlülüğünün ağır kusurla ihlali anlamına gelir.

2. KEP İHS Delil Mekanizması ve IP Loglarının Rolü:
Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yayımlanan Kayıtlı Elektronik Posta Sistemine İlişkin Usul ve Esaslar gereğince, lisanslı KEP Hizmet Sağlayıcıları (KEP İHS - PTT KEP, TNK KEP vb.) her ileti gönderiminde otomatik olarak delil paketleri üretir. Gönderim anında oluşturulan delil-1 (Gönderi Delili) içerisine:

• Gönderici Nitelikli Elektronik Sertifika (NES) seri numarası ve imza özeti,
• İmzanın atıldığı anı sabitleyen BTK onaylı RFC 3161 Zaman Damgası,
• İstemcinin KEP web arayüzüne veya masaüstü istemcisine bağlandığı gerçek kaynak IP adresi, port numarası ve oturum kimliği (Session ID)

kriptografik olarak mühürlenir ve bu kayıtlar yasal olarak en az 20 yıl boyunca imha edilemez şekilde saklanır.

3. Dava Aşamasında Delil Çürümesi ve Sahtelik İncelemesi:
Muhatap firma ihtarnameyi tebellüğ ettikten sonra açılacak bir alacak, fesih veya tazminat davasında ihtarnamenin yetkisiz kişi tarafından gönderildiğini iddia ederek 'imza inkarı' veya 'yetkisizlik def'inde' bulunabilir. Mahkeme, HMK hükümleri doğrultusunda Emniyet Genel Müdürlüğü Göç İdaresi Başkanlığı'ndan şirket müdürünün yurda giriş-çıkış (pasaport/hudut) kayıtlarını ve BTK/İHS'den gönderici IP loglarını talep edecektir.

Müdürün fiziken Almanya sınırları içinde bulunduğu tarih ve saatte, KEP gönderi delilindeki IP adresinin Türkiye (örneğin İstanbul/Kadıköy Türk Telekom IP bloğu) olduğu tespit edildiğinde; imzanın müdürün bizzat tasarrufunda atılmadığı teknik olarak ispatlanmış olur. Yargıtay Hukuk Genel Kurulu'nun yerleşik içtihatları doğrultusunda, aidiyeti çürütülen e-imza ile yapılan işlem yetkisiz temsil hükümlerine tabi olur veya tamamen hükümsüz (butlan) sayılır. Bu durum hak düşürücü sürelerin (örneğin fesih veya temerrüt ihbar süresinin) kaçırılmasına ve şirketin davayı esasa girilmeden usulden kaybetmesine yol açar.

4. Ceza Hukuku Riski (TCK m. 243 ve 204):
Yetkisiz bir kişinin başkasına ait nitelikli elektronik sertifika ve PIN verisiyle imzalama yapması, rıza olsa dahi Türk Ceza Kanunu (TCK) m. 243 (Bilişim sistemine yetkisiz erişim) ve resmi evrak niteliğindeki belgelerde TCK m. 204 (Resmi belgede sahtecilik) kapsamında adli soruşturma konusu olabilmektedir.

Hukuken Geçerli Alternatif Çözüm Yolları:

1. Mobil İmza Kullanımı: Eğer şirket müdürünün SIM kartında Turkcell, Vodafone veya Türk Telekom Nitelikli Mobil İmza servisi tanımlıysa; müdür Almanya'da uluslararası dolaşım (roaming) açıkken KEP portalına kendi tarayıcısından girip cep telefonuna gelen USSD onay ekranından PIN girerek ihtarnameyi bizzat imzalayabilir. Bu işlemde IP adresi Almanya GSM operatörüne ait olacağından tam bir hukuki uyum sağlanır.
2. Şirketin Diğer Yetkilisinin E-İmzası: Şirket imza sirkülerinde müşterek veya münferit imzaya yetkili başka bir yönetici varsa, KEP üzerinden ihtarnameyi Türkiye'deki yetkili bizzat kendi adına kayıtlı e-imza ile göndermelidir.
3. Noter Kanalı: Acil durumlarda şirketin Türkiye'deki vekili (avukatı), genel şirket vekaletnamesine istinaden doğrudan fiziki noter kanalıyla ihtarnameyi keşide etmelidir.