Avrupa dijital kimlik cüzdanı ve eIDAS 2.0, Türkiye'den

eIDAS 2.0, AB'nin 2024/1183 sayılı tüzüğüdür. Her AB üyesi devletin en az bir Avrupa Dijital Kimlik Cüzdanı (EUDI Wallet) sunmasını şart koşar ve son tarih 2026'nın sonuna denk gelir. Tamga Wallet bu cüzdanlarla aynı açık standartlar üzerine kuruldu; "AB uyumlu" dememizin nedeni bu. Resmî bir EUDI Wallet değildir: bu unvan, bir üye devletin sunduğu ya da tanıdığı ve sertifikalandırılmış cüzdanlara aittir. Tüzük Türkiye'yi bağlamaz, ama dayandığı standartlar dijital belgelerin ortak dili hâline geliyor ve bu, buradaki kişiler ve kurumlar için de önemli.

eIDAS 2.0 nedir?

eIDAS, AB'nin elektronik kimlik ve güven hizmetleri tüzüğüdür. İlk hâli olan 910/2014 sayılı tüzük daha çok ulusal elektronik kimlik sistemleri ve e-imza üzerineydi. eIDAS 2.0 diye anılan 2024/1183 sayılı tüzük bunu değiştirir ve yeni bir fikir ekler: kimlik bilgilerini ve başka belgeleri telefonda tutan, kişinin denetiminde paylaşan bir cüzdan.

Tüzük 11 Nisan 2024'te kabul edildi, 30 Nisan 2024'te AB Resmî Gazetesi'nde yayımlandı ve yayımdan sonraki yirminci gün, 20 Mayıs 2024'te yürürlüğe girdi.

AB ülkeleri cüzdanı ne zaman sunmak zorunda?

Madde 5a(1)'e göre her üye devlet, teknik kuralları belirleyen uygulama tüzüklerinin yürürlüğe girmesinden itibaren 24 ay içinde en az bir Avrupa Dijital Kimlik Cüzdanı sunar. Bu uygulama tüzüklerinin ilk beşi 28 Kasım 2024'te kabul edildi, 4 Aralık 2024'te yayımlandı ve yirmi gün sonra, 24 Aralık 2024'te yürürlüğe girdi. Oradan 24 ay sayınca 2026'nın sonu çıkar.

Bir EUDI Wallet neler yapmalı?

Madde 5a(4), cüzdanın kişiye neleri yaptırması gerektiğini sayar. Kısaca:

• kimlik bilgilerini ve başka belgeleri istemek, almak, saklamak, seçmek, birleştirmek, silmek, paylaşmak ve göstermek, hepsini yalnız kişinin denetiminde ve seçici paylaşım mümkün olacak biçimde;
• takma ad üretmek ve bunları cihazda şifreli tutmak;
• bütün işlemlerin kaydını tek bir panelde görmek; oradan bir kuruluştan kişisel verilerin silinmesini istemek (GDPR Madde 17) ve şüpheli bir isteği veri koruma otoritesine bildirmek;
• nitelikli elektronik imzayla, gerçek kişiler için ücretsiz imza atmak.

Aynı maddedeki başka kurallar kişinin gizliliğini korur:

• cüzdan, belgelerin nasıl kullanıldığını belge verene söylemez (Md. 5a(5)(b));
• cüzdan sağlayıcı gerekenden fazla kullanım verisi toplamaz, cüzdan verisini başka hizmetlerinin verisiyle birleştirmez (Md. 5a(14));
• teknik çerçeve, kimsenin kişinin işlemlerini izlemesine, birbirine bağlamasına izin vermez; kimlik gerekmeyen yerde gösterimlerin birbirine bağlanamamasını sağlayan teknikleri destekler (Md. 5a(16));
• cüzdanın uygulama yazılımı bileşenlerinin kaynak kodu açık kaynak lisanslıdır (Md. 5a(3));
• cüzdanı almak, kullanmak ve iptal ettirmek gerçek kişiler için ücretsizdir (Md. 5a(13));
• cüzdan kullanmak isteğe bağlıdır; kullanmayan kimse geri çevrilemez ya da dezavantajlı duruma düşürülemez, başka kimlik doğrulama yolları açık kalır (Md. 5a(15)).

Resmî EUDI Wallet'ı kim sunabilir?

Madde 5a(2) üç yol tanır: doğrudan üye devletin sunduğu cüzdan, üye devletin yetkilendirmesiyle sunulan cüzdan ya da üye devletten bağımsız sunulup onun tarafından tanınan cüzdan. Her durumda arkasında bir üye devlet vardır.

Cüzdanın ayrıca sertifikalandırılması gerekir. Madde 5c'ye göre üye devletlerin atadığı uygunluk değerlendirme kuruluşları, cüzdanın şartları karşıladığını belgeler. Üye devletler sertifikalı cüzdanları Komisyon'a bildirir ve sertifikalı cüzdanların listesi yayımlanır (Madde 5d). Yani "EUDI Wallet" adı bir uygulamanın kendine takabileceği bir etiket değildir; bir üye devletin kararından ve bir sertifikadan gelir.

Cüzdanı kim kabul etmek zorunda?

Madde 5f üç basamak koyar:

1. Kamu hizmetleri. Üye devlet bir çevrim içi kamu hizmeti için elektronik kimlik doğrulaması istiyorsa EUDI Wallet'ı da kabul eder.
2. Güçlü kimlik doğrulaması kullanmak zorunda olan özel hizmetler. Yasa ya da sözleşme güçlü kimlik doğrulaması istiyorsa (madde ulaştırma, enerji, bankacılık, finans, sosyal güvenlik, sağlık, içme suyu, posta, dijital altyapı, eğitim ve telekomünikasyonu sayar), özel sektördeki doğrulayıcılar uygulama tüzüklerinden itibaren 36 ay içinde, kişi isterse cüzdanı kabul eder. Mikro ve küçük işletmeler bunun dışındadır.
3. Çok büyük çevrim içi platformlar. Kimlik doğrulaması istiyorlarsa kişinin isteği üzerine cüzdanı kabul ederler, hem de yalnız hizmetin gerektirdiği en az veriyle.

Tüzüğün altında hangi teknik kurallar var?

Yükümlülükleri tüzük koyar, ayrıntıyı uygulama tüzükleri ve teknik çerçeve. 2024/2977 sayılı uygulama tüzüğü cüzdanlara verilen kimlik bilgileri ve belgeler, 2024/2979 sayılı tüzük cüzdanların bütünlüğü ve temel işlevleri hakkındadır; diğerleri protokolleri, sertifikasyonu ve bildirimleri düzenler. Avrupa Komisyonu ayrıca Mimari ve Referans Çerçevesi'ni (ARF) GitHub'da açık olarak yayımlar. 3.0.0 sürümü 23 Temmuz 2026'da çıktı.

Bu belgelerin altında AB kurumlarının dışından gelen açık standartlar var: belge almak ve göstermek için OpenID, seçici paylaşım için IETF SD-JWT, mdoc biçimi ve yüz yüze gösterme için ISO/IEC 18013-5, iptal için IETF Token Status List.

Tamga Wallet için "AB uyumlu" ne demek?

Tamga Wallet'ın AB cüzdanlarıyla aynı biçimleri, protokolleri ve güvenlik profilini kullandığı ve yukarıdaki gizlilik kurallarını kendi tasarımında izlediği anlamına gelir:

Madde 5a(4)'teki işlevlerin uygulamada karşılığı var: alanları onay ekranında sen seçersin, Tamga ile giriş yap her siteye ayrı takma ad verir, Geçmiş her paylaşımı telefonunda listeler, oradan bir kuruluştan verilerinin silinmesini isteyebilir ya da bir isteği Kişisel Verileri Koruma Kurumu'na bildirebilirsin: Silme talebi. Belge veren kurumlar belgelerini nerede gösterdiğini öğrenmez; cüzdan sağlayıcıda da yalnız cüzdan biriminin teknik kaydı durur.

Ne demek değil?

Bazı şeyleri açıkça söylemek gerekiyor:

• Resmî unvan yok. Tamga Wallet hiçbir üye devletin resmî EUDI Wallet'ı değildir; hiçbir devlet kurumuyla bağı yoktur. Tamga Network'ün ilk cüzdanıdır ama ağdan ayrı bir üründür.
• AB güven listeleri henüz okunmuyor. Cüzdan bugün Tamga Network'ün güven listelerini okur. AB'nin ve üye devletlerin listelerini okumak ileride gelecek.
• Uyum testle gösterilir. Uyum, AB'nin örnek doğrulayıcılarıyla yapılan testlerle kanıtlanır; sonuçları Avrupa uyumu sayfasında yayınlayacağız.
• Her belge sınırı kendiliğinden geçmez. AB'deki bir doğrulayıcı hangi belge verenlere güveneceğine kendisi karar verir. Tamga Network'te verilen bir belgeyi AB standardındaki yazılım okuyabilir; ama belgeyi verene güvenmek için güven listeleri arasında tanınma gerekir.

Türkiye için neden önemli?

Türkiye AB üyesi değil. Madde 5a Türkiye'ye cüzdan sunma yükümlülüğü getirmez, bir Türk cüzdanı da kendi başına EUDI Wallet olamaz. Yine de tüzüğü burada önemli kılan üç şey var.

Birincisi, standartlar açık ve AB ile sınırlı değil. OpenID, IETF ve ISO şartnamelerini herkes kullanabilir. Bugün bu biçimlerde diploma veren bir Türk üniversitesi, diplomayı AB cüzdanlarının ve doğrulayıcılarının zaten anladığı biçimde vermiş olur.

İkincisi, güven sonradan, belgeleri yeniden vermeden bağlanabilir. Tamga Network, AB ile aynı iki katmanlı güven listesi yapısını kullanır: ulusal listeleri gösteren bir listelerin listesi. Her devlet kendi listesini işletebilir; AB'ninkiler dahil başka listelerin tanınması da aynı kapıdan gelir. Bir devlet kendi listesini devraldığında belgeler, cüzdanlar ve doğrulayıcılar değişmez.

Üçüncüsü, resmî tanınmaya giden bir yol var. Türkiye bu alanda düzenleme yapar ve bu tür cüzdanları tanırsa Tamga Wallet o sürece girer.

Sık sorulan sorular

Tamga Wallet bir EUDI Wallet mı?

Hayır. Aynı açık standartlar üzerine kurulmuş bağımsız bir cüzdandır. EUDI Wallet adı, bir AB üye devletinin sunduğu ya da tanıdığı ve sertifikalandırılmış cüzdanlara aittir.

AB ülkeleri cüzdanlarını ne zaman sunacak?

Tüzük, her üye devletin uygulama tüzüklerinin yürürlüğe girmesinden itibaren 24 ay içinde en az bir cüzdan sunmasını istiyor. İlkleri 24 Aralık 2024'te yürürlüğe girdi; son tarih 2026'nın sonu.

EUDI Wallet kullanmak zorunlu mu?

Hayır. Madde 5a(15) kullanımı isteğe bağlı kılar ve kullanmayanların kısıtlanmasını ya da dezavantajlı duruma düşürülmesini yasaklar. Başka kimlik doğrulama yolları açık kalmalıdır.

Türkiye'deki biri bir AB ülkesinin cüzdanını kullanabilir mi?

Madde 5a(1) Birlik'teki gerçek ve tüzel kişilerden söz eder. Bir ulusal cüzdanı kimin alabileceği o üye devletin kendi kurallarına bağlıdır; yanıt ülkeden ülkeye değişir.

eIDAS 2.0 Türk şirketlerini bağlar mı?

Tüzük AB üye devletlerini ve AB'deki kapsamına giren hizmetleri bağlar. AB içinde hizmet veren bir Türk şirketi kendi yükümlülüklerini bir hukukçuyla değerlendirmeli; bu yazı hukuki görüş değildir.