Neden Türkiye Olarak Dijital Kimlik Cüzdanına Geçmeliyiz?

Türkiye’de kimliğimizi kanıtlamak için çoğu zaman gereğinden fazla veri paylaşıyoruz. Bir hastane, banka, otel, işveren veya alışveriş sitesi bizden T.C. kimlik numaramızı, doğum tarihimizi, kimlik kartı seri numaramızı ya da belgenin görüntüsünü isteyebiliyor. Aynı bilgiler farklı veri tabanlarında tekrar tekrar saklanıyor.

Oysa bir hizmetin ihtiyacı çoğu zaman kimlik kartımızın tamamı değildir. Kurum yalnızca kişinin gerçek olduğunu, belirli bir yaşın üzerinde bulunduğunu, diplomasının geçerli olduğunu veya bir hizmetten yararlanmaya yetkili olduğunu doğrulamak ister.

Türkiye’nin yeni bir kimlik numarasına ihtiyacı yok. Kimlik numarasını her kuruma vermeden kimliği doğrulayabilen, vatandaş kontrollü bir güven katmanına ihtiyacı var.

Dijital kimlik cüzdanı nedir?

Buradaki “dijital cüzdan” bir ödeme veya kripto para cüzdanı değildir. Devletin ve yetkili kurumların doğruladığı kimlik özelliklerini vatandaşın kontrolünde taşıyan bir dijital kimlik cüzdanıdır.

Cüzdan, kimlik kartının fotoğrafını telefonda göstermekten ibaret değildir. Temel işlevi, belirli bir işlem için gereken minimum bilgiyi dijital olarak imzalanmış ve doğrulanabilir biçimde sunmaktır.

Örneğin bir e-ticaret sitesinin doğum tarihimizi bilmesine gerek kalmadan şu kanıt paylaşılabilir:

{
  "claim": "age_over_18",
  "value": true,
  "issuer": "yetkili-kamu-kurumu",
  "valid_until": "2026-10-17T20:00:00+03:00"
}

Site kişinin adını, T.C. kimlik numarasını veya tam doğum tarihini öğrenmeden yaş şartının sağlandığını doğrulayabilir.

Bugünkü model neden sorunlu?

Mevcut kimlik doğrulama modeli çoğunlukla veri çoğaltmaya dayanıyor:

Kurum kimlik bilgisi ister
        ↓
Vatandaş form doldurur veya belge görüntüsü yükler
        ↓
Kurum bilgileri kendi sisteminde saklar
        ↓
Aynı kimlik verisinin çok sayıda kopyası oluşur

Merkezî nüfus sistemi güçlü biçimde korunsa bile verinin hastane otomasyonu, çağrı merkezi, e-posta, destek kaydı, analitik platformu ve test ortamı gibi çok sayıda noktaya kopyalanması saldırı yüzeyini büyütür.

Bir veri ihlalinin etkisi de yalnızca tek kurumla sınırlı kalmayabilir. T.C. kimlik numarası gibi ortak ve kalıcı bir tanımlayıcı, farklı veri kümelerinin aynı kişi etrafında birleştirilmesini kolaylaştırır.

Türkiye neden bu dönüşüme hazır?

Türkiye dijital kimlik konusunda sıfırdan başlamıyor. 2025 sonunda e-Devlet Kapısı kullanıcı sayısı 68 milyonun üzerine çıktı. T.C. kimlik kartı elektronik kimlik doğrulama amacı taşıyor; e-Devlet’e elektronik kimlik kartı, elektronik imza, mobil imza ve internet bankacılığı gibi yöntemlerle giriş yapılabiliyor.

Bunun yanında Elektronik Kimlik Doğrulama Sistemi, Kimlik Paylaşımı Sistemi, ulusal açık anahtar altyapıları ve TÜBİTAK BİLGEM’in dijital kimlik çalışmaları bulunuyor. Eksik olan yeni bir nüfus veri tabanı değil; mevcut güven kaynaklarını vatandaşın kontrol ettiği, standart ve birlikte çalışabilir bir sunum katmanına dönüştürmektir.

Kimlik bilgisini paylaşmak yerine özellik kanıtlamak

Dijital kimlik cüzdanı şu soruyu değiştirir:

"Bu kişinin T.C. kimlik numarası nedir?"

yerine:

"Bu kişi doğrulanmış gerçek bir kişi mi?"
"18 yaşından büyük mü?"
"Ehliyeti geçerli mi?"
"Diploması doğrulanmış mı?"
"Sağlık güvencesi aktif mi?"

Kurum, görevini yerine getirmek için gerekli sonucu alır; bunun dışındaki kişisel verileri toplamaz. Bu yaklaşım KVKK ve GDPR’daki amaçla bağlantılılık, sınırlılık ve veri minimizasyonu ilkelerini teknik tasarımın içine yerleştirir.

Türkiye’ye sağlayacağı temel faydalar

1. T.C. kimlik numarasının gereksiz dolaşımını azaltır

T.C. kimlik numarası her kurumun ortak müşteri anahtarı olmaktan çıkar. Mevzuatın açıkça gerektirmediği işlemlerde doğrulanmış özellik veya kuruma özel bir takma kimlik kullanılabilir.

2. Belge fotokopisi kültürünü azaltır

Diploma, kimlik kartı, ikamet belgesi veya yetki belgesi görüntüsü yerine, belgeyi yayınlayan kurumun dijital imzasını taşıyan doğrulanabilir bilgi sunulur.

3. Sahteciliği zorlaştırır

PDF veya ekran görüntüsü görsel olarak değiştirilebilir. Doğrulanabilir kimlik bilgisinde ise içerik, yayıncının dijital imzasıyla korunur; değiştirilen veri doğrulamadan geçmez.

4. Kullanıcıya görünürlük sağlar

Vatandaş hangi kurumun hangi bilgiyi, hangi amaçla istediğini işlemden önce görebilir. Paylaşım sonrasında dijital makbuz alabilir ve geçmiş erişimleri inceleyebilir.

5. Kurumların veri yükünü azaltır

Kuruluşlar ihtiyaç duymadıkları ham kimlik verisini saklamazsa veri ihlali etkisi, saklama maliyeti ve uyumluluk yükü azalır.

6. Sınır ötesi birlikte çalışabilirlik sağlar

Türkiye, W3C Verifiable Credentials, OpenID4VC ve ISO mdoc gibi açık standartlarla uyumlu bir sistem kurarsa diploma, meslek yetkisi veya seyahatle ilgili bazı kanıtlar uluslararası sistemlerle daha kolay birlikte çalışabilir.

Sabit QR neden çözüm değildir?

Her vatandaşa sabit bir QR veya alfanumerik kod vermek ilk bakışta pratik görünür. Fakat bu kod bütün kurumlarda tekrar kullanılırsa zamanla ikinci bir vatandaşlık numarasına dönüşür:

• Kopyalanabilir ve ekran görüntüsü alınabilir.
• Farklı kurumların kayıtlarını birleştirmek için kullanılabilir.
• Çalındığında uzun süre kötüye kullanılabilir.
• Kişinin davranışlarını kurumlar arasında takip etmeyi kolaylaştırabilir.

Doğru model; kısa ömürlü, tek kullanımlık, belirli kuruma ve belirli amaca bağlı dinamik QR’dır. QR kimlik bilgisi taşımaz; imzalı bir doğrulama talebini veya işlem adresini taşır.

Kuruma özel sanal kimlik

Aynı kişinin sonraki ziyaretlerde tanınması gerekiyorsa her kuruma farklı bir takma tanımlayıcı verilebilir:

Hastane A → HSP-A-72F91...
Banka B   → BNK-B-48D20...
Site C    → WEB-C-19A73...

Böylece bir kurumdan sızan tanımlayıcı başka kurumun veri tabanında doğrudan arama anahtarı olarak kullanılamaz. Sağlık gibi kayıt sürekliliği gereken sektörlerde kurum bazlı veya sektör bazlı tanımlayıcı arasındaki denge ayrıca belirlenebilir.

Merkezî gözetim riski

Dijital kimlik cüzdanı kötü tasarlanırsa mahremiyeti güçlendirmek yerine merkezî gözetim altyapısına dönüşebilir. Devlet her kimlik sunumunu çevrimiçi görmek zorunda kalırsa vatandaşın hangi hastaneye, bankaya veya hizmete başvurduğu tek merkezde izlenebilir.

Bu nedenle düşük riskli doğrulamalar cüzdandaki imzalı bilgilerle doğrudan yapılabilmelidir. Yayıncı kurum her kullanım sırasında haberdar olmak zorunda olmamalıdır. Yüksek riskli ve yasal olarak çevrimiçi doğrulama gerektiren işlemlerde merkezî servis kullanılabilir.

Dijital dışlanma riski

Akıllı telefonu olmayan, engelli, yaşlı veya cihaz kullanmakta zorlanan vatandaşlar hizmet dışı bırakılamaz. Fiziksel kimlik kartı, kamu kiosku, yüz yüze doğrulama, veli/vasi yetkilendirmesi ve erişilebilirlik seçenekleri korunmalıdır.

Dijital cüzdan zorunlu tek kanal değil, fiziksel kimliğin mahremiyet korumalı dijital tamamlayıcısı olmalıdır.

Başarı için gerekli ilkeler

• Gönüllülük ve fiziksel alternatif,
• Minimum veri paylaşımı,
• Kullanıcıya açık amaç ve alıcı gösterimi,
• Kuruma özel takma tanımlayıcılar,
• Açık ve uluslararası standartlar,
• Donanım destekli anahtar güvenliği,
• Bağımsız güvenlik ve mahremiyet denetimi,
• Vatandaşın erişim geçmişini görebilmesi,
• Kolay iptal ve güvenli kurtarma,
• Tek üreticiye bağımlı olmayan birlikte çalışabilir mimari.

Çalışan örnekte veri minimizasyonu

Bu yaklaşımı incelemek için geliştirilen sentetik veri demosu artık yalnızca yerel bilgisayarda çalışan bir ekran değil. HTTPS üzerinden sunulan kurum portalı, native iPhone cüzdanı ve ayrı SoftHSM imzalama servisi birlikte çalışıyor. Marketin reşitlik sorgusu, hastane ön kaydı, belediye adres paylaşımı, banka başvurusu, öğrenci durumu, kargo, sürücü yetkisi ve hane özeti için ayrı deneyimler var. Hiçbiri gerçek hesap açmıyor veya resmî hizmet başvurusu oluşturmuyor.

Önemli yenilik, kurumların artık yalnızca kod içindeki sabit adlar olmaması. “Eren Baş Üniversitesi” gibi bir kurum uygulamadan kaydedilebiliyor; ayrı hesabı oluşturuluyor, talep edeceği alanlar ve gerekçeleri tanımlanıyor. Kurum ve şablon yönetici onayı almadan kullanıcıya bilgi talebi gönderemiyor. Bu demo onayı, gerçek bir üniversitenin hukuki kimliğinin doğrulanması anlamına gelmiyor.

Anahtar güvenliği tarafında ihraççı imzaları ES256 ile SoftHSM içinde üretiliyor. Kullanıcı cihazının imzası ise iPhone’un ayrı anahtarıyla oluşturuluyor. Böylece “kurum neden bu bilgiyi istiyor?”, “kullanıcı neyi onayladı?” ve “sonucu hangi anahtar imzaladı?” soruları birbirinden ayrılıyor. SoftHSM yazılımsal bir laboratuvar bileşeni; ulusal ölçekte donanımsal HSM, güçlü kayıt, standart protokoller ve bağımsız denetim ihtiyacını ortadan kaldırmıyor.

Sonuç

Türkiye’nin dijital kimlik cüzdanına geçmesi, kimlik kartını telefona kopyalamak anlamına gelmemelidir. Asıl dönüşüm, ham kişisel veri paylaşımından doğrulanabilir ve minimum özellik paylaşımına geçiştir.

Vatandaş daha fazla kontrol kazanırken kurumlar daha az veri saklar, sahte belgeler zorlaşır ve kimlik doğrulama süreçleri standartlaşır. Türkiye’nin güçlü e-Devlet, elektronik kimlik ve PKI altyapısı bu dönüşüm için önemli bir başlangıç noktasıdır.

Serinin sonraki yazısı: Türkiye’nin dijital kimlik cüzdanı nasıl tasarlanmalı?

Resmî kaynaklar

• e-Devlet Kapısı İstatistikleri, 2025
• NVI — T.C. Kimlik Kartı İşlemleri
• NVI — Kimlik Paylaşımı Sistemi
• TÜBİTAK BİLGEM — SSI Türkiye
• European Digital Identity Wallet Architecture and Reference Framework

Bu yazı genel teknik ve hukuki değerlendirme amacı taşır; somut uygulamalar için sektör mevzuatı ayrıca incelenmelidir.