Ramiz Arslan & Selçukhan Ünekbaş
Kimine göre geleceğin şekillendiricileri, kimine göre ise saadet zincirinden hallice olarak görülen kripto varlıkların son zamanların en çok konuşulan yatırım araçları olduğunu söylesek herhalde yanılmış olmayız. Geride bıraktığımız nisan ayında 2 trilyon dolarlık piyasa değerine ulaşan kripto varlıkların elinde tuttuğu bu devasa güç elbette devletlerin ve yargı alanlarının düzenleyici ilgilerini de çekmekte geç kalmadı. ABD Menkul Kıymetler ve Borsalar Komisyonu’nun (Securities and Exchange Commission – “SEC”) Ripple ile 3 yıldır süregelen hukuk mücadelesi, El Salvador’un Bitcoin’i yasal para birimi olarak kabulü ve dahi ülkemizde de Merkez Bankası ve MASAK tarafından yayımlanan bazı regülasyonlar bu ilginin varlığına işaret eden ve yakın zamanda sizlerle paylaştığımız makalemizde de yer verdiğimiz gelişmelerden yalnızca birkaçı. Bu yazımızda işleyeceğimiz konu ise teknolojik gelişmeler ve regülasyondan bahsedince akla gelen ilk olağan şüpheli olan Avrupa Birliği ile ilgili. Geçtiğimiz günlerde Avrupa Veri Koruma Denetmeni (European Data Protection Supervisor – “EDPS”), Avrupa Birliği’nde çalışmalarına devam edilen Kripto Varlık Piyasaları Regülasyonu Taslağına (“taslak”) yönelik görüşlerini içeren bir bildiri (“bildiri”) kaleme aldı[1]. Taslağın planladığı düzenlemeleri veri koruma çerçevesinden değerlendiren rapor, hem en önde gelen gelişmeleri takip hem de ülkemiz açısından bir ilham kaynağı olması açısından da önem taşıyor.
EDPS’nin görüşünü incelemeden önce kısaca taslağın hedeflerine değinmekte fayda var. Her şeyden önce kripto varlıklarda hukuki belirlilik ve öngörülebilirliğin arttırılmasını hedefleyen taslak, bunun yanında inovasyonun desteklenmesi, tüketicilerin ve yatırımcıların korunarak piyasa sıhhatinin sağlanması ve kripto varlıkların para politikasına sistematik bir şekilde entegre edilebilmesini amaçlıyor. Bildirinin bu amaçlardan en çok hukuki belirliliğin arttırılması ve tüketicilerin (daha doğrusu ilgili veri sahiplerinin) korunması noktalarına odaklandığını söyleyebiliriz. Bu bağlamda EDPS, görüşlerini detaylandırmadan önce genel olarak kripto varlık sağlayıcılarının ve kripto varlıkların alım-satımının gerçekleştirildiği platformların risk yönetim planlarında güçlü ve etkili bir veri koruma mekanizmasının yer almasının elzem olduğunun altını çiziyor. Bu mekanizmanın asgari olarak gerçekleştirilecek veri işleme faaliyetlerini, rol ve sorumlulukları, belgeleme yükümlülüklerini ve GDPR ile gelen diğer tüm görevleri detaylandırması gerektiğinin önemi vurgulanıyor.
Görüşü mercek altına almaya başladığımızda ilgimizi çeken ilk nokta EDPS’in, Taslakta yer alan kripto varlık sağlayıcılarının ve platformların hukuki bağlamda veri sorumlusu olarak tanımlanması gerektiği oluyor. EDPS’ye göre bu durumun öngörülebilirlik açısından yüksek önemi haiz olduğunu böylesine bir tanımlamanın doğrudan regülasyon içinde yer alması gerektiğine yönelik görüş vermesinden anlıyoruz. Bu durumun kripto varlıkların karmaşık doğasından kaynaklanabilecek yorum farklılıklarına ve böylece ortaya çıkabilecek veri güvenliği sorunlarına karşı alınması istenen bir önlem olduğu açık. Bu bakımdan EDPS’nin, yüksek risk barındıran veri işlemelerinde (ki kabul edelim, kripto varlıklar gerçekten de büyük riskler barındırabiliyor – BTCTürk örneğinde de gördüğümüz gibi[2]) Veri Koruma Otoritelerinin izninin gerekebileceğini hatırlattığına da değinelim.
İkinci olarak EDPS, kripto dünyasından aşina olduğumuz white paperlar bağlamında da birkaç yorumda bulunuyor. Kısaca anlatmak gerekirse bir kripto varlık projesinin yapısını, amaçlarını ve arkasında yatan bilgisayar teknolojisini anlatan white paperlar, yatırımcıların proje hakkında bilgi sahibi olmasının anahtarı olarak görülüyor. Bu önemin farkına varan EDPS, white paper bünyesinde kripto varlığın veri işleme faaliyetlerini, olası riskleri ve bu riskleri bertaraf etmeye yönelik geliştirilen stratejileri detaylandıran bir kısmın yer alması gerektiğine işaret ediyor. Bu bakımdan ayrıca veri işlemenin sebebi olarak da “sözleşme ilişkisinin” veya “kanuni bir zorunluluğun yerine getirilmesinin” açıkça gösterilmesi gerektiği belirtiliyor.
Bildiride yer alan son bölüm ise idari yaptırımlar ve kişisel verilerin korunması alanlarının buluştuğu noktalar ile ilgileniyor. Hatırlatmak gerekirse, taslağa göre Komisyon ve üye devlet idari otoriteleri bir kripto varlık sağlayıcısına veya kripto varlık pazaryerine idari bir yaptırım uygulama kararı aldıklarında bu kararı belirli nedenlerle kamuya açıklamaktan kaçınabiliyor. Bu nedenler arasında finansal piyasaların sıhhati ve yatırımcıların korunması gibi makro düzey gerekçeler mevcut. EDPS ise bu gerekçelere “kişisel verilerin korunması için risk teşkil etmesi” şeklinde bir ekleme yapılması gerektiğini belirtiyor. Başka bir deyişle idari otoritelerin soruşturmaları sonunda yaptırım kararı aldıklarında, bu kararı duyurmadan önce kişisel verilerin orantısız bir şekilde riske atılıp atılmayacağını her olay bazında değerlendirmeleri bekleniyor.
Yazımızı noktalamadan önce bildiride yer alan ve ülkemiz açısından da önem arz eden bir hususa değinmekte fayda var. Taslakta belirtilen ve EDPS tarafından da onaylanan hükümlere göre, kripto varlık piyasalarının tasarımı, işleyişi ve düzenlenmesi konusunda dahili ve harici işbirliği yöntemlerine büyük önem veriliyor. AB içi işbirliklerine örnek olarak EDPS ile Avrupa Bankacılık Kurumu (“European Banking Authority”) ve Avrupa Menkul Kıymetler ve Piyasalar Kurumu (“European Securities and Markets Authority”) arasında GDPR’ın doğru uygulanmasına dair işbirliği çalışmaları öngörülüyor. Buna karşılık uluslararası işbirliğine örnek olarak ise yukarıda sayılan otoritelerin üçüncü ülke kurum ve kuruluşlarıyla imzalayabilecekleri protokollere ve işbirliği anlaşmalarına yer veriliyor. Bu bakımdan ülkemizde de hız kazanan kripto varlıkların regülasyonu çalışmalarına yeni bir soluk getirebilecek bu tip idari işbirlikleri büyük fayda potansiyelleri ile karşımıza çıkıyor.
Sonuç olarak kripto varlık teknolojilerine yönelik regülasyon çalışmalarında hukuki ve kurumsal yeknesaklığın öne çıkan örneklerinden birini teşkil eden EDPS bildirisinin hukuki belirlilik, öngörülebilirlik, veri sahiplerinin korunumu ve piyasa sıhhatinin muhafaza edilmesi gibi noktalarda yapıcı tartışmaları tetikleyeceği kesin gibi görünüyor. Bu süre zarfında ülkemizin de bu tartışma ve çalıştaylara katılması ve diğer devlet ve yargı alanlarının otoriteleriyle işbirliği içinde hareket etmesinin elzem olduğunu düşünüyoruz. Bu konudaki gelişmeleri de takipte olup sizlere aktarmaya devam edeceğiz.
[1] ‘Opinion on the Proposal for a Regulation on Markets in Crypto-assets and amending Directive (EU) 2019/1937’ (European Data Protection Supervisor, 2021) https://edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-regulation-markets-crypto_en.
[2] ‘Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Eliptik Yazılım ve Ticaret AŞ (BtcTurk)’ (Kişisel Verileri Koruma Kurumu, 2021) https://www.kvkk.gov.tr/Icerik/6970/Kamuoyu-Duyurusu-Veri-Ihlali-Bildirimi-Eliptik-Yazilim-ve-Ticaret-AS-BtcTurk-.
