Laboratuvar Raporlarında Elektronik İmza: Mevzuat ve Uygulama

Bir deney raporunun altındaki imza, laboratuvarın o sonuca kefil olduğunu gösterir. Kâğıt dünyasında bu iş basitti: rapor çıktı alınır, teknik yönetici imzalar, kaşelenir, arşive kaldırılır. Elektronik ortama geçildiğinde ise sorular başlıyor: PDF’in altına eklenen taranmış imza görüntüsü geçerli mi? Word’de “onaylayan” satırına isim yazmak imza sayılır mı? Denetimde bu yeterli olur mu?

Kısa cevap: hayır. Taranmış imza görseli hukuken imza değildir, sadece bir resimdir. Bu yazıda laboratuvar raporlarında elektronik imzanın hukuki dayanağını, hangi imza türünün ne işe yaradığını ve bunun laboratuvar iş akışında nasıl kurgulanması gerektiğini ele alıyoruz.

Hukuki Dayanak: 5070 Sayılı Elektronik İmza Kanunu

Türkiye’de elektronik imzanın çerçevesini 2004 tarihli 5070 sayılı Elektronik İmza Kanunu çizer. Kanunun getirdiği temel hüküm şu: güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur. Yani usulüne uygun elektronik imzayla imzalanmış bir deney raporu, ıslak imzalı raporla eşdeğerdir.

Ancak “elektronik imza” denen her şey bu güvenceye sahip değil. Kanunun aradığı, nitelikli elektronik sertifikaya dayanan imzadır. Bu sertifikayı, BTK tarafından yetkilendirilmiş Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) düzenler. Sertifika imza sahibinin kimliğini doğrular, imza da yalnızca o kişinin kontrolündeki araçla atılır.

Laboratuvarda karşılaşılan imza türleri

Nitelikli elektronik imza (NES): Kişiye özel, ESHS tarafından düzenlenmiş sertifikaya dayanır. Islak imzayla eşdeğerdir. Deney ve kalibrasyon raporlarının onayı için kullanılması gereken imza türü budur.
Mobil imza: Aynı hukuki güce sahiptir; sertifika SIM kartta tutulur, imza telefondan onaylanır. Sahada çalışan personel için pratiktir.
Kurumsal (tüzel kişi) mühür: Kuruluş adına atılır, kişi değil kurum beyanıdır. Toplu belge onayında kullanılır ama rapordaki teknik sorumluluğu üstlenen kişinin imzasının yerine geçmez.
Taranmış imza görüntüsü: Hukuken imza değildir. Kopyalanabilir, başka belgeye yapıştırılabilir, değiştirildiğini kanıtlayacak bir mekanizması yoktur.
Sistem içi onay kaydı: Yazılımda “onayladı” işareti; iç iş akışı için değerlidir, ancak dışarıya verilen raporun hukuki geçerliliğini tek başına sağlamaz.

Sık yapılan hata: Raporu PDF’e çevirip altına imza görselini yapıştırmak. Bu belge dışarıdan ıslak imzalı gibi görünür, ancak değiştirilip değiştirilmediği anlaşılamaz. Elektronik imzanın asıl işlevi kimliği göstermek değil, belgenin imzadan sonra değişmediğini kanıtlamaktır.

Zaman Damgası: “Ne Zaman İmzalandı?” Sorusunun Cevabı

Elektronik imza kimin imzaladığını ve belgenin değişmediğini gösterir; ancak imzanın ne zaman atıldığını tek başına kanıtlamaz. Bunun için zaman damgası kullanılır. 5070 sayılı kanunda zaman damgası, bir elektronik verinin üretildiği, değiştirildiği veya kaydedildiği zamanın tespiti amacıyla ESHS tarafından elektronik imzayla doğrulanan kayıt olarak tanımlanır.

Laboratuvar açısından bunun önemi büyük. Bir uyuşmazlıkta “bu rapor deney tarihinden önce mi sonra mı onaylandı?” sorusu gündeme gelirse, cevabı zaman damgası verir. Sertifikanın süresi dolduktan sonra bile imzanın o tarihte geçerli olduğunu gösterebilmenin yolu da budur.

ISO/IEC 17025 Raporu Elektronik İmzalarken Nelere Dikkat Edilmeli?

ISO/IEC 17025:2017, raporların hangi bilgileri içermesi ve kimin onaylaması gerektiğini Madde 7.8’de tanımlar. Standart imzanın ıslak mı elektronik mi olacağını söylemez; ancak raporun yetkilendirilmiş personel tarafından gözden geçirilip onaylanmasını ve yayımlandıktan sonra yapılan değişikliklerin açıkça belirtilmesini ister. Elektronik imza tam da bu iki gereksinimle örtüşür.

Elektronik imzalı raporda bulunması gerekenler

İmzalayanın kimliği ve yetkisi: Raporu onaylayan kişinin adı, unvanı ve o deney kapsamında yetkilendirilmiş olduğu sistemde görülebilmeli.
İmza zamanı: Zaman damgasıyla desteklenmeli; rapor tarihiyle imza zamanı tutarlı olmalı.
Değişmezlik: İmzadan sonra rapora tek bir karakter eklenmiş olsa imza geçersiz duruma düşmeli — elektronik imzanın en kritik özelliği budur.
Doğrulama imkânı: Raporu alan müşteri veya denetçi, imzanın geçerliliğini bağımsız olarak doğrulayabilmeli. Yaygın çözüm, rapora QR kod veya doğrulama linki eklemektir.
Revizyon izi: Yayımlanmış bir rapor düzeltiliyorsa, önceki sürüm silinmemeli; revizyon numarası ve gerekçesiyle birlikte saklanmalı.
Arşiv erişilebilirliği: İmzalı raporun saklama süresi boyunca açılabilir ve doğrulanabilir kalması gerekir. Bu, dosya formatı ve arşiv altyapısı seçimini doğrudan etkiler.

Kim imzalamalı?

Standart, raporu onaylayan kişinin ilgili deney kapsamında yetkilendirilmiş olmasını arar. Pratikte çoğu laboratuvarda teknik yönetici veya deney sorumlusu imzalar. Kritik nokta, bu yetkilendirmenin yazılı ve güncel olması: denetimde “bu raporu imzalayan kişi bu deney için yetkili miydi?” sorusu sıkça sorulur ve cevabın personel yetkinlik kayıtlarından gösterilebilmesi beklenir.

Bir başka sık hata, imza yetkisinin izinli personelin hesabıyla kullanılması. Elektronik imzada sertifika kişiye özeldir; bir başkasının imzasını onun adına atmak hem hukuken hem akreditasyon açısından ciddi bir uygunsuzluktur.

Rapor değişirse ne olur?

Yayımlanmış bir raporda düzeltme gerekiyorsa, ISO/IEC 17025 değişikliğin açıkça belirtilmesini ve orijinal raporun izlenebilir kalmasını ister. Elektronik ortamda doğru yaklaşım, yeni bir revizyon üretip imzalamak; eski sürümü sistemde işaretleyerek saklamaktır. Üzerine yazmak, hem standart hem veri bütünlüğü açısından kabul edilemez.

Kâğıttan Elektronik İmzaya Geçerken Karşılaşılan Sorunlar

Sahada en sık görülen tıkanma noktaları

“Müşteri ıslak imzalı istiyor”: Kamu kurumları dahil pek çok alıcı artık e-imzalı raporu kabul ediyor. Direncin çoğu, doğrulamanın nasıl yapılacağının bilinmemesinden kaynaklanıyor; rapora doğrulama linki eklemek bu itirazı büyük ölçüde ortadan kaldırıyor.
İmza sırası ve iş akışı: Rapor önce teknik kontrolden mi geçecek, sonra mı imzalanacak? Elektronik imzada bu sıranın sistemde tanımlı olması gerekir; aksi hâlde imzalanmış bir rapora sonradan müdahale ihtiyacı doğar.
Sertifika süresi: Nitelikli sertifikalar süreli verilir. Süresi dolan sertifikayla imza atılamaz; yenileme takibi yapılmazsa rapor teslimi aksar.
Sahada imza: Numune alma veya yerinde muayene faaliyetlerinde personel ofiste olmaz. Mobil imza bu noktada pratik çözümdür.
Arşiv formatı: Uzun süreli saklamada imzanın doğrulanabilir kalması için uygun PDF arşiv formatı ve zaman damgası birlikte kullanılmalıdır.

Elektronik İmza Laboratuvar Yazılımında Nasıl Konumlanır?

Elektronik imza tek başına bir ürün değil, iş akışının son halkasıdır. Raporun hangi veriden üretildiği, kimin kontrol ettiği, hangi sürümün yayımlandığı sistemde izlenmiyorsa, imzanın hukuki gücü olsa da denetimde anlatacak bir hikâyeniz olmaz.

WiseLIMS’te rapor onayı ve imza akışı

Şablondan rapor üretimi: Rapor, sonuç verisinden otomatik üretilir; elle kopyalama kaynaklı hata ortadan kalkar.
Kontrol ve onay adımları: Sonuç girişi, teknik kontrol ve onay ayrı adımlar olarak tanımlanır; her adımı kimin ne zaman yaptığı kayda geçer.
Elektronik imza desteği: Onaylanan rapor elektronik imzayla imzalanır; imzalı sürüm sistemde saklanır.
Barkod/QR ile doğrulama: Rapora eklenen kod sayesinde alıcı, elindeki belgenin gerçekliğini doğrulayabilir.
Revizyon yönetimi: Düzeltilen raporlar yeni sürüm olarak üretilir, önceki sürüm erişilebilir kalır.
Yetki kontrolü: Rapor onayı, o deney için yetkilendirilmiş personelle sınırlanır; yetkinlik kayıtları personel kartında tutulur.

Sık Sorulan Sorular

Müşterim ıslak imzalı rapor istiyor, ne yapmalıyım?

Önce itirazın kaynağını anlamak gerekir. Çoğu zaman sorun hukuki değil, pratiktir: alıcı elindeki PDF’in gerçekliğini nasıl kontrol edeceğini bilmez. Rapora doğrulama linki veya QR kod eklendiğinde, ve imzanın 5070 sayılı kanun kapsamında ıslak imzayla eşdeğer olduğu kısaca açıklandığında bu itiraz genellikle ortadan kalkar.

Yine de bazı alıcılar sözleşme gereği ıslak imza talep edebilir. Bu durumda elektronik imzalı asıl nüshayı arşivde tutup, talep edilen kopyayı ayrıca çıktı almak mümkündür — ancak asıl kayıt elektronik nüshadır.

Elektronik imza ile e-mühür arasındaki fark ne?

Elektronik imza gerçek kişiye aittir ve o kişinin beyanını taşır. Kurumsal mühür ise tüzel kişiye aittir, kurumun beyanını taşır. Deney raporunda teknik sorumluluğu üstlenen kişinin imzası aranır; mühür bunun yerine geçmez ama örneğin kurum yazışmalarında veya toplu belge onayında kullanılabilir.

İmzalı raporu 10 yıl sonra doğrulayabilir miyim?

Sertifikanın süresi dolduktan sonra imzanın o tarihte geçerli olduğunu göstermek için zaman damgası şarttır. Uzun süreli arşivlemede, imza ve zaman damgası birlikte saklanır; ayrıca uzun süreli doğrulamaya uygun PDF arşiv formatı tercih edilmelidir.

Sonuç girişini yapan kişi ile imzalayan kişi aynı olabilir mi?

ISO/IEC 17025 gözden geçirme ve onay adımlarının yetkili personelce yapılmasını ister; küçük laboratuvarlarda aynı kişi hem analiz yapıp hem onaylayabilir. Ancak kritik olan, bu yetkinin yazılı olarak tanımlanmış olması ve kişinin o deney kapsamında yetkilendirilmiş olmasıdır. Mümkün olan yerde analiz ve onayın farklı kişilerde olması denetimde daha güçlü bir tablo çizer.

Sonuç

Laboratuvar raporlarında elektronik imza, artık “dijitalleşme trendine ayak uydurma” meselesi olmaktan çıktı. 5070 sayılı kanun elektronik imzayı ıslak imzayla eşdeğer kılıyor; ISO/IEC 17025 raporun yetkilendirilmiş kişi tarafından onaylanmasını ve değişikliklerin izlenebilir olmasını istiyor. Elektronik imza bu iki gereksinimi aynı anda karşılıyor.

Buna karşılık taranmış imza görselleri hâlâ yaygın kullanılıyor ve çoğu laboratuvar bunun hukuken imza sayılmadığının farkında değil. Kendi sisteminizi değerlendirirken şu soruyu sorun: “Dün gönderdiğimiz raporun teslimden sonra değiştirilmediğini nasıl kanıtlarız?” Cevabınız “PDF’i biz ürettik” ise, imza altyapınızı gözden geçirmenin zamanı gelmiş demektir.