Bir yasa tasarısı masada duruyor ve herkes bu tasarıya görüşlerini yazabilir. AB Komisyonu işte böyle çalışır: DPP sicili Yönetmeliği gibi tasarıları dört hafta boyunca kamuoyunun görüşüne sunar ve isteyenler, «Have Your Say» portalı üzerinden, adlarını da belirterek, herkesin görebileceği şekilde görüşlerini bildirir. Gönderilen görüşler resmi olarak taslağın nihai haline dahil edilir.
Bunu dört kez yaptık; bir üreticinin günlük işlerinde ilk olarak karşılaşacağı dört noktaya odaklanarak. 29 Nisan 2026 tarihli taslağı bu blogda ayrıntılı olarak ele aldık; görüş bildirme süresi 27 Mayıs 2026’ya kadar devam ediyor. Bu yazıda, Komisyon’a ne yazdığımızı ve neden yazdığımızı açıklıyoruz.
Neden dört ayrı giriş?
Portal, her bir yazı için 4.000 karakter kabul ediyor. Tüm maddeleri tek bir uzun yazıya sığdırabilirdik. Ancak Mayıs ayında düzinelerce yazıyı inceleyen Komisyon çalışanları için bu, okuması ve alıntı yapması daha zor olurdu. Kamuya açık listede dört ayrı başvuru ayrı ayrı bulunabilir ve her biri, diğer maddelere dokunulmaksızın tek başına yanıtlanabilir veya reddedilebilir.
Aşağıdaki dört konuyu sunduk:
1. Bir hizmet sağlayıcının asgari olarak yerine getirmesi gerekenleri belirlemek
Taslak, dağılımı doğru bir şekilde belirlemektedir: Pasaport verileri şirket veya hizmet sağlayıcısında kalır; Komisyonun kayıt defteri ise yalnızca referansları saklar. Hizmet sağlayıcılar için (ESPR’nin 2. maddesinin 32. fıkrası) onaylı sağlayıcıların resmi bir listesi öngörülmüştür.
Burada eksik olan, bir hizmet sağlayıcının bu listeye girebilmesi ve listede kalabilmesi için aslında ne yapması gerektiğinin net bir şekilde belirlenmemesidir. Muhtemelen asıl yükümlülükler, ESPR’nin 4. maddesine göre ayrı bir yasal düzenlemede yer alacaktır. Ancak kayıt sistemi, bu yasal düzenleme yayınlanmadan önce faaliyete geçecektir.
Önerimiz: Ya bu yönetmelikte hizmet sağlayıcılar için asgari yükümlülükleri doğrudan belirlemek ya da ilgili yasal düzenlemenin ne zamana kadar sunulacağına dair bağlayıcı bir süre belirtmek. Önerilen asgari yükümlülükler arasında şunlar yer almaktadır:
- Pasaportlar için kamuya açık okuma arayüzü, ayın en az %99,5’inde erişilebilir olmalıdır
- Yeni bir pasaport sürümünün yedek kopyaya ne kadar sürede eklenmesi gerektiğine dair kesin bir taahhüt (Öneri: 24 saat içinde veya teknik olarak mümkünse anında)
- Hizmet sağlayıcı, gelen her sürümün imzasını doğrular
- Şirketin açık anahtarları tek bir yol altında bulunur (RFC 8615’e göre, öneri:
/.well-known/dpp-keys/) - Bir sağlayıcının hizmet verememesi durumunda şifre verilerinin düzenli bir şekilde başka bir sağlayıcıya aktarılmasını sağlamak için, devir ve iflas durumlarına yönelik belirlenmiş bir prosedür
Bu yükümlülükler, saygın bir sağlayıcıya hiçbir maliyeti yoktur; zira o bunları zaten yerine getirir. Ancak bunlar, ucuz hizmet sunan sağlayıcılar arasında listeyi sonunda değersizleştiren bir fiyat düşürme yarışını önler.
2. On yıl geçerliliği olan bir belge
- maddenin (4) numaralı fıkrası, kayıt belgesinin geçerlilik süresini 90 takvim günüyle sınırlamaktadır. Bu süre içinde, kayıt defteri talep üzerine belgeyi yeniden düzenler. Günlük işleyiş açısından bu durum uygun olmakla birlikte, bunun ardındaki yükümlülüğün süresi ile uyuşmamaktadır: Madde 10(3), kayıt tarihinden itibaren on yıllık saklama süresini öngörür; sektör mevzuatı daha uzun bir süre talep edebilir.
2032 yılında bir piyasa gözetim otoritesi, bir gümrük memuru, bir geri dönüşümcü veya bir araştırmacı, 2026 yılında kaydedilmiş bir pasaportun gerçekten kaydedilmiş olduğunu, orijinal şirketin hâlâ var olup olmadığına bağlı kalmadan ve yeni bir kanıt talep etmek zorunda kalmadan doğrulayabilmelidir.
İki önerimizin de uygulanması kolaydır:
- Komisyon tarafından mühürlenen belgenin, şirket veya hizmet sağlayıcı tarafından saklanabileceği, arşivlenebileceği ve aktarılabileceği açıkça belirtilmelidir. eIDAS Yönetmeliği’nin 35(2) maddesine göre nitelikli mühür, dosyanın nerede bulunduğu fark etmeksizin gerçekliğini ve kaynağını kanıtlar.
- Kayıt defterinde, kayıt numarası için oturum açmaya gerek kalmadan imzalı bir yanıt veren halka açık bir doğrulama adresi bulunmalıdır. Günümüzde üçüncü taraflarca yapılan her doğrulama, şirketin kendisinin harekete geçmesini gerektirmektedir. Bu, düzenleyicisinin ömrünü aşması gereken bir kanıt belgesi için yanlış bir yöntemdir.
Ayrıca, parmak izinin hesaplanmasını net bir şekilde belirlemeyi önerdik: sabit bir yöntem ve verilerin sabit bir yazım biçimi (önerimiz: SHA-256 ve RFC 8785 uyarınca JSON kanonizasyonu)). Bu belirleme yapılmazsa, iki hizmet sağlayıcı aynı şifre için farklı parmak izleri hesaplayacak ve kayıt belgesindeki parmak izi yeniden hesaplanamayacaktır.
3. 17. madde, kamuya açık pasaport verilerine erişimi kısıtlamamalıdır
- madde, “toplu veri indirme”yi kayıt sisteminin olası bir kötüye kullanımı olarak belirtmektedir. Kayıt sistemindeki idari veriler (kimlikler, kayıtlar, denetim izleri) için bu doğrudur; bunlar toplu indirmelere dahil edilmemelidir.
Ancak üretici veya hizmet sağlayıcının elindeki kamuya açık pasaport verileri, tam da ESPR’nin geniş çapta erişime açmak istediği verilerdir. Tüm ürün filolarına ait malzeme verilerini sorgulayan geri dönüşümcülerin; sürdürülebilirlik verilerini çapraz olarak değerlendiren araştırmaların; karşılaştırmalar yapan piyasa denetimlerinin yaptığı işlemler: Bunların hepsi, kamuya açık ürün pasaport verilerine kıyasla kitlesel indirmeler niteliğindedir ve hepsi de yönetmeliğin yazılma amacına uygun, istenen kullanımlardır.
Önerimiz, Madde 17’ye, uygulama alanını sicil verileriyle sınırlayan ve pasaport verileri için ilgili sektör yönetmeliklerine atıfta bulunan açıklayıcı bir cümle eklenmesidir. Aksi takdirde, hizmet sağlayıcılar faaliyete başlarken bir seçim yapmak zorunda kalacaklar: ya güvenlik amacıyla kamuya açık erişimi büyük ölçüde kısıtlayarak tüketicilerin deneyimini bozmak, ya da erişimi açık bırakarak daha sonra 17. madde anlamında kötüye kullanım olarak sınıflandırılma riskini göze almak.
4. Başlamadan önce arayüz açıklamasını ve test ortamını yayınlayın
- maddenin (b) bendi, kayıtlar için bir arayüzün oluşturulmasını şart koşmaktadır. 8. maddenin (5) numaralı fıkrası ise bunu, kayıt için iki yoldan biri olarak belirlemektedir. Ancak Yönetmelik, bu arayüzün ne zaman tanımlanacağına dair herhangi bir hüküm içermemektedir.
Kayıt işlemlerini otomatikleştirenler, geniş bir kataloğa sahip tüm hizmet sağlayıcılar ve şirketler, sistemi kurmak ve gerçek bir karşı uçta test etmek için, sistemin devreye girmesinden çok önce bu açıklamaya ihtiyaç duyar. Yürürlüğe girmeden bir hafta önce bu açıklamayı bulmak, riski tüm sağlayıcılara yükler.
Bu nedenle şu öneride bulunduk:
- Yürürlüğe girmesinden en az sekiz hafta önce eksiksiz bir arayüz açıklaması (OpenAPI 3.1) yayınlamak; yani 19 Temmuz 2026’da başlayacak uygulama için 24 Mayıs 2026’ya kadar
- Buna paralel olarak, hizmet sağlayıcıların ve üreticilerin sistemlerini bu arayüz üzerine geliştirebilecekleri ve Madde 8(6) uyarınca otomatik denetimi deneyebilecekleri bir test ortamı
- Arayüz sürümlerine ilişkin sabit kurallar ve en az 18 aylık bir sonlandırma süresi
Diğer öneriler: Tekrar tekrar erişimlerde çift girişlere karşı koruma, büyük kataloglar için toplu giriş, beklemek yerine geri bildirimli giriş ve otomatik kontrolün başarısız olduğu durumlar için makine tarafından okunabilir hata kodları.
Bunu neden yapıyoruz?
Bir istişare, puan toplamak için oynanan bir oyun değildir. Komisyon bu katkıları gerçekten okumaktadır. ESPR sürecinden edinilen deneyim, teknik açıdan sağlam temellere dayanan katkıların nihai metinlerde sıklıkla iz bıraktığını göstermektedir.
Her bir katkı, nihai metindeki tek bir cümleyi daha doğru hale getirebiliyorsa, amacına ulaşmış demektir.
Yönetmelik yayınlanır yayınlanmaz, hizmet sağlayıcılar listesine dahil edilmek için başvuruda bulunacağız. Dolayısıyla, yarışa katıldığımız kuralların kesin olması ve adil bir rekabet ortamı sağlaması bizim de menfaatimize. Bu dört öneri, listenin sadece bir etiket haline gelmemesini sağlamak için attığımız somut adımlardır.
Katılmak isteyenler
Başvuru süresi 27 Mayıs 2026’ya kadar devam edecektir. Katkılar AB’nin herhangi bir resmi dilinde yapılabilir; portalda kayıt olunması gerekmektedir ve katkılar herkese açık olarak yayınlanacaktır. Pasaportları düzenleyecek veya denetleyecek olanlar, yani üreticiler, hizmet sağlayıcılar, geri dönüşümcüleri ve resmi makamlar, en az bir kez Have Your Say adresindeki bu girişim hakkında en az bir kez göz atmalıdır. Kısa ve teknik açıdan doğru bir katkı da önemlidir.
Denetim aracımız Transpareo Time Machine bu arada, 2. maddede açıklanan ihtiyacı şimdiden karşılıyor: Transpareo Pasaportunu bağımsız olarak denetlemek isteyenler, Komisyon’un kayıt defterindeki bir denetim adresini beklemeye gerek kalmadan, tarayıcıda açık kaynaklı bu araçla bunu yapabilirler.
