MiCA ve GDPR Yükümlülüklerine Güncel Bakış ve Değerlendirme

MiCA ve GDPR Yükümlülüklerine Güncel Bakış ve Değerlendirme

Avrupa Birliği dijital ekosistemi, 2026 yılı itibarıyla tarihindeki en kapsamlı yapısal ve hukuki dönüşüm dönemlerinden birini yaşamaktadır.

Kripto Varlık Piyasaları Tüzüğü (Markets in Crypto-Assets Regulation, MiCA) ile Genel Veri Koruma Tüzüğü (GDPR) arasındaki etkileşim, Kripto Varlık Hizmet Sağlayıcıları (CASP) açısından yalnızca uyum yükümlülüklerini artırmakla kalmamakta, şirketlerin teknik ve operasyonel mimarilerini de yeniden şekillendirmektedir.

MiCA piyasa bütünlüğü, şeffaflık ve hesap verebilirlik üzerine yoğunlaşırken GDPR; veri minimizasyonu, silme hakkı ve mahremiyet gibi temel veri koruma ilkelerini ön plana çıkarmaktadır.

Bu iki düzenleyici yapının aynı anda uygulanması, kripto sektörü açısından önemli bir uyum paradoksu yaratmaktadır.

MiCA, Avrupa Birliği'nin 27 üye ülkesinde geçerli, yeknesak ve bağlayıcı bir kripto varlık düzenleme çerçevesi oluşturmuştur.

Tüzük; varlığa dayalı token (ART) ve elektronik para token (EMT) ihraççılarını, kripto varlık hizmet sağlayıcılarını ve halka arz edilen diğer kripto varlıkları düzenleyerek geçmişte üye devletler arasında bulunan parçalı mevzuat yapısını önemli ölçüde ortadan kaldırmıştır.

1. Geçiş Sürecinin Sona Ermesi

MiCA'nın CASP'lara yönelik temel hükümleri 30 Aralık 2024 tarihinde uygulanmaya başlamıştır.

Bununla birlikte Madde 143(3), mevcut ulusal mevzuatlar kapsamında faaliyet gösteren şirketler için belirli bir geçiş dönemi öngörmüştür.

Üye devletlerin daha kısa süreler belirleme yetkisi saklı olmak üzere bu geçiş süreci, en geç 1 Temmuz 2026 tarihinde veya ilgili CASP yetkilendirme başvurusunun reddedilmesiyle sona ermektedir.

Bu geçiş dönemi artık tamamlanmış durumdadır. Bu nedenle AB içerisinde faaliyet gösteren veya Avrupa pazarındaki müşterilere hizmet sunan kripto kuruluşlarının operasyonlarını uygulanabilir MiCA hükümleri doğrultusunda yeniden değerlendirmesi gerekmektedir.

Gerekli MiCA yetkilendirmesine sahip olmayan borsalar, saklama kuruluşları ve diğer kripto varlık hizmet sağlayıcıları açısından geçiş rejimine dayanarak faaliyet gösterme imkanı sona ermiştir.

Yetkilendirme alamayan kuruluşların yeni müşteri kabulü, KYC süreçleri ve pazarlama faaliyetleri gibi operasyonlarını yeniden değerlendirmesi, gerektiğinde mevcut müşteri varlıklarının yetkilendirilmiş platformlara veya bireysel cüzdanlara güvenli şekilde aktarılmasına yönelik süreçler oluşturması gerekebilir.

MiCA ve GDPR kapsamında uygulanabilecek idari yaptırımlar dikkate alındığında, uyum süreçlerinin yalnızca hukuki bir gereklilik değil, temel bir operasyonel yükümlülük olarak değerlendirilmesi önem taşımaktadır.

1.2. CASP Lisanslama Süreçleri ve Kurumsal Yapı Gereklilikleri

MiCA kapsamında yetkilendirilmiş bir Kripto Varlık Hizmet Sağlayıcısı olmak, yalnızca bir lisans başvurusunun yapılmasından ibaret değildir.

Başvuru yapan kuruluşların, düzenlenmiş finansal kuruluşlara benzer kapsamlı bir kurumsal yönetişim, risk yönetimi ve operasyonel kontrol yapısı oluşturması beklenmektedir.

Ulusal yetkili otoritelere sunulacak başvuru dosyalarının, şirketin operasyonel yapısını ve önemli risklerini ayrıntılı biçimde açıklaması gerekmektedir.

Bu sermaye gereksinimleri, operasyonel dayanıklılık ve kurumsal yapı açısından yalnızca başlangıç noktalarından biridir.

Başvuru sahibi kuruluşların AB içerisinde uygun bir kurumsal varlık göstermesi ve ilgili yönetişim şartlarını karşılaması gerekmektedir.

CASP'lar aynı zamanda Dijital Operasyonel Dayanıklılık Yasası (DORA) kapsamındaki yükümlülüklere de tabidir.

Bu kapsamda kritik bilgi ve iletişim teknolojileri sistemleri için kapsamlı bir ICT risk yönetimi yapısının kurulması ve büyük siber güvenlik olaylarının ilgili mevzuatta öngörülen usul ve süreler içerisinde yetkili otoritelere bildirilmesi gerekmektedir.

1.3. MiCA Kapsamındaki İdari Yaptırımlar

MiCA'nın yaptırım sistemi, düzenleyici ihlallerin şirketler açısından sıradan bir faaliyet maliyeti olarak değerlendirilmesini önlemeyi amaçlayan kapsamlı bir yapı oluşturmaktadır.

İhlalin türüne, kuruluşun statüsüne ve uygulanabilir hükümlere bağlı olarak şirketler yüksek tutarlı idari para cezaları ve çeşitli denetim tedbirleriyle karşılaşabilmektedir.

Bu yaptırımların boyutu, MiCA uyumunun şirketler açısından taşıdığı önemi açıkça göstermektedir.

Örneğin yıllık 500 milyon Euro gelir elde eden küresel bir stablecoin ihraççısı veya kripto borsası, belirli ciro bazlı ihlaller sonucunda 62,5 milyon Euro'yu aşan yaptırımlarla karşılaşabilir.

İdari para cezaları uygulanabilecek tek yaptırım değildir.

İhlalin niteliğine bağlı olarak yetkili makamlar, lisansın geri alınması, şirket yöneticilerine yönelik geçici veya kalıcı mesleki sınırlamalar ve belirli hizmetlerin durdurulması gibi tedbirler de uygulayabilir.

Bu nedenle MiCA uyumluluğu, hukuk, teknoloji ve operasyon ekiplerinin birlikte hareket etmesini gerektiren kapsamlı bir süreçtir.

2. GDPR ve Blokzinciri Arasındaki Temel Çatışma

GDPR, kişisel verilerin belirli amaçlarla ve gerekli olduğu ölçüde işlenmesini, uygun sürelerle saklanmasını ve ilgili şartlar oluştuğunda silinebilmesini öngörmektedir.

Dağıtık defter teknolojileri ve blokzinciri sistemleri ise farklı bir teknik prensip üzerine kuruludur.

Blokzincirine kaydedilen veriler genellikle geçmişe dönük değişikliklere karşı dirençli olacak, dağıtık ağ katılımcıları tarafından kopyalanacak ve kayıt bütünlüğünün bir parçası olarak korunacak şekilde tasarlanmaktadır.

Bu durum, Avrupa veri koruma hukuku ile blokzinciri teknolojisinin kesişimindeki en önemli hukuki ve teknik sorunlardan birini oluşturmaktadır.

2.1. Kripto Ekosisteminde Kişisel Veri Kavramı

GDPR Madde 4(1), kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri olarak tanımlamaktadır.

Blokzinciri ortamında bir verinin kişisel veri olarak kabul edilmesi için doğrudan kişinin adını, soyadını veya kimlik numarasını içermesi gerekmemektedir.

Cüzdan Adresleri ve Ortak Anahtarlar

Bir cüzdan adresi, ek bilgiler yardımıyla belirli bir kişiyle ilişkilendirilebiliyorsa kişisel veri niteliği kazanabilir.

Bu bilgiler arasında:

• IP adresleri
• Borsalardaki KYC kayıtları
• İşlem alışkanlıkları
• Cihaz bilgileri
• Diğer tanımlayıcı veri setleri

yer alabilir.

Zincir Üstü Meta Veriler

İşlem özetleri, akıllı sözleşmelerin durum değişiklikleri, log kayıtları ve zincir üstü bakiye bilgileri de belirli bir gerçek kişinin kimliğinin tespit edilmesine katkı sağladıkları ölçüde kişisel veri kapsamında değerlendirilebilir.

Blokzinciri analitiği, kümeleme yöntemleri, açık kaynak istihbaratı ve kripto borsalarının sahip olduğu veriler bir araya getirildiğinde zincir üzerindeki hareketlerin gerçek kişiler veya kurumlarla ilişkilendirilmesi mümkün olabilmektedir.

Bu nedenle blokzinciri adreslerinin doğrudan anonim olduğu varsayılmamalıdır. Birçok durumda bu verilerin takma adlı, yani pseudonymous nitelikte değerlendirilmesi daha doğru olacaktır.

2.2. Veri Sorumlusu ve Veri İşleyen Ayrımı

GDPR uyumluluğunun temel unsurlarından biri, kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen tarafın tespit edilmesidir.

GDPR Madde 4(7) kapsamında bu taraf veri sorumlusu olarak tanımlanmaktadır.

Merkezi Kripto Borsaları

Saklama hizmeti sunan merkezi bir kripto borsası, aşağıdaki süreçlerde işlenen kişisel veriler bakımından genellikle veri sorumlusu konumundadır:

• Kullanıcı kaydı
• Kimlik doğrulaması
• Alım satım işlemleri
• Para yatırma ve çekme işlemleri
• Dolandırıcılık izleme
• Yasal uyum süreçleri

Borsa adına belirli veri işleme faaliyetlerini gerçekleştiren üçüncü taraf hizmet sağlayıcıları ise veri işleyen statüsünde olabilir.

Örneğin:

• KYC doğrulama şirketleri
• Kimlik tarama hizmetleri
• Blokzinciri analitiği sağlayıcıları
• Bulut altyapı şirketleri

Veri sorumlusu ile veri işleyen arasında böyle bir ilişki bulunuyorsa taraflar arasında GDPR Madde 28'e uygun bir veri işleme sözleşmesinin kurulması gerekmektedir.

2.3. Unutulma Hakkı ve Blokzincirinin Değiştirilemezliği

GDPR ile blokzinciri teknolojisi arasındaki en önemli sorunlardan biri, GDPR Madde 17 kapsamında düzenlenen silme hakkı ile blokzincirinin değiştirilemezlik özelliğinin aynı anda uygulanmasıdır.

Kişisel verilerin işlenmesi için geçerli bir hukuki sebep veya amaç kalmadığında, ilgili kişi belirli şartlar altında verilerinin silinmesini talep edebilir.

Geleneksel veri tabanlarında bu işlem teknik olarak çoğu zaman mümkündür.

Blokzincirinde ise geçmişte kaydedilmiş veriler zincirin bütünlüğünün bir parçasıdır ve daha sonra değiştirilmemek üzere tasarlanmıştır.

Geçmiş kayıtların değiştirilmesi, sonraki blokların kriptografik referanslarını etkileyebilir ve kayıt bütünlüğünü bozabilir.

Bu nedenle Avrupa'daki veri koruma otoriteleri, GDPR Madde 25 kapsamında düzenlenen Privacy by Design yaklaşımına özel önem vermektedir.

Veri koruma gereksinimleri, sistem kurulduktan sonra eklenecek bir özellik olarak değil, blokzinciri mimarisinin tasarım aşamasından itibaren dikkate alınması gereken temel bir unsur olarak değerlendirilmelidir.

3. EDPB Kılavuzları: Veri Koruma ve Blokzinciri Entegrasyonu

Avrupa Veri Koruma Kurulu, yürütülen kamuoyu istişaresinin ardından kişisel verilerin blokzinciri teknolojileri aracılığıyla işlenmesine ilişkin Guidelines 02/2025 rehberinin nihai versiyonunu Temmuz 2026'da kabul etmiştir.

Kılavuz, kişisel veri işleyen blokzinciri projeleri açısından çeşitli teknik ve hukuki öneriler içermektedir.

3.1. Kişisel Verilerin Doğrudan Zincir Üzerinde Tutulmaması

Kılavuzdaki temel yaklaşımlardan biri, doğrudan kişiyi tanımlayan verilerin açık biçimde blokzincirinde saklanmasından mümkün olduğunca kaçınılmasıdır.

Bu yaklaşım özellikle şu GDPR ilkeleriyle bağlantılıdır:

• Madde 5(1)(c) kapsamında veri minimizasyonu
• Madde 5(1)(e) kapsamında saklama süresinin sınırlandırılması
• Madde 5(1)(f) kapsamında bütünlük ve gizlilik

Mahremiyet odaklı bir sistem mimarisinde kişisel veriler, erişimin kontrol edilebildiği, güncellenebildiği ve gerektiğinde silinebildiği off-chain veri tabanlarında tutulabilir.

Blokzinciri üzerinde ise temel verinin kendisi yerine, verinin varlığını veya bütünlüğünü kanıtlayan hash değerleri, kriptografik taahhütler veya işaretçiler kullanılabilir.

Bu modelde ilgili kişi silme hakkını kullandığında off-chain ortamda bulunan temel veri silinebilir.

Bazı sistemlerde şifreleme anahtarlarının geri döndürülemeyecek şekilde yok edilmesi anlamına gelen crypto-shredding yöntemleri de kullanılabilir.

Bu hibrit yapı, blokzincirinin teknik özellikleri ile GDPR kapsamındaki veri sahibi haklarının birlikte ele alınmasına yardımcı olabilir.

3.2. Açık ve İzinli Blokzinciri Yapıları

Kamuya açık blokzincirlerinde veriler çok sayıda ağ katılımcısı tarafından erişilebilir hale gelebilir ve farklı ülkelerde bulunan düğümlerde saklanabilir.

Bu durum özellikle kurumsal ve finansal uygulamalarda veri koruma açısından ek riskler yaratmaktadır.

İzinli veya özel blokzinciri modelleri ise kuruluşlara şu konularda daha fazla kontrol sağlayabilir:

• Ağa kimlerin erişebileceği
• Kimlerin veri yazabileceği
• İşlemleri kimlerin doğrulayabileceği
• Yönetişim kararlarının nasıl alınacağı
• Güvenlik kontrollerinin nasıl uygulanacağı

Kamuya açık bir blokzinciri kullanılması halinde veri sorumlusunun açık ve uzun süreli veri erişiminin ilgili işleme amacı açısından gerekli ve orantılı olup olmadığını değerlendirmesi önem taşımaktadır.

3.3. Şifreleme, Sıfır Bilgi İspatı ve Sınırları

Sıfır Bilgi İspatı (Zero-Knowledge Proof, ZKP) ve güçlü şifreleme yöntemleri gibi mahremiyet artırıcı teknolojiler, kişisel verilerin korunması açısından önemli avantajlar sağlayabilir.

Ancak bu teknolojilerin kullanılması, veriyi otomatik olarak GDPR kapsamı dışına çıkarmamaktadır.

Şifrelenmiş veya pseudonymous hale getirilmiş bir veri, makul yöntemlerle belirli bir kişiyle tekrar ilişkilendirilebiliyorsa kişisel veri niteliğini koruyabilir.

Bu nedenle şifreleme ve ZKP, tek başına hukuki bir istisna olarak değil, kapsamlı teknik ve organizasyonel güvenlik tedbirlerinin bir parçası olarak değerlendirilmelidir.

3.4. Veri Koruma Etki Değerlendirmesi

Blokzinciri tabanlı veri işleme faaliyetleri çeşitli mahremiyet riskleri oluşturabilir.

Bunlar arasında:

• Kaydedilmiş verilerin değiştirilmesindeki zorluk
• Dağıtık veri saklama yapısı
• Uluslararası veri aktarımları
• Uzun süreli erişilebilirlik
• Veri sahibi haklarının uygulanmasındaki teknik zorluklar

yer almaktadır.

İşleme faaliyetinin gerçek kişilerin hak ve özgürlükleri açısından yüksek risk oluşturma ihtimali varsa, kişisel veri işlemeye başlanmadan önce Veri Koruma Etki Değerlendirmesi (DPIA) yapılması gerekebilir.

Kapsamlı bir DPIA şu konuları değerlendirmelidir:

• Ağdaki düğümlerin konumu
• Verilerin Avrupa Ekonomik Alanı dışına aktarılma ihtimali
• Veri ihlali senaryoları
• Veri saklama süreleri
• Erişim kontrolleri
• Silme ve düzeltme mekanizmaları
• Veri sahibinin erişim hakları
• Yönetişim ve sorumluluk dağılımı

Bu değerlendirmelerin sistem faaliyete geçirildikten sonra değil, tasarım aşamasında yapılması önemlidir.

3.5. Akıllı Sözleşmeler ve Otomatik Karar Alma

Akıllı sözleşmeler, önceden kodlanmış koşullar gerçekleştiğinde belirli işlemleri insan müdahalesi olmadan otomatik olarak gerçekleştirebilir.

Bu işlemlerin gerçek kişiler üzerinde hukuki veya benzer ölçüde önemli sonuçlar doğurması halinde GDPR'ın otomatik karar almaya ilişkin hükümleri gündeme gelebilir.

Örnekler arasında:

• Bir teminatın otomatik olarak tasfiye edilmesi
• Bir kredi talebinin otomatik reddedilmesi
• Bir hizmete erişimin durdurulması
• Otomatik uygunluk veya hak sahipliği kararları

yer alabilir.

Şirketlerin bu nedenle akıllı sözleşme mimarilerinde insan müdahalesi, kararın yeniden incelenmesi veya uyuşmazlık çözümü gibi mekanizmaların gerekli olup olmadığını değerlendirmesi gerekir.

Kullanıcılara otomatik karar alma sistemlerinin işleyişi hakkında açık ve anlaşılır bilgi verilmesi de önemlidir.

Karmaşık kaynak kodlarının erişilebilir olması, tek başına yeterli bir şeffaflık yöntemi değildir.

4. AB Dışı Hizmet Sağlayıcılar ve Reverse Solicitation

Avrupa Birliği dışında, örneğin Türkiye, ABD veya Asya'da yerleşik kripto şirketlerinin MiCA kapsamında yetkilendirilmeden AB müşterilerine hizmet sunabilmesi oldukça sınırlı koşullara tabidir.

Bu kapsamda gündeme gelen istisnalardan biri MiCA Madde 61'de düzenlenen reverse solicitation, yani müşterinin kendi inisiyatifiyle hizmet talebinde bulunması ilkesidir.

Bu istisnanın uygulanabilmesi için ilişkinin tamamen müşterinin kendi girişimiyle başlamış olması gerekmektedir.

ESMA'nın reverse solicitation konusundaki kılavuzları, üçüncü ülke şirketlerinin bu istisnayı aktif biçimde AB müşterilerini hedeflemek için kullanmasını önlemek amacıyla dar bir yaklaşım benimsemektedir.

Şirketin AB içerisindeki potansiyel müşterilere doğrudan veya dolaylı olarak pazarlama yapması halinde reverse solicitation istisnasından yararlanılması mümkün olmayabilir.

Pazarlama ve Tanıtım Faaliyetleri

Şirketin AB müşterilerini aktif şekilde hedefleyip hedeflemediği değerlendirilirken şu tür faaliyetler dikkate alınabilir:

• AB'ye özel reklam kampanyaları
• Yerelleştirilmiş web siteleri
• Mobil uygulama bildirimleri
• Hedefli sosyal medya reklamları
• Arama motoru pazarlaması
• AB kullanıcılarını hedefleyen etkinlik sponsorlukları

Affiliate ve Influencer Kullanımı

Dolaylı pazarlama faaliyetleri de önem taşımaktadır.

Şirket adına veya şirketle ilişkili biçimde aşağıdaki taraflar üzerinden yapılan tanıtımlar değerlendirmeye dahil edilebilir:

• Bağlı kuruluşlar
• Grup şirketleri
• Ticari iş ortakları
• Influencer'lar
• Finfluencer'lar

Reklamın doğrudan şirket tarafından yayımlanmamış olması, faaliyetin otomatik olarak solicitation kapsamı dışında kalacağı anlamına gelmez.

İspat ve Kayıt Tutma

Kullanım koşullarına yalnızca hizmetin müşterinin kendi talebi üzerine sunulduğunu belirten bir disclaimer eklenmesi yeterli olmayabilir.

Reverse solicitation istisnasına dayanan şirketlerin müşteri ilişkisinin nasıl başladığını gösterebilecek kayıtları tutması önem taşımaktadır.

Bu kayıtlar arasında:

• İlk iletişim kayıtları
• Denetim logları
• Zaman damgaları
• Müşteri talepleri
• Ekran görüntüleri
• Onboarding belgeleri

yer alabilir.

Avrupa pazarındaki faaliyetlerini sürdürmek isteyen AB dışındaki kripto platformları açısından temel seçeneklerden biri gerekli MiCA yetkilendirmesinin alınmasıdır.

Yetkilendirme olmaksızın reverse solicitation yaklaşımına dayanılacaksa AB'ye yönelik pazarlama, müşteri kazanımı ve tanıtım faaliyetlerinin son derece dikkatli değerlendirilmesi gerekmektedir.

5. Sonuç

MiCA ile GDPR arasındaki ilişki, kripto sektöründe regülasyon uyumunun artık yalnızca hukuki belgelerin hazırlanmasıyla sınırlı bir süreç olmadığını göstermektedir.

Şirketlerin hukuk, teknoloji ve operasyon ekiplerini birlikte çalıştırması gerekmektedir.

CASP lisanslaması, operasyonel dayanıklılık, veri koruma, blokzinciri mimarisi, otomatik karar alma sistemleri ve sınır ötesi pazarlama kuralları giderek aynı uyum ekosisteminin parçaları haline gelmektedir.

Bu durum özellikle Türkiye gibi Avrupa Birliği dışında bulunmasına rağmen AB'deki müşteriler ve şirketlerle yoğun ticari ilişki içerisinde olan ülkelerdeki kuruluşlar açısından kritik öneme sahiptir.

Uyum yükümlülüklerinin ihlali yalnızca yüksek idari para cezalarına değil, lisans kısıtlamalarına, faaliyetlerin durdurulmasına ve Avrupa pazarına erişimin zorlaşmasına da yol açabilir.

Legalifi, MiCA, GDPR ve KVKK başta olmak üzere farklı düzenleyici alanlarda uyum sağlamak isteyen kuruluşlara multidisipliner uyum projeleriyle destek sunmaktadır.

Hukuki uzmanlığı teknoloji destekli uyum süreçleriyle bir araya getiren Legalifi, işletmelerin hızla gelişen Avrupa dijital regülasyonlarını takip etmesine ve operasyonlarını yeni düzenlemelere uyarlamasına yardımcı olmayı amaçlamaktadır.