Türkiye pazarında bazı sağlayıcılar “blok zinciri” kelimesini bir üstünlük gibi pazarlıyor. Oysa Dijital Ürün Pasaportu için istediğiniz şey — kayıt gizlice değiştirilemesin — bir dağıtık defterden değil, kriptografiden gelir. Bu rehber, değişmezliğin blok zinciri olmadan nasıl sağlandığını; blok zincirinin KVKK/GDPR, veri egemenliği, maliyet ve ölçekte neden geri tepebileceğini; ve ESPR’nin neden teknoloji-nötr olduğunu açıklar.
Bir DPP’den beklenen güven özellikleri — kaydın orijinal olduğu, gizlice değiştirilmediği ve bağımsız doğrulanabildiği — kriptografik özetleme (hashing) ve dijital imzalarla elde edilir. Bunun için bir dağıtık defter (blok zinciri) gerekmez. Önemli bir ayrım: hash-zinciri, blok zinciri değildir. Blok zinciri = hash-zinciri artı güvenilmeyen düğümler arasında küresel mutabakat ve kopyalama. DPP için faydalı olan ilk yarıdır; ikinci yarı ise maliyet ve hukuki sorun getirir.
DSR, her pasaport sürümünü bir öncekine kriptografik bir hash ile bağlar ve Ed25519 ile imzalar; sonuç W3C Doğrulanabilir Kimlik Bilgisi (VC) olarak yayımlanır. Herhangi bir değişiklik anında tespit edilir ve çevrimdışı dahi doğrulanabilir. Aşağıda, “blok zinciri” diye satılan her özelliğin aslında nasıl sağlandığı var.
| İhtiyaç | DSR’de nasıl karşılanır (blok zinciri olmadan) |
|---|---|
| Değişmezlik | Her sürüm bir öncekine hash ile bağlı, eklemeli (additive) sürümleme |
| Kurcalama kanıtı | Ed25519 dijital imza; en ufak değişiklik imzayı bozar |
| Bağımsız doğrulama | W3C VC — herkes, DSR’ye bağımlı olmadan çevrimdışı doğrular |
| Tek merkeze güvenmeme | Açık çok-imza: bağımsız doğrulayıcı karşı-imzaları |
| Zaman damgası / noter | İsteğe bağlı: yalnızca bir hash özetinin çıpalanması (veri değil) |
Kamuya açık/dağıtık bir defter, veriyi birçok düğüme (çoğu zaman küresel) kopyalar ve eklemeli, silinemez olacak şekilde tasarlanır. Bu, veri koruma hukukuyla doğrudan çatışır:
Yani bir Türk ihracatçısına “egemenlik için blok zinciri” önermek kendi içinde çelişkilidir.
ESPR (AB) 2024/1781 teknoloji-nötrdür. DPP mimarisi; benzersiz tanımlayıcılar, merkezî olmayan bir veri modeli, merkezî bir AB Kayıt Defteri ve bir veri taşıyıcısı (GS1 Digital Link) üzerine kuruludur; standart çalışmaları (CIRPASS, JRC, CEN/CENELEC) giderek Doğrulanabilir Kimlik Bilgileri / merkezî olmayan tanımlayıcılar (VC/DID) yönünü işaret eder — kamuya açık bir blok zinciri değil. “Blok zinciri”, size satılabilecek isteğe bağlı bir katmandır; asla bir zorunluluk değildir.
İş kanıtı (proof-of-work) zincirleri yüksek enerji tüketir; modern iş-payı (proof-of-stake) zincirleri bile DPP için hiçbir fayda sağlamadan mutabakat/kopyalama yükü ve işlem (gas) maliyeti ekler. Ayak izini düşürmeyi amaçlayan bir araç için, yılda milyarlarca taramada her pasaportu zincire yazmak kendi kendini baltalar. Üstelik zincir yazımları yavaş ve sınırlıdır; okumalar çoğu zaman yine merkezî bir ağ geçidinden geçer — yani merkezî bağımlılığı geri getirirsiniz.
Gerçek tedarik zinciri verisi değişir: tedarikçiler değişir, düzeltmeler ve geri çağırmalar olur. İhtiyacınız olan şey, her değişikliğin izlenebildiği değişmez bir denetim geçmişidir — düzeltemeyeceğiniz donmuş bir kayıt değil. DSR’nin eklemeli hash-zinciri sınırsız, kurcalamaya karşı dayanıklı sürümler verir; naif bir zincir kaydı ise ya güncellenemez ya da dağınık geçici çözümler doğurur.
Dürüst olmak gerekirse: izinli (permissioned) bir defter, hiçbir tarafın tek başına güvenilmediği çok-taraflı noterlik senaryolarında niş bir değer sağlayabilir. Ama bunun %95’ini, periyodik olarak yalnızca bir hash özetini (Merkle kökü) çıpalayarak elde edersiniz — ürün ya da kişisel veriyi zincire koymadan. Bir alıcı sözleşmeyle bir defter çıpası isterse, DSR yalnızca bir hash özeti çıpalayabilir; gerçek veriniz Türkiye’de yerleşik ve sıfır dışa aktarımlı kalır.
DSR; ESPR ve GS1 Digital Link ile uyumlu, kendi alan adınızda yaşayan dijital ürün pasaportları oluşturmanızı, yayımlamanızı ve bağımsız olarak doğrulatmanızı sağlar — sıfır dışa aktarım (zero-egress), KVKK uyumu ve kilitlenme olmadan.
Bu rehber yalnızca bilgilendirme amaçlıdır, hukuki tavsiye değildir. Düzenleyici tarihler indikatiftir ve değişebilir; kararlarınızı güncel AB mevzuatına karşı doğrulayın.