Veri koruma hukuku on Arpokrat

SignalTrace: Avrupa kendine izin vermediği gözetimi ihraç ediyor

Tue, 01 Sep 2026 00:00:00 +0000

Gri bir sedan, saatte 110 kilometreyle bir otoyol portalının altından geçiyor. Direğe sabitlenmiş kamera plakayı okuyor, zaman damgası vuruyor, kaydediyor. Yeni bir şey yok: bu düzenek yirmi yıldır var, Kuzey Amerika’da da Avrupa’da da on binlerce adet kurulu.

Ama o portal, İtalyan Leonardo grubunun haziran 2026’dan beri sattığı modülü aldıysa, az önce başka bir şey daha kaydetti. Sürücünün iPhone’unu. Yolcunun kablosuz kulaklıklarını. Torpido üstündeki akıllı saati. Oto teybini. Torpido gözündeki bağlantılı anahtarlığı. Dört lastiğin basınç sensörlerini. Bir cekette unutulmuş giriş kartını. Ve arkada bir köpek uyuyorsa, onun kimlik çipini.

Bir düzine kimlik, bir plaka, bir konum, bir saat. Bunu ağdaki her portalda yineleyin; artık bir arabayı izlemiyorsunuz: insanları izliyorsunuz ve kiminle birlikte yol aldıklarını biliyorsunuz.

Cihazın gerçekte yaptığı şey

Ürünün adı SignalTrace. Leonardo US Cyber and Security Solutions tarafından satılıyor ve Amerikan pazarındaki en yaygın otomatik plaka okuyucu hatlarından biri olan ELSAG serisini tamamlıyor. Varlığı, üreticinin bir ürün föyünden yola çıkarak 8 Haziran 2026’da Joseph Cox tarafından 404 Media‘da ortaya çıkarıldı.

Belirleyici nokta tek cümleye sığıyor: söz konusu olan yeni kameralar değil. SignalTrace, hâlihazırda kurulu plaka okuyuculara eklenen bir radyo sensörü. Direk değişmiyor, konum değişmiyor, yol kenarındaki donanımın silueti değişmiyor. Değişen şey, donanımın neyi dinlediği.

Sensör, araçtaki cihazların Bluetooth, Wi-Fi ve RFID protokollerince açık biçimde yayılan kimlikleri kaydediyor. Sıkça yanlış anlaşılan teknik nokta: hiçbir cihaz hacklenmiyor ve hiçbir açık sömürülmüyor. Bir Bluetooth ya da Wi-Fi cihazı sürekli keşif çerçeveleri yayar, çünkü bu protokoller böyle tasarlanmıştır. Kulaklıklarınız telefonunuz tarafından bulunabilmek için varlıklarını duyurur, telefon da bildiği ağları aramak için çevredeki havayı yoklar. Bu yayınlar yapısı gereği kamuya açıktır ve menzildeki her alıcı onları duyar.

Leonardo zaten sistemin plaka okuyucuyla ya da onsuz, kapalı mekânlar dâhil çalıştığını ve plakası kapatılmış ya da sökülmüş bir aracı tanıdığını belirtiyor.

Asıl siyasi mesele, mevcut donanımın güncellenmesi. Yeni bir kamera ağı kurmak bir oylamayı, bir müzakereyi, kimi zaman bir davayı tetikler. Zaten onaylanmış bir kutunun içine bir elektronik kart eklemek hiçbir şeyi tetiklemez. Gözetim kapasitesi kamusal tartışma olmadan nitelik değiştirir, çünkü maddi olarak görülecek yeni bir şey yoktur.

Araçtan kişiye, kişiden gruba

Bir plaka okuyucu tek bir soruya yanıt verir: bu araç neredeydi. SignalTrace iki soru daha ekler: içinde kim vardı ve kiminle.

Leonardo bunu gizlemiyor, satış argümanı bu. Sistem, belgelerin elektronik parmak izi dediği şeyi oluşturuyor: «sık sık birlikte yayılan» kimliklerden oluşan bir küme. Üreticinin örneği açık: koca bir şehirde yalnızca tek bir araç bir iPhone 13rev2’yi, bir Audi oto teybini, bir Bose kulaklığı, bir Garmin saati, bir anahtar bulucuyu ve ABC-1234 plakasını bir arada barındıracaktır.

Ürün araçları izlemekle yetinmiyor. Kimsenin en ufak bir şüpheyi dile getirmesine gerek kalmadan, kişiler arasında otomatik olarak bir ilişki grafiği üretiyor.

Nitel sıçrama burada gerçekleşiyor. Düzenli olarak birlikte seyahat eden cihazları ilişkilendiren sistem, mekanik biçimde bir toplumsal grafik kuruyor. Her sabah aynı arabada buluşan iki telefon bir araç paylaşımıdır ya da iki tarafın da kamuya açmak istemediği bir ilişkidir. Aynı yerde aynı saatte yakalanan elli cihaz bir toplanmadır: bir gösteri, bir ayin, bir sendika toplantısı ya da bir kliniğin önündeki kuyruk.

Bu sonuçların hiçbiri bir iletişimin içeriğine erişmeyi gerektirmez. Bir yakınlık tablosundan çıkarılır, varsayılan olarak, belirlenmiş hedefler üzerinde değil, dolaşımdaki tüm nüfus üzerinde. Bu, her türlü soruşturmadan önce, sınai ölçekte üretilen bir çağrışım yoluyla suçluluktur. Center for Democracy & Technology hukukçusu Tom Bowman, sorunu TechNewsWorld sayfalarında özetliyor: aracı gerçek bir şüpheliyi izlemek için yararlı kılan şey, onu diğer tüm sürücüleri izlemeye de aynı ölçüde muktedir kılıyor; oysa bu sürücülerin hiçbiri cihazlarının kaydedilmesine rıza göstermedi.

Leonardo iki argüman öne sürüyor: sistem iletişimlerin içeriğini ne deşifre ediyor ne de okuyor, ve kişileri kendiliğinden tanımlamıyor. Her iki ifade de doğru ve her ikisi de konunun dışında. Aranan istihbarat hiçbir zaman içerik olmadı, konum üstverisinde yatıyor, ki bu bir mesajdan daha çok şey ele verir. Tanımlamaya gelince, üreticinin kendisi bir soruşturmacının bir elektronik imzayı bir plakayla ilişkilendirebileceğini, ardından tescil kayıtları üzerinden ruhsat sahibine ulaşabileceğini kabul ediyor.

Başka bir şey için yazılmış bir Amerikan hukuku

Amerika Birleşik Devletleri’nde plaka okuyucuları düzenleyen eyalet yasaları mevcut ve bazıları saklama süreleri ile erişim amaçları konusunda titiz. Ama hepsi tek bir kesin nesne etrafında kaleme alındı: bir plakanın görüntüsü. Hiçbiri aynı donanımın kişisel cihaz kimliklerini yakalamasını öngörmüyor.

Bu kayma bir yasadışılık yaratmıyor, satıcı için daha elverişli bir gri alan yaratıyor. Bir polis teşkilatı, yalan söylemeden, plaka okuyucu programının izinli ve uyumlu olduğunu savunabilir; bu arada aynı rejim altında tümüyle farklı nitelikte veriler toplamaya başlamıştır. Leonardo ayrıca Special Operations Command ve General Services Administration nezdinde federal sözleşmelere sahip, yani yerel onayları büyük ölçüde atlayan bir satın alma yoluna.

Anayasal tartışmaya gelince, o da yeni kımıldadı ve burada kesin olmak gerekiyor, çünkü hukukun durumu bu yaz değişti. Ocak 2026’da Virginia’daki bir federal mahkeme, Schmidt v. City of Norfolk davasında, şehrin Flock kamera ağının sakinlerin tüm hareketlerini kapsamadığı gerekçesiyle dördüncü ek madde anlamında bir arama teşkil etmediğine hükmetti. Karar, ACLU’nun müdahil olduğu Dördüncü Daire önünde temyizde.

Ardından, 29 Haziran 2026’da Yüksek Mahkeme Chatrie v. United States kararını verdi. Yargıç Kagan’ın kaleminden, beşe karşı dört oyla, polisin bir telefonun konum verilerini elde etmesinin bir arama teşkil ettiğine hükmetti; kişi, veriler bir üçüncü tarafın elinde olsa ve kısa bir süreye ilişkin olsa bile bu veriler üzerinde makul bir mahremiyet beklentisini korur. Karar, 2018 tarihli Carpenter v. United States‘i sürdürüyor ve CDT’nin de belirttiği gibi üçüncü taraf doktrinini zayıflatıyor.

Chatrie’nin SignalTrace üzerindeki tam kapsamı belirlenmiş değil ve aksini iddia etmek tedbirsizlik olur: karar Google’dan talep edilen verilere ilişkin, kamusal alanda bir polis sensörünün doğrudan yakalamasına değil. Ama önemli olan akıl yürütmeyi yerleştiriyor: bir konum verisinin hassasiyeti onu kimin elinde tuttuğuna bağlı değildir.

Asıl mesele olan Avrupa meselesi

İşte dosyanın Avrupa için rahatsız edici hâle geldiği yer. Leonardo bir Amerikan tedarikçisi değil, Milano’da işlem gören ve ilk hissedarı yaklaşık %30 sermaye payıyla İtalyan Ekonomi ve Maliye Bakanlığı olan, yönetim kurulunun çoğunluğunu atama yetkisine sahip bir İtalyan grubu. İtalyan devleti bu üründe pasif bir hissedar değil.

Önce teknik nokta

Avrupa hukukunda bir cihaz kimliği kişisel veridir. Bu bir öğreti görüşü değil, otoritelerin istikrarlı tutumudur. CNIL, ziyaretçi yoğunluğu ölçüm sistemleri hakkındaki öğretisinde MAC adresini açıkça böyle ele alıyor ve kamusal alanda toplanmasına ancak dar koşullarda izin veriyor: bireyler arasında yüksek çakışma oranıyla birkaç dakika içinde anonimleştirme ya da güvenilir bir takma adlaştırmanın ardından yirmi dört saat içinde imha; aksi hâlde rıza zorunlu hâle geliyor. Aynı öğreti, insanları Wi-Fi’larını kapatmaya davet etmenin kabul edilebilir bir itiraz yöntemi olmadığını belirtiyor.

Avrupa Birliği Adalet Divanı, 4 Eylül 2025’te EDPS / SRB (C-413/23 P) davasında, takma adlaştırılmış bir verinin kişisel niteliğinin makul biçimde seferber edilebilecek yeniden tanımlama araçları ışığında değerlendirileceğini belirtti. Oysa burada veriyi elinde tutan, tescil kayıtlarına sahip bir polis otoritesidir. Yeniden tanımlama araçları varsayımsal değil, yan odadadır.

Her şeyi değiştiren nüans

SignalTrace’in «Avrupa’da yasadışı olacağını» yazmak yanlış olurdu ve hukukçu bir okur bunu hemen fark ederdi. Yetkili bir otorite tarafından suçun önlenmesi ve kovuşturulması amacıyla yürütülen bir işleme GDPR kapsamına girmez. Polis-Adalet Direktifi denen ve her üye devlet tarafından ayrı ayrı iç hukuka aktarılan, Fransa’da Bilişim ve Özgürlükler Kanunu’nun III. başlığında yer alan (AB) 2016/680 sayılı direktif kapsamına girer. CNIL, bu rejimin kendi hukukilik temelleri ve kendi haklarıyla özerk olduğunu hatırlatıyor.

Dolayısıyla doğru soru soyut yasallık sorusu değil, koşullar sorusudur. Bu rejim altında böyle bir düzenek açık bir ulusal yasal dayanağı, belirlenmiş amaçları, kanıtlanmış bir gerekliliği, sınırlandırılmış bir saklama süresini, bir etki değerlendirmesini ve bağımsız bir denetimi gerektirirdi. Fransa’da plaka okuyucular böyle düzenlenmiştir: İç Güvenlik Kanunu’nun L233-1 ve L233-1-1 maddeleri kullanımlarına imkân veren sınırlı bir suç listesi belirler ve saklama süresi Birlik’teki en kısalardan biri olmayı sürdürür, ilke olarak on beş gün, her ne kadar bir Senato kanun teklifi bunu uzatmaya çalışsa da.

Amerikan durumuyla temel fark budur. Amerika Birleşik Devletleri’nde yasa bir nesneyi, plakayı düzenler ve cihaz kimlikleri konusundaki sessizlik izin anlamına gelir. Avrupa’da yasa amaçları ve veri kategorilerini düzenler ve bu sessizlik, açık bir yasal dayanağın yokluğunda daha çok yasak anlamına gelir. Atlantik’in ötesinde saptanan boşluk burada aynı biçimde yoktur. Avrupa daha erdemli olduğu için değil: hukuk tekniği terstir.

Peki koruma ne işe yarar

Geriye bu yazının konusu olan soru kalıyor. Bir üye devletin denetimindeki bir Avrupa şirketi, kendi ülkesinde yeni bir yasa olmadan konuşlandıramayacağı bir kapasiteyi Avrupa dışına satarken, Avrupa’nın düzenleyici koruması ne işe yarar?

İtirazlar ciddiye alınmayı hak ediyor. Bir sanayici müşterisinin hukuki çerçevesinden sorumlu değildir: kendi ülkelerinde neye izin verdiklerine Amerikan makamları karar verir. Ürün bir diktatörlüğe değil, Chatrie’nin az önce hatırlattığı gibi etkin bir yüksek mahkemeye sahip bir hukuk devletine satılıyor. Ve sınai egemenlik argümanı meşrudur: Avrupalı gruplar bu pazarları kendilerine yasaklarsa, pazarları İsrailli, Amerikalı ya da Çinli tedarikçiler alır, gözetim bir metre bile gerilemez ve Avrupa bu arada teknolojik tabanını yitirir.

Bu argümanlar kabul edilebilir. Sorunu yanıtlamıyorlar.

Öncelikle, Birlik gözetim araçlarının ihracatının sıradan bir ticaret olmadığını zaten kabul etmiştir. Çift kullanımlı ürünlere ilişkin (AB) 2021/821 sayılı tüzük, 5. maddesinde siber gözetim ürünlerini hedefleyen kapsayıcı bir hüküm getirdi; çünkü yasa koyucu, üretmesi yasal olan bir aracın varış yerinde gayrimeşru olabileceğini kabul etti. Sınırı öğreticidir: iç baskı ya da ağır insan hakları ihlalleri riskinde devreye girer, yani otoriter rejimler için düşünülmüş kategorilerde. Bir Amerikan belediye polisine satış bunlara girmez. Avrupa ızgarası müşterinin ahlakını inceler, satılan kapasitenin niteliğini asla.

Sonra, böyle bir ürün elden çıkarılacak bir stok değil, sürdürülen bir kapasitedir: araştırmayı finanse eder, mühendis yetiştirir, teknik birikim biriktirir ve kurulu bir taban yaratır. Büyük bir saldırının bir üye devleti bu kapasiteyi talep etmeye ittiği gün, tartışma artık onu inşa etmenin yerindeliği üzerine olmayacaktır. Kapasite var olacak, Avrupalı olacak, olgun olacak ve tedarikçisi kısmen kamusal olacaktır. «Yalnızca pazarı izliyoruz» argümanı o zaman döngüsel hâle gelir, çünkü iç pazar ihracat tarafından hazırlanmış olacaktır.

Bu senaryoda düzenleyici korumanın değeri işte budur: Avrupalıları kullanımlara karşı korur, araçların varlığına karşı değil. Düğmeye basma hakkının kimde olduğu sorusunu çözer ve onu inşa etmeyi, satmayı, geliştirmeyi, sonra beklemeyi sanayiye bırakır.

Kendimize masal anlatmadan ne yapılabilir

İlk anılan yanıt her zaman MAC adresi rastgeleleştirmesidir. Dürüst bir incelemeyi hak ediyor, ne övgü ne yergi. Gerçektir ve işe yarar.

Android 10. sürümden, iOS 14. sürümden itibaren Wi-Fi’da kullanılan MAC adresini varsayılan olarak, her ağ için ayrı bir adresle rastgeleleştiriyor. Bluetooth Low Energy’de modern cihazlar çözülebilir özel adresler yayınlıyor; bu adresler düzenli aralıklarla değişiyor ve gerçek cihaza yalnızca çözüm anahtarını elinde tutan bir muhatap tarafından bağlanabiliyor.

Sınırları da o kadar gerçek.

Eşleştirme kapıyı yeniden açar. Çözüm anahtarı eşleştirme sırasında iletilir. Zaten eşleştirilmiş ya da açıkça onaylanmış bir cihaz, dönen adresin ardındaki sabit kimliği yeniden bulur. Mekanizma bunun için tasarlanmıştır.
Birçok nesne hiçbir şeyi rastgeleleştirmez. Lastik basınç sensörleri, RFID kartlar, hayvan kimlik çipleri, oto teypleri ve ucuz çevre birimleri sabit kimlikler yayar. Leonardo’nun ürün föyü tam da bu kategorileri anıyor, ki bu tesadüf değil.
Rastgeleleştirme kapatılabilir. Ağ ağ devre dışı bırakılır ve çoğu zaman kolaylık olsun diye, ev yönlendiricisinde MAC filtrelemesi için ya da kurumsal politika gereği kapalıdır.
Grup, kimliklerin dönüşümünden sağ çıkar. Bu en az sezgisel ve en önemli noktadır. SignalTrace bir kimlik aramaz, birlikte yol alan bir cihazlar kümesi arar. Grubun tek bir üyesi sabit bir kimlik yayarsa, diğerlerinin disiplini ne olursa olsun küme bağlanabilir kalır.

En etkili önlem en sıkıcı olanıdır: yaymamak. Bu, Bluetooth ve Wi-Fi’ı kısayol panelinden değil, ayarlardan, sistem düzeyinde kapatmayı gerektirir. Bu ayrım kozmetik değil, telefonun sürekli konum takibi üzerine yazımızda ayrıntılandırmıştık: çoğu tüketici sisteminde hızlı panel düğmesi görünür eşleştirmeyi keser ama yazılım yığınını canlı bırakır ve yakınlık analizleri sürer. O yazı Bluetooth taramasını kuramsal bir vektör olarak betimliyordu. SignalTrace onun ticari ürünüdür, kataloglanmış ve teslim edilebilir.

Sonuç konusunda dürüst kalmak gerekir: bu önlemler maruziyet yüzeyini azaltır, ortadan kaldırmaz. Bir araç bir plaka olmayı sürdürür ve bir plaka okunabilir olmayı sürdürür. Hiçbir şey yaymamanın tek yolu hiçbir şey taşımamaktır, ki bu bir kamu politikası değildir.

Bunun tasarım tercihlerimiz hakkında söyledikleri

Arpokrat’ta Bluetooth’u ayarlar düzeyinde değil de ArpokratOS’un Core düzeyinde ele almamıza yol açan tam da bu akıl yürütmeydi. Bir arayüzdeki düğme bir kullanıcı tercihidir: bir güncelleme, bir sistem uygulaması ya da bir konum servisi bunu kullanıcının haberi olmadan atlayabilir ya da yeniden etkinleştirebilir. Var olmayan bir yığın yeniden etkinleştirilemez.

SignalTrace türünden bir yakalama karşısında bu, elbette bir cihazı tespit edilemez kılmaz ve biz de bunu iddia etmiyoruz: bir telefon bir mobil şebekede kalır ve bir araçtaki diğer nesneler kendi hesaplarına yayın yapar. Bunun güvence altına aldığı şey, belirli bir yayın vektörünün güvene dayalı olarak devre dışı bırakılmak yerine yapısı gereği yok olmasıdır. Bu, 5G ve hukukun hedef şaşırması hakkında savunduğumuz tezdir: hukuki koruma verilere erişime odaklanıyor, oysa onları üreten altyapının varlığına yönelmesi gerekirdi. SignalTrace bunun örneğidir, şu farkla ki bu altyapı Avrupa’da inşa ediliyor.

Sonuç

Bu dosyada en çarpıcı olan, araştırmacıların yıllardır betimlediği teknik kapasite değil. Konuşlandırma yöntemi.

Açılışı yapılacak yeni bir kamera ağı olmayacak, itiraz edilecek bir belediye kararı olmayacak, nitelik değişikliği olarak tanınabilecek bir kamu ihalesi olmayacak. Mevcut direklere eklenmiş modüller olacak, mevcut sözleşmeler altında, çoktan izin verilmiş programlar içinde. Kamusal tartışma açıldığı gün altyapı kurulmuş, amortismanı tamamlanmış ve soruşturma usullerine bütünleşmiş olacak. Tartışma o zaman var olan bir veri tabanına erişim koşulları üzerine olacak, onu oluşturmanın yerindeliği üzerine asla.

Gözetim konusunda işlerin olağan sırası budur ve bu tesadüfi değildir. Geriye, kendi devletlerine yaslanan kendi sanayicileri bu altyapıyı başkaları için inşa ederken Avrupa’nın söyleyecek bir sözü olduğunu düşünüp düşünmediği kalıyor. Avrupa hukuku, bu verileri bizde kimin görebileceği sorusunun yanıtını özenle düzenledi. Makineyi imal etme hakkının kimde olduğu sorusunu ise hiç sormadı.

5G, konum verisi ve hukukun hedef şaşırması

Tue, 18 Aug 2026 00:00:00 +0000

2011 yılında Detroit polisi bir mobil operatörden Timothy Carpenter’ın telefonunun baz istasyonu bağlanma geçmişini istedi. 127 güne yayılan 12.898 konum noktası elde etti, günde yaklaşık yüz nokta. Yedi yıl sonra Amerika Birleşik Devletleri Yüksek Mahkemesi bu talebin bir arama teşkil ettiğine ve yargı kararı gerektirdiğine hükmetti.

Bu 12.898 nokta, her biri birkaç kilometrelik bir yarıçapı kapsayan dördüncü nesil antenlerden geliyordu. Aynı talep bugün kentsel bir 5G şebekesine yöneltilseydi, birkaç kilometre yaklaşıklıkla günde yüz nokta döndürmezdi. Birkaç on metre yaklaşıklıkla çok daha büyük bir hacim döndürürdü.

Teknoloji ölçek değiştirdi. Hukuki muhakeme ise zincirin aynı noktasında kaldı.

Atlantik’in iki yakasındaki yargıçların tanıdığı bir hukuki değer

Neredeyse herkesin kabul ettiği, buna karşılık neredeyse hiçbir metnin etkili biçimde korumadığı bir menfaat var: bir yerde bulunmanın kayda geçirilmemesi hakkı.

Avrupa içtihadı bunu açıkça ortaya koydu. Digital Rights Ireland (birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014) ve ardından Tele2 Sverige ve Watson (birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016) kararlarında Avrupa Birliği Adalet Divanı, bu verilerin bütün olarak ele alındığında kişilerin özel hayatına ilişkin çok kesin sonuçlar çıkarmaya imkân verdiğine hükmetti: günlük yaşam alışkanlıkları, bulunulan yerler, hareketler, yürütülen faaliyetler ve toplumsal ilişkiler.

Amerika Birleşik Devletleri Yüksek Mahkemesi Carpenter v. United States, 585 U.S. 296 (2018) kararında benzer bir sonuca vardı. Amerikan doktrininin çokça yorumladığı bir noktanın altını çizdi: bu toplamanın kaçınılmaz ve otomatik niteliği. Kimse bir antene bağlanmaya rıza göstermez; açık bir telefona sahip olduğu için bağlıdır.

Demek ki hukuki değer mevcut ve bu alanda ağırlığı olan iki yüksek mahkeme tarafından tanınıyor. Sorun başka yerde.

5G’nin gerçekte değiştirdiği şey

Yaygın bir karışıklık, konumu telefonun ilettiği bir veri olarak, bir mesaj ya da fotoğraf gibi görmekten kaynaklanır. Durum böyle değildir. Konum, şebekenin işleyişinin fiziksel bir sonucudur. Operatör cihazın hangi antene bağlı olduğunu bilir, çünkü bir aramayı yönlendirmek için bilmek zorundadır. Bu bilgiyi şifrelemeye yarayacak hiçbir anahtar yoktur, zira söz konusu olan bir içerik değil, bağlantının kendisine ait bir özelliktir.

5G’yi teknik düzlemde değil, hukuki düzlemde anlamlı kılan tam da budur.

Önceki mimariler geniş hücrelere dayanıyordu. Bir 4G anteni yaygın olarak birkaç kilometrelik bir yarıçapa hizmet verir ve yalnızca bağlanmadan çıkarılan konum şehirde yüzlerce metreyle, kırsalda kimi zaman onlarca kilometreyle ölçülürdü. 5G kitlesel bir sıklaştırmaya dayanır: kentsel hücreler tipik olarak birkaç yüz metreyi kapsar ve mühendislik yazını 3G döneminde dört ya da beş olan yoğunluğa karşılık kilometrekare başına kırk ila elli baz istasyonu mertebesinde yoğunluklarla çalışır.

Sonuç mekaniktir. Ericsson’un 5G konumlandırma teknik raporuna göre yalnızca bağlanabilirlik için kurulan altyapı açık alanda yirmi ila elli metre, iç mekânda bir ila üç metre hassasiyete ulaşır ve elverişli kentsel koşullarda bir metrenin altına iner. Bu, bir yerde açılmış bir konum işlevi değil, hiçbir uygulama kurulmadan ve hiçbir izin verilmeden şebekenin yapısı gereği bildiği şeydir. Bütün bu mekanizmaları ve gerçekten işe yarayan karşı önlemleri telefonun kalıcı konum takibi üzerine yazımızda ayrıntılı olarak ele aldık.

Müdahale böylece birkaç büyüklük mertebesi arttı. Uygulanacak hukuki çerçeve ise 2G ve 3G için tasarlanmış olan çerçeve olarak kaldı. Bu ölçek değişimine hiçbir mevzuat uyarlaması eşlik etmedi.

Hukuk erişimi korur, üretimi değil

Avrupa hukuku konum verilerine kimin, hangi koşullarda ve hangi denetim altında erişebileceğini titizlikle düzenler. 2002/58/AT sayılı Direktif haberleşmenin gizliliği ilkesini koyar ve Adalet Divanı La Quadrature du Net (birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020) kararında, bu direktifin 15(1) maddesinin, Şart’ın 7, 8, 11 ve 52(1) maddeleri ışığında okunduğunda, trafik ve konum verilerinin önleyici amaçla genel ve ayrım gözetmeyen biçimde saklanmasına engel olduğuna hükmetti. Divan yine de, bir üye devletin gerçek ve güncel ya da öngörülebilir nitelikte ciddi bir ulusal güvenlik tehdidiyle karşı karşıya olduğu hallerde, etkili bir denetime tabi olmak kaydıyla çerçevelenmiş istisnaları kabul etti.

Bunlar gerçek güvencelerdir ve küçümsemek saçma olur. Ama hepsi olaydan sonra devreye girer. Verinin var olduğunu, saklandığını varsayar ve ardından kullanılma koşullarını düzenlerler.

Oysa konum şebekenin işleyişinin kaçınılmaz bir yan ürünüyse, uygun müdahale noktası gizlilik değildir. Kalıcılıktır.

Bir iletişimi yönlendirmek için gereken ve hemen ardından silinen anlık bir konum, bir gözetim aracı değildir. Aylarca saklanan bir konum geçmişi ise, çevresindeki erişim güvenceleri ne olursa olsun, bir gözetim aracıdır.

İkisi arasındaki fark hukuki değil, mimaridir. Ve Avrupa takvimi soruyu kuramsal olmaktan çıkarıp acil hale getiriyor. Komisyon, ortak yasa koyucular arasında uzlaşma sağlanamadığı için ePrivacy tüzüğü teklifini 2025’te geri çekti. O tarihten beri, ceza amaçlı veri saklamaya ilişkin ayrı bir araç üzerinde çalışıyor; 2026 için duyurulan bu araç, 2006 direktifinin iptalinden bu yana birbirinden uzaklaşmış ulusal rejimleri uyumlaştırmayı amaçlıyor. Başka bir deyişle, konum üstverilerinin rejimini on yıl boyunca belirleyecek metin şu anda, kilometrelik hücreler döneminde tasarlanmış bir muhakeme temelinde yazılıyor.

5G’nin kendi yarattığı emsal

Dosyanın en ilginç yanı, doğru cevabın teknik standartta zaten yer alması, ancak başka bir nesneye uygulanmış olmasıdır.

4G’ye kadar abonenin kalıcı kimliği, IMSI, bağlanma sırasında telsiz arayüzünde açık olarak dolaşıyordu. IMSI yakalayıcılarını mümkün kılan da budur: Electronic Frontier Foundation’ın başvuru niteliğindeki açıklamasına göre, cihazları kendine çekip kimliklerini yakalamak için meşru antenlerden daha güçlü yayın yapan sahte baz istasyonları.

3GPP şartnamelerinin 2019’da yayımlanan Release 15 sürümünden bu yana 5G zarif bir cevap getiriyor. Artık SUPI adı verilen kalıcı kimlik, telsiz arayüzünde SUCI ile değiştirilebilir: aboneye özgü kısmın, ana operatörün açık anahtarıyla eliptik eğri kriptografisi kullanılarak şifrelenmesiyle elde edilen gizlenmiş bir kimlik. Yalnızca ilgili özel anahtarı elinde tutan ana şebeke bunu çözebilir. Sonuç her hesaplamada benzersizdir; bu da bir oturumdan diğerine ilişkilendirmeyi engeller.

Benimsenen mantığın altını çizmek gerekir, çünkü yasa koyucuya yol göstermesi gereken mantık tam olarak budur: teknik olarak imkânsız olacağı için konum şifrelenmez, kimlik şifrelenir. Bağlanabilir bir kimlikten yoksun bir konumun bireyselleştirilmiş gözetim açısından değeri çok sınırlıdır.

Açık: isteğe bağlı bir koruma

Ne var ki önemli bir çekince mevcut ve bize göre bütün dosyanın en somut müdahale noktası bu.

National Institute of Standards and Technology tarafından Mart 2026’da yayımlanan NIST CSWP 36A teknik raporu bunu dolaysızca ifade ediyor. Release 15 veya sonrasına uygun cihazlar ve şebeke işlevleri SUCI’yi desteklemek zorundadır, ancak etkinleştirilmesi operatörün isteğine bağlıdır. Üç koşulun bir araya gelmesi gerekir: cihaz üreticisi desteklemeli, operatör kendi şebekesinde etkinleştirmeli ve SIM kart hesaplama için gerekli unsurları taşımalıdır.

Buna bir yapılandırma tuzağı eklenir. Standart, SUCI biçiminin resmen kullanıldığı ama gerçek bir şifreleme yapılmadığı, dolayısıyla kimliğin açık olarak dolaştığı bir sıfır koruma şeması öngörür. NIST, operatörün şebekesini sıfır olmayan bir koruma şemasıyla yapılandırmasının gerekli olduğunu yazar ve Federal Communications Commission’ın danışma organı CSRIC’in bir raporunun daha 2021’de sıfır şemasını yalnızca şebekenin tanımadığı bir cihazdan yapılan acil çağrılara ayırmayı önerdiğini hatırlatır.

Bu ifadeyi olduğu gibi bırakmakta yarar var. Mobil cihaz takibine karşı mevcut en iyi koruma teknik standartta 2019’dan beri var. Operatörün takdirine bırakılmış bir yapılandırma tercihine dayanıyor. Bir Amerikan federal kurumu, açılması gerektiğini hatırlatmak için 2026’da bir belge yayımlamayı yararlı görüyor. Ve hiçbir Avrupa hukuk aracı bunu zorunlu kılmıyor.

Eklemek gerekir ki SUCI konuyu kapatmıyor. 5G SUCI-catchers: still catching them all? başlığıyla sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesine imkân veren bağlanabilirlik saldırılarını belgeliyor ve saldırgan cihazı önceki bir nesle geçmeye zorlarsa koruma tümüyle çöküyor. Demek ki hukuki bir yükümlülük her şeyi çözmezdi. Yine de savunulabilir hiçbir gerekçesi olmayan bir açığı ortadan kaldırırdı: standardın izin verdiği ile ticari şebekelerin yaptığı arasındaki açığı.

Tutarlı üç müdahale

Konumun sonradan korunmak yerine tasarımdan itibaren asgariye indirilmesi gerektiği fikri ciddiye alınırsa, mantıken üç önlem kendini dayatır.

Kimliğin etkili biçimde gizlenmesini zorunlu kılmak. SUCI’nin etkinleştirilmesini dayatmak ve acil çağrıların artık durumu dışında ticari şebekelerde sıfır koruma şemalarını yasaklamak. Yeni bir teknoloji öngörmek ya da bir kurulumu finanse etmek söz konusu değildir; yedi yıldır standartlaştırılmış ve cihazlarda hâlihazırda bulunan bir işlevin açılmasını istemek söz konusudur.
Saklamayı varsayılan değil istisna saymak. Bir iletişimi yönlendirmek için gereken konum, bu işlev yerine getirilir getirilmez silinmelidir. Bir geçmiş oluşturmak özel bir gerekçe gerektirmelidir. Nerede olduğunuzu bilen bir şebeke ile nerede olduğunuzu hatırlayan bir şebeke arasındaki fark budur.
Anahtarın muhafazasını asıl bağlanma ölçütü haline getirmek. Verileri anlaşılır kılan anahtarlar başka yerdeyse, sunucuların Birlik içinde bulunması pek bir şey ifade etmez. Hukuken anlamlı ölçüt, şifre çözme araçları üzerindeki fiili hâkimiyet olmalıdır; bu soruyu Data Act ile CLOUD Act arasındaki çatışma vesilesiyle ayrıntılı olarak inceledik.

Arpokrat’ın izlediği bakış açısı

Bu muhakeme telekomünikasyon hukukuna özgü değildir. Kendi mimari tercihlerimize uyguladığımız muhakemedir ve tek cümleye sığar: üretilmemiş olanın korunmaya ihtiyacı yoktur.

ArpokratOS GPS, Bluetooth ve NFC’yi bir menüden kapatmak yerine çekirdek düzeyinde kaldırmasının nedeni budur. Bir anahtar bir politikadır: ayrıcalıklı bir bileşen tarafından atlatılabilir, bir güncelleme tarafından yeniden açılabilir, ele geçirilmiş bir sistem tarafından yok sayılabilir. Kod yolunu kaldırmak soruyu ortadan kaldırır. Bu, hukuk ölçeğinde savunduğumuz aynı kaymanın cihaz ölçeğine aktarılmasıdır: erişime değil, üretime müdahale etmek.

Bunun ne yapmadığını da hemen söylemek gerekir. Hiçbir işletim sistemi bir cihazı şebekenin geometrisinden çıkarmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve tüm trafiğin Tor üzerinden yönlendirilmesi bunu değiştirmez, çünkü Tor içeriği ve hedefi korur, telsiz katmanını değil. Konunun hukuki olmasının nedeni tam da budur. Hiçbir bireysel yapılandırmanın azaltmadığı ve tek değişkeni operatöre uygulanacak kural olan bir risk kategorisi vardır.

Aynı kaygı çalışmalarımızın geri kalanını da yönetir. Var olmayan bir veri ne el konulabilir, ne yeniden satılabilir, ne sızdırılabilir, ne de bugün kimsenin sahip olmadığı bir makineyle on yıl sonra çözülebilir; bu soruyu şimdi toplanıp sonra kırılan şifreleme açısından ele aldık.

Sonuç

Mobil gözetim üzerine kamusal tartışma neredeyse tamamen erişime odaklanıyor: verilere kim, hangi dayanakla, hangi izinle bakabilir. Bu tartışma meşrudur ve Adalet Divanı’nın 2014’ten bu yana verdiği kararlar somut sonuçlar doğurmuştur. Ama zincirde çok geç devreye giriyor.

Ondan önce gelen ve daha belirleyici olan soru, geçmişin var olup olmaması gerektiğidir. Bugün meşru bir gerekçeyle oluşturulan bir veri tabanı yarın bir başkası için kullanılabilir durumda kalır ve onu çevreleyen güvenceler, toplama anında kimsenin denetleyemediği sonraki siyasi kararlara bağlıdır. Bu, kurumların istikrarı üzerine, kimsenin süresini belirlemediği bir bahistir.

5G bu bilginin çözünürlüğünü kat kat artırdı, hiçbir mevzuat uyarlaması ise devreye girmedi. Aynı anda, SUCI mekanizması aracılığıyla, uygulanabilir yolun şebekenin fiziksel bir özelliğini şifrelemeye çalışmak değil, konumu kimlikten ayırmak olduğunu gösterdi. Teknik standart cevabı, hukuk soruyu sormadan yedi yıl önce verdi.

Veri saklamaya ilişkin Avrupa metni şimdi yazılıyor. Üstverilere, dolayısıyla konuma, dolayısıyla 5G’nin bugün yazarlarının tanımadığı bir incelikte ürettiği şeye ilişkin olacak. Verili sayılan bir geçmişe erişimi düzenlemekle yetinip yetinmeyeceği, yoksa bu geçmişin gerekliliğini sorgulamaya cesaret edip etmeyeceği, muhtemelen Avrupa’da önümüzdeki yılların en önemli mahremiyet sorusudur. Ve bu, teknik sektörün bir kez olsun doğru yönde çoktan karara bağladığı bir sorudur.

Kaynaklar

Avrupa Birliği Adalet Divanı, Digital Rights Ireland, birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014
Avrupa Birliği Adalet Divanı, Tele2 Sverige ve Watson, birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016
Avrupa Birliği Adalet Divanı, La Quadrature du Net ve diğerleri, birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Mart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta ve diğerleri, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: Verilerinizi bulutta gerçekten kim kontrol ediyor?

Fri, 19 Jun 2026 00:00:00 +0000

Yıllarca dünya basit bir varsayım üzerine işledi: verilerin fiziksel bir konumu vardır. Dublin’deki bir sunucudaysa, İrlanda ve Avrupa hukukuna tabidir. Bu varsayım 2018’de çöktü; Amerika Birleşik Devletleri, ABD’li şirketler tarafından kontrol edilen verilere yetkililerin erişimini mümkün kılan CLOUD Act’i kabul etti. Bu yasa, söz konusu verilerin dünyada fiziksel olarak nerede depolandığından bağımsız olarak uygulanıyordu. Birkaç yıl sonra Brüssel kendi koruma mekanizmasıyla yanıt verdi: artık tam anlamıyla uygulanabilir hâle gelen Data Act, üçüncü ülke yetkililerin Avrupa Birliği’nde tutulan verilere yaptığı sınır ötesi erişimi kısıtlamaya çalışıyor.

Bu iki metnin gerçekte ne öngördüğü, nerede çatıştıkları ve neden bu çatışmaya karşı gerçek anlamda güçlü tek korumanın teknik erişim imkânsızlığı olduğu aşağıda ele alınmaktadır.

Amerikan CLOUD Act’i: konuma değil, kontrole dayalı erişim

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Mart 2018’de kabul edilerek Amerikan hukukuna 18 U.S. Code § 2713 maddesini ekledi. Bu hüküm; elektronik iletişim hizmeti veya uzaktan bilgisayar işlemi sunan her sağlayıcıya, bir iletişimin içeriğini ya da buna ilişkin her kaydı, söz konusu veriler ABD içinde ya da dışında yer alıyor olsun, kendi elinde bulundurduğu, koruması altında tuttuğu veya kontrolünde olduğu durumlarda korumayı, güvenceye almayı veya ifşa etmeyi zorunlu kılmaktadır.

Son derece belirleyici olan işte bu son hükümdür. Benimsenen ölçüt, artık sunucunun fiziksel konumu değil, ana şirketin bağlı kuruluşları üzerindeki kontrolüdür. Bu nedenle, Avrupa’da veri merkezi işleten bir Amerikan şirketi, veriler tamamen Avrupa topraklarında depolanmış olsa bile Amerikan taleplere uymakla yükümlüdür.

Avrupa Data Act’i: sınır ötesi erişime karşı hukuki bir bariyer

Tüzük (AB) 2023/2854, yani Data Act, 11 Ocak 2024’te yürürlüğe girmiş ve 12 Eylül 2025 itibarıyla tam anlamıyla uygulanmaya başlamıştır; bazı hükümler ise 2026 ve 2027 yıllarına kadar kademeli biçimde devreye girecektir. 32. maddesi, hükümetlerin verilere uluslararası erişimi meselesini doğrudan düzenlemektedir.

Metin açık bir kural ortaya koymaktadır: Üçüncü bir ülkenin yargı mercii veya idari makamının, bir veri işleme hizmet sağlayıcısından Avrupa Birliği’nde tutulan kişisel olmayan verileri aktarmasını ya da bu verilere erişim sağlamasını talep eden her karar veya hüküm, ancak uluslararası bir anlaşmaya—örneğin, talep eden ülke ile AB arasında ya da ilgili üye devletle söz konusu ülke arasında yürürlükte olan bir karşılıklı hukuki yardım anlaşmasına (MLA)—dayanması hâlinde tanınabilir ve icra edilebilir nitelik taşır.

Böyle bir anlaşmanın mevcut olmadığı durumlarda, 32. madde ikinci bir yol öngörmektedir; ancak bu yol sıkı koşullara bağlıdır: yabancı karar, ancak üçüncü ülkenin hukuk sistemi talebin gerekçeli, orantılı ve yeterince spesifik olmasını şart koşuyorsa—örneğin belirli kişiler veya suçlarla açık bir bağlantı kurulmuşsa—ve muhatabın gerekçeli itirazı bu üçüncü ülkedeki yetkili bir mahkemenin denetimine sunulabiliyorsa icra edilebilir.

Doğrudan bir hukuki çatışma

Sorun açıktır: CLOUD Act, Avrupa hukukunun öngördüğü orantılılık koşuluna denk herhangi bir ölçüt olmaksızın, salt şirket kontrolüne dayalı bir ifşayı zorunlu kılmaktadır. Data Act ise tam tersine, böyle bir talebin tanınmasını uluslararası bir anlaşmanın varlığına ya da belirli usul güvencelerine bağlamaktadır. Avrupa’da faaliyet gösteren ve Amerikan yetkililer tarafından AB’de barındırılan verileri iletmesi istenen bir ABD şirketi, iki çelişkili hukuki yükümlülük arasında sıkışıp kalır: Amerikan talebine uymak AB hukukunu ihlal etmek anlamına gelirken, Data Act’e uymak ABD’de ret kararının sonuçlarına katlanmayı gerektirir.

Bu gerilim teorik değildir. Avrupa Birliği Adalet Divanı (ABAD) tarafından iki önemli kararında zaten belgelenmiştir: Schrems I (2015) ve Schrems II (2020). Schrems II kararında ABAD, FISA’nın 702. Maddesi (Foreign Intelligence Surveillance Act) ve Yürütme Kararnamesi 12333 kapsamında yürütülen Amerikan gözetiminin, AB hukukunun orantılılık ilkesi çerçevesinde talep ettiği asgari güvenceleri karşılamadığına ve dolayısıyla kesinlikle gerekli olanla sınırlı sayılamayacağına hükmetmiştir. Mahkeme ayrıca, Avrupa’daki ilgili kişiler için etkili bir yargısal başvuru yolunun bulunmadığını da tespit etmiş ve bu durumun Temel Haklar Şartı’nın 47. maddesini ihlal ettiğini vurgulamıştır. Bu karar, o zamana kadar AB ile ABD arasındaki veri transferlerini düzenleyen Privacy Shield çerçevesini geçersiz kılmıştır.

Yapısal risk: Harvest Now, Decrypt Later

Yetki alanı çatışmasının ötesinde, Amerikan hukukuna tabi altyapılarda barındırılan veriler üzerinde daha sinsi bir tehdit bulunmaktadır: Harvest Now, Decrypt Later (HNDL) stratejisi. Bu yöntemde bir istihbarat servisi ya da düşmanca bir devlet aktörü, gelecekte yeterli kuantum hesaplama kapasitesine kavuşulduğunda deşifre etmek üzere şifrelenmiş verileri şimdiden ele geçirip depolamaktadır.

Bu strateji, Amerikan bulut altyapısına uzun süreli bağımlılığı ertelenmiş bir güvenlik borcuna dönüştürür: bugün gizli olan şey on ya da on beş yıl içinde okunabilir hâle gelebilir; saldırganın yapması gereken tek şey zamanı beklemektir.

Neden yalnızca teknik imkânsızlık gerçek bir güvence oluşturur

Hukuki analiz, uyum uzmanlarının büyük çoğunluğunun paylaştığı bir sonuca yakınlaşmaktadır: Data Act’in yasal çerçevesi ne kadar sağlam olursa olsun, jeopolitik güç dengeleri ve diplomatik baskılar bu metni aşabilir, geciktirebilir ya da yeniden yorumlayabilir. Hiçbir gelecekteki müzakereye bağlı olmayan tek koruma, teknik icra imkânsızlığıdır.

Hizmet sağlayıcının şifre çözme anahtarlarını ne elinde bulundurduğu ne de koruması altında tuttuğu bir zero knowledge mimarisi, bir talebi maddeten işlevsiz kılar. Hiçbir zaman sahip olunmayan bir şeyi teslim etmeye zorlanmak mümkün değildir.

Arpokrat gibi ekosistemler bu mantık üzerine kurulmuştur:

Yetki alanı nötralizasyonu: Altyapı, CLOUD Act’in doğrudan sınır ötesi uygulanabilirliğinin kapsamı dışında kalan Federal Veri Koruma Kanunu (LPD/FADP) rejimine tabi olarak İsviçre’de barındırılmaktadır
Gözetim yokluğu: Zero knowledge mimarisi, sağlayıcıyı hiçbir zaman sahip olmadığı anahtarları veya içerikleri teslim etme kapasitesinden yoksun bırakmaktadır
Kimlik izinin azaltılması: Telefon numarası veya e-posta adresiyle kayıt zorunluluğunu ortadan kaldırarak—FISA’nın 702. Maddesine dayalı gözetiminin kolayca takip edebildiği bu tanımlayıcıları devre dışı bırakarak—kullanıcı, tespit edilebilir bir abone olmaktan çıkıp anonim bir kriptografik anahtara dönüşmektedir

Gözetim zinciri şifrelemeyle bitmez

Uyum analizlerinde sıklıkla göz ardı edilen bir husus şudur: Altta yatan işletim sistemi—Android ya da iOS—çekirdek düzeyinde meta veri veya telemetri toplamayı sürdürüyor ve bunları Amerikan yargı yetkisine tabi sunuculara iletiyorsa, iletişimin içeriğini şifrelemek tek başına yeterli değildir. Gizliliğin korunması, içerikten fiziksel altyapıya kadar gözetim zincirinin tümünün kapatılmasını gerektirir.

İşte bu nedenle dijital egemenlik, yalnızca mesajlaşma uygulamaları üzerine değil, aynı zamanda kullanılan işletim sistemi üzerine de bir düşünce geliştirmeyi zorunlu kılmaktadır. Bluetooth veya GNSS konumlandırma gibi modüllerin doğrudan çekirdek düzeyinde devre dışı bırakılabildiği Google bağımsız sistemler, hiçbir uygulama düzeyinde şifrelemenin telafi edemeyeceği fiziksel saldırı vektörlerini ortadan kaldırmaktadır.

Kuantum sonrası kriptografi: hâlihazırda başlamış bir süreç

HNDL stratejisinin oluşturduğu tehdit karşısında, kuantum sonrası kriptografi (PQC) standartlarının benimsenmesi, ister ticari sırlar, ister mesleki yazışmalar ister sağlık verileri söz konusu olsun, uzun vadede hassas verilerin gizliliğini güvence altına almak isteyen herkes için bir zorunluluk hâline gelmektedir. Bugün klasik standartlara göre sağlam sayılan bir şifreleme, önümüzdeki on beş yıl içinde beklenen kuantum hesaplama kapasitelerine karşı dayanacağını garanti etmemektedir.

Data Act ile CLOUD Act arasındaki çatışma daha geniş bir gerçeği gözler önüne sermektedir: dijital egemenlik artık yalnızca yasal metinler üzerine inşa edilemez; bu metinler ne kadar sağlam olursa olsun. Şifreleme protokolünden barındırma yargı yetkisine, işletim sisteminin kendisine kadar gözetim zincirinin her düzeyde kapatılmasını gerektirmektedir. Tek bir düzenleyici çerçeveye duyulan güvene dayanmak yerine bu katmanlı yaklaşım, bugün gerçek anlamda tasarım yoluyla dijital egemenliği tanımlamaktadır.

Gizliliğin sonu mu? Arka kapılar, Çevrimiçi Güvenlik Yasası ve egemen ekosistemlerin yanıtı

Wed, 10 Jun 2026 00:00:00 +0000

Londra, dijital gizliliğin geleceği için küresel bir savaşın merkez üssü haline geldi. 2023 Çevrimiçi Güvenlik Yasası’nın (Online Safety Act - OSA) kabul edilmesi ve eleştirenler tarafından “Casusların Şartı” olarak adlandırılan Soruşturma Yetkileri Yasası’nı (Investigatory Powers Act - IPA) revize etmeye yönelik son tekliflerle birlikte İngiliz hükümeti, özel iletişimlerin tam kalbine gözetim yükümlülükleri getirme hakkını iddia ediyor. Kırılma noktası, düzenleyici kurum OFCOM’a, platformların uçtan uca şifrelenmiş iletişimler dahil olmak üzere çocuklara yönelik cinsel istismar (CSEA) materyallerini veya terörizmi tespit etmek için “akredite edilmiş teknoloji” dağıtmalarını talep etme yetkisinin verilmesidir.

Büyük dijital platformlar için Westminster’in mesajı açıktır: Ya altyapılarına devlet erişimini kolaylaştırırlar ya da küresel gelirlerinin %10’una varan para cezalarıyla karşı karşıya kalırlar. Tepki anında geldi: Signal ve WhatsApp gibi hizmetler, yalnızca tek bir yargı yetkisini tatmin etmek için kullanıcılarının güvenliğinden taviz vermeyi reddederek İngiltere pazarından çekilmekle açıkça tehdit ettiler. Teknik argümana itiraz etmek zordur: Yalnızca meşru aktörlere ayrılmış bir ana anahtar (master key) yoktur. Kolluk kuvvetlerine açılan bir kapı, tasarımı gereği, siber suçlulara ve yabancı istihbarat servislerine açılan bir kapıdır.

Büyük platformların iş modeli: Zero-Knowledge önünde yapısal bir engel

Büyük platformların Zero-Knowledge (Sıfır Bilgi) tipi şifrelemeyi benimsemeye karşı dirençleri teknik bir yetersizlikle değil, temel bir ekonomik uyumsuzlukla açıklanmaktadır. Alphabet ve Meta gibi şirketler, davranışsal verilerin sistematik olarak toplanmasına dayanan para kazanma modellerine güveniyor. Bu arada bu model, Avrupa Birliği’nin Dijital Piyasalar Yasası (DMA) tarafından üstü kapalı olarak tanınmaktadır ve bu “eşik bekçilerini” (gatekeepers), hakim konumları tam olarak verilerin benzersiz bir ölçekte birikmesiyle beslenen kuruluşlar olarak sınıflandırmaktadır. Bu aktörler için Zero-Knowledge mimarisini benimsemek, reklam sistemlerini yakıtını oluşturan kullanıcıların sürekli kimlik tespitinden mahrum bırakmak anlamına gelir. Bu nedenle bu teknik bir seçim değil, kullanıcı gizliliği ile iş modellerinin uygulanabilirliği arasında bir değiş tokuştur.

Stratejik risk: “Harvest Now, Decrypt Later” tehdidi

Gizlilik tartışmasının ötesinde, şifrelemenin zayıflatılması, tamamen farklı kapsamda bir ulusal güvenlik sorununu gündeme getirmektedir. Harvest Now, Decrypt Later (HNDL) olarak bilinen strateji, devlet düşmanlarının gelecekteki kuantum şifre çözme yeteneklerini öngörerek bugün devasa hacimlerde şifrelenmiş iletişimi ele geçirmesini ve saklamasını içerir. İngiliz yasal çerçevesi, mevcut şifreleme standartlarını zayıflatarak, hükümet, diplomatik veya endüstriyel iletişimlere karşı bu tür operasyonları nesnel olarak kolaylaştırır.

Arpokrat gibi ekosistemlerin operasyonel uygunluk kazanması tam da bu güven eksikliği bağlamındadır. Hiçbir sivil tanımlayıcı toplamayan bir mimariyle İsviçre Federal Veri Koruma Yasası (FADP) rejimi altında faaliyet gösteren Arpokrat, İngiliz yargı yetkisine tabi altyapılardan teknik bir kopuş sunarak — sistemin OSA tarafından öngörülen emirlere karşı sağır kalmasını garanti eder.

Normların çatışması: Avrupa hukukuna karşı OSA ve IPA

Yeni İngiliz devlet ayrıcalıklarının yasal analizi, veri koruma ve iletişimlerin gizliliğine ilişkin Avrupa hukukunun temelleriyle doğrudan bir çarpışmayı ortaya koymaktadır.

Genel gözetim yasağına karşı OSA

OSA’nın 121. Maddesi, OFCOM’a platformları istemci tarafı tarama (client-side scanning) uygulamaya zorlayan emirler çıkarma olasılığını getiriyor. Bu önlem, Avrupa hukukundan türetilen ve AB Adalet Divanı’nın (CJEU) içtihadında yer alan ve genel gözetim yükümlülüklerini yasaklayan ilkeye doğrudan aykırıdır. Bir “tasarım gereği güvenlik açığı” (vulnerability by design) dayatarak, şirketleri aynı zamanda bir çıkmaza sokar: Bir devlet emrine uymak için güvenliklerini zayıflatarak, GDPR’nin 32. Maddesinde kutsanan, işleme uygun bir güvenlik seviyesini garanti etme yükümlülüklerinde başarısız olurlar.

ePrivacy Direktifi ve iletişimlerin gizliliği

Özel mesajların taranması, Üye Devletleri elektronik iletişimlerin gizliliğini garanti etmeye zorlayan ve ilgili kullanıcıların açık rızası olmadan herhangi bir müdahale veya gözetim biçimini yasaklayan 2002/58/EC Direktifi’nin (ePrivacy) 5. Maddesi, 1. fıkrası ile doğrudan çelişmektedir.

Technical Capability Notices ve güvenlik güncellemelerinin engellenmesi

IPA 2016 rejimi altında, İngiliz hükümeti artık Teknik Yetenek Bildirimlerini (Technical Capability Notices - TCN) dağıtılmadan önce güvenlik güncellemelerine karşı çıkmak için kullanmayı amaçlıyor. Bu mekanizma, GDPR’nin 32. Maddesi ile belirlenen, işleme sistemlerinin sürekli güvenliğini sağlama yükümlülüğü ile çözülemez bir çatışma yaratır — bu yükümlülük, yamaları (patches) gecikmeden veya dış müdahale olmadan tam olarak uygulama becerisini gerektirir.

Avrupa’da faaliyet gösteren şirketler için uyumluluk riskleri

IPA revizyonları, şirketleri güvenliği etkileyen herhangi bir teknik değişiklik hakkında uygulanmasından önce İngiliz hükümetini bilgilendirmeye zorlamayı amaçlamakta ve böylece ona ürün geliştirme üzerinde bir veto hakkı tanımaktadır. Bu müdahale, Avrupa pazarında faaliyet gösteren tedarikçiler için önemli bir hukuki güvensizlik yaratmaktadır: İngiltere artık GDPR’ninkine önemli ölçüde eşdeğer bir korumayı garanti etmiyorsa, halihazırda kırılgan olan İngilizlerin Avrupa hukukuna yeterliliği (adequacy) sorgulanabilir. Bu nedenle, bu yeni çerçeve kapsamında Birleşik Krallık’a veri aktarımları muhtemelen şirketleri GDPR kapsamında yaptırımlara maruz bırakacaktır.

Teknik imkansızlık yoluyla savunma: Yasal bir kalkan olarak Zero-Knowledge ilkesi

CJEU’nun Schrems I ve Schrems II kararlarıyla pekiştirilen uluslararası içtihat, belirleyici bir ilke oluşturmuştur: Orantısız gözetime karşı tek sağlam güvence, ona erişmenin teknik imkansızlığıdır. Zero-Knowledge mimarileri bu ilkeyi üç koruma katmanında uygular:

Gözetim eksikliği: Platform şifre çözme anahtarlarını elinde tutmadığı için mesajları taramaya yönelik herhangi bir emir teknik olarak uygulanamaz;
İşletim sisteminin egemenliği: ArpokratOS kontrolü, cihaz düzeyinde istihbarat toplanmasını besleyen telemetriyi ortadan kaldırır;
İsviçre yargı yetkisi bağlantısı: Altyapısını İsviçre’de barındıran Arpokrat, bireyselleştirilmiş ve gerekçeli adli yardımlaşma talepleri gerektiren yasal bir rejim altında faaliyet göstererek OSA tarafından öngörülen kitlesel taramaların otomatik olarak yürütülmesini etkisiz hale getirir.

Sonuç

OSA’nın hükümleri ve IPA’nın revizyonları sadece bireylerin gizliliğine yönelik bir tehdit değildir: İngiliz yargı yetkisine tabi altyapılardan geçen tüm Avrupa verileri için yasal kesinliğin ihlalini temsil ederler. Kamu güvenliği adına şifrelemenin zayıflatılmasını meşrulaştırarak, Londra paradoksal olarak müttefiklerini ve ticaret ortaklarını Zero-Knowledge mimarilerinin tam olarak önlemek için tasarlandığı endüstriyel ve devlet casusluğu risklerine maruz bırakmaktadır.

Profesyonel ve kurumsal iletişimlerin bütünlüğü artık yapısal bir yanıt talep ediyor: Kod seviyesinden yargı bağlantısına kadar dijital egemenliği garanti eden merkezi olmayan ekosistemlere geçiş.

Saatli Bomba: Şimdi Topla, Sonra Şifresini Çöz ve Zero-Knowledge Zorunluluğu

Tue, 26 May 2026 00:00:00 +0000

Avrupa hükümetlerinin Amerikan bulut altyapısına bağımlılığı, anlık bir dinleme sorunundan fazlasını teşkil ediyor. Gelecek on yıllar için en yıkıcı tehdit, HNDL: “Harvest Now, Decrypt Later” stratejisidir.

Bu önden bir saldırı değil, sessiz bir hırsızlıktır. İstihbarat teşkilatları bugün depolama maliyeti önemsiz hale geldiği için devasa miktarda şifreli veriyi saklıyor.

Teknolojik sıçramaların mevcut kriptografik anahtarları geçersiz kılacağı anı sabırla bekliyorlar. 2026’da korunan bir devlet sırrı, on beş yıl içinde açık bir kitap haline gelebilir.

Geçmişe Dönük Sorumluluk ve Zamansal Risk

HNDL modeli yeni bir kavram sunar: ertelenmiş yasal zarar. Gelecekte şifre çözmek için verilerin kitlesel olarak toplanmasıyla gizlilik, zamana bağlı bir değişken haline gelir.

HNDL modeli, sırrın gerekli ömrü düşmanın şifre çözme ufkunu aştığında gizliliğin kaçınılmaz olarak başarısız olduğunu tanımlar.

Bir devlet donanım altyapısının mutlak egemenliğini garanti etmezse, pratikte vatandaşları için uzun vadeli gizlilikten feragat etmiş olur.

Bugünün dinlenmesi, yarının ifşasıdır. Bulut bağımlılığını ulusal güvenlik borcuna dönüştürmek, ödenmesi imkansız bir kumardır.

Arpokrat Antitezi: Kod Yoluyla Yasal İmkansızlık

Sektör buna radikal dijital egemenlik ekosistemleri yaratarak yanıt veriyor. Arpokrat modeli, katı İsviçre Veri Koruma Yasası (FADP) tarafından korunan merkezi olmayan bir ağda çalışır.

Merkezi mantık mutlak Privacy by Design dır. Telefon numarası ihtiyacını ortadan kaldırarak kullanıcı basit bir kriptografik anahtara dönüşür.

Yasal olarak, mimari temelden Zero-Knowledge ise, şirket yabancı emirleri yerine getirmekte teknik bir imkansızlıkla karşı karşıya kalır.

Bu durdurulamaz bir matematiksel ve yasal güvencedir: Sahip olmadığınız bir şeyi ifşa edemezsiniz.

Şifrelemenin Ötesinde: Hedef Veriyi Değersizleştirmek

Arpokrat uygulamasındaki gerçek yanıt, sonsuz matematiğe bahis oynamak değil, verinin kendisini değersizleştirmektir.

Bir mesajı fiziksel bir kişiye bağlayacak merkezi meta veriler olmadan, şifrelenmiş içerik stratejik değerini kaybeder.

Ancak donanım ona ihanet ederse yazılım tek başına hiçbir şey yapamaz.

yüzyılda güvenlik, makinein kendisinin bağımsızlığını gerektirir. Google’dan arındırılmış egemen bir OS dağıtmak, hayatta kalmak için mutlak bir gereklilik haline geldi.