Sınır ötesi veri talepleriBir talebin, diskin bulunduğu yerde bir karara dönüşmesi gerekir, aksi hâlde yalnızca bir mektup olarak kalır.

Bu pazarın kullandığı ama hiç açıklamadığı ifade

Bu sektör hakkında yeterince okuyunca aynı iddiayla iki zıt yönden karşılaşırsınız. Biri, yurt dışındaki bir sunucunun basitçe erişilemez olduğunu söyler. Diğeri, bunun hiçbir öneminin olmadığını, çünkü veriyi zaten alacaklarını söyler. İkisi de tahmindir ve hakkında tahmin yürüttükleri şeyin bir adı, bir usulü, bir kuyruğu ve bir kağıt izi vardır.

Bir ülkedeki, başka bir ülkedeki bir şirketin elinde tuttuğu kayıtları isteyen bir soruşturmacının önünde az sayıda yol vardır — cömert bir sayımla beş. Bunlardan yalnızca biri, herkesin adını andığı ama kimsenin tarif etmediği anlaşmadır. İkisi anlaşmadan daha hızlıdır ve donanımın nerede olduğuyla hiçbir ilgisi olmayan bir teste dayanır. Ve en hızlı yolların tamamı aslında hiç hukuk değildir; bu işin web sitelerini gerçekten bitiren kısmı da budur.

Bir sınırı aşan beş yol

Aralarındaki fark, kime tebliğ edildiği, kimin reddedebileceği ve bir yargıcın dosyayı hiç okuyup okumadığıdır. Kabaca en hızlıdan başlanarak sıralanmıştır; bu da her birinin taşıdığı ağırlığın neredeyse tam tersidir.

Beşin üçü, yerel birinin yerel bir belgeyi tebliğ etmesiyle sona erer ve tablodan çıkarılması gereken cümle budur. Diğer ikisi ise bir şirketten, şirketin bulunduğu yerde hiçbir hukuki gücü olmayan bir belge üzerine hareket etmesini ister. “Offshore”un gerçekten bir anlamı olup olmadığı, neredeyse tamamen, bir sağlayıcının bu iki durumla ne yaptığı sorusudur.

Karşılıklı hukuki yardımın gerçekte ne olduğu

Bir MLAT, iki devletin ceza işlerinde birbirine yardım sözü verdiği bir anlaşmadır: delil, tanıklık, kayıt, belge tebligatı. Bunlardan yüzlercesi vardır ve neredeyse tamamı ikilidir; Amerika Birleşik Devletleri tek başına altmıştan fazlasına taraftır. Var olmalarının nedeni, bir savcının yurt dışında hiçbir yetkisinin olmaması ve bir mahkeme kararının yerel bir araç olmasıdır. Anlaşma, talep eden devlete erişim vermez. Ona bir kuyruk verir.

Kuyruk, merkezi makamlar adı verilen belirlenmiş ofislerden geçer ve bir talep, noktadan noktaya gönderilmek yerine birinden diğerine aktarılır. Amerika Birleşik Devletleri'nde bu ofis, Adalet Bakanlığı bünyesindeki Uluslararası İşler Ofisi'dir; başka yerlerde ise genellikle adalet bakanlığıdır. Zincir, neredeyse her yerde aynı biçimi taşır:

1. Bir soruşturmacı, talebi anlaşmanın belirlediği biçimde hazırlar ve suçu ile istenen kayıtları belirterek kendi merkezi makamına iletir.
2. Bu makam, talebin anlaşmanın kapsamına girip girmediğini kontrol eder ve talep edilen devletin merkezi makamına iletir. Talepler bu aşamada belirsiz oldukları için geri gönderilir ve bunların sayısı hiç de az değildir.
3. Talebi alan makam, bunu kendi ülkesinin hukukuna göre değerlendirir ve yerel bir savcıya veya sorgu hâkimine iletir.
4. Bu savcı, tıpkı yerel bir davada yapacağı gibi, yerel gerekçelerle yerel bir mahkemeye yerel bir karar için başvurur.
5. Mahkeme, kabul eder veya reddeder. Kabul ederse, yerel bir karar şirkete tebliğ edilir — kendi ülkesinde, kendi dilinde, kendi hukuku altında.
6. Üretilen her şey, aynı zincirde tersine yol alarak geri döner; her adımın kendi kuyruğu vardır.

Bir istinabe talebi, altında hiçbir şey olmayan aynı yolculuktur: bir ülkedeki bir mahkemeden diğerindeki bir mahkemeye, diplomatik kanallar yoluyla gönderilen ve bir yükümlülük değil nezaket gereği kabul edilen bir talep. Hiçbir anlaşmanın bulunmadığı yerlerde kullanılır ve insanların zaten yavaş olduğundan yakındığı mekanizmadan da yavaştır.

Bir talebin atlatması gereken dört filtre

Bunlar birer formalite değildir. Kaybın gerçekleştiği yer tam olarak burasıdır ve dördün üçü, soruşturmada hiçbir çıkarı olmayan kişiler tarafından uygulanır.

1. Çifte cezalandırılabilirlik. Çoğu anlaşma, tarif edilen fiilin talep edilen devlette de bir suç oluşturmadığı hâllerde yardımın reddedilmesine izin verir. Hukuku söz konusu fiili suç olarak tanımayan bir ülkenin, kendi mahkemelerine verecek hiçbir talimatı yoktur.
2. Belirlilik. Talebin, yerel bir yargıcın bunun için bir karar imzalayabileceği kadar kesin biçimde ne istendiğini belirtmesi gerekir. “Bu web sitesiyle ilişkili her şey”, hukukun üstünlüğüne dayanan bir devletteki mahkemenin karar verebileceği bir şey değildir.
3. Talep edilen devletin kendi hukuku. Sonunda ortaya çıkan karar yerel bir karardır, dolayısıyla yerel gereklilikleri karşılaması gerekir — orantılılık, veri koruma ve Avrupa Birliği'nde GDPR'nin Madde 48'i; bu madde, bir üçüncü ülke talebini ancak uluslararası bir anlaşma destekliyorsa tanınabilir kılar.
4. Kaydın var olması gerekir. Hiçbir anlaşma, bir şirketi elinde tutmadığı bir şeyi üretmeye zorlayamaz ve hiçbir mahkeme onu bir kaydı yeniden oluşturmaya mecbur edemez.

Dördüncü filtre, bir müşterinin üzerinde herhangi bir etkisi olan tek filtredir ve bu yüzden para harcamaya değer olan da yalnızca odur. Listedeki geri kalan her şey başkasının usulüdür. Kayıtlarda ne olduğu, talep gelmeden yıllar önce bir sağlayıcının verdiği bir karardır ve kendi uygulamanızın neyi yazdığını seçtiğinizde sizin de verdiğiniz bir karardır — bu da kendi sitenizin okuyucular hakkında ne kaydettiği konusudur.

Neden bu kadar uzun sürdüğü

O zincirdeki her durak, iş yükü birikmiş bir masadır ve gecikmeler üst üste binmek yerine birbirine eklenir. Tamamlanmış bir karşılıklı hukuki yardım talebi için genellikle dile getirilen rakam on aya yakındır ve bu rakam bu sektörden gelmez: Amerika Birleşik Devletleri’nin kendi istihbarat ve iletişim teknolojileri inceleme grubu bunu 2013'te bildirmiştir, Avrupa Komisyonu da iki bölüm aşağıda anlatılan araç için savunma yaparken karşılaştırılabilir bir rakam belirtmiştir. O zamandan beri hiçbir şey bunu çarpıcı biçimde hızlandırmamıştır.

On ay, ne bir teknik ayrıntıdır ne de rahatlama sebebidir; ikisi gibi de davranmak bir hatadır. Bu, içinde altı kuyruk barındıran bir sürecin yapısal bir gerçeğidir ve saklama talebinin var olma nedeni de tam olarak budur: ilk gün gönderilen, bugün var olan kayıtların, yavaş işleyen mekanizma sürerken silinmeyi durdurmasını isteyen kısa bir araç. Saklama, insanların zaman çizelgelerini düşünürken gözden kaçırdığı kısımdır. Bir yıl boyunca hiçbir sonuç üretmeyen bir talep, ilk öğleden sonra hâlâ bir şeyi dondurmuş olabilir — tabii dondurulacak bir şey varsa.

CLOUD Act, ülkeyle değil şirketle ilgilidir

2013'te Amerika Birleşik Devletleri, Dublin'de saklanan e-postalar için Microsoft'a bir arama izni tebliğ etti. Microsoft, yerel bir arama izninin İrlanda'ya ulaşmadığını savundu. Dava ABD Yüksek Mahkemesi'ne kadar taşındı ve Mart 2018'de Kongre, CLOUD Act'ı çıkararak meseleyi konusuz bıraktı.

Yasanın yaptığı şey tek bir cümleye sığar ve bu pazarın okumuş olması gereken cümle de tam olarak budur. Yasa, Stored Communications Act'ı — 18 U.S.C. §2703 — değiştirerek, Amerika Birleşik Devletleri yargı yetkisine tabi bir sağlayıcının, veri Amerika Birleşik Devletleri içinde saklansın ya da saklanmasın, zilyetliğinde, gözetiminde veya kontrolünde bulunan veriyi üretmesini zorunlu kıldı.

Şimdi de neyi söylemediğine bakın. Sunucunun nerede olduğu hakkında hiçbir şey söylemez. Diskin konumu artık soru olmaktan çıkmıştır; Yasanın sorduğu tek soru, onu elinde tutan şirkete bir Amerika Birleşik Devletleri mahkemesinin ulaşıp ulaşamayacağıdır. Frankfurt'ta bir veri merkezi bulunan bir ABD şirketi kapsam içindedir. ABD'de hiçbir varlığı olmayan bir şirket kapsam dışındadır ve Virginia'da duran disk bunu değiştirmez — bunun için Amerika Birleşik Devletleri yukarıda anlatılan kuyruğa geri döner.

Yasa ikinci bir yol daha açtı: Amerika Birleşik Devletleri ile uygun bir yabancı hükümet arasında, her iki tarafın makamlarının diğerindeki sağlayıcılara doğrudan karar tebliğ edebildiği yürütme anlaşmaları. Birleşik Krallık ilkini 2019'da imzaladı ve bu, 2022'de yürürlüğe girdi; Avustralya da onu izledi. Bunlar yalnızca imzacı hükümetlerin erişebildiği sağlayıcılara ulaşır, başka kimseye değil; bu da öncekiyle aynı testin farklı bir kılıkla karşımıza çıkmasıdır.

Ağustos 2026'da Avrupa'da neyin değiştiği

Avrupa Birliği de doğrudan yolun kendi versiyonunu oluşturmuştur ve bu, 18 Ağustos 2026'da uygulanmaya başlamıştır — bu pazardaki sayfaların çoğunun henüz yetişemeyeceği kadar yakın bir tarih. (AB) 2023/1543 sayılı Tüzük, Avrupa İbraz Kararı'nı ve Avrupa Saklama Kararı'nı oluşturur: bir üye devletteki bir makam, bir karar çıkarabilir ve bunu, karşılıklı hukuki yardımın yaptığı gibi ikinci devletin makamlarından geçmeden, doğrudan Birlik içinde hizmet sunan bir hizmet sağlayıcısına tebliğ edebilir.

Onun tamamlayıcısı olan (AB) 2023/1544 sayılı Direktif, bunu işler kılan parçadır. Birlik içinde hizmet sunan sağlayıcılar, bu kararları alacak bir yerleşim yeri veya yasal bir temsilci belirlemek zorundadır. Bu belirleme işin can alıcı noktasıdır ve CLOUD Act testinin Avrupa tarzı yazılmış hâlidir: araç, orada faaliyet göstererek erişilebilir olmayı kabul etmiş olan herkese ulaşır.

Son satır, en sık yanlış alıntılanan satırdır. Siber Suç konulu Budapeşte Sözleşmesi — 2001'de imzaya açılan ve şimdi Avrupa'nın çok ötesinde onaylanmış olan ETS 185 sayılı Avrupa Konseyi anlaşması — Madde 29'da hızlandırılmış saklama hükmünü, Madde 31'de ise saklanan verilere ilişkin karşılıklı yardım hükmünü getirir ve Madde 35'te her tarafın günün yirmi dört saati ulaşılabilir bir irtibat noktası tutmasını zorunlu kılar. İnsanların genel bir uzaktan erişim yetkisi olarak andığı Madde 32(b) ise buna yalnızca veri zaten kamuya açıksa veya ifşasına yasal olarak yetkili kişi rıza gösteriyorsa izin verir. Bu dar bir kapıdır ve arka kapı değildir.

Hiçbir zaman bir yargıcın önüne çıkmayan iki yol

İşte cevabın rahatsız edici yarısı. Yukarıdaki her yol yavaş, resmi ve sayılabilirdir — bu sayfanın sonundaki rapor bunları sayar. Çoğu web sitesini gerçekte bitiren yollar ise bunların hiçbiri değildir ve buraya kadar anlaşma mekanizmasını takip etmiş bir okuyucu genellikle yanlış şey hakkında endişeleniyordur.

• Üst taşıyıcı. Bir sağlayıcı, taşıyıcılardan geçiş hizmeti, bir tesisten ise zemin alanı kiralar. Sağlayıcı yerine bunlara gönderilen bir şikâyet, sizinle hiçbir ilişkisi olmayan ve buna göre hareket etmenin hiçbir bedeli olmayan bir tarafa ulaşır. Buna yanıt veren, o ilişkinin sahibi olan ve daha önce reddetmiş olan sağlayıcıdır.
• Kayıt kuruluşu. Bir alan adı, kendi yargı bölgesindeki bir sicilden verilen bir lisanstır ve bir sicil, sunucuya hiç dokunmadan bir adı askıya alabilir. Makine hizmet vermeye devam eder; hiçbir şey çözümlenmez. Bu, kendi rehberi olan farklı bir saldırı yüzeyidir.
• Ödeme kanalı. Bir kart işlemcisi, bir şikâyet üzerine, dilediği gibi, adına layık hiçbir süreç ve hiçbir itiraz hakkı olmadan bir hesabı dondurabilir. Burada ödemenin yalnızca zincir üzerinden yapılmasının başlıca nedeni budur.
• Kötüye kullanım birimi. Bir şikâyet, farklı bir masada, farklı bir saate göre çalışan ve bir yasaya değil bir politikaya göre hareket eden biri tarafından okunur. Hakkınızdaki şikâyeti kim okuyor bunu içeriden anlatır.

Bunların hiçbiri bir sınır ötesi veri talebi değildir; sınır ötesi veri talepleri hakkındaki bir rehberde yer almalarının nedeni tam olarak budur. İnsanların offshore hosting satın alarak çözmeye çalıştığı tehdit, çoğu zaman onlara asıl ulaşan tehdit değildir.

Bir sağlayıcının yapısını tüm bunlara karşı okumak

Yukarıdakilerin tamamı, bir şirket hakkında denetlenebilir birkaç gerçeğe indirgenir ve bunların her biri siz hiçbir şey harcamadan önce tespit edilebilir.

1. Faturada hangi tüzel kişilik var ve nerede tescilli. Bölge değil, haritadaki bayrak değil: sözleşme yaptığınız şirket.
2. Tek bir tüzel kişilik mi, yoksa her bölge için ayrı biri mi. Sekiz ülkede faaliyet gösteren tek bir şirket, sekiz adresi olan tek bir davalıdır ve ona karşı bir karar hepsine birden ulaşır.
3. Grup içindeki herhangi bir şeye, düşündüğünüz yargı bölgesinden ulaşılabiliyor mu. Bir ana şirket, bir yan kuruluş, bir ofis, bir banka hesabı. Bu, CLOUD Act testidir ve Yasanın kendisinden çok daha geniş bir alanda uygulanır.
4. Sağlayıcı, yabancı bir kararla ne yapacağını söylüyor mu. Yazılı olarak, bir zaman çizelgesiyle birlikte, buna ihtiyaç duymadan önce yayımlanmış olarak.
5. Sonrasında ne yayımlıyor. Neyin geldiğinin, neyin yasal eşiği karşıladığının ve gerçekte neyin üretildiğinin sayısı. Üçüncü rakam, kimsenin inandırıcı biçimde sahtesini yapamadığı rakamdır, çünkü utandırıcı olacak olan da odur.
6. Üretilecek herhangi bir şey var mı. Son soru ve sonuçta her şeyi belirleyen tek sorudur.

Bu yapının düzeni sekiz bölge ve sekiz şirkettir; her biri kendi ülkesinin sicilinde kayıtlıdır ve birine karşı alınan bir kararın, ikinci ülkede tüm süreç yeniden başlatılmadan diğerine karşı uygulanamamasının nedeni de budur. Bu, bir işi düzenlemenin pahalı bir yoludur ve yalnızca bu nedenle böyle düzenlenmiştir; şartlar bunu 1. maddede belirtir ve tüzel kişilik listesi hakkımızda sayfasında yer alır.

Rakamlarda neye benzediği

Bu yapı, açıldığından beri gelenleri çeyrek bazında yayımlar. Bugüne dek alınan 164 kolluk kuvveti talebinden 54'ü yasal eşiği karşılamıştır — tebliğ edilen tüzel kişilik üzerinde yargı yetkisine sahip bir mahkemeden gelen bir karar — ve 31'i herhangi bir sonuç üretmiştir.

Okumaya değer rakam aradaki farktır. Yüz on talep — gelen her şeyin üçte ikisi — bu rehberin tamamının konusu olan sorudan öteye hiç geçemedi: bu, tebliğ edildiği şirkete gerçekten ulaşabilen bir mahkeme tarafından mı tebliğ edildi. Bu bir ret oranı değildir ve bir meydan okuma da değildir. Tek bir şirketten alınan bir örneklemde, sorunun asıl şeklidir.

İkinci rakam ise diğer uçtadır. Bir sonuç üreten otuz birin ürettiği şey bir envanterdir — bir hesaba karşılık tutulan bir e-posta adresi, zincir üzerinde bir defter kaydı — ve hiçbir zaman bir diskin içeriği değildir. Bunun nedeni kahramanca korunmuş bir çizgi değil, hiç oluşturulmamış bir kaydın kimseye verilememesidir. Tam rapor şeffaflık sayfasındadır ve bunun saydığı süreç kolluk kuvvetleri politikasında yazılıdır.

İnsanların gerçekten sorduğu sorular

Bu yapıdaki her fiyat tek bir yerde, eksiksiz olarak yayınlanır. Tüm kataloğa bakın