Bulut sağlayıcınız ABD’de bulunuyorsa, geçerli bir ABD mahkeme kararı, o şirketi dünyanın her yerindeki sunucularda bulunan şirket verilerinizi almaya zorlayabilir.
Google, Microsoft ve Amazon gibi şirketler, CLOUD Act sayesinde mümkün olan bu müdahaleye karşı savunmasızdır. 2018 tarihli bu yasa, Amerikan kolluk kuvvetlerine dünya çapında erişim sağlıyor.
Özellikle AB işletmeleri için bir sorundur. ABD’li sağlayıcınız e-postalarınızı veya dosyalarınızı teslim ederse, bu kişisel verilerin sızdırılması nedeniyle GDPR ihlali anlamına gelebilir. Bu ihlal, 20 milyon €’ya veya küresel yıllık gelirin %4’üne kadar para cezası gerektirebilir; hangisi daha yüksekse o uygulanır.
Amerikan şirketlerinin pazarlamalarında “GDPR uyumlu” ve “Avrupa egemen bulut” derken gizledikleri gerçek budur. ABD’li bir sağlayıcının AB veri merkezi hâlâ ABD yargı yetkisi altındaki bir şirket tarafından işletilmektedir. İşletmeniz için bu, satın alma kararlarının, hesaba katmamış olabileceğiniz bir uyumluluk yükümlülüğü taşıdığı anlamına gelir. Müşterileriniz için ise, size emanet ettikleri kişisel verilerin, söz hakkına sahip olmadıkları (ve belki de hiç öğrenemeyecekleri) bir hukuki sürece dahil olabileceği anlamına gelir.
İşte CLOUD Act’in basit bir açıklaması, bu müdahaleci mevzuatın işletmeler için neden önemli olduğu ve maruziyetinizi nasıl sınırlayabileceğiniz. Verilerinizin nerede bulunduğu artık ona kimin erişebileceğini belirlemiyor.
CLOUD Act nedir?
Verilerin Yasal Yurt Dışı Kullanımını Netleştiren Yasa (CLOUD Act(yeni pencere)), 2018’de yürürlüğe giren bir ABD federal yasasıdır. Federal kolluk kuvvetlerinin (öncelikle Adalet Bakanlığı ve FBI, ayrıca federal, eyalet ve yerel polis) ABD yargı yetkisi altındaki teknoloji şirketlerini, verilerin dünyanın neresinde fiziksel olarak depolandığından bağımsız olarak veri teslim etmeye zorlayan bir arama emri, mahkeme kararı veya celp almasına olanak tanır.
Örneğin, FBI bir Avrupa işletmesinin e-postalarını teslim etmeye Microsoft’u zorlayan bir arama emri alırsa, Microsoft buna uymak zorundadır — bir Avrupa mahkemesi bu talebe karşı çıksa bile.
CLOUD Act’in meşru bir polislik amacı vardır. Terörizm, çocuk istismarı ve siber suç gibi ciddi suçları soruşturmada federal kolluk kuvvetlerine yardımcı olmak için tasarlanmıştır. İstihbarat toplama için tasarlanmamıştır; bu, genellikle onunla karıştırılan ayrı bir ABD otoritesi (FISA Bölüm 702) aracılığıyla yürütülür.
Ancak bu meşru amaç, işletmeler için yapısal sorunu ortadan kaldırmaz: CLOUD Act, ABD yargı yetkisine tabi bir sağlayıcıyı, yasal bir ABD emrini yerine getirmenin AB yasalarını ihlal etmesi anlamına geldiği bir konuma sokabilir. İşletmeleri, her ikisini de tatmin etmenin bir yolu olmaksızın iki uyumluluk rejimi arasında sıkışıp bırakır.
CLOUD Act’in kökeni nedir?
CLOUD Act, 1986 tarihli Saklanan İletişim Yasası’nı (SCA) değiştirmek için 2018’de ABD hükümeti tarafından kabul edildi. Bu değişiklik büyük ölçüde, devam eden bir mahkeme davası olan ‘Microsoft-İrlanda’ davasına bir yanıttı(yeni pencere).
2013’te Microsoft, uyuşturucu kaçakçılığı soruşturması kapsamındaki bir müşterinin e-postalarını talep eden bir federal arama emrine itiraz etti — bu e-postalar Microsoft tarafından İrlanda’daki sunucularda depolanıyordu. Bu dava, çetrefilli bir hukuki soruya dayanıyordu: SCA kapsamında verilen bir ABD arama emri, ABD merkezli bir şirket tarafından kontrol edilen ancak ABD dışındaki bir veri sunucusunda depolanan dijital iletişimlere ulaşabilir miydi?
2018’de ABD Kongresi CLOUD Act’i kabul ettiğinde dava Yüksek Mahkeme’de temyiz aşamasındaydı. Bu, hem ‘Microsoft-İrlanda’ davasını konusuz bıraktı hem de ABD hükümetinin yabancı topraklarda depolanan veriler üzerindeki sınır ötesi yetkileri sorununu en azından kağıt üzerinde çözdü.
CLOUD Act, ABD hükümetine hangi yetkileri veriyor?
CLOUD Act, ABD’li sağlayıcılara yönelik sınır ötesi SCA emirlerini güçlendirerek ABD hükümetine, nerede depolanmış olursa olsun hedeflenen verileri talep etme yetkisi verdi. Yasa, ABD kolluk kuvvetlerinin, depolama sağlayıcısı ABD yargı yetkisine tabiyse ve talep edilen veriler devam eden bir ceza soruşturmasıyla ilgili ve maddi delil niteliğindeyse, ABD dışında bulunan elektronik olarak depolanmış iletişim verilerine erişmek için arama emri, celp ve mahkeme kararı kullanabileceğini açıklığa kavuşturdu. CLOUD Act talebi doğrudan sağlayıcıya gider ve ABD hükümetinin daha önce güvendiği çok daha yavaş olan MLAT (Karşılıklı Adli Yardım Anlaşması)(yeni pencere) sürecini atlar.
CLOUD Act ayrıca, ABD hükümetiyle ikili bir yürütme anlaşması imzalamaya istekli olan hükümetlere yetki verdi. Bu anlaşma, ortak ülkelerdeki kolluk kuvvetlerinin ABD merkezli hizmet sağlayıcılarından doğrudan, sınır ötesi, davaya özgü veri talepleri yapmasına olanak tanıyacaktı.
Yürütme anlaşmaları, MLAT sürecinin aylar sürebileceği terörizm ve çocuk istismarı gibi ciddi ceza davalarında delil toplamayı hızlandırır. Yazıldığı sırada yalnızca iki yürütme anlaşması vardır: ABD ile Birleşik Krallık arasında (Ekim 2022’de(yeni pencere) yürürlüğe girmiştir) ve ABD ile Avustralya arasında (Ocak 2024’te(yeni pencere) yürürlüğe girmiştir). ABD hükümeti ile AB ve Kanada(yeni pencere) arasındaki müzakereler başlatılmış ancak henüz sonuçlandırılmamıştır.
Teknoloji sağlayıcılarının bir güvenlik mekanizması vardır: Bir ABD emrine uymanın yabancı bir yasayı ihlal etmek anlamına gelmesi durumunda, özellikle bir yürütme anlaşması kapsamındaki bir yasayı, “comity” (mahkemelerin diğer yargı bölgelerinin yasalarına saygı göstermesi hukuki prensibi) uyarınca emre itiraz edebilir veya değiştirilmesini isteyebilirler. Birleşik Krallık ve Avustralya dışında, bu örf ve adet hukuku comity itirazı masadaki tek seçenektir.
Ancak, Elektronik Gizlilik Bilgi Merkezi’nin (EPIC) savunduğu gibi(yeni pencere), comity olsa bile, CLOUD Act, işletmeler dahil müşterileri neredeyse hiçbir gerçek başvuru yolu olmadan bırakır. Sağlayıcıların, verilerine erişilen bir müşteriyi bilgilendirme zorunluluğu yoktur; müşterilerin bir talebe itiraz etme bağımsız hakkı yoktur (bu tamamen sağlayıcının itiraz etmeyi seçmesine bağlıdır) ve yürütme anlaşmaları, etkilenen kişiler için herhangi bir yeni çözüm yaratılmasını açıkça dışlar.
CLOUD Act’e karşı GDPR
Proton’un kendi araştırmasının halka açık tüm şirketlerin %74’ünden fazlasının ABD merkezli teknoloji hizmetlerine bağımlı olduğunu gösterdiği Avrupa’da, CLOUD Act özellikle endişe vericidir çünkü AB’nin Genel Veri Koruma Yönetmeliği (GDPR) ile çatışmaktadır.
GDPR’ın 48. Maddesi(yeni pencere) uyarınca, kişisel verilerin transferi veya ifşasına yönelik yabancı bir mahkeme kararı veya idari makam kararı (SCA emri dahil), MLAT gibi uluslararası bir anlaşma kapsamında verilmediği sürece AB’de otomatik olarak tanınmaz veya uygulanmaz.
Bir CLOUD Act emriyle bağlantılı olarak bir şirkete GDPR para cezası verildiği bir durum olmasa da, düzenleyicilerin bu risk kategorisinde harekete geçtiğine dair emsal vardır: 2023’te İrlanda Veri Koruma Komisyonu, ABD gözetim yasasına (özellikle CLOUD Act değil, FISA Bölüm 702) maruz kalan AB-ABD transferleri nedeniyle Meta’ya rekor 1,2 milyar € para cezası verdi(yeni pencere).
ABD merkezli bulut sağlayıcıları için bu, ABD hükümeti onların işlediği ancak Avrupalı işletmeler tarafından kontrol edilen verileri talep ederse, CLOUD Act’e uymanın GDPR’ı ihlal etmek anlamına gelebileceği anlamına gelir. 28. Madde(yeni pencere) uyarınca, sağlayıcı (veri işleyen), yalnızca veri sorumlusunun belgelenmiş talimatlarına göre hareket edebilir ve “yabancı bir hükümete veri ifşa etmek” bu talimatlar arasında yer almaz.
Maruziyet sağlayıcıyla sınırlı değildir. Sağlayıcı, zorunlu bir emre yanıt olarak, Madde 48’in gerektirdiği uluslararası anlaşma dayanağı olmaksızın (ki şu anda ABD ile AB arasında hiçbir CLOUD Act yürütme anlaşması olmadığından bu bir MLAT anlamına gelir) bir müşterinin verilerini ifşa ederse, bu verilere sahip olan işletme, onu depolaması için tuttuğu satıcıdan bağımsız olarak kendi yükümlülüğünü taşır.
Veri konumu neden veri egemenliği anlamına gelmez
Haziran 2025’te(yeni pencere), Microsoft Fransa’nın kamu ve hukuki işler direktörü Anton Carniaux’ya Fransa Senatosu’nda(yeni pencere) yeminli olarak, Fransız vatandaşlarının verilerinin Fransız rızası olmadan ABD yetkililerine asla teslim edilmeyeceğini garanti edip edemeyeceği soruldu.
Cevabı: “Hayır. Bunu garanti edemem.” “Daha önce hiç yaşanmadı” diye ekledi; bu elbette gelecekte yaşanmayacağı anlamına gelmez.
Mesaj açıktı: Veri egemenliği artık verinin nerede depolandığıyla değil, o veriyi kimin kontrol ettiğiyle ilgilidir. Veri sunucularınızın konumu ve üzerlerinde yetki sahibi olan hükümetler artık mutlaka aynı şey değildir.
Bu gerçek, ABD’li bulut devlerinin (veya ‘hiperscaler’ların) Avrupalı işletmelere pazarladığı “GDPR uyumlu” bulut tekliflerinin yanında rahatsız edici duruyor. Bu “Avrupa egemen bulut” ürünleri, ABD’de merkezi olan veya bir ABD ana şirketi tarafından kontrol edilen şirketler tarafından işletiliyor ve GDPR’ın korumaları yalnızca ABD yasalarının izin verdiği ölçüde uzanıyor.
Sıfır erişimli şifreleme mimarisi CLOUD Act’e maruziyeti nasıl azaltır
Bulut depolama sağlayıcınız ABD yargı yetkisine tabiyse ve ABD kolluk kuvvetleri (meşru yasal gerekçelerle) verilerinize erişim talep ediyorsa, ne siz ne de sağlayıcınız bunun gerçekleşmesini engelleyebilirsiniz. Bu noktada verilerinizin tek savunması şifrelemedir.
Şifreleme, verileri hem siber suçlular hem de hükümetler için okunamaz ve kullanılamaz hale getirir; onları yalnızca doğru anahtara sahip birinin okuyabileceği ‘şifreli metin‘ haline getirir.
Ancak, çoğu ABD’li bulut sağlayıcısının sunduğu şifrelemenin ölümcül bir uyarısı vardır: Şifre çözme anahtarlarını kendileri saklarlar. Bu, verilerinizi okuyabilecekleri veya ABD kolluk kuvvetleri gibi üçüncü bir tarafa okunabilir bir kopyasını teslim etmeye zorlanabilecekleri anlamına gelir.
Dosya ve ileti verilerinin siber suçlulara veya hükümetlere maruz kalmasına karşı gerçek koruma için, sağlayıcının verilere erişmesini engelleyen uçtan uca şifreleme veya sıfır erişimli şifreleme kullanmanız gerekir.
Sıfır erişimli şifreleme kullanan bir sağlayıcı, sunucularında işlediği ve depoladığı dosyaların şifresini çözecek anahtara sahip değildir. Kolluk kuvvetleri talep ettiğinde verileri ifşa etmeye zorlanabilir, hatta veriler İsviçre gibi katı bir veri koruma standardı uygulayan bir yargı bölgesinde depolansa bile. Ancak teslim edilen dosyalar şifrelenmiş ve okunamaz durumda olacaktır.
Proton işletmeleri CLOUD Act’ten nasıl korur
Proton, CLOUD Act’ten iki temel şekilde korunur:
- İsviçre yargı yetkisi, Proton’u veri teslim etmeye zorlayabilecek kişileri sınırlar
- Ve güçlü şifreleme, Proton’un teslim ettiği şeylerle ne yapabileceklerini sınırlar
Proton’un merkezi, ABD yargı yetkisinin ve CLOUD Act emirlerinin erişiminin dışında olan İsviçre’nin Cenevre kentindedir. ABD yetkilileri ikili bir kısayola da başvuramaz: İsviçre hiçbir CLOUD Act yürütme anlaşmasına taraf değildir.
Bu, yasal süreci tamamen ortadan kaldırmaz. İsviçre’nin, İsviçre makamlarının yabancı soruşturmalarla işbirliği yapmasına olanak tanıyan kendi karşılıklı adli yardım çerçevesi vardır. Ancak herhangi bir talep önce İsviçre hukukundan geçmelidir, İsviçre mahkemeleri nezdinde — doğrudan sağlayıcıya tebliğ edilen bir arama emri olamaz.
Proton’un hukuk tarihi, İsviçre yasalarına meydan okumaya istekli ve muktedir olduğumuzu gösteriyor. 2020’de, gizliliği baltalamak için telekomünikasyon yasalarını kullanmaya yönelik uygunsuz bir girişim olduğuna inandığımız bir İsviçre veri saklama yasasına meydan okuduk. 2021’de Federal İdare Mahkemesi, e-posta hizmetlerinin telekomünikasyon sağlayıcıları olmadığına ve dolayısıyla yasanın saklama gerekliliklerine tabi olmadığına karar verdi.
Ve başarılı bir İsviçre emrinin bile elde edebilecekleri sınırlıdır. Proton’un uçtan uca ve sıfır erişimli şifrelemesi, ileti içeriğinin ve dosyaların Proton’un kendisi için okunamaz olduğu anlamına gelir ve kim sorarsa sorsun teslim edilecek bir anahtar yoktur. E-postalarınızın, belgelerinizin, dosyalarınızın ve diğer verilerinizin içeriği erişilemez durumda kalır.
CLOUD Act hakkında sık sorulan sorular
CLOUD Act, GDPR’ı geçersiz kılar mı?
CLOUD Act, GDPR’yi geçersiz kılmaz, ancak onunla çelişir. Bir CLOUD Act emri, bir ABD sağlayıcısını, uyum sağlamanın GDPR Madde 48’i ihlal ettiği bir duruma sokabilir (uluslararası bir anlaşma olmadan yabancı bir emrin otomatik olarak tanınmaması). İki yasa da birbirine üstünlük tanımaz ve sağlayıcı ile hizmet verdiği herhangi bir Avrupalı şirket, bu ikisi arasında sıkışıp kalır.
CLOUD Act yalnızca ABD şirketleri için mi?
CLOUD Act yalnızca ABD’de merkezi olan veya bir ABD üst şirketi tarafından kontrol edilen işletmeler için geçerli değildir. Aynı zamanda yeterli ABD yasal varlığına veya iş bağlantısına sahip herhangi bir sağlayıcıya da ulaşır. Bir ABD iştiraki, ABD’de bulunan personel veya ofisler ya da bilinçli olarak ABD müşterilerine yönelik işletmeler, ABD dışında merkezi olan bir kuruluşu CLOUD Act’in kapsamına sokmak için yeterli olabilir.
Bir CLOUD Act talebini reddedebilir miyim?
Müşteri (veri sorumlusu) genellikle tebliğ edilen taraf değildir, sağlayıcıdır. Sağlayıcı, uyum sağlamak yabancı yasaları ihlal ediyorsa bir comity itirazı yapabilir veya talep yasal olarak eksikse karşı koyabilir. Ancak yasal çözüm yolları tükenmişse ve emir geçerliliğini koruyorsa, sağlayıcı uyum sağlamaya zorlanır.
CLOUD Act ile MLAT arasındaki fark nedir?
Dijital deliller bir Karşılıklı Adli Yardım Anlaşması (MLAT) yoluyla talep edildiğinde, bu talep adli olarak incelenir; bu kapsamlı ve yavaş bir süreçtir. CLOUD Act tarafından etkinleştirilen yürütme anlaşmaları, bir ortak ülkeden veri talep edilirken kolluk kuvvetlerinin MLAT sürecini atlamasına olanak tanır. Şu ana kadar yalnızca Birleşik Krallık ve Avustralya’nın ABD ile yürütme anlaşmaları vardır.
Şifreleme, CLOUD Act taleplerini durdurur mu?
Şifreleme yasal bir emri durdurmaz, ancak bir sağlayıcı müşteri verilerini uçtan uca şifreleme veya sıfır erişimli şifreleme ile depolarsa, yetkililere verecek okunabilir verisi olmayacaktır çünkü şifre çözme anahtarlarına sahip değildir. Bu nedenle yalnızca şifrelenmiş dosyaları teslim eder.
