Avrupa Birliği’nin ‘Going Dark’ veya ‘ProtectEU’ planı, şifreli verilere erişim için Chat Control 3.0 girişimi

• Avrupa Komisyonu, uçtan uca şifrelenmiş verilere erişim için Chat Control 2.0’ı ilerletme girişiminde başarısız olduktan sonra, 2026 yazına kadar ‘Going Dark’ (ProtectEU) adlı yeni bir girişim hazırlıyor
• Bu plan, kolluk kuvvetlerinin şifreli verilere ‘yasal olarak erişebilmesini’ sağlama hedefi taşıyor ve bazı üye ülkeler bunun VPN hizmetlerini de kapsamasını istiyor
• Üye ülkeler ayrı bir ‘Presidency outcome paper’ içinde meta veri saklama kurallarını tartışıyor; ziyaret edilen web siteleri, iletişim kurulan kişiler ve sıklık gibi unsurları içeren geniş kapsamlı bir veri saklama alanı hedefleniyor
• Mullvad VPN son 3 yıldır Chat Control 2.0’a karşı çıkıyor ve VPN’ler kapsama alınsa bile müşterilerini asla gözetlemeyeceğini açıkladı
• Bu tartışma, Avrupa’da dijital mahremiyet ile şifreleme teknolojilerinin yasal koruma sınırları etrafında temel bir mesele olarak öne çıkıyor

---

Chat Control 2.0’ın başarısızlığı ve yeni girişim ‘Going Dark’

• Avrupa Komisyonu, uçtan uca şifrelenmiş verilere erişim yetkisi sağlama amacı taşıyan Chat Control 2.0 girişiminde yenilgiye uğradı
  • Mullvad VPN bunu “Avrupa Komisyonu Chat Control 2.0 savaşını kaybetti” diye tanımladı
• Komisyon, 2026 yazına kadar ‘Going Dark’ veya ‘ProtectEU’ adlı yeni bir planı ilerletmeyi hedefliyor
  • Amaç, “kolluk kuvvetlerinin şifreli verilere yasal olarak erişebilmesini sağlamak”
  • Mullvad VPN bunu “Chat Control 3.0 girişimi” olarak nitelendiriyor

VPN’lerin dahil edilme ihtimali ve veri saklama tartışmaları

• Bazı AB üye ülkeleri, VPN hizmetlerini de düzenleme kapsamına alma niyetini ortaya koydu
• Yeni ‘Presidency outcome paper’ içinde veri saklama (data retention) kurallarının revizyonu tartışılıyor
  • Saklanacak veriler arasında ziyaret edilen web siteleri, iletişim kurulan kişiler, zamanlama, sıklık gibi meta veriler bulunuyor
  • Belgeye göre hedef, “mümkün olduğunca geniş bir uygulama kapsamı”

Mullvad VPN’in tutumu

• Mullvad VPN son 3 yıldır Chat Control 2.0’a karşı kampanya yürütüyor
  • Söz konusu yasa tasarısı kendi işine olumlu etki edebilecek olsa bile karşı tutumunu korudu
• Şirket, Going Dark yasası kabul edilse bile müşterilerini asla gözetlemeyeceğini açıkça belirtiyor
  • “VPN’ler dahil edilsin ya da edilmesin, Going Dark’a karşı tüm gücümüzle savaşacağız” dedi

Mastodon topluluğunun tepkisi

• Birçok kullanıcı, AB’nin tekrarlayan gözetim girişimlerine yönelik yorgunluk ve eleştirilerini dile getirdi
  • “2030’da Chat Control 8.0 için mi savaşacağız?” şeklinde alaycı tepkiler görüldü
  • “Yasal olarak erişilebilir hale getireceğiz demek, şu anda bunun yasa dışı olduğu anlamına gelir” eleştirisi de yapıldı
• Bazıları AB’nin merkezileşme eğilimi ve kişisel özgürlüklere müdahale endişesine dikkat çekti
  • “Bu tür çarpıklıkları ancak aşırı merkeziyetsizlik durdurabilir” görüşü de yer aldı

Mahremiyet ve şifreleme tartışmasının sürmesi

• Birçok yorumda hükümetlerin gözetimi artırma ve şifreleme teknolojilerini etkisizleştirme girişimlerine dair kaygılar dile getirildi
  • “Hükümetler halktan çok halkın özgürlüğünden korkuyor”, “şifreleme matematiğini anlamadan imkânsızı talep ediyorlar” gibi eleştiriler öne çıktı
• Mullvad VPN, mahremiyeti korumayı temel değer olarak sürdürdüğünü ve yasal baskıya rağmen müşteri kimliği takibini mümkün kılmayan bir yapı benimsediğini vurguluyor
• Bu tartışma, AB içindeki dijital haklar, şifreleme ve veri saklama politikalarının gelecekteki yönü üzerinde önemli etkiler yaratabilecek bir mesele olarak değerlendiriliyor

[GN⁺]

Hacker News yorumları

• Bunu engellemenin yolu tam tersine bir yasa çıkarmak. Yani şifrelenmiş iletişim her zaman korunmalıdır ve bu teknik güvenceyi zayıflatan her türlü yasama girişimi yasaklanmalıdır. Böylece mevcut yasağın kaldırılması ve yeni bir yasanın getirilmesi için 2 aşamalı bir süreç gerekir
• Aynı gözetim tasarısının adı değiştirilerek tekrar tekrar sunulduğu yıpratıcı bir döngü sürüyor. Chat Control, ProtectEU, Going Dark; isimleri farklı olsa da özünde aynı müdahaleci öneriler. Özellikle metadata saklama kapsamı sorunlu; ziyaret edilen web siteleri, iletişim kurulan kişiler, zaman ve sıklık bilgilerini içeriyor ve bunu VPN hizmetlerine kadar genişletmeye çalışıyorlar. Bu artık çocuk koruma ya da terörle mücadele değil, kitlesel gözetimin normalleştirilmesi. Tek çözüm, anayasal düzeyde mahremiyet hakkını açıkça güvence altına almak ve tekrarlanan ihlaller için yaptırım öngörmek
• Mullvad'ın sözünü ettiği “Presidency outcome paper”ın kaynağını bulamadığım için kendim baktım. Aslında alıntıların çoğu, AB Komisyonu'nun 1 Nisan'da gönderdiği ProtectEU belgesinde yer alıyor. Buna ek olarak bir sorun tanımı raporu da var: HLG background document. Bu belge, yargı izni temelinde kolluk kuvvetlerinin verilere erişimini anlatıyor ve veri koruması ile CJEU içtihadına uyulması gerektiğini açıkça belirtiyor
  • Muhtemelen kastedilen belge şu doküman. Belge numarası açıklanmadığı için bunun sızdırılmış bir belge olduğu anlaşılıyor. İlgili başka bir belge de bu doküman; ilk belgenin, ikinci belgenin bir sonucu olduğu görülüyor
• İnsanlar mahremiyet hakkının yasada anayasal düzeyde güvence altına alınması için lobi yapmadıkça, bu sorunlar sürecek. Sadece tek bir kötü yasayı durdurmak yetmez
  • Bu tür haklar açıkça yasaya yazılmalı ve benzer içerikteki tasarıların belli bir süre içinde yeniden sunulmasını engelleyen bir cooldown kuralı olmalı. Son 4 yıldır aynı tasarıyı tekrar tekrar zorlamak saçmalık
  • İtalya Anayasası'nda da iletişimin özgürlüğü ve gizliliğinin ihlal edilemeyeceği yazıyor, ancak hükümetin uygulama iradesi yoksa yasa anlamsızdır
  • AB ve Almanya'da zaten çok sayıda kişisel veri koruma yasası var. Örneğin Alman Anayasa Mahkemesi, DNS isteklerinin kitlesel kaydının “büyük olasılıkla son derece hukuka aykırı” olduğuna hükmetti
  • Teklifin çözmeye çalıştığı sorunun kendisini çözmek gerekir. Aksi halde aynı öneri tekrar tekrar gelir. Çocukların cinsel istismarı gerçek bir sorundur ve bu yasadan hoşlanmıyorsanız daha iyi bir alternatif sunmanız gerekir
• Antik Yunan'daki Lokris'te yeni bir yasa önerilirken boyna ip geçirilerek öneri sunulurdu; reddedilirse kişi asılırdı. Düşünmeye değer bir hikâye
  • ABD'de yasama, mevcut yasaları yürürlükten kaldırmaktan çok yeni yasa çıkarmayı kolaylaştıran tek yönlü bir yapıya sahip. Tüm yasalara varsayılan bir sona erme tarihi koymak çözüm olabilir
  • Lokrisli Zaleukos (Zaleucus), MÖ 7. yüzyılda ilk hukuk sistemini kurdu. Bugün Lokri, İtalya'nın Calabria bölgesinde bulunuyor ve ironik biçimde mafya örgütleriyle kötü bir üne sahip (Vikipedi bağlantısı)
  • Ama bugün çoğu insanın zaten kendi kendini asmaktan çekinmediği bir dünyadaysak, bu sistemin düzgün işlemesi pek olası görünmüyor
  • Pandemi döneminde yanlış bilginin kışkırttığı yurttaşların kamu güvenliği önlemlerini reddedip şiddetle karşılık verdiği örnekler düşünülürse, böyle bir sistemin aşırılık yanlılarının lehine işlemesi riski var
  • “Bu yemek bozulmuş” der gibi, daha iyi bir öneriye ihtiyaç var
• Umarım bu tasarı da öncekiler gibi reddedilir. Geçse bile bazı üye devletlerde uygulanmama ya da yürürlükten kaldırılma ihtimali yüksek. Yine de bu tür tartışmaların açık biçimde yapılması, Çin, Rusya ya da ABD'nin Patriot Act'i ile kıyaslandığında daha iyi sayılabilir
  • Ama bu tartışmaların gerçekten anlamlı olup olmadığı şüpheli. Uluslararası anlaşmaların amacı veriyi yargı alanı dışına taşıyarak gözetimi aşmak ve AB'nin de zaten metadata analizi yapıyor olması muhtemel. Mullvad “müşterilerimizi gözetlemeyeceğiz” diyor ama yasa geçerse sonunda ya log tutmak ya da AB'den çıkmak zorunda kalacak
• VPN sonuçta güven meselesi. Mullvad en iyisi olmayabilir ama en kötüsü de değil
  • Ancak artık port forwarding desteklemiyor ve IP kalitesi düşük olduğu için sık sık şüpheli hesap olarak işaretleniyor
• İnterneti seviyorum. Yetişkinliğe adım atarken internetin dünyayı nasıl değiştirdiğini gördüm ve onu kontrol etme girişimlerinden nefret ediyorum. Eskiden bilgi savaşı daha doğrudan bir faaliyetti ama internet devlete yurtdışında etki kullanmak için yeni araçlar sundu. Devletin gözetim arzusunu anlayabiliyorum ama mevcut yöntemin yanlış olduğunu düşünüyorum. Özgür internet ile yabancı etkiyi kontrol etme arasında bir denge gerekli
  • Asıl önemli olan, “kimin etkisinin” kontrol edileceği. Böyle sistemlerin iktidarı koruma aracı olarak kötüye kullanılmaması gerekir. Süreç kapalı kapılar ardında yürütülürse AB de Rusya ya da Çin'den farksız hale gelir
• AB Komisyonu ve bazı üye devletler veri saklama kurallarını yeniden tartışıyor. “Presidency outcome paper”, ziyaret edilen web siteleri, iletişim kurulan kişiler ve sıklık gibi metadata saklamayı içeriyor; bunu VPN hizmetlerine kadar genişletme yönünde bir hareket de var
• Üçüncü kez iptal edilse bile yine deneyecekler. Bunu tekrarlı biçimde durdurmanın bir yolu gerekli
  • AB keskin biçimde sola kaymadıkça bunun pratikte engellenmesinin zor olduğunu düşünüyorum
  • Başarısızlık için cezalandırıcı önlemler gerekli. Şiddet içeren yöntemler toplumsal olarak kabul edilemez ve Japonya'daki “suikast siyaseti” örneğinde olduğu gibi tehlikelidir. Bunun yerine toplumsal dışlama (Amish tarzı shunning) gibi barışçıl tepkiler mümkün olabilir. Yine de Chat Control düzeyindeki bir konuda böyle aşırı bir tepkinin ortaya çıkması zor; emeklilik sisteminin kaldırılması gibi bir konu olmadıkça pek mümkün görünmüyor