"ABD Bulutu Yok" Neden Bir Reklam Sloganından Fazlasıdır

Bir avukatlık bürosunun müvekkil dosyaları, bir kültür derneğinin üye listeleri ya da bir muayenehanenin randevu talepleri: Bir ABD bulut hizmeti devreye girdiği anda, yalnızca veri merkezi konumuyla yanıtlanamayacak bir soru ortaya çıkar — işletmeci hangi hukuka tabi?

CLOUD Act: Erişim sunucuyu değil, şirketi izler

2018 tarihli ABD CLOUD Act yasası, ABD'li sağlayıcıları resmi talep üzerine verileri teslim etmekle yükümlü kılar — sunucuların nerede durduğundan bağımsız olarak. Frankfurt'ta veri merkezi olan bir ABD şirketi yine bir ABD şirketidir; "konum: Almanya" bu hukuki durumu değiştirmez. Buna, hedefini özellikle ABD vatandaşı olmayanların oluşturduğu FISA Section 702 gibi gözetim yetkileri de eklenir.

Schrems II: Bunun GDPR için önemi

2020'de "Privacy Shield" anlaşması tam da bu yetkiler yüzünden çöktü: Avrupa Birliği Adalet Divanı, "Schrems II" (C-311/18) kararıyla anlaşmayı geçersiz ilan etti; çünkü ABD hukuku eşdeğer bir koruma düzeyi garanti etmiyor. Halefi "Data Privacy Framework" aynı sallantılı temel üzerinde duruyor ve şimdiden dava konusu. GDPR 9. maddesi kapsamında özel olarak korunan verileri işleyenler, bu temele bina kurmayı pek istemez.

"Arka planda da yok" — gözden kaçan kısım

Birçok teklif Avrupalı görünse de arka planda ABD hizmetleri yükler: Google Fonts, ABD CDN'lerinden komut dosyaları, analiz araçları, captcha'lar, haritalar. Bu çağrıların her biri en azından ziyaretçilerin IP adresini ABD'ye iletir — Münih Eyalet Mahkemesi 2022'de bunun için tazminata hükmetti. "ABD bulutu yok" ancak alt yükleniciler ve sonradan yüklenen kaynaklar için de geçerliyse güvenilirdir. Kendi ürünlerimle ilgili bir not: Ürünlerim yabancı sunuculardan hiçbir şey yüklemez – yerel yazı tipleri, CDN yok, izleyici yok; bunu sayfa sayfa denetliyorum.

Alternatifler gösterişsiz — ve bu iyi bir şey

Kurumların büyük çoğunluğunun bir hyperscaler'a ihtiyacı yok: Alman ve Avrupalı sağlayıcılar web hosting, sunucu ve e-postayı AB hukuku altında, sıradan fiyatlarla sunuyor. Sonradan yüklenen ABD hizmetleri olmadan çalışan bir yazılım, üçüncü ülke sorusunu düpedüz konu dışı bırakır.

Kısa sonuç

ABD bulutu sorusu bir hukuk düzeni sorusudur: Erişim sunucu konumunu değil, şirketi izler — ve vaade arka plandaki hizmetler de dahildir. Verilerin bunun yerine nerede iyi barınacağını Sunucunuz, Verileriniz yazısı gösteriyor.

Sık sorulan sorular

Frankfurt'ta veri merkezi olan AWS "Almanya" sayılmaz mı?

Fiziksel olarak evet, hukuken hayır: CLOUD Act, ABD şirketlerini sunucu konumundan bağımsız olarak bağlar.

Microsoft 365 ve Google Workspace ne olacak?

Aynı hukuki durum. Özel olarak korunan veriler (sağlık, inanç, müvekkil dosyaları) için terazi, gündelik iletişime göre belirgin biçimde daha katıdır.

Bir web sitesindeki gizli ABD hizmetlerini nasıl fark ederim?

Tarayıcının geliştirici araçları ("Ağ" sekmesi) yabancı sunuculara giden her çağrıyı gösterir; daha rahatı webbkoll.dataskydd.net gibi denetim araçlarıdır.

Güncelleme: Ağustos 2026 · Bu yazı genel bilgi verir, hukuki danışmanlık değildir.

Soru sorun — her zaman şahsen yanıtlıyorum.