29 Eylül'de Chat Control: tarihli tam kayıt ve VPN'ler hakkında dürüst cevap

29 Eylül 2026'da AB Konseyi, Avrupa Parlamentosu ve Avrupa Komisyonu müzakerecileri, Brüksel dışındaki herkesin Chat Control adıyla andığı dosya, yani Çocuk Cinsel İstismarı Tüzüğü üzerine altıncı siyasi trilog (üçlü müzakere) için Brüksel'deki Konsey binasında bir araya geliyor. Beş tur anlaşmasız bitti. Konsey'in kendi anlatımına göre geriye tek büyük soru kaldı: özel mesajların taranması gönüllü mü kalacak, yoksa bir hükümetin emredebileceği bir şeye mi dönüşecek?

29 Eylül hakkında yazılanların çoğu ya savunuculuk ya da tek günlük bir haber. Eksik olan, tarihli kaydı, neyin karara bağlandığına ve neyin açık kaldığına dair müzakere belgelerinin bizzat söyledikleriyle yan yana koyan tek bir sayfa. Bu yazı o kaydı bir araya getiriyor, ardından bir VPN sağlayıcısı olarak bize sorulan soruyu yanıtlıyor: VPN sizi bunların herhangi birinden korur mu? Dürüst cevabı en baştan söyleyelim: çoğunlukla hayır; sınırın tam olarak nereden geçtiğini de açıklayacağız.

29 Eylül 2026'da ne karara bağlanıyor?

Trilog, Komisyon'un 11 Mayıs 2022'de önerdiği kalıcı CSA Tüzüğü'nü müzakere ediyor. İrlanda dönem başkanlığının delegasyonlara gönderdiği Temmuz notuna, yani 11501/26 sayılı Konsey belgesine göre, 29 Haziran'daki beşinci trilog "tespit istisnası dışında, önerilen Tüzüğün neredeyse tüm hükümlerinde geçici mutabakata vararak önemli ilerleme sağladı". Kapsam, risk değerlendirmesi, kaldırma emirleri, engelleme emirleri, listeden çıkarma emirleri ve ulusal makamlara ilişkin gereklilikler çözüldü. Sesli aramalar Tüzüğün tamamen dışında; sesli mesajlar kapsamda kalıyor ama tespitin dışında tutuluyor.

Tespit, beş trilogun üzerinde başarısız olduğu blok. Aynı belge finali de takvime bağladı: 10 ve 18 Eylül'de teknik toplantılar, 14 Eylül'de Adalet ve İçişleri (JHA) müşavirleri toplantısı ve 29 Eylül'de Konsey binasında altıncı trilog. Temmuz tarihli bir değerlendirme belgesi, WK 10939/2026, dönem başkanlığının "altıncı trilogda tespit yükümlülükleri ve sağlayıcıların kendi inisiyatifiyle yaptığı aramalar konusunda siyasi mutabakat hedeflediğini" açıkça yazıyor.

Chat Control şu anda yürürlükte mi?

Gönüllü bir sürümü yürürlükte ve 2026 tarihçesi, çoğu haberin kabul ettiğinden daha tuhaf: bu yıl üç ay boyunca ölüydü.

2021'den beri geçici bir tüzük, Chat Control 1.0, webmail ve mesajlaşma hizmeti sağlayıcılarının çocuk cinsel istismarı materyaline karşı içerikleri gönüllü olarak taramasına, AB gizlilik kurallarından bir istisna olarak izin veriyordu. Uzatması, Avrupa Parlamentosu'nun Mart'ta yenilemeyi reddetmesinin ardından 3 Nisan 2026'da doldu. Boşluk gerçekti: 4 Nisan ile 30 Temmuz 2026 arasında Meta, Google ve Microsoft gibi şirketlerin gönüllü taramasının AB'de yasal dayanağı yoktu.

Geri getirme hızlı ve usul açısından alışılmadıktı. Konsey ilk okuma pozisyonunu 2 Temmuz'da kabul etti. 9 Temmuz'daki ikinci okumada reddetme önergesi oylamayı kazandı, 276'ya karşı 314 oy, ama ikinci okumada ret, kullanılan oyların değil tüm üyelerin salt çoğunluğunu gerektirdiğinden metin yine de geçti. Sonuç, 31 Temmuz 2026'dan beri yürürlükte olan ve 3 Nisan 2028'e kadar uygulanacak 2026/1881 sayılı (AB) Tüzük.

Parlamento aynı oylamalarda iki somut taviz kopardı. Yeni tüzük "uçtan uca şifrelemenin uygulandığı, uygulanmış olduğu veya uygulanacağı kişiler arası iletişimlere uygulanmaz" ve gerekçe bölümü, tüzükteki hiçbir şeyin uçtan uca şifrelemeyi yasaklama veya zayıflatma olarak yorumlanamayacağını belirtiyor. Ayartmanın, yani grooming'in tespitini gönüllü rejimin dışında tutan bir değişiklik 254'e karşı 346 oyla kabul edildi. Geri getirilen haliyle Chat Control 1.0, süresi dolan sürümden daha dar.

Tüzük ayrıca neredeyse kimsenin haber yapmadığı bir saati de başlattı. Sağlayıcıların hangi çocuk koruma kuruluşlarına raporlama yaptıklarını 1 Eylül 2026'ya kadar Komisyon'a bildirmesi gerekiyordu; Komisyon bu listeyi 1 Ekim 2026'ya kadar yayımlamak zorunda. İlk sağlayıcı şeffaflık raporlarının tarihi 1 Şubat 2027. 31 Temmuz 2026'dan önce kullanımda olan tarama teknolojisi için tanınan geçiş süresi 1 Nisan 2027'de bitiyor.

Tarihli kayıt, 2021'den 2026'ya

Aşağıdaki her satırın kamuya açık bir kaynağı var; çoğu, EDRi belge havuzunda toplanan müzakere belgelerinin ta kendisi.

AB şifreli mesajları tarayacak mı? İki pozisyon

Geriye kalan anlaşmazlık nettir ve iki tarafı sloganlardan değil kendi belgelerinden aktarmak gerekir. Dönem başkanlığının Temmuz değerlendirme belgesinde kayıtlı haliyle Parlamento'nun dört ilkesi şöyle: özel içerikte tespit emirleri yalnızca son çare olarak, çocuk cinsel istismarıyla bağlantılı belirli kullanıcılara hedefli ve yargı onayına tabi; sağlayıcıların kendi aramaları için de aynı hedefleme; özel içerikte genelleştirilmiş tarama yok; uçtan uca şifreleme tamamen korunur; ve özel içerikte yeni materyal veya grooming tespiti hiç yok.

Bu masanın etrafında, herhangi bir anlaşmanın ayakta kalmak zorunda olduğu üç hukuki kilometre taşı duruyor: EDPS ve EDPB'nin 2022 uyarısı, Konsey'in kendi Hukuk Servisi'nin genelleştirilmiş taramayı Şart ile bağdaşmaz bulan 2023 görüşü ve Strazburg mahkemesinin zayıflatılmış şifreleme üzerine 2024 tarihli Podchasov kararı. Müzakerenin sürekli "hedefli" ve "gönüllü" kelimelerine yaklaşıp "zorunlu" ve "genel" kelimelerinden uzaklaşmasının nedeni bunlar.

Hangi ülkeler zorunlu taramaya karşı?

Konsey'in aritmetiği hem 2025 geri çekilişini hem de süregelen tedirginliği açıklıyor. Bir Konsey pozisyonunu engellemek, AB nüfusunun yüzde 35'ini temsil eden en az dört üye devlet gerektiriyor. Ekim 2025'te Almanya'nın şüpheye dayanmayan taramayı kabul etmeyeceğini açıklaması, Polonya, Avusturya, Hollanda, Finlandiya, Lüksemburg ve Çekya gibi muhaliflerle birlikte, engelleme eşiğini dönem başkanlığının erişemeyeceği noktaya taşıdı ve zorunlu tespit planını gündemden düşürdü. Almanya tek başına AB nüfusunun beşte birine yakınını oluşturuyor; bu dosyada onsuz bir engelleyici azınlık kurulamıyor ve Berlin fikir değiştirirse hiçbiri ayakta kalmıyor.

Gözlemcilerin Brüksel yerine Berlin'i izlemeye devam etmesinin nedeni de bu. Konsey'in müzakere yetkisi yalnızca gönüllülüğü içeriyor, ama bir yetki nasıl oluşturulduysa aynı yolla değiştirilebilir; Alman hükümetinin şüpheye dayanmayan taramaya karşı kamuoyu önündeki çizgisi, her zorunlu unsurun reddinden hep daha dardı. Belgelenmiş kayıttaki hiçbir şey, Almanya'nın emirleri hedefli tutan bir uzlaşmada nasıl oy vereceğini belirlemiyor. 29 Eylül, bu sorunun varsayımsal olmaktan çıktığı gün olabilir.

VPN, Chat Control'e karşı koruma sağlar mı?

VPN hizmeti satıyoruz, dolayısıyla bu bölümü bunu aklınızda tutarak okuyun; burası aynı zamanda ürünümüzün ne yapmadığını söylediğimiz bölüm.

Cihaz tarafında tarama, şifrelemeden önce cihazın üzerinde gerçekleşir; dolayısıyla hiçbir VPN ve hiçbir şifreli mesajlaşma uygulaması, gönderilmeden önce okunan bir mesajı koruyamaz. CSA Tüzüğü'nün gelecekteki bir sürümü uygulamaları içeriği siz yazarken veya aktarım için şifrelenmeden önce taramaya zorlarsa, o tarama uygulamanın kendi içinde yapılır. VPN tüneliniz bu noktadan sonra başlar. Uçtan uca şifreleme de öyle. Tespit emirleri üzerindeki kavganın bu kadar önemli olmasının nedeni tam olarak bu: okuma uç noktada gerçekleştiğinde, aradaki hiçbir kriptografi veya tünelleme neyin okunduğunu değiştirmez.

Aynı mantık bugün yürürlükteki rejim için de geçerli. 2026/1881 sayılı Tüzük kapsamındaki gönüllü tarama, sağlayıcının sunucularında, çoğu webmail gibi uçtan uca şifreleme kullanmayan hizmetlerde yapılıyor. Mesajınız kabloda değil, depolandığı ve iletildiği yerde taranıyor. VPN o aşamayı da hiç görmez.

Bir VPN'in bu bağlamda koruduğu şey aktarım yoludur. Cihazınız ile VPN sunucusu arasındaki trafiği şifreler; bu, internet sağlayıcınızın, halka açık bir Wi-Fi işletmecisinin veya yol üzerindeki başka herhangi bir gözlemcinin şifrelenmemiş trafiği okumasını ya da hangi hizmetlere bağlandığınızı kataloglamasını engeller ve IP adresinizi kullandığınız site ve hizmetlerin elinden uzak tutar. Bunlar ağ düzeyindeki gözleme karşı gerçek korumalardır. Ancak uç noktada veya sunucu tarafında yapılan taramaya karşı koruma değildirler, çünkü VPN bu taramanın gerçekleştiği katmanın altında çalışır.

Endişeniz özellikle Chat Control ise dürüst öncelik listesi şöyle görünür: birincisi yasama sürecinin sonucu, çünkü hedefli yargı emirleri ile genelleştirilmiş tarama arasındaki fark her araç seçimini gölgede bırakır; ikincisi mesajlaşma uygulaması seçiminiz, çünkü mevcut yasanın dokunmayı açıkça reddettiği şey uçtan uca şifrelemedir; üçüncüsü aktarım gizliliği, VPN'in ait olduğu yer de burasıdır. VPN kullanımının Avrupa'da ve ötesinde hukuken nerede durduğunu görmek için 2026 VPN yasallığı ülke ülke rehberimize bakın. CSA Tüzüğü'nde, masadaki hiçbir taslakta, VPN kullanmayı cezalandıran bir hüküm yok.

Yaş doğrulaması Chat Control'ün parçası mı?

Öyleydi, sonra sessizce olmaktan çıktı. Konsey'in yetkisi belirli hizmetler için zorunlu yaş doğrulaması istiyordu; Parlamento bunun sağlayıcılara bırakılmasını istiyordu. Beşinci trilogda ortak yasa koyucular, 11501/26 sayılı Konsey belgesine göre, "bu Tüzüğün yaş doğrulamasını düzenleyecek yer olmadığında" anlaşarak ve atıfları metinden silerek düğümü kesti.

Yaş kontrolleri ortadan kalkmıyor; başka araçlara taşınıyor. AB'nin KIDS Yasası ve bir dizi ulusal yasa, yaş kurallarını hizmet hizmet inşa ediyor; bunları, hangilerini bir VPN'in etkilediği ve hangilerini etkilemediği dahil, ülke ülke sosyal medya yaş sınırları kaydımızda izliyoruz. Fransa, en keskin ulusal sürümü şimdiden işletiyor: kendi mahkeme sınavından geçmiş siciliyle, yetişkin sitelerine yönelik yaş doğrulamalı bir engelleme rejimi. CSA Tüzüğü'nden çıkarılması, bu trilogu gerçek konusuna daraltıyor: tespit.

Anlaşma olmazsa ne olur?

30 Eylül'de dramatik hiçbir şey olmaz, sorunun bir parçası da bu. Gönüllü rejim, trilog odasında ne olursa olsun 3 Nisan 2028'e kadar işliyor. Altıncı tur önceki beşi gibi başarısız olursa dosya Ocak 2027'de Litvanya dönem başkanlığına, ondan sonra Yunanistan'a geçer ve müzakere daha sert bir süre sınırı altında devam eder: Nisan 2028, kalıcı tüzük olmadan gelirse gönüllü tarama bile yasal dayanağını yeniden kaybeder, tıpkı 2026'da üç ay boyunca olduğu gibi.

Elde tutulmaya değer bir tarihli işaret daha var. 29 Eylül'de ne olursa olsun, gönüllü rejim kapsamındaki ilk şeffaflık raporları 1 Şubat 2027'ye kadar gelecek ve sağlayıcı sağlayıcı, ne kadar tarama yapıldığını ve hata oranlarının ne olduğunu gösterecek. Bu rakamlar ya Parlamento'nun ihtiyatını ya da Konsey'in güvenini haklı çıkaracak. Trilogun sonucu belli olduğunda bu sayfayı güncelleyeceğiz.