İspanya'da VPN yasal mı? Yasa ve bu soruyu sorduran 13 engelleme olayı

Bu sayfanın önceki sürümü, İspanya'nın dünyanın en çok saldırıya uğrayan ikinci ülkesi olduğu, günde 45.000 siber saldırı yaşandığı ve VPN kayıtlarında %2.500'lük bir sıçrama olduğu iddialarıyla açılıyordu. Üçünün de kaynağını bulmaya çalıştım. İlk ikisi, hiçbir yöntem belirtmeyen İspanyol güvenlik şirketlerinin basın bültenlerine dayanıyor. Üçüncüsü bir yanlış okuma: atfedildiği şirket olan Proton, kendi yazısında %200'lük bir artış bildirmişti. Hiçbiri bu sürümde yer almıyor.

İnsanların bu sayfaya getirdiği soru daha basit. İspanya'da VPN yasal mı ve çoğu zaman da İtalya'da veya İspanya'da yasal mı? Kısa yanıt evet. Uzun yanıt önemli, çünkü İspanya, futbol korsanlığını hedefleyen engellemelerin yüz binlerce ilgisiz web sitesini erişilemez kıldığı ve bir mahkemenin artık iki VPN sağlayıcısına da buna katılmalarını söylediği yerdir. Aşağıda, yasal dayanaklarıyla birlikte kurallar ve 2017'den beri belgeleyebildiğim her engelleme olayı, her biri için bir VPN'in onu aşıp aşamayacağına dair bir hükümle birlikte yer alıyor.

İspanya'da VPN yasal mı?

Evet. İspanya'da VPN satmak da kullanmak da yasaldır ve bulabildiğim hiçbir İspanyol yasası VPN'lerden hiç söz etmez. Bilgi toplumu yasasını, 2022 tarihli telekomünikasyon yasasını, veri saklama yasasını, telif hakkı yasasını, kumar yasasını ve Ceza Kanunu'nun 270. maddesini taradım. "VPN'ler yasaldır" diyen tek bir resmi cümle yok, çünkü kimsenin böyle bir cümle yazmasına gerek olmadı. Buna en yakın şey, halka açık Wi-Fi için ilk tavsiyesi VPN kullanmak olan devlet siber güvenlik enstitüsü INCIBE'dir.

Bu 11 satırdan iki nokta çıkıyor. İspanya'da engellenmiş bir web sitesine giden beş ayrı yol var: genel bilgi toplumu yasası, hukuk mahkemeleri, kültür bakanlığının komisyonu, kumar düzenleyicisi ve ceza mahkemeleri. Bu beş yoldan üçü hâkim olmadan işleyebilir: ilaç kurumunun Women on Web'i engellerken kullandığı genel yol, bir site mükerrer ihlalci olduğunda kültür komisyonu ve kumar düzenleyicisi. Ayrıca bu 11 satırın hiçbirinde yasa, VPN kullanan kişiye herhangi bir yükümlülük getirmiyor. Her yükümlülük bir operatöre, bir aracıya veya bir ihlalciye düşüyor. İspanya'da VPN hukuku, şimdilik, VPN hukukunun yokluğundan ibaret.

İspanyolların VPN'leri sormasına hangi engelleme kararları yol açtı?

Tablo, 2017 ile Eylül 2026 arasındaki 13 olayı listeliyor. Son sütun dar bir teknik soruyu yanıtlıyor: engelin nasıl kurulduğu göz önüne alındığında, bir VPN onu aşar mıydı? Bu, neyi görüntülemenin hukuka uygun olduğuna dair bir beyan değildir.

Hükümlerin toplamı on evet, iki kısmen ve bir gerek yok. Nedeni yapısal. On üç olayın onu erişim sağlayıcısının ağı içinde kurulmuştu ve bir VPN tüneli bu ağdan açılmadan geçer. GitHub'ın 2019'daki coğrafi engeli İspanyol bir IP adresine dayanıyordu, bir VPN bunu da değiştirir. İki olay farklı. 2017'de devlet alan adı siciline gitti ve el konulan bir alan adı bütün dünya için ortadan kalkar. 2026'da hak sahipleri doğrudan VPN sağlayıcılarının kendisine gitti. Bunlar, erişim ağı yeterli olmaktan çıktığında engellemenin gidebileceği iki yöndür.

Futbol engellemelerinin ölçeği, gerçek ölçümlerin bulunduğu kısımdır. OONI, 1 Ocak ile 1 Haziran 2026 arasında İspanyol ağlarında engellenen 7.441 IP adresi belirledi, ardından 9,2 milyon popüler alan adını bunlarla karşılaştırdı: bunların 554.507'si, yani %5,8'i, bir noktada engellenmiş bir adreste bulunuyordu. Bu alan adlarının 501.000'den fazlası 2.218 Cloudflare adresinin arkasındaydı ve tek bir saat içinde 4 ila 20 adresin engellenmesi 400.000'den fazla alan adını aksatmaya yetiyordu. Etkilenen siteler arasında UNICEF'in ve BM mülteci kurumunun ulusal sayfaları, Amnesty şubeleri ve bir yazılım paket deposu vardı. LaLiga'nın tutumu, engellemenin hafta sonlarında korsanlığı "ikincil etki olmadan" %40 ila 60 oranında azalttığı yönünde. Barselona mahkemesi, üçüncü kişilere verilen zararın kanıtlanmadığı sonucuna vararak Cloudflare'in ve güvenlik konferansı RootedCON'un iptal taleplerini Mart 2025'te reddetti. Bakanlığa yapılan ağ tarafsızlığı şikâyetleri 2025'te yaklaşık ondan yaklaşık 265'e çıktı.

"İspanya'da VPN yasal mı" sorusunun yaygın bir aramaya dönüşmesinin nedeni budur. Bunu soranların çoğu futbol aramıyordu. Bunlar, bir cumartesi akşamı dağıtımları başarısız olan geliştiriciler ve ödeme sayfası yüklenmeyen alışverişçilerdi.

VPN İtalya'da veya İspanya'da yasal mı ve iki ülke nasıl karşılaştırılır?

VPN kullanmak her iki ülkede de yasaldır. Fark, engelleme yükümlülüklerinin VPN ve DNS şirketlerine ne ölçüde yüklendiğindedir ve İtalya daha ileri gitmiştir.

Karşıtlık, bir düzenleyici kurum ile bir mahkeme salonu arasındadır. İtalya, VPN sağlayıcılarını kalıcı bir idari sistemin içine yazdı. İspanya'da ise tek bir ihtiyati tedbir kararı var ve kararı veren mahkeme sonradan bunu para cezalarıyla uygulatmayı reddetti. İki ülke de kullanıcıya dokunmadı. İspanya'da VPN kullanımı ve İtalya'da VPN kullanımı hakkındaki sayfalarımız gündelik tarafı ele alıyor, Fransa'daki web sitesi engellemelerinin dökümü ise üçüncü modeli gösteriyor: orada Paris mahkemeleri Mayıs 2025'ten beri beş VPN sağlayıcısına spor korsanlığı alan adlarını engelleme emri verdi.

Peki ya İspanya'da gizlilik, veri saklama ve siber suçlar?

Eski sayfa korkutucu rakamlara yaslanıyordu. Resmi rakamlar ise şunlar. INCIBE'nin müdahale ekibi 2025'te 122.223 siber güvenlik olayını ele aldı, bu bir yılda %26'lık bir artış demek ve bunların 45.445'i kimlik avı dahil çevrimiçi dolandırıcılıktı. Veri koruma kurumu 2025'te 30.931 şikâyet aldı, bu %64'lük bir artış ve kurumun tarihindeki en yüksek sayı, ayrıca 48,1 milyon € para cezası kesti.

Veri saklama konusunda İspanya, AB Adalet Divanı'nın 2014'te iptal ettiği bir AB direktifini uygulamak için 2007'de kabul ettiği 12 aylık kuralı hâlâ koruyor, o iptal kararı genel ve ayrım gözetmeyen veri saklamaya karşı bir dizi kararın ilkiydi. Kanun telekom operatörlerini bağlıyor, erişim için hâkim izni şart koşuyor ve yeniden yazılmadı. Dolayısıyla internet sağlayıcınız, ne okuduğunuza dair olmasa da, ne zaman ve nereden bağlandığınıza dair bir yıllık kayıt tutuyor. Bir VPN, o sağlayıcının gittiğiniz adresler hakkında kaydedebileceği şeyin yerine tek bir girdi koyar: VPN sunucusu. 16 yargı bölgesindeki veri saklama yasalarını gösteren tablomuz, diğer ülkelerin aynı soruyu nasıl ele aldığını gösteriyor. Le VPN'in 100'den fazla konum arasında İspanya'da da bir sunucu konumu var, 10 eşzamanlı bağlantıya izin veriyor ve 30 günlük para iade garantisiyle geliyor.

Bundan sonra ne değişecek?

• Anayasa Mahkemesi. RootedCON futbol engellemelerine karşı başvurusunu 16 Mayıs 2025'te duyurdu ve Cloudflare Haziran 2025'e kadar kendi başvurusunu yaptı. 18 Eylül 2026 itibarıyla mahkeme RootedCON'un başvurusunu kabul edip etmeyeceğine hâlâ karar vermemişti.
• Córdoba. İki VPN sağlayıcısına karşı verilen ihtiyati tedbir kararı yürürlükte kalıyor ve asıl dava sürüyor. Proton'un kararı uygulayıp uygulamadığına dair hiçbir haber bulamadım.
• Barselona kararının süresi, 2026 ila 2027 sezonuyla birlikte, 20 Haziran 2027 civarında doluyor. LaLiga'nın 2027 ila 2032 yayın hakları ihalesi, engellemeyle iş birliğini ve VPN'lere ve DNS hizmetlerine karşı hukuki işlemlerin desteklenmesini teklif verenler için bir koşul haline getiriyor. 2027'de yeni bir başvuru yapılması muhtemel.
• Kongre. Bir komisyon 29 Nisan 2026'da bağlayıcı olmayan bir önergeyi kabul etti, önerge hükümetten "teknolojik orantılılığı" yasaya yazmasını istiyor. Tek başına hiçbir şeyi değiştirmiyor ve ardından bir tasarı gelmedi.
• Reşit olmayanlar yasası. Hükümet organik kanunun 2026 sona ermeden kabul edilmesini istiyor. İzlenmesi gereken hüküm, VPN ve DNS sağlayıcılarını 30 dakikalık engelleme yükümlülüğü olan aracılar olarak bilgi toplumu yasasına yazacak olan 89 numaralı önerge. Komisyonun bunu kabul edip etmediğini tespit edemedim.
• Women on Web / İspanya davası, 12 Haziran 2026'da Avrupa İnsan Hakları Mahkemesi'ne taşındı.
• İtalya. Lazio idare mahkemesi, 17 Temmuz 2026'da 13201/2026 sayılı kararıyla Cloudflare'e verilen para cezasını onadı. Cloudflare yeniden itiraz edeceğini söyledi.