Kanada'nın C-22 Tasarısı: Yasal Erişim VPN'lerden Ne İstiyor ve Kimler Ayrılacağını Söyledi?

Kanada, beş gizlilik şirketinin uymaktansa ülkeyi terk etmeyi yeğleyeceklerini kamuoyu önünde söylediği bir yasaya bir meclis uzaklıkta. C-22 tasarısı, yani Lawful Access Act, 2026 (2026 Yasal Erişim Yasası), 18 Haziran’da Avam Kamarası’ndan geçti ve 8 Ekim itibarıyla Senato’da ikinci okumadaydı. Çıkışa yönelen en yeni şirket aynı zamanda en sembolik olanı: Toronto Üniversitesi’nin Citizen Lab’inden doğan Toronto merkezli sansür karşıtı araç Psiphon, kendi verdiği rakama göre ayda yaklaşık 20 milyon kişiye hizmet veriyor ve 4 Ekim’de The Globe and Mail’e ülkeden taşınma planlarını hazırlamaya başladığını söyledi.

C-22 hakkındaki haberlerin çoğu, her seferinde tek bir ayrılma tehdidiyle geliyor. Nadiren gösterdikleri şey, bu şirketlerin tepki verdiği mekanizmanın kendisi. Bu sayfa bu yüzden üç şey yapıyor: tasarının iki yarısının her birinin Kanada devletine tam olarak ne talep etme yetkisi verdiğini söylüyor, ayrılacağını açıklayan her sağlayıcının tarihli kaydını tutuyor ve okurların asıl sorusunu, yani bütün bunların Kanada’da VPN veya şifreli mesajlaşma kullanan bir kişi için neyi değiştirdiğini yanıtlıyor.

Bütün analizi tek bir cümle taşıyor: C-22 tek zarfta iki yasa; önde mahkeme kararı gerektirmeyen dar bir soru, arkada ise herhangi bir çevrimiçi hizmete, gizlice, yetkili erişimi mümkün kılacak şekilde kendini yeniden inşa etmesini emretme yetkisi.

C-22 Tasarısı Nedir ve Parlamentoda Şu Anda Hangi Aşamada?

Kamu Güvenliği Bakanı Gary Anandasangaree, içeriği 2025’teki Strong Borders torba tasarısından ayrıldıktan sonra C-22’yi 12 Mart 2026’da sundu. Avam Kamarası’nın kamu güvenliği komisyonu, 5 Mayıs ile 17 Haziran arasında 106 tanık dinledi ve 61 yazılı görüş aldı. Sonra sıkıştırma geldi: komisyon raporu, rapor aşaması ve üçüncü okuma, müzakereyi sınırlayan ve yeni değişiklikleri engelleyen bir hükümet önergesiyle, hepsi 18 Haziran’a denk geldi; son komisyon oturumu gece yarısını aştı.

Senato tasarıyı aynı gün aldı ve o zamandan beri ikinci okumayı tartışıyor. 8 Ekim itibarıyla tasarı henüz bir Senato komisyonuna havale edilmemişti; bu da meclisin ayrıntılı incelemesinin, yani tanıkların geri döndüğü ve değişikliklerin kaleme alındığı aşamanın hala önümüzde olduğu anlamına geliyor. Bu sayfa o pencerede yazıldı.

Bölüm 1 Kapsamında Polis ve CSIS Mahkeme Kararı Olmadan Ne Talep Edebilir?

Bölüm 1’in manşet yetkisi, Ceza Kanunu’nun yeni 487.0121 maddesi, yani hizmet teyidi talebi. Bir suçtan şüphelenmek için makul gerekçeleri olan bir görevli, bir telekomünikasyon hizmet sağlayıcısından, adı verilen bir aboneye, hesaba veya tanımlayıcıya “telekomünikasyon hizmeti sağlayıp sağlamadıklarını ya da sağlamış olup olmadıklarını” teyit etmesini talep edebilir. Bunu hiçbir hakim imzalamıyor. Sağlayıcının en az 24 saati var, beş iş günü içinde bir hakimden talebin iptalini isteyebilir, yasal mazeret olmadan reddederse $5,000’a kadar para cezasıyla karşılaşır ve bir yıla kadar susma yükümlülüğü altına sokulabilir.

Bunu dar okuyun, çünkü dar: zorlanan cevap evet ya da hayır. Abonenin kim olduğu, hangi hizmetleri aldığı, ne zaman, hangi cihazlarda; bunların hepsi hala mahkemeden alınan bir ibraz emri gerektiriyor, gerçi C-22 bu emrin eşiğini araç setindeki en düşük standart olan makul şüpheye indiriyor. Ayrı bir yeni yetki, bir hakimin abone bilgisi ve iletim verisi taleplerinin doğrudan yabancı sağlayıcılara yöneltilmesine izin vermesini sağlıyor.

Kimsenin konuşmadığı versiyon CSIS’inki. CSIS Yasası’nın yeni 20.22 maddesi, istihbarat servisine aynı talep yetkisini, belirtilmiş hiçbir şüphe eşiği olmadan ve süre sınırı bulunmayan bir ifşa yasağı koşuluyla veriyor. Hükümetin Şart Beyanı’ndaki savunması, talebin yalnızca “temel bilgiyi” açığa çıkardığı, hiçbir iletişim içeriği içermediği ve makul şüphenin fişleme amaçlı taramalara karşı güvence olduğu yönünde. Gizlilik Komiseri, Mayıs’ta komisyon önüne çıktığında talebi geçmiş girişimlerden daha dar çerçeveli diye niteledi, ardından abone bilgisinin kapalı bir tanımı ile gereklilik ve orantılılık şartı dahil altı değişiklik istedi.

Bölüm 2 Kapsamında Hükümet Bir VPN'e veya Mesajlaşma Uygulamasına Ne Kurmasını Emredebilir?

Bölüm 2 yeni bir yasa, Supporting Authorized Access to Information Act’i yürürlüğe koyuyor ve sektörün tepki verdiği kısım burası. Kapsamını tek bir tanım belirliyor: elektronik hizmet sağlayıcısı, “Kanada’daki kişilere” elektronik hizmet sunan ya da Kanada’da iş yapan herkes. Kanadalı kullanıcıları olan bir VPN sağlayıcısı kapsama giriyor. Bir mesajlaşma uygulaması, bir e-posta hizmeti ve Kanada’da ofisi olmayan yabancı bir şirket de öyle.

Kabinenin daha sonra çekirdek sağlayıcı olarak belirleyeceği sağlayıcı sınıfları için, yönetmelikler yetkili bir kişinin bilgiye erişimini mümkün kılan “operasyonel ve teknik kabiliyetlerin” kurulmasını, test edilmesini ve sürdürülmesini zorunlu kılabiliyor ve üstveri kategorilerinin altı aya kadar saklanmasını isteyebiliyor. Geri kalan herkes için 7. madde var: bakan, çekirdek olsun olmasın herhangi bir elektronik hizmet sağlayıcısına, o yönetmeliklerin gerektirebileceği her şeyi yapmasını emredebilir. Emir, bir mahkemenin değil, bir denetim organı olan İstihbarat Komiseri’nin onayını gerektiriyor. Statutory Instruments Act’ten muaf, dolayısıyla hiçbir zaman yayımlanmıyor. Ve 14. madde, sağlayıcının emrin varlığını açıklamasını, bireyler için $100,000’a ve şirketler için $500,000’a kadar para cezalarıyla yasaklıyor. İdari yaptırımlar ihlal başına $250,000’a ulaşıyor ve günlük sayılıyor. Tek şeffaflık supabı, kaç bakanlık emri verildiğini belirtmek zorunda olan yıllık bir rapor.

Canadian Civil Liberties Association ile birlikte yazılan Citizen Lab analizi, Bölüm 2’nin kurtarılamaz olduğu ve geri çekilmesi gerektiği, ayrım gözetmeyen üstveri saklama mekanizmasının “neredeyse kesin olarak anayasaya aykırı” olduğu sonucuna vardı; teknik noktada ise EFF’in “yalnızca ‘iyi adamlara’ açık bir güvenlik arka kapısı yoktur” uyarısını aktardı. Canadian Bar Association Şart’a başvurdu: her iki bölüm de 8. maddenin makul olmayan arama ve el koymaya karşı korumasını ihlal etme riski taşıyor.

Hangi Sağlayıcılar Kanada'dan Ayrılacaklarını Söyledi?

Şirket şirket, tarihli kayıt. Her satır, açıklamanın kendisine ya da doğrudan alıntıyı taşıyan yayına bağlantı veriyor; hiçbir sağlayıcı kalıp uyacağına dair kamuya açık bir söz vermedi.

Bu şirketlerin üçünün genel merkezi Toronto’da ve Psiphon vakasının fazladan bir kıvrımı var: federal hükümet 2026’da şirkete yaklaşık $600,000 fon verdi; aynı yıl, hükümetin amiral gemisi tasarısı şirketi kapıya doğru itti. Psiphon’un açık kaynak argümanı, kayıttaki en keskin teknik argüman: “Açık kaynak koda gizli bir arka kapı inşa edemezsiniz. Yayınladığımız her satır herkese açık.”

Kayıt defterinin çevresinde daha geniş bir cephe var. Apple, Google ve Meta, komisyonu şifreleme konusunda uyardı; 14 sivil toplum kuruluşu ile 15 akademisyen ve hukuk uzmanının ortak mektubu, tasarıyı “modern tarihte Kanadalıların mahremiyet haklarına yönelik en kapsamlı müdahale” diye nitelendirerek tamamen geri çekilmesini istedi; Eylül’de ise aralarında Coinbase Canada’nın da bulunduğu 23 şirket ve sektör kuruluşu bakanlara, “kolluk için açılan bir arka kapı, herkes için bir arka kapıdır” diye yazdı. Hükümet sözcüsü Psiphon haberine doğrudan yanıt verdi: bir yasal erişim çerçevesi “tek başına, Kanada’da güvenli ve mahremiyeti koruyan bir hizmet işletmeyi imkansız kılmaz”. Bölüm 1’in taleplerini taşıyacak olan Kanada’nın üç büyük telekom şirketi ise kamuoyu önünde hiçbir şey söylemedi.

C-22 Tasarısı VPN'leri Yasaklıyor mu, Şifrelemenizi Kırıyor mu?

İkisi de değil; ve her iki cevabın dürüst halini açıkça yazmaya değer.

VPN kullanımı konusunda: tasarıdaki her yükümlülük bir şirkete düşüyor. Hiçbir madde, Kanada’da veya Kanada’dan VPN üzerinden bağlanan kişi için bir suç yaratmıyor. CIRA’nın 2026 anketinde kişisel verilerini korumak için VPN kullandığını söyleyen Kanadalı internet kullanıcılarının yüzde 22’si, kraliyet onayının ertesi günü hiçbir suç işlememiş olarak uyanırdı. C-22’nin bir VPN kullanıcısına dokunduğu yer dolaylı: sağlayıcı tarafı. Kanadalılara hizmet veren bir VPN şirketi, Bölüm 2 kapsamında bir elektronik hizmet sağlayıcısı; bu da ona, gizlice, erişim kabiliyetleri kurmasının emredilebileceği anlamına geliyor; Psiphon, NordVPN ve Windscribe’ın hesaba kattığı senaryo tam olarak bu. Bir VPN’in Bölüm 1 kapsamında neyi değiştirip neyi değiştirmediği de mekanik: İSS’nize hala sizin müşterisi olup olmadığınızı teyit etmesi sorulabilir, çünkü bu bilgi trafiğinizde değil, bir fatura veritabanında duruyor.

Şifreleme konusunda: Avam Kamarası, hiçbir yükümlülüğün sağlayıcıyı “elektronik hizmet sağlayıcısının hizmet verdiği bir kişi tarafından şifrelenmiş” bilgiyi çözmeye zorlamadığını söyleyen 2(4) maddesini ekledi. Sonra istisna geliyor: şifrelemeyi sağlayıcı sunmuşsa ve çözmek için gereken anahtarları elinde tutuyorsa. Anahtarların kullanıcıda olduğu uçtan uca tasarımlar kağıt üzerinde erişim dışında kalıyor; sağlayıcının yönettiği şifreleme, ki bulut depolamanın çoğu ve mesajlaşmanın hatırı sayılır kısmı böyle, zorlanabilir durumda. Eşlik eden kalkan, yani hiçbir emrin sağlayıcıyı bir “sistemik zafiyet” getirmeye zorlayamayacağı hükmü, komisyonda yeniden yazıldı ve artık mahkeme kararı kapsamındaki kişilerle sınırlı riskleri hariç tutuyor. Yalnızca hedefler için inşa edilen bir zayıflık, tasarının kendi tanımıyla, sistemik değil. Bir zayıflığın hedefleriyle sınırlı kalıp kalamayacağı, güvenlik camiasının tartıştığı şeyin ta kendisi; bakanın tasarının “hiçbir zaman şifrelemeyi delmek için tasarlanmadığı” güvencesi de bu değişikliklerin desteklemek için yazıldığı iddia.

C-22, Birleşik Krallık ve Avustralya ile Nasıl Karşılaştırılır?

Hükümetin standart savunması, müttefiklerin bu araçlara zaten sahip olduğu. Karşılaştırma gerçek ve iki yönde de kesiyor.

Birleşik Krallık sütunu varsayımsal değil. Apple’a yönelik olduğu bildirilen bir teknik kabiliyet bildirimi, şirketin Şubat 2025’te Birleşik Krallık kullanıcıları için Advanced Data Protection’ı geri çekmesine yol açtı; Apple, Temmuz 2026’da yeniden yazılan bir emre karşı mahkemeye yeni bir itiraz sundu ve Britanyalı kullanıcılar özelliği hala açamıyor. Bir çıkış tehdidinin tehdit olmaktan çıktığında neye benzediği bu. Avustralya’nın kaydı ise tersini gösteriyor: TOLA’nın ilk yılında kurumlar 7 gönüllü yardım talebi kullandı, zorunlu kabiliyet bildirimi sayısı sıfırdı ve rejimin kendi bağımsız denetçisi, onayların yargısal bir organa taşınmasını, yani C-22’de eksik olan güvenceyi önerdi. AB içinde, yürürlükteki hiçbir düzenleme VPN’lere veya mesajlaşma uygulamalarına bu tür kabiliyet yükümlülükleri getirmiyor; özel mesajların taranması kavgası hala üçlü müzakerede sürüyor; bunu Chat Control referans sayfamızda belgeledik.

Kanada Bunu Daha Önce Denedi mi?

Yirmi yılda yedi kez: Kanadalı mahremiyet hukukçusu David Fraser, beş önceki girişimi kataloglamış durumda; 2005, 2009, 2011, 2012 ve 2013’te, 2025’in sınır tasarısına gömülen yasal erişim hükümlerinden ve şimdi C-22’den önce. Kanadalıların hatırladığı, 2012’nin C-30’u: kamu güvenliği bakanının mecliste eleştirmenlerin “ya bizim yanımızda ya da çocuk pornografisi üreticilerinin yanında” durabileceğini söylemesinin ardından öldü; hükümet tasarıyı bir yıl içinde geri çekti ve mahkeme kararsız abone erişimini de onunla birlikte bıraktı. Tek hayatta kalan C-13, 2014’te yalnızca bu yetkiler olmadan yazıldığı için geçti. C-22, o günden bu yana iki yarıyı, mahkeme kararsız soruyu ve kabiliyet yükümlülüğünü, aynı anda geri getiren ilk girişim; ve yükümlülüğü yalnızca telekomlara değil her elektronik hizmet sağlayıcısına yönelten ilk girişim.

Bundan Sonra Ne Olacak?

Senato’daki ikinci okuma bir komisyona havaleyle bitiyor; komisyon incelemesi tanıkları geri getiriyor; üçüncü okuma ve olası değişiklikler tasarıyı Avam Kamarası’na geri gönderiyor. Hükümetin meclis lideri Steven MacKinnon Haziran’da, Senato’nun sonbaharda döndüğünde tasarıyı ele alacağını söyledi; ikinci okuma Ekim ortasında hala açıkken ve komisyon incelemesi önümüzdeyken, kraliyet onayı için gerçekçi en erken pencere Aralık 2026 gibi görünüyor ve 2027’ye sarkması olası. İzlenecek baskı noktaları, kaydın zaten gösterdikleri: Senato’nun Gizlilik Komiseri’nin altı değişikliğini Bölüm 1’e yazıp yazmayacağı, sistemik zafiyet tanımının Avustralya’daki gibi yasal bir tabana kavuşup kavuşmayacağı ve kayıttaki yedi şirketten herhangi birinin oylamadan önce açıklamadan eyleme geçip geçmeyeceği.

Bu tasarının artık katıldığı daha geniş harita için, VPN sağlayıcılarına site engelletme emri veren ülkelerin kaydı, sağlayıcı yükümlülüklerinin telif kaynaklı yarısını izliyor; ülke ülke VPN yasallık rehberimiz ise kullanımın kendisinin nerede kısıtlandığını haritalıyor. Hukukun bugün Kanada’nın içinden nasıl göründüğü içinse Kanada sayfamızla başlayın: VPN kullanmak yasal ve bu tasarı, başına ne gelirse gelsin, bunu değiştirmiyor.