ABD Cloud Yasası ve Veri Güvenliği

Her geçen gün, her fiilin veriye döndüğü toplumumuzda veri güvenliği ve gizliliğine ilişkin tartışmalar çoğalmaktadır. Bireyler verilerini kağıt üzerinde saklamaktansa dijitalleşerek " Bulut Sistemleri " üzerinde veri depolanması artmıştır. Bulut sistemlerinde saklanan veriler kullanıcının kendi ülkesinde olabileceği gibi dünyanın bambaşka bir yerinde de saklanabilmektedir; dolayısı ile verinin saklandığı ülkelerin bu verilere olan erişimleri ve hükümetlerin iletişim halinde oldukları diğer ülkelerle veri alışverişlerine dair problemler teknoloji çağının en büyük sorunları olmaya başlamıştır.

Bu kapsamda 2018 yılı içerisinde ABD’de Clarifying Overseas Use of Data (Cloud) Act (‘Cloud Act’), Amerikan kolluk kuvvetlerinin yurtdışında depolanmış verilere ulaşımını düzenlemektedir. Cloud Act 1986 tarihli Electronic Communications Privacy Act (ECPA)’nın güncellenmiş hali olarak da değerlendirilmektedir. Zira ECPA günümüz elektronik iletişimlerine uygun olmadığı nedeni ile uzun zamandır eleştirilmekte idi.

Cloud Act öncesi ABD'nin yurtdışında depolanmış verilere ulaşabilmesi için karşılıklı hukuki yardımlaşma antlaşmaları (mutual legal-assistance treaties (‘MLATs’)) imzalanması gerekmekteydi. Bu antlaşmalarda iki veya daha fazla ülke adli tahkikatlarda birbirlerine ne kadar yardım etmeye hazır olduklarını yazıya dökerler ve daha sonrasında bu anlaşmaların ABD Senatosunda oylanması, oylama sonucu geçebilmesi için oyların üçte ikisinin olumlu olması gerekir.

Cloud Act ile ABD'nin artık MLAT gereksinimi ortadan kalkmış olmakla ABD kolluk kuvvetleri, hangi rütbede olurlarsa olsunlar, teknoloji şirketlerinin verileri nerde depoladığı önemli olmaksızın bu kullanıcı verilerinin kendilerine verilmesini talep edebileceklerdir. Cloud Act ile aynı zamanda yürütme organı; yabancı ülkeler ile, o ülkelerin gizlilik yasalarına bakılmaksızın, uygulama anlaşmaları yaparak karşılıklı olarak diğer ülkede depolanan kullanıcı verilerine ulaşım hakkını elde edecektir. Yapılacak olan bu anlaşmalar için ilgili yasama kurumlarının onayına gerek olmayacak, dolayısı ile yürütme organına daha fazla güç verilmiştir olmaktadır.

Cloud Act’in Amerikan vatandaşlarını daha güvenli tuttuğu düşünülmektedir. 2013 yılında Amerikan Başkan'ın teftiş grubu tarafından çıkarılan bildirime göre MLAT taleplerinin işlenmesi ortalama 10 ay sürmektedir ve o zamana kadar talep edilen veri çoktan işe yaramaz olabilir; dolayısı ile Cloud Act ile kolluk kuvvetleri yurtdışındaki verilere daha hızlı ulaşabilecek ve kovuşturma aşamaları ve suçun önlenmesinin kolaylaştırılması amaçlanmıştır.

Ancak bütün yansıtılan olumlu yönlerine rağmen Cloud Act’in en tartışılan yanı dijital gizliliği tehlikeye soktuğu yönündedir. Beş yıl önce, ABD Adalet Bakanlığı Microsoft'a kanuna aykırı faaliyetlerde bulunduğundan şüphelenilen kullanıcılarından birinin verilerini, kendilerine teslim etmesine dair bir talep yollamıştır. Ancak problem yaratan durum bu kullanıcın İrlanda 'da yaşayan bir İrlandalı olması ve bütün dijital iletişim verilerinin İrlanda 'da depolanmış olması idi. Bu durumda Microsoft İrlandalı vatandaşın verilerini İrlanda hükümetinin izni olmadan ABD'ye vermek zorunda mıdır?

Microsoft kullanıcılarının gizliliği ve kolluk kuvvetlerinin ihtiyaçlarının çatıştığı bu olayı Amerikan hükümeti yargıya taşımıştır.

Akla gelen ilk sorular;

Yabancı kullanıcıların özel dijital iletişimlerini başka ülkelere teslim etmek o ülkenin gizlilik yasalarını ihlal edecek mi ve bu durumda Microsoft ve diğer Amerikan teknoloji şirketlerini hangi ülkenin kurallarına uyup, hangilerininkini ihlal edeceklerine dair bir çıkmazın içinde mi bırakacak?

İrlanda'nın ve diğer yabancı ülkelerin artık misilleme amacıyla Amerikan vatandaşlarının özel verilerine ulaşım hakları mı doğacak? Yabancı ülkeler Amerikan şirketlerini boykot etmek amacıyla servislerini ve ürünlerini kullanımdan kendilerini geri mi çekecek? şeklindedir.

Bu soruların cevabı henüz verilmemekle birlikte bu durumlarda teknoloji devi olan Amerika'nın ekonomik kayıplar yaşayacağı çok açıktır.

Cloud Act’in “Facebook, Google, Microsoft ve Oath” tarafından da desteklendiği bilinmektedir.

Amerikan Sivil Özgürlükler Birliği (ACLU) yasama hukuk danışmanı Neema Singh Guliani yaptığı açıklamada Cloud Act’in yasama ve denetim organlarının gözetimini ortadan kaldırdığını, dışişleri ve adalet bakanlıklarına hangi ülke ile veri değişimi anlaşmasına girileceğine dair fazlasıyla takdir yetkisi verildiğini kayda geçirmiştir.

Demokrasi ve Teknoloji Merkezi de Cloud Act’e Amerikan vatandaşlarının dijital gizliliğini koruyamadığı nedenleri ile karşıdır. Electronic Frontier Foundation (EFF), da yasanın Amerikan vatandaşlarının gizlilik haklarını koruyan Fourth Amendment'ı aşmak için yeni bir arka kapı oluşturduğunu iddia etmektedir.

Gözetim ve Siber Güvenlik Planı Açık Teknoloji Enstitüsü Başkanı Sharon Bradford Franklin değişiklikler hakkında Cloud Act’in yeni teminatlar sağladığını ancak bireysel hakları koruma konusunda yetersiz kaldığını ifade etmektedir.

Gizliliğimizin ve siber güvenliğimizin en büyük haklarımızdan biri olduğu çağımızda verilerin ve elektronik iletişimlerin ülkeler tarafından ulaşımına bu şekilde izin verilmesi bireysel güvenlik adı altında aslında gizliliğimizi ihlal eden bir durum oluşturmaktadır. Bitcoin (BTC) savunucusu Andreas M. Antonopoulos bu konuyla ilgili bireylere karanlığa gömülmelerini söylemiş ve şu sözlerle veri gizliliğinin gelebileceği karanlık noktaya değinmiştir; "Gizlilik suç olarak gözüktüğünde sadece suçluların gizliliği olacaktır."