Uyum Paradoksu

2026 için Güncellendi

Şirketler GDPR kurallarına uymak için anonimleştirme araçları kullanıyor. Bu araç sorunun çözümü olarak görülüyor: Madde 32 kapsamında kişisel kayıtları koruyor. Ancak araç AB kişisel dosyalarını ABD sunucularına gönderiyorsa, önlemeye çalıştığı ihlalin ta kendisini yaratıyor.

Ağustos 2024'te Hollanda Kişisel Verileri Koruma Otoritesi Uber'e 290 milyon euro para cezası kesti. Bu, dönemin en büyük AB veri transferi cezasıydı. Gerekçe: Uber, Avrupalı sürücü belgelerini ABD sunucularına göndermişti. İsimler, konum bilgileri, ödeme bilgileri ve kimlik belgeleri sınır ötesi aktarılmıştı. Gerekli Madde 46 güvenceleri yoktu. Hollanda DPA, Uber'in ABD sunucusu kullanımını kesintisiz bir GDPR ihlali olarak nitelendirdi.

Aynı mantık anonimleştirme araçları için de geçerli. AB kişisel verilerini ABD sunucularına taşıyan bir ABD SaaS aracı, Hollanda DPA'nın cezalandırdığı şeyin aynısını yapıyor. Amacın farklı olması — anonimleştirme ile yolculuk yönetimi arasındaki fark — hukuki analizi değiştirmiyor. Sade bir açıklama için uyum genel bakışımıza bakın.

VKY'ler Durumun Farkında

Veri Koruma Yetkilileri (VKY'ler) bu sorunu 2020'deki Schrems II kararından bu yana gündeme taşıyor. O karar, AB-ABD Gizlilik Kalkanı'nı geçersiz kıldı. Ek güvenceler sağlanmadıkça ABD sunucularının AB kişisel dosyaları için güvenli sayılamayacağı kuralını koydu.

AB kişisel dosyalarını işleyen her ABD aracı için dosyada yasal bir transfer dayanağı bulunması zorunlu. 2025 yılına kadar toplam GDPR para cezaları 5,65 milyar euro'ya ulaştı. Transfer ihlallerine karşılık gelen cezalar işlem başına ortalama 18 milyon euro. Risk somut ve canlı; büyük cezalar zaten verildi, verilmeye devam edecek.

Paradoksu Çözmenin İki Yolu

İki gerçek çözüm var. Birincisi, belgeleri yalnızca AB sunucularında işlemek. Dosyalar AB'yi hiç terk etmez. İkincisi, sıfır-bilgi tasarımı kullanmak. Sunucuya hiçbir kişisel içerik ulaşmaz.

Sadece AB'de barındırma yeterli olmayabilir. AB sunucularında faaliyet gösteren bir ABD şirketi yine de dosyaları teslim etmek zorunda bırakılabilir. FISA 702. Bölümü ve Yürütme Kararnamesi 12333, ABD şirketlerini ve bunların AB birimlerini kapsar. ABD ana şirketi erişim sağlamaya zorlanabilir — hatta AB sunucularındaki dosyalar için bile.

Sıfır-bilgi tasarımı bunu çözer. Sunucuya kişisel içerik hiç ulaşmıyorsa sunucunun konumu önemli değildir. Sunucuya ulaşan şey — şifreli token'lar, maskelenmiş değerler, dönüştürülmüş çıktı — GDPR kapsamında kişisel veri sayılmaz. Transfer kurallarının dışında kalır. anonym.legal ilk yolu kendisi izler: API'si metni AB veri merkezlerinde (Hetzner, Falkenstein) işler. Güvenlik genel bakışımıza ve fiyatlandırma planlarına bakın.

anonym.legal, metni AB merkezli Hetzner veri merkezlerinde (Falkenstein) işler; sıfır bilgi oturum açma için geçerlidir, bu yüzden parolanız cihazınızdan asla çıkmaz. anonym.legal'in Masaüstü Uygulaması dosyaları cihazınızda okur; tespit AB'de barındırılan API üzerinde çalışır.