VPN 1 Ekim 2026

VPN Şirketinin Bulunduğu Ülke Neden Önemli?

Veri saklama yükümlülükleri ve istihbarat paylaşım anlaşmalarının etkisi.

VPN şirketinin bulunduğu ülke önemli, ama genelde sanıldığı sebeple değil. Ülke tek başına bir sağlayıcıyı güvenli ya da güvensiz yapmıyor; hangi kayıtları tutmak zorunda kalabileceğini ve bir talep geldiğinde neye itiraz edebileceğini belirliyor.

Kayıt politikasını nasıl okuyacağınızı VPN log politikası yazısında anlattık. Orada yetki alanı dört doğrulama maddesinden biriydi; burada o maddeyi açıyoruz.

Üç ayrı ülke

"VPN'in ülkesi" dendiğinde çoğu kişi tek bir yer düşünüyor. Oysa üç ayrı ülke var ve her biri başka bir soruya cevap veriyor:

Tanıtım metinleri genellikle yalnızca birinci satırdan söz ediyor. Ama bağlandığınız sunucu başka bir ülkedeyse o sunucu o ülkenin yasalarına tabi. Şirket nerede kayıtlı olursa olsun, sunucunun durduğu veri merkezine yerel makamlar ulaşabiliyor.

Şirketin ülkesi neyi değiştirir?

1. Kayıt tutma zorunluluğu. Bazı ülkeler iletişim hizmeti sağlayanlara belirli bir süre bağlantı kaydı tutma yükümlülüğü getiriyor. O ülkede kayıtlı bir sağlayıcının "kayıt tutmuyoruz" demesi yasayla çelişiyor; ya yasanın kapsamı dışında kaldığını açıklamalı ya da politika metni gerçeği yansıtmıyor. Avrupa Birliği'nde genel veri saklama direktifi 2014'te AB Adalet Divanı tarafından geçersiz sayıldı; o günden beri durum üye ülkenin kendi yasasına bağlı ve ülkeden ülkeye değişiyor.

2. Gizli talepler. Bazı hukuk sistemleri, makamların bir şirketten veri isterken şirketin bunu açıklamasını yasaklamasına izin veriyor. Şirket talebi duyuramıyor, kullanıcılar haberdar olmuyor. Bazı sağlayıcıların yayımladığı şeffaflık raporları ve düzenli güncellenen "henüz talep almadık" beyanları (warrant canary) bu boşluğu dolaylı yoldan kapatmaya çalışıyor: beyan güncellenmeyi bırakırsa bir şey olmuş demek.

3. İtiraz imkânı. Hukuk sisteminin bağımsız mahkeme denetimi sunup sunmadığı, şirketin aşırı ya da geniş kapsamlı bir talebe itiraz edip edemeyeceğini belirliyor.

Göz ittifakları

VPN tartışmalarında sık geçen Beş Göz (Five Eyes), ABD, Birleşik Krallık, Kanada, Avustralya ve Yeni Zelanda arasındaki istihbarat paylaşım ittifakı. Varlığı resmî olarak biliniyor.

Dokuz Göz ve On Dört Göz listeleri ise bu çekirdeğe Avrupa ülkelerini ekleyen, sızdırılmış belgelere ve basın haberlerine dayanan genişletmeler; tek bir antlaşma metni değil. VPN karşılaştırma sitelerinde kesin bir hukuki kategori gibi sunuluyorlar, ama pratikteki anlamları sınırlı.

Sınırlı, çünkü istihbarat servisleri bir VPN şirketinden kayıt istemeden de trafiği izleyebiliyor: veri merkezlerinin bağlı olduğu hatlarda, ülke sınırını geçen kablolarda. Bu tür izlemeye karşı şirketin ülkesi değil, trafiğin şifrelenmesi koruyor. İttifaklar daha çok "bir ülkede toplanan bilgi başka bir ülkeye aktarılabilir mi" sorusuyla ilgili.

Hiçbir yasanın yapamadığı şey

Şirketin tutmadığı kaydı hiçbir mahkeme teslim ettiremiyor. Ülke tartışmasındaki en önemli ayrıntı bu: kayıt yoksa, en sert yasa bile geçmişe dair bir şey çıkaramıyor.

Ama bir yasa ya da mahkeme kararı bundan sonra kayıt tutmayı zorunlu kılabiliyor. Bir ülke VPN sağlayıcılarına kullanıcı kaydı tutma zorunluluğu getirdiğinde bazı büyük sağlayıcıların o ülkedeki fiziksel sunucularını kaldırdığı görüldü. Disksiz, yalnızca bellekte çalışan sunucular bu yüzden değerli: kayıt tutmayı niyet meselesi olmaktan çıkarıp teknik olarak zorlaştırıyor.

"Offshore" iddiasını okumak

Birçok sağlayıcı küçük ada ülkelerinde ya da gizlilik yasalarıyla bilinen ülkelerde kayıtlı olduğunu öne çıkarıyor. İki şeyi kontrol edin:

• Ana şirket nerede? Hizmeti sunan şirket bir ülkede, onun sahibi olan grup başka bir ülkede olabiliyor. Talep ana şirkete gelirse küçük ada şirketinin kaydı pek bir şey değiştirmiyor. Satın alma haberleri ve şirket sicilleri bunu gösteriyor.
• Çalışanlar, ödeme ve altyapı nerede? Geliştirme ekibi, ödeme işleyicisi ve sunucular farklı ülkelerdeyse her biri ayrı bir yasal temas noktası.

Sanal konumlar

Uygulamada "Türkiye" yazan bir sunucu fiziksel olarak başka bir ülkede olabiliyor. Sağlayıcılar bazı ülkelerde fiziksel sunucu bulundurmak yerine, o ülkeye ait görünen adresleri komşu bir ülkedeki sunucudan veriyor. Buna sanal konum deniyor ve sağlayıcıların çoğu sunucu listesinde bunu işaretliyor.

Bu, sitelerin sizi hangi ülkeden görüyor sandığını değiştirmiyor, ama sunucunun hangi yasaya tabi olduğunu değiştiriyor. VPN açıkken sorgulama aracında gördüğünüz konum adresin kayıtlı olduğu yeri gösteriyor, sunucunun fiziksel yerini değil; adresten konum bulmanın sınırlarını ayrıca anlattık. Adresin hangi kuruma kayıtlı olduğunu WHOIS sorgusuyla görebilirsiniz.

Sizin ülkeniz

Üçüncü ülke sizinki. VPN kullanımının yasal çerçevesi ve operatörünüzün neyi görebildiği buna bağlı. IP değiştirmenin yasal durumunu ayrı bir yazıda ele aldık. Operatör, VPN kullanırken tünelin içeriğini görmüyor ama bir VPN sunucusuna bağlandığınızı, ne zaman ve ne kadar veri aktardığınızı görüyor.

Karar çerçevesi

Tabloyu şöyle okuyun: ülke, kayıt politikasının üstüne gelen bir katman. Kayıt tutan bir sağlayıcıyı iyi bir ülke kurtarmıyor; kayıt tutmadığı kanıtlanmış bir sağlayıcıda ise ülke, geleceğe dönük riski belirliyor. VPN'in ne yaptığını ve ne yapmadığını en baştan görmek için VPN nedir yazısına bakabilirsiniz.

Sıkça sorulan sorular