2026'da Dünya Genelindeki Veri Şifreleme Düzenlemeleri

2026'da şifreleme kuralları yetki alanına göre keskin biçimde ayrışmaktadır. AB, "uygun teknik tedbirleri" (GDPR Madde 32) zorunlu kılar; AES-256 temel standart olarak geniş kabul görmektedir. ABD, sektöre özgü kuralları katmanlı biçimde uygular: sağlık için HIPAA, ödemeler için PCI DSS 4.0, finans için GLBA Güvenlik Kuralı ve CCPA/CPRA öncülüğünde bir eyalet yasaları yıkısı. Çin'in PIPL'i (Maddeler 38-43) sınır ötesi transferlere ihracat kısıtlamaları getirir. Hindistan'ın DPDPA'sı (2023) 2025'te yürürlüğe girdi. Brezilya'nın LGPD'si GDPR'ı yansıtır. Türkiye'nin KVKK'sı ise benzeri avrupa modeliyle veri işleyicilere kapsamlı yükümlülükler getirir. Birçok yetki alanı (İngiltere, Avustralya, Fransa) uçtan uca şifrelemeyle çelişen yasal erişim gereksinimleri getirmiştir.

Avrupa Birliği: GDPR Küresel Şablonu Belirliyor

GDPR Madde 32, "kişisel verilerin takma adlandırılması ve şifrelenmesini" uygun güvenlik tedbiri olarak zorunlu kılar. Teknik olarak katı bir zorunluluk değildir, ancak işlevsel olarak zorunludur; Madde 34(3)(a), veriler şifreleme yoluyla "anlaşılmaz kılındığında" ihlal bildirimi zorunluluğunu kaldırır. EDPB'nin 01/2021 No'lu kılavuzu beklenen minimum olarak AES-256 veya eşdeğerini netleştirir.

Madde 44 ve Bölüm V, AEA dışına aktarımları kısıtlar. Schrems II'nin (C-311/18) ardından Standart Sözleşme Maddeleri ek tedbirler gerektirmektedir; tipik olarak alıcının anahtarları kontrol ettiği uçtan uca şifreleme, böylece ABD sağlayıcıları FISA 702 talepleri kapsamında teknik olarak düz metne erişemez. 2023 AB-ABD Veri Gizliliği Çerçevesi bazı transatlantik akışları yeniden sağladı, ancak hukuki temeli kırılgandır. Ekim 2024'ten itibaren yürürlükteki NIS2 Direktifi, benzer şifreleme beklentilerini enerji, ulaşım, sağlık ve dijital altyapı dahil temel hizmetlerin orta ve büyük ölçekli operatörlerine de genişletti.

Amerika Birleşik Devletleri: Sektörden Sektöre

ABD'de tekdüze şifreleme gerekliliklerine sahip federal bir veri koruma yasası yoktur. Bunun yerine:

HIPAA Güvenlik Kuralı (45 CFR 164.312(a)(2)(iv) ve (e)(2)(ii)): ePHI şifrelemesi "adreslenebilir" olarak tanımlanır; kapsanan kuruluşun neden şifrelemediğini belgelemesi gerekir. Pratikte OCR denetimleri bunu zorunlu olarak ele alır.
PCI DSS 4.0 (Mart 2025 tam uygulama): Gereksinim 3.5.1 PAN'ın her yerde okunamaz hale getirilmesini, Gereksinim 4.2.1 ise açık ağlarda güçlü kriptografi (minimum TLS 1.2, tercih TLS 1.3) kullanılmasını zorunlu kılar.
GLBA Güvenlik Kuralı (16 CFR Bölüm 314), 2023 güncelleme: aktarımda ve beklemede müşteri bilgilerinin şifrelenmesi; finans kuruluşları için belirli cezalar.
SEC Yönetmelik S-P değişiklikleri (2024): broker-dealer ve danışmanlar için 30 gün içinde ihlal bildirimi.

Ardından eyalet katmanı gelir: CCPA/CPRA (Kaliforniya), CDPA (Virginia), CPA (Colorado), CTDPA (Connecticut), UCPA (Utah) ve 2026'da aktif yasalara sahip 14'ten fazla eyalet. Çoğu "makul güvenliği" zorunlu kılar; davacı avukatları bunu "şifrelemediniz, dolayısıyla başarısız oldunuz" şeklinde yorumlar.

Türkiye: KVKK Kapsamlı Bir Çerçeve Sunuyor

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016'dan bu yana yürürlüktedir ve GDPR ile paralel ilkeler taşır. Madde 12, veri sorumlularını kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek için uygun güvenlik tedbirlerini almakla yükümlü kılar; bu kapsamda şifreleme açık biçimde düzenlenmiştir. Yurt dışı veri aktarımları Madde 9 uyarınca ilgili kişinin açık rızasına veya yeterli korumanın bulunduğunun Kurul tarafından tespit edilmesine bağlıdır. Şifreleme, sınır ötesi aktarımlarda ek bir teknik güvence olarak kabul edilmektedir. Veri ihlallerinde bildirim yükümlülüğü, ihlalden haberdar olunmasından itibaren 72 saat içinde KVKK Kurumu'na yapılmasını gerektirir.

İngiltere: UK GDPR ve Soruşturma Yetkileri Yasası

UK GDPR, AB GDPR'ının Madde 32'sini birebir yansıtır. İlginç boyut ise 2024'te değiştirilen 2016 tarihli Soruşturma Yetkileri Yasası'nın İçişleri Bakanlığı'na sağlayıcıların iletişimlerden "elektronik korumayı kaldırmasını" isteyen Teknik Kapasite Bildirimleri çıkarmasına olanak tanımasıdır. Bu durum E2EE ile gergin bir denge oluşturur; Apple, 2025'in başında bu uygulamaya yanıt olarak İngiltere'deki kullanıcılara sunduğu iCloud Gelişmiş Veri Koruması'nı geçici olarak geri çekmiştir.

Çin: PIPL ve Kriptografi Kanunu

Kasım 2021'den itibaren yürürlükte olan Kişisel Bilgilerin Korunması Kanunu (PIPL), sınır ötesi veri aktarımları için Maddeler 38-43 aracılığıyla katı şifreleme gereksinimleri getirir. Çin'in 2020 tarihli Kriptografi Kanunu, algoritmaları "çekirdek", "yaygın" ve "ticari" olarak sınıflandırır; Çin'de satılan ürünler için ticari kriptografi tür sertifikası gerektirir. SM2, SM3 ve SM4 (Çin ulusal algoritmaları), belirli devlet ve kritik altyapı kullanım senaryoları için zorunludur.

Hindistan: DPDPA Sahneye Çıkıyor

Ağustos 2023'te yürürlüğe giren ve 2025 kurallarıyla hayata geçirilen Dijital Kişisel Veri Koruma Kanunu (DPDPA), "makul güvenlik önlemlerini" (Bölüm 8(5)) zorunlu kılar. Ocak 2025'te yayımlanan taslak kurallar, temel beklenti olarak şifrelemeyi belirtmektedir. Sınır ötesi aktarımlar, hükümet tarafından özellikle engellenen ülkeler dışında serbesttir; bu yaklaşım GDPR'ın genel yasağından farklı bir "açık liste ama beyaz liste" modelidir.

Brezilya, Kanada, Avustralya

Brezilya'nın LGPD'si (13.709/2018 Sayılı Kanun) GDPR'ı yakından yansıtır; ANPD kılavuzu şifrelemeyi beklenen bir Madde 46 güvencesi olarak tanımlar. Kanada'nın PIPEDA'sı "duyarlılığa uygun güvenlik önlemleri" gerektirir; içtihat ve OPC kılavuzu, çoğu düzenlenmiş veri için şifrelemeyi esas kabul eder. Quebec'in 25 No'lu Kanunu (Eylül 2024'ten tamamen yürürlükte) açık ihlal bildirimi ve sınır ötesi kurallar ekler.

Avustralya'nın 1988 tarihli Gizlilik Yasası aktif reform sürecindedir; 2024 değişiklikleri gizlilik için yasal bir haksız fiil getirdi. 2018 tarihli Telekomünikasyon Yasası değişiklikleri (Assistance and Access Act), E2EE'yi fiilen kıran zorunlu teknik yardıma olanak tanıır; bu durum İngiltere'dekine benzer süregelen bir gerilimdir.

Yetki Alanı Anlık Görüntüsü

| Bölge | Birincil yasa | Şifreleme tutumu | Sınır ötesi kural | |---|---|---|---| | AB | GDPR Md. 32 | AES-256 beklenir | Bölüm V / MSM | | ABD Sağlık | HIPAA 164.312 | Adreslenebilir = zorunlu | N/A | | ABD Ödemeler | PCI DSS 4.0 | Zorunlu 3.5.1 | N/A | | Türkiye | KVKK Md. 12 | Teknik tedbir zorunlu | Md. 9 kısıtları | | İngiltere | UK GDPR + IPA | Zorunlu; yasal erişim gerilimi | Yeterlilik kararları | | Çin | PIPL + Kripto Kanunu | Zorunlu; devlet için SM algoritmaları | Güvenlik değerlendirmesi | | Hindistan | DPDPA | Makul tedbirler | Kara liste modeli | | Brezilya | LGPD | Beklenen Md. 46 | ANPD denetimi | | Kanada | PIPEDA / Kanun 25 | Pratikte zorunlu | Quebec açık | | Avustralya | Gizlilik Yasası 1988 | Beklenir; AAA gerilimi | Durum bazlı |

Yasal Erişim Sorunu

İngiltere'nin IPA 2016'sı, Avustralya'nın AAA 2018'i ve Fransa'nın 2025'te sunulan Projet de Loi Narcotrafic'i sağlayıcıların yasal emir üzerine iletişimlerin şifrelemesini kaldırmasını gerektiren hükümler içerir. Bu, GDPR'ın "anlaşılmaz kılınmış" veri gereksinimi ve sağlayıcıların fiziksel olarak şifreyi çözemediği E2EE sistemleriyle çelişir. Bu çatışmanın nasıl çözüleceği (teknik geçici çözümler, yetki alanı arbitrajı veya gerçek yasal değişiklikle mi) 2026'nın belirleyici kriptografi politikası sorusudur.

Pratikte Bu Neden Önemli

Uluslararası faaliyet gösteren küçük veya orta ölçekli bir işletme için pratik yol şudur: beklemede AES-256-GCM ile ve aktarımda TLS 1.3 ile her şeyi şifreleyin, anahtarları güvendiğiniz bir yetki alanında tutun, her veri işleyicisiyle VİS imzalayın ve şifreleme mimarilerini ve mahkeme yanıt politikalarını yayımlayan dosya transfer ve e-posta sağlayıcıları seçin. Uyumluluk, tek "doğru" düzenlemeyi bulmakla değil, geçerli en katı rejim altında savunulabilir bir duruş oluşturmakla ilgilidir.

Dosya transfer alanı için: hexatransfer.com'da deneyin — ücretsiz, hesap gerekmez, 10 GB'a kadar.