AB barındırma rehberi hukuki kontrolü, dokuz yığın katmanı boyunca sunucu konumundan ayırıyor

dev.to'da yayımlanan bir rehber, bir web sitesini ABD altyapısından taşıma sorusunu ele alıyor ve yaygın bir varsayımla düzelterek başlıyor: sunucuların fiziksel olarak nerede durduğu, onları işleten şirketi hukuken kimin kontrol ettiğinden çok daha az önemli. ABD merkezli bir şirkete ait Frankfurt'taki bir rack, ABD hukukunun erişim alanında kalıyor.

ABD'nin hukuki erişimi coğrafyayı değil kontrolü izliyor

Rehbere göre, 2018 tarihli ABD CLOUD Act, ABD yetkisi altındaki bir sağlayıcıya, verinin fiziksel olarak nerede olduğuna bakılmaksızın elinde, tasarrufunda veya kontrolünde bulunan verileri teslim etmesi için yetki verebiliyor — bu erişim ABD ana şirketlerine ve pratikte onların Avrupa iştiraklerine kadar uzanıyor. Rehber, 10 Haziran 2025 tarihli bir Fransız Senatosu duruşmasına atıf yapıyor; Microsoft Fransa'nın hukuk danışmanı Anton Carniaux, Fransız vatandaşlarının verilerinin asla ABD yetkililerine ulaşmayacağını garanti edip edemeyeceği yemin altında sorulduğunda edemeyeceğini yanıtlamış. Yasa hâlâ bir tahliye kararını veya mahkeme emrini gerektiriyor ve şifrelemeye karşı tarafsız; ancak dava yoluyla savunmanız gereken bir sınır, veri koruma değerlendirmesinde dayanabileceğiniz bir kontrol değildir.

"AB"nin dört anlamı ve yalnızca biri yanıtı değiştiriyor

Rehber, insanların AB barındırma dediği dört şeyi ayrıştırıyor. Bir AB bölgesi — bir ABD sağlayıcısının blok içindeki veri merkezi — sağlayıcı ABD kontrolünde olduğu için ABD hukuki erişiminde kalıyor. Bir AB veri ikamet sözleşmesi bir taahhüttür ve sözleşme, ABD mahkeme emrini geçersiz kılamaz. Bir ABD hyperscaler'ının sovereign-cloud teklifi tartışmalı: ABD hukukunun buna erişip erişmediği mülkiyete ve operasyonel zincire bağlı ve bu da üründen ürüne değişiyor. Yalnızca dördüncü seviye — ABD ana şirketi olmayan, kayda değer ABD operasyonu bulunmayan, AB veya AEA'da kurulmuş ve kontrol edilen bir sağlayıcı — yargısal yanıtı değiştiriyor. Rehber, AB'nin 3 Haziran 2026 tarihli Tech Sovereignty Package'inin resmi güvence seviyeleri önerdiğini belirtiyor; tam olarak sovereign-cloud etiketinin tek başına hiçbir şey ifade etmediği için.

AB-ABD Data Privacy Framework yürürlükte ama zorlanıyor

Rehbere göre çerçeve yürürlükte, ama bir yıl öncesinden daha az istikrarlı. 3 Eylül 2025'te AB Genel Mahkemesi Philippe Latombe'un iptal davasını (T-553/23) reddetti; dava 2023 yeterlilik kararının gerçeklerine göre değerlendirildi. Latombe Ekim 2025'te CJEU'ya temyiz başvurusunda bulundu — Safe Harbor ve Privacy Shield'i çürüten mahkeme bu. 29 Haziran 2026'da Trump v. Slaughter davasında ABD Yüksek Mahkemesi 6-3 oyla FTC Komiserleri için yasal görevden koruma hükümlerinin anayasaya aykırı olduğuna hükmetti ve 31 Temmuz 2026'da EDPB, yeterlilik kararının FTC'nin bağımsızlığını açıkça esas aldığı gerekçesiyle Komisyon'dan sonuçları değerlendirmesini istedi. Pratik sonuç: tek başına çerçeveye yaslanmak yerine Standard Contractual Clauses ve transfer etki değerlendirmelerini yerinde tutun.

Hukuki risk ile stratejik tercih farklı projelerdir

Hukuki risk, belirli kişisel verilerle ve işlemeyle ilgilidir, hassasiyetle ölçeklenir — IP adresleri kaydeden bir pazarlama sitesi bir sağlık portalı değildir — ve bir veri haritası, bir transfer etki değerlendirmesi ile kişisel verileri gerçekten taşıyan katmanlarda değişiklikler gerektirir. Stratejik tercih tedarik zinciri bağımlılığı, jeopolitik maruziyet ve paranın nereye gittiğiyle ilgilidir; riskle orantılı değildir ve hiçbir hukuki sorun oluşturmayan şeylerin taşınmasını da gerekçelendirebilir. Rehber uyarıyor: uyumluluk gereksinimi kılığına sokulmuş bir tercih, kendi ortaya koyduğu testte başarısız olan bir projeye dönüşür.

ABD maruziyetinin çoğu barındırma ötesindeki katmanlarda gizli

Rehbere göre host, herkesin odaklandığı ve genellikle en az ilginç olan katman. Her katman ayrı bir sözleşme ve veri akışıdır. Avrupa seçenekleri arasında sunucular için Hetzner, IONOS, OVHcloud, Scaleway ve UpCloud; CDN için Bunny.net, Myra ve KeyCDN (İsviçre merkezli, bir yeterlilik ülkesi); DNS için deSEC, Hetzner DNS ve INWX; self-hosted font dosyaları; analytics için Matomo, Plausible ve etracker; video için Bunny Stream, Dailymotion veya click-to-load öntanımlı yüzeyleri arkasında self-hosted PeerTube; formlar ve transactional email için Brevo ve Mailjet; hata takibi için tarayıcı tarafında PII temizliğiyle self-hosted Sentry veya GlitchTip; AI katmanı için Mistral, Aleph Alpha ve OVHcloud AI Endpoints yer alıyor.

Fontlar en ucuz kazanımdır: Ocak 2022'de Landgericht München I, bir site Google Fonts'u Google'ın CDN'inden çekip ziyaretçinin IP adresini onaysız şekilde ABD'ye gönderdikten sonra ziyaretçiye 100 euro tazminat takdir etti.

Tamamen AB'ye geçmenin gerçek maliyeti

Rehber, geçişin bedelsiz olmadığını açıkça söylüyor. Avrupa, güçlü altyapı ama daha ince bir managed-service katmanı ve daha küçük ekosistemler sunuyor; hata takibi ve video barındırma en zayıf alternatifler; Avrupa dışı kitleler gerçek milisaniyeler ödüyor; ve öncü ABD AI modelleri bazı görevlerde hâlâ önde. Bunların hiçbiri bir içerik sitesi için engel değil ama küresel bir tüketici ürünü için birkaç boşluk engelleyici olabilir. Rehber ayrıca kaynağını da açıklıyor: Hetzner üzerinde yönetilen AB barındırma sunan Neleto adlı CMS'in ekibinden geliyor ve yazarlar, ürünün tek başına bir siteyi GDPR uyumlu yapmadığını kabul ediyor.

Neden önemli

Hukuki ile fiziksel arasındaki ayrım, ekiplerin en çok yanlış anladığı nokta ve satın almayı değiştiriyor: bir ABD sağlayıcısından AB bölgesi veya ikamet eklentisi, yargı değişikliği değil hafifletme satın alır. Data Privacy Framework aktif hukuki baskı altındayken aktarımların tek bir arıza noktası yerine yedekli mekanizmalara ihtiyacı var. Ve ABD maruziyetinin çoğu denetlenmemiş katmanlarda — fontlar, DNS, analytics, hata takibi — gizli olduğundan, gerçek bir taşınma yalnızca yeni bir hosting sözleşmesini değil, tüm yığın boyunca bir envanteri gerektiriyor.