5G, konum verisi ve hukukun hedef şaşırması

Tue, 18 Aug 2026 00:00:00 +0000

2011 yılında Detroit polisi bir mobil operatörden Timothy Carpenter’ın telefonunun baz istasyonu bağlanma geçmişini istedi. 127 güne yayılan 12.898 konum noktası elde etti, günde yaklaşık yüz nokta. Yedi yıl sonra Amerika Birleşik Devletleri Yüksek Mahkemesi bu talebin bir arama teşkil ettiğine ve yargı kararı gerektirdiğine hükmetti.

Bu 12.898 nokta, her biri birkaç kilometrelik bir yarıçapı kapsayan dördüncü nesil antenlerden geliyordu. Aynı talep bugün kentsel bir 5G şebekesine yöneltilseydi, birkaç kilometre yaklaşıklıkla günde yüz nokta döndürmezdi. Birkaç on metre yaklaşıklıkla çok daha büyük bir hacim döndürürdü.

Teknoloji ölçek değiştirdi. Hukuki muhakeme ise zincirin aynı noktasında kaldı.

Atlantik’in iki yakasındaki yargıçların tanıdığı bir hukuki değer

Neredeyse herkesin kabul ettiği, buna karşılık neredeyse hiçbir metnin etkili biçimde korumadığı bir menfaat var: bir yerde bulunmanın kayda geçirilmemesi hakkı.

Avrupa içtihadı bunu açıkça ortaya koydu. Digital Rights Ireland (birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014) ve ardından Tele2 Sverige ve Watson (birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016) kararlarında Avrupa Birliği Adalet Divanı, bu verilerin bütün olarak ele alındığında kişilerin özel hayatına ilişkin çok kesin sonuçlar çıkarmaya imkân verdiğine hükmetti: günlük yaşam alışkanlıkları, bulunulan yerler, hareketler, yürütülen faaliyetler ve toplumsal ilişkiler.

Amerika Birleşik Devletleri Yüksek Mahkemesi Carpenter v. United States , 585 U.S. 296 (2018) kararında benzer bir sonuca vardı. Amerikan doktrininin çokça yorumladığı bir noktanın altını çizdi: bu toplamanın kaçınılmaz ve otomatik niteliği. Kimse bir antene bağlanmaya rıza göstermez; açık bir telefona sahip olduğu için bağlıdır.

Demek ki hukuki değer mevcut ve bu alanda ağırlığı olan iki yüksek mahkeme tarafından tanınıyor. Sorun başka yerde.

5G’nin gerçekte değiştirdiği şey

Yaygın bir karışıklık, konumu telefonun ilettiği bir veri olarak, bir mesaj ya da fotoğraf gibi görmekten kaynaklanır. Durum böyle değildir. Konum, şebekenin işleyişinin fiziksel bir sonucudur. Operatör cihazın hangi antene bağlı olduğunu bilir, çünkü bir aramayı yönlendirmek için bilmek zorundadır. Bu bilgiyi şifrelemeye yarayacak hiçbir anahtar yoktur, zira söz konusu olan bir içerik değil, bağlantının kendisine ait bir özelliktir.

5G’yi teknik düzlemde değil, hukuki düzlemde anlamlı kılan tam da budur.

Önceki mimariler geniş hücrelere dayanıyordu. Bir 4G anteni yaygın olarak birkaç kilometrelik bir yarıçapa hizmet verir ve yalnızca bağlanmadan çıkarılan konum şehirde yüzlerce metreyle, kırsalda kimi zaman onlarca kilometreyle ölçülürdü. 5G kitlesel bir sıklaştırmaya dayanır: kentsel hücreler tipik olarak birkaç yüz metreyi kapsar ve mühendislik yazını 3G döneminde dört ya da beş olan yoğunluğa karşılık kilometrekare başına kırk ila elli baz istasyonu mertebesinde yoğunluklarla çalışır.

Sonuç mekaniktir. Ericsson’un 5G konumlandırma teknik raporuna göre yalnızca bağlanabilirlik için kurulan altyapı açık alanda yirmi ila elli metre, iç mekânda bir ila üç metre hassasiyete ulaşır ve elverişli kentsel koşullarda bir metrenin altına iner. Bu, bir yerde açılmış bir konum işlevi değil, hiçbir uygulama kurulmadan ve hiçbir izin verilmeden şebekenin yapısı gereği bildiği şeydir. Bütün bu mekanizmaları ve gerçekten işe yarayan karşı önlemleri telefonun kalıcı konum takibi üzerine yazımızda ayrıntılı olarak ele aldık.

Müdahale böylece birkaç büyüklük mertebesi arttı. Uygulanacak hukuki çerçeve ise 2G ve 3G için tasarlanmış olan çerçeve olarak kaldı. Bu ölçek değişimine hiçbir mevzuat uyarlaması eşlik etmedi.

Hukuk erişimi korur, üretimi değil

Avrupa hukuku konum verilerine kimin, hangi koşullarda ve hangi denetim altında erişebileceğini titizlikle düzenler. 2002/58/AT sayılı Direktif haberleşmenin gizliliği ilkesini koyar ve Adalet Divanı La Quadrature du Net (birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020) kararında, bu direktifin 15(1) maddesinin, Şart’ın 7, 8, 11 ve 52(1) maddeleri ışığında okunduğunda, trafik ve konum verilerinin önleyici amaçla genel ve ayrım gözetmeyen biçimde saklanmasına engel olduğuna hükmetti. Divan yine de, bir üye devletin gerçek ve güncel ya da öngörülebilir nitelikte ciddi bir ulusal güvenlik tehdidiyle karşı karşıya olduğu hallerde, etkili bir denetime tabi olmak kaydıyla çerçevelenmiş istisnaları kabul etti.

Bunlar gerçek güvencelerdir ve küçümsemek saçma olur. Ama hepsi olaydan sonra devreye girer. Verinin var olduğunu, saklandığını varsayar ve ardından kullanılma koşullarını düzenlerler.

Oysa konum şebekenin işleyişinin kaçınılmaz bir yan ürünüyse, uygun müdahale noktası gizlilik değildir. Kalıcılıktır.

Bir iletişimi yönlendirmek için gereken ve hemen ardından silinen anlık bir konum, bir gözetim aracı değildir. Aylarca saklanan bir konum geçmişi ise, çevresindeki erişim güvenceleri ne olursa olsun, bir gözetim aracıdır.

İkisi arasındaki fark hukuki değil, mimaridir. Ve Avrupa takvimi soruyu kuramsal olmaktan çıkarıp acil hale getiriyor. Komisyon, ortak yasa koyucular arasında uzlaşma sağlanamadığı için ePrivacy tüzüğü teklifini 2025’te geri çekti. O tarihten beri, ceza amaçlı veri saklamaya ilişkin ayrı bir araç üzerinde çalışıyor; 2026 için duyurulan bu araç, 2006 direktifinin iptalinden bu yana birbirinden uzaklaşmış ulusal rejimleri uyumlaştırmayı amaçlıyor. Başka bir deyişle, konum üstverilerinin rejimini on yıl boyunca belirleyecek metin şu anda, kilometrelik hücreler döneminde tasarlanmış bir muhakeme temelinde yazılıyor.

5G’nin kendi yarattığı emsal

Dosyanın en ilginç yanı, doğru cevabın teknik standartta zaten yer alması, ancak başka bir nesneye uygulanmış olmasıdır.

4G’ye kadar abonenin kalıcı kimliği, IMSI, bağlanma sırasında telsiz arayüzünde açık olarak dolaşıyordu. IMSI yakalayıcılarını mümkün kılan da budur: Electronic Frontier Foundation’ın başvuru niteliğindeki açıklamasına göre, cihazları kendine çekip kimliklerini yakalamak için meşru antenlerden daha güçlü yayın yapan sahte baz istasyonları.

3GPP şartnamelerinin 2019’da yayımlanan Release 15 sürümünden bu yana 5G zarif bir cevap getiriyor. Artık SUPI adı verilen kalıcı kimlik, telsiz arayüzünde SUCI ile değiştirilebilir: aboneye özgü kısmın, ana operatörün açık anahtarıyla eliptik eğri kriptografisi kullanılarak şifrelenmesiyle elde edilen gizlenmiş bir kimlik. Yalnızca ilgili özel anahtarı elinde tutan ana şebeke bunu çözebilir. Sonuç her hesaplamada benzersizdir; bu da bir oturumdan diğerine ilişkilendirmeyi engeller.

Benimsenen mantığın altını çizmek gerekir, çünkü yasa koyucuya yol göstermesi gereken mantık tam olarak budur: teknik olarak imkânsız olacağı için konum şifrelenmez, kimlik şifrelenir. Bağlanabilir bir kimlikten yoksun bir konumun bireyselleştirilmiş gözetim açısından değeri çok sınırlıdır.

Açık: isteğe bağlı bir koruma

Ne var ki önemli bir çekince mevcut ve bize göre bütün dosyanın en somut müdahale noktası bu.

National Institute of Standards and Technology tarafından Mart 2026’da yayımlanan NIST CSWP 36A teknik raporu bunu dolaysızca ifade ediyor. Release 15 veya sonrasına uygun cihazlar ve şebeke işlevleri SUCI’yi desteklemek zorundadır, ancak etkinleştirilmesi operatörün isteğine bağlıdır. Üç koşulun bir araya gelmesi gerekir: cihaz üreticisi desteklemeli, operatör kendi şebekesinde etkinleştirmeli ve SIM kart hesaplama için gerekli unsurları taşımalıdır.

Buna bir yapılandırma tuzağı eklenir. Standart, SUCI biçiminin resmen kullanıldığı ama gerçek bir şifreleme yapılmadığı, dolayısıyla kimliğin açık olarak dolaştığı bir sıfır koruma şeması öngörür. NIST, operatörün şebekesini sıfır olmayan bir koruma şemasıyla yapılandırmasının gerekli olduğunu yazar ve Federal Communications Commission’ın danışma organı CSRIC’in bir raporunun daha 2021’de sıfır şemasını yalnızca şebekenin tanımadığı bir cihazdan yapılan acil çağrılara ayırmayı önerdiğini hatırlatır.

Bu ifadeyi olduğu gibi bırakmakta yarar var. Mobil cihaz takibine karşı mevcut en iyi koruma teknik standartta 2019’dan beri var. Operatörün takdirine bırakılmış bir yapılandırma tercihine dayanıyor. Bir Amerikan federal kurumu, açılması gerektiğini hatırlatmak için 2026’da bir belge yayımlamayı yararlı görüyor. Ve hiçbir Avrupa hukuk aracı bunu zorunlu kılmıyor.

Eklemek gerekir ki SUCI konuyu kapatmıyor. 5G SUCI-catchers: still catching them all? başlığıyla sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesine imkân veren bağlanabilirlik saldırılarını belgeliyor ve saldırgan cihazı önceki bir nesle geçmeye zorlarsa koruma tümüyle çöküyor. Demek ki hukuki bir yükümlülük her şeyi çözmezdi. Yine de savunulabilir hiçbir gerekçesi olmayan bir açığı ortadan kaldırırdı: standardın izin verdiği ile ticari şebekelerin yaptığı arasındaki açığı.

Tutarlı üç müdahale

Konumun sonradan korunmak yerine tasarımdan itibaren asgariye indirilmesi gerektiği fikri ciddiye alınırsa, mantıken üç önlem kendini dayatır.

Kimliğin etkili biçimde gizlenmesini zorunlu kılmak. SUCI’nin etkinleştirilmesini dayatmak ve acil çağrıların artık durumu dışında ticari şebekelerde sıfır koruma şemalarını yasaklamak. Yeni bir teknoloji öngörmek ya da bir kurulumu finanse etmek söz konusu değildir; yedi yıldır standartlaştırılmış ve cihazlarda hâlihazırda bulunan bir işlevin açılmasını istemek söz konusudur.
Saklamayı varsayılan değil istisna saymak. Bir iletişimi yönlendirmek için gereken konum, bu işlev yerine getirilir getirilmez silinmelidir. Bir geçmiş oluşturmak özel bir gerekçe gerektirmelidir. Nerede olduğunuzu bilen bir şebeke ile nerede olduğunuzu hatırlayan bir şebeke arasındaki fark budur.
Anahtarın muhafazasını asıl bağlanma ölçütü haline getirmek. Verileri anlaşılır kılan anahtarlar başka yerdeyse, sunucuların Birlik içinde bulunması pek bir şey ifade etmez. Hukuken anlamlı ölçüt, şifre çözme araçları üzerindeki fiili hâkimiyet olmalıdır; bu soruyu Data Act ile CLOUD Act arasındaki çatışma vesilesiyle ayrıntılı olarak inceledik.

Arpokrat’ın izlediği bakış açısı

Bu muhakeme telekomünikasyon hukukuna özgü değildir. Kendi mimari tercihlerimize uyguladığımız muhakemedir ve tek cümleye sığar: üretilmemiş olanın korunmaya ihtiyacı yoktur.

ArpokratOS GPS, Bluetooth ve NFC’yi bir menüden kapatmak yerine çekirdek düzeyinde kaldırmasının nedeni budur. Bir anahtar bir politikadır: ayrıcalıklı bir bileşen tarafından atlatılabilir, bir güncelleme tarafından yeniden açılabilir, ele geçirilmiş bir sistem tarafından yok sayılabilir. Kod yolunu kaldırmak soruyu ortadan kaldırır. Bu, hukuk ölçeğinde savunduğumuz aynı kaymanın cihaz ölçeğine aktarılmasıdır: erişime değil, üretime müdahale etmek.

Bunun ne yapmadığını da hemen söylemek gerekir. Hiçbir işletim sistemi bir cihazı şebekenin geometrisinden çıkarmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve tüm trafiğin Tor üzerinden yönlendirilmesi bunu değiştirmez, çünkü Tor içeriği ve hedefi korur, telsiz katmanını değil. Konunun hukuki olmasının nedeni tam da budur. Hiçbir bireysel yapılandırmanın azaltmadığı ve tek değişkeni operatöre uygulanacak kural olan bir risk kategorisi vardır.

Aynı kaygı çalışmalarımızın geri kalanını da yönetir. Var olmayan bir veri ne el konulabilir, ne yeniden satılabilir, ne sızdırılabilir, ne de bugün kimsenin sahip olmadığı bir makineyle on yıl sonra çözülebilir; bu soruyu şimdi toplanıp sonra kırılan şifreleme açısından ele aldık.

Sonuç

Mobil gözetim üzerine kamusal tartışma neredeyse tamamen erişime odaklanıyor: verilere kim, hangi dayanakla, hangi izinle bakabilir. Bu tartışma meşrudur ve Adalet Divanı’nın 2014’ten bu yana verdiği kararlar somut sonuçlar doğurmuştur. Ama zincirde çok geç devreye giriyor.

Ondan önce gelen ve daha belirleyici olan soru, geçmişin var olup olmaması gerektiğidir. Bugün meşru bir gerekçeyle oluşturulan bir veri tabanı yarın bir başkası için kullanılabilir durumda kalır ve onu çevreleyen güvenceler, toplama anında kimsenin denetleyemediği sonraki siyasi kararlara bağlıdır. Bu, kurumların istikrarı üzerine, kimsenin süresini belirlemediği bir bahistir.

5G bu bilginin çözünürlüğünü kat kat artırdı, hiçbir mevzuat uyarlaması ise devreye girmedi. Aynı anda, SUCI mekanizması aracılığıyla, uygulanabilir yolun şebekenin fiziksel bir özelliğini şifrelemeye çalışmak değil, konumu kimlikten ayırmak olduğunu gösterdi. Teknik standart cevabı, hukuk soruyu sormadan yedi yıl önce verdi.

Veri saklamaya ilişkin Avrupa metni şimdi yazılıyor. Üstverilere, dolayısıyla konuma, dolayısıyla 5G’nin bugün yazarlarının tanımadığı bir incelikte ürettiği şeye ilişkin olacak. Verili sayılan bir geçmişe erişimi düzenlemekle yetinip yetinmeyeceği, yoksa bu geçmişin gerekliliğini sorgulamaya cesaret edip etmeyeceği, muhtemelen Avrupa’da önümüzdeki yılların en önemli mahremiyet sorusudur. Ve bu, teknik sektörün bir kez olsun doğru yönde çoktan karara bağladığı bir sorudur.

Kaynaklar

Avrupa Birliği Adalet Divanı, Digital Rights Ireland , birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014
Avrupa Birliği Adalet Divanı, Tele2 Sverige ve Watson , birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016
Avrupa Birliği Adalet Divanı, La Quadrature du Net ve diğerleri , birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020
Supreme Court of the United States, Carpenter v. United States , 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, Mart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta ve diğerleri, 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

ABAD on Arpokrat