Proton VPN, 2026’nın ilk yarısında aldığı 47 bağlayıcı yasal emrin hiçbirinde, belirli bir VPN bağlantısını kullanıcıyla eşleştirecek bilgi sunamadı. Bunun nedeni mahkeme kararlarının doğrudan reddedilmesi değil, şirketin söz konusu eşleştirmeyi mümkün kılacak bağlantı kayıtlarını tutmamasıydı.
Proton VPN, 14 Temmuz 2026’da güncellediği şeffaflık raporunda, yılın ilk altı ayında İsviçre makamlarınca onaylanan 47 yasal emir aldığını açıkladı. Taleplerin her birinde, belirli bir Proton VPN sunucu IP adresinin belirli bir anda hangi kullanıcı tarafından kullanıldığı öğrenilmek istendi.
Şirket, gerçek IP adresi, bağlantı zamanı ve kullanılan VPN sunucusu arasında geriye dönük eşleştirme sağlayacak kayıtları saklamadığını belirtti. Bu nedenle 47 emrin hiçbirinde talep edilen kullanıcı tespiti yapılamadı.
Proton VPN’in faaliyete geçtiği 2017’den bu yana aynı kapsamda aldığı bağlayıcı emirlerin sayısı ise 458’e ulaştı. Şirkete göre bu taleplerin tamamında benzer bir durum yaşandı ve geçmiş VPN bağlantısını belirli bir kullanıcıya bağlayacak veri sunulamadı.
Yetkililer Hangi Bilgiyi İstedi?
Talepler, Proton hesabındaki mevcut kişisel bilgilerin teslim edilmesinden çok, belirli bir VPN bağlantısının geriye dönük olarak çözümlenmesini amaçlıyordu.
Yetkililerin elinde genel olarak iki temel bilgi bulunuyordu:
- İnternet üzerinde görünen Proton VPN sunucu IP adresi
- Bağlantının gerçekleştiği tarih ve zaman damgası
Bu veriler, işlemin hangi VPN sunucusu üzerinden yapıldığını gösterebilir. Ancak bağlantının arkasındaki kişinin belirlenebilmesi için VPN sağlayıcısının o anda sunucuya bağlanan hesabı veya kullanıcının gerçek IP adresini kaydetmesi gerekir.
Proton VPN, oturum geçmişi, gerçek IP adresi ve kullanılan sunucu arasında kalıcı bir bağlantı kurmadığını söylüyor. Bu nedenle yetkililer kesin zaman ve sunucu bilgisi verse bile geçmiş bağlantının kullanıcı hesabıyla eşleştirilmesi mümkün olmuyor.
Talepler Gerçekten Reddedildi Mi?
Proton’un şeffaflık raporunda 47 vakanın tamamı reddedilen emirler arasında gösteriliyor. Ancak “reddedildi” ifadesi, şirketin geçerli mahkeme kararlarını tanımadığı veya yetkililerle iş birliği yapmayı kabul etmediği şeklinde anlaşılmamalı.
Buradaki temel mesele, talep edilen verinin sistemde bulunmaması.
Geçerli bir yasal emir, bir şirketi elindeki bilgileri teslim etmekle yükümlü kılabilir. Buna karşılık daha önce toplanmamış bağlantı kayıtlarının sonradan oluşturulmasını sağlayamaz. Proton VPN’in açıklamasına göre 47 talebin sonuçsuz kalmasının nedeni de bu teknik sınırdı.
Bu nedenle olay, “Proton mahkemeye meydan okudu” şeklinde değil, şirketin geçmiş VPN oturumlarını kullanıcılarla ilişkilendirecek kayıt tutmaması nedeniyle bilgi sağlayamadığı biçiminde anlatılmalı.
İsviçre Hukuku Süreci Nasıl Etkiliyor?
Proton AG, İsviçre merkezli olduğu için şirket hakkındaki veri talepleri İsviçre hukuku kapsamında değerlendiriliyor. Yabancı bir ülkenin emniyet veya adli makamlarından doğrudan gelen talepler, İsviçre makamlarının onayı olmadan bağlayıcı kabul edilmiyor.
Yabancı bir soruşturma kapsamında Proton’dan bilgi alınmak istenmesi hâlinde talebin resmî adli yardımlaşma kanallarından geçmesi gerekiyor. İsviçre makamları talebi hukuka uygun bulursa bağlayıcı bir emir çıkarabiliyor.
Proton’un açıkladığı 47 vaka da bu süreçten geçmiş emirlerden oluşuyor. Ancak şirket, soruşturmaların hangi suçlarla bağlantılı olduğunu, taleplerin hangi ülkelerde başlatıldığını veya hangi sunucuların hedef alındığını açıklamadı.
İsviçre’de VPN sağlayıcılarına bütün kullanıcıların bağlantı geçmişini sürekli saklama yükümlülüğü getiren genel bir düzenleme bulunmaması, Proton’un no-log altyapısını sürdürebilmesine imkân tanıyor. Bununla birlikte şirketin elinde hesap veya ödeme bilgisi gibi başka veriler bulunuyorsa bunlar geçerli bir yasal talep kapsamında ayrıca değerlendirilebilir.
No-Log Politikası Nasıl Denetlendi?
VPN şirketlerinin kullanıcı etkinliğini kaydetmediğine ilişkin açıklamaları çoğunlukla kendi gizlilik politikalarına dayanıyor. Ancak yalnızca şirket beyanı, sunucuların gerçekte hangi bilgileri ürettiğini veya sakladığını göstermeye yetmiyor.
Proton VPN, altyapısının 2026’da güvenlik şirketi Securitum tarafından beşinci kez yıllık no-log denetiminden geçirildiğini açıkladı. İncelemede sunucu yapılandırmaları, operasyon süreçleri ve kayıt oluşturabilecek teknik ayarlar kontrol edildi.
Denetimde özellikle şu konular incelendi:
- Ziyaret edilen sitelerin veya kullanılan hizmetlerin kaydedilip kaydedilmediği
- DNS sorgularının saklanıp saklanmadığı
- Oturum başlangıç ve bitiş zamanlarının tutulup tutulmadığı
- Kullanıcının belirli bir VPN sunucusuyla eşleştirilip eşleştirilemediği
- Ücretsiz ve ücretli hesaplarda aynı politikanın uygulanıp uygulanmadığı
Yayımlanan değerlendirmeye göre incelenen altyapıda, kullanıcıların internet etkinliğini veya belirli bir kullanıcıyı VPN oturumuyla ilişkilendirecek kalıcı kayıtlar bulunmadı.
Bu denetim Proton’un teknik iddiasını destekliyor. Yine de bir denetim yalnızca incelendiği dönemdeki sistemleri ve belirlenen kapsamı doğrulayabilir. Gelecekte hiçbir yapılandırma hatası yaşanmayacağı veya sistemlerin hiçbir koşulda değişmeyeceği yönünde sınırsız garanti sağlamaz.
Proton Hiçbir Kullanıcı Verisi Tutmuyor Mu?
No-log politikası, Proton’un kullanıcılarla ilgili hiçbir bilgiye sahip olmadığı anlamına gelmiyor. Politika esas olarak VPN üzerinden yapılan internet etkinliğinin ve bağlantı geçmişinin kaydedilmemesini kapsıyor.
Bir Proton hesabında şu tür bilgiler bulunabilir:
- Kullanıcının verdiği kurtarma e-posta adresi
- Abonelik ve ödeme işlemlerine ilişkin sınırlı bilgiler
- Destek ekibiyle yapılan yazışmalar
- Hesap güvenliği için oluşturulan kayıtlar
- Spam, saldırı veya kötüye kullanımla mücadele amacıyla işlenen veriler
Bu bilgiler, belirli şartlarda geçerli bir hukuki talebin konusu olabilir. Ancak bir hesabın varlığına ilişkin bilgi ile kullanıcının belirli bir tarihte hangi VPN sunucusuna bağlandığını gösteren bağlantı kaydı aynı şey değildir.
Proton’un 47 talepte sağlayamadığını açıkladığı bilgi, tam olarak bu ikinci kategoriye giriyor.
Proton VPN İle Proton Mail Arasındaki Fark
47 talep yalnızca Proton VPN hizmetiyle ilgili. Proton Mail ve şirketin diğer ürünleri farklı teknik altyapılara ve hukuki yükümlülüklere sahip.
E-posta hizmetlerinde hesap bilgileri, giriş kayıtları ve bazı metadata türleri VPN bağlantı geçmişinden farklı şekilde işlenebiliyor. Proton Mail’de mesaj içerikleri şifrelenmiş olsa bile şirketin elinde bulunan sınırlı hesap bilgileri geçerli yasal emirler kapsamında teslim edilebiliyor.
Bu nedenle Proton VPN’in 47 talepte kullanıcı eşleştirmesi yapamaması, Proton’un hiçbir hizmetinde ve hiçbir koşulda veri sunamayacağı anlamına gelmiyor. Açıklanan sonuç yalnızca geçmiş VPN oturumlarını kullanıcı hesabına bağlayacak kayıtlarla ilgili.
Raporun Ortaya Koyduğu Tablo
Proton VPN’in açıkladığı rakamlar, bir VPN sağlayıcısının gizlilik politikasında kullandığı “kayıt tutmuyoruz” ifadesinin pratikte ne anlama geldiğini gösteriyor.
Bir sağlayıcı kullanıcının gerçek IP adresini, bağlantı zamanını ve kullandığı sunucuyu aynı kayıt içinde saklıyorsa geçmiş bir bağlantı daha sonra kullanıcıyla eşleştirilebilir. Bu bilgiler baştan oluşturulmuyorsa geçerli bir mahkeme emri bile geçmişteki bağlantının sahibini belirlemeye yetmeyebilir.
2026’nın ilk yarısındaki 47 emir ve 2017’den bu yana açıklanan 458 vaka, Proton VPN’in no-log politikasının yalnızca pazarlama metninde kalan bir vaat olmadığını destekliyor. Bağımsız denetimler de şirketin teknik açıklamasıyla uyumlu bir tablo sunuyor.
Bununla birlikte rakamların Proton tarafından yayımlandığı, soruşturmaların ayrıntılarının kamuoyuyla paylaşılmadığı ve her vakanın bağımsız biçimde incelenemediği unutulmamalı. Mevcut bilgiler, Proton’un hiçbir kullanıcı verisine sahip olmadığını değil, geçmiş VPN bağlantılarını kullanıcılara bağlayacak kayıtları tutmadığını gösteriyor.
