Türk donanım ve IoT şirketleri iki yıldır AB Veri Yasası’nın kendilerine uygulanıp uygulanmayacağını soruyor. Uygulanıyor ve soru acil hale geldi: (AB) 2023/2854 sayılı Tüzük 12 Eylül 2025’ten beri uygulanıyor ve 12 Eylül 2026’dan itibaren AB pazarına sunulan her bağlantılı ürün ve ilgili hizmetin, verisi kullanıcı için varsayılan olarak erişilebilir olacak şekilde tasarlanması gerekiyor. Tüzük bir veri koruma kanunu değil; GDPR’ın üzerine oturan ve ürünleri, veri alıcıları ya da müşterileri Birlik’te olduğunda üreticilere, veri sahiplerine (data holder) ve bulut sağlayıcılarına “yerleşim yerlerine bakılmaksızın” ulaşan bir veri erişimi ve sözleşme adaleti kanunu. Avrupa’ya bağlantılı cihaz, sensör tabanlı hizmet ya da SaaS platformu satan bir Türk şirketi için ürün tasarımını, kullanım koşullarını, verinin bedel modelini ve bulut ya da edge hizmeti sunan herkes için çıkış koşullarını değiştiriyor. Bu yazı kimin kapsamda olduğunu, dört işlevsel bölümün ne istediğini, önemli tarihleri ve Türk şirketinin belgelerinde neyi değiştirmesi gerektiğini anlatıyor. SaaS kullanım şartları ve veri işleyen sözleşmesi rehberlerimizin üzerine kuruluyor.
Kapsam: ürünler, veri sahipleri ve bulut sağlayıcıları, nerede kurulu olsalar da
1(3). madde Tüzüğün uygulandığı kişileri sayar. Türk ihracatçı için önemli üçü şunlar: Birlik’te piyasaya sunulan bağlantılı ürünlerin üreticileri ve ilgili hizmet sağlayıcıları, yerleşim yerlerine bakılmaksızın ((a) bendi); Birlik’teki veri alıcılarına veri sunan veri sahipleri, yerleşim yerlerine bakılmaksızın ((c) bendi); ve Birlik’teki müşterilere hizmet veren veri işleme hizmeti sağlayıcıları, yerleşim yerlerine bakılmaksızın ((f) bendi). 2(5). maddedeki “bağlantılı ürün”, kullanımı ya da çevresi hakkında veri elde eden, üreten ya da toplayan, ürün verisini elektronik haberleşme hizmeti, fiziksel bağlantı ya da cihaz üzerinden iletebilen ve asli işlevi başkaları adına veri saklamak, işlemek ya da iletmek olmayan bir eşyadır; “ilgili hizmet” ise ürüne satın alma anında ürünün bir işlevini yerine getirmesi için gerekli şekilde bağlı olan ya da sonradan üretici veya üçüncü kişi tarafından işlev eklemek ya da uyarlamak için bağlanan, yazılım dahil dijital hizmettir. Akıllı sayaçlar, endüstriyel sensörler, bağlantılı araç ve makineler, giyilebilirler, tarım ekipmanı ve bunları çalıştıran uygulama ve platformlar içeride; dizüstü bilgisayar ya da genel amaçlı sunucu dışarıda. II. Bölüm ürün ve hizmetin performansı, kullanımı ve çevresine ilişkin veriyi kapsar, içerik hariç. 7(1). madde mikro ya da küçük işletmenin ürün veya hizmetlerinin ürettiği veriyi muaf tutar; ancak işletmenin mikro ya da küçük olmayan bir ortak veya bağlı işletmesi varsa ya da bağlantılı ürün üretmek veya tasarlamak ya da ilgili hizmet sunmak üzere alt yüklenici olarak çalışıyorsa muafiyet düşer. Avrupalı OEM’lere tedarik yapan pek çok Türk tedarikçi muafiyeti bu son kolda kaybeder.
II. Bölüm: tasarımda erişim ve kullanıcının hakları
3(1). madde bağlantılı ürün ve ilgili hizmetlerin, ürün ve hizmet verisinin yorumlanması için gerekli metaverilerle birlikte varsayılan olarak kolay, güvenli, ücretsiz, kapsamlı, yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir formatta ve ilgili ve teknik olarak mümkün olduğunda doğrudan kullanıcıya erişilebilir olacak şekilde tasarlanmasını ister. 50. madde bu tasarım yükümlülüğünü 12 Eylül 2026’dan sonra piyasaya sunulan ürün ve hizmetlere uygular; AB için donanım yol haritalarının şimdi bir veri erişim özelliğine ihtiyaç duymasının nedeni budur. 3(2). madde sözleşme öncesi açıklama ekler: satış, kiralama ya da leasing öncesinde satıcı kullanıcıya diğerlerinin yanında ürünün üretebileceği verinin türünü, formatını ve tahmini hacmini, sürekli ve gerçek zamanlı veri üretip üretmediğini, kullanıcının veriye nasıl erişip sileceğini ve veri sahibinin kimliğini söyler. 4. madde kullanıcıya hazır veriye talep üzerine gecikmesiz ve ücretsiz erişim hakkı verir; 4(13). madde ise sektörün bugüne kadar üzerine kurulduğu varsayımı tersine çevirir: veri sahibi hazır kişisel olmayan veriyi yalnızca kullanıcıyla sözleşmeye dayanarak kullanabilir ve kullanıcının ekonomik durumu, varlıkları ya da üretim yöntemleri hakkında ticari konumunu zedeleyecek çıkarımlar için kullanamaz. 5. madde kullanıcıya veriyi seçtiği üçüncü kişiye aynı kalite ve koşullarla yönlendirme hakkı verir; üçüncü kişi 6. madde uyarınca veriyi yalnızca anlaşılan amaçla kullanmak ve sonra silmekle bağlıdır; Dijital Piyasalar Yasası kapsamında belirlenmiş geçit bekçileri (gatekeeper) uygun üçüncü kişi olamaz.
III. ve IV. Bölümler: FRAND koşullar, bedel ve haksız hükümler
Veri sahibinin bir işletme alıcısına veri sunması gerektiğinde 8. madde adil, makul ve ayrımcı olmayan koşullar ve şeffaf süreç ister; 9. madde ayrımcı olmayan ve makul, kâr marjı içerebilen bir bedele izin verir; veri sunma maliyeti ve toplama yatırımı dikkate alınır; alıcı daha büyük ortak veya bağlı işletmesi olmayan bir KOBİ ya da kâr amacı gütmeyen araştırma kuruluşuysa bedel veri sunma maliyetini aşamaz. IV. Bölüm veri erişimi ve kullanımına ilişkin tüm işletmeler arası sözleşmelere uygulanır. 13. madde bir işletmenin diğerine tek taraflı dayattığı, veri erişimi ve kullanımı ya da veri yükümlülüklerinin ihlalinde sorumluluk ve çözüm yollarına ilişkin hükmü haksızsa bağlayıcı olmaktan çıkarır; her halde haksız sayılan hükümleri (kast veya ağır ihmalde sorumluluğu dışlamak ya da sınırlamak, ifa etmemede çözüm yollarını dışlamak, uygunluğu belirleme hakkını dayatan tarafa münhasıran vermek) ve haksızlığı karine olarak kabul edilenleri (çözüm yollarını uygunsuz sınırlamak, karşı tarafın verisine onun aleyhine erişmek, karşı tarafın kendi verisini kullanmasını engellemek ve diğerleri) sayar. Avrupalı müşterilere kendi standart koşullarıyla tedarik yapan Türk şirketleri “dayatan” taraftır; Avrupalı tedarikçilerden platform satın alanlar aynı kurallarla korunur. 50. madde IV. Bölümü 12 Eylül 2025’ten sonra kurulan sözleşmelere, 12 Eylül 2027’den itibaren de belirsiz süreli ya da 11 Ocak 2024’ten itibaren en az on yıl sürecek eski sözleşmelere uygular.
VI. Bölüm: bulut ve edge hizmetlerinde geçiş
Tüzüğün bulut, edge ve benzeri hizmetler için kullandığı terim olan veri işleme hizmeti sağlayıcıları, 23. madde uyarınca müşterinin aynı hizmet türünde başka sağlayıcıya, kendi altyapısına ya da çoklu sağlayıcı düzenine geçişinin önündeki ticari öncesi, ticari, teknik, sözleşmesel ve organizasyonel engelleri kaldırmalıdır. 25. madde müşterinin haklarının ve sağlayıcının yükümlülüklerinin imza öncesinde sunulan yazılı sözleşmede yer almasını ve en azından şunları içermesini ister: müşterinin bildirim süresinden sonra başlayan, en fazla otuz takvim günlük zorunlu geçiş dönemi içinde geçiş yapmasına ya da dışa aktarılabilir tüm veri ve dijital varlıkları taşımasına izin veren, bu dönemde sağlayıcının yardım ettiği, sürekliliği koruduğu ve riskleri bildirdiği bir hüküm; geçişi başlatmak için iki ayı aşmayan azami bildirim süresi; taşınabilecek veri ve dijital varlıkların ve sağlayıcının iç işleyişine özgü, kapsam dışı verinin eksiksiz listesi; geçiş döneminden sonra verinin geri alınmasına ilişkin hükümler. 29. madde geçiş ücretlerini kademeli kaldırır: 11 Ocak 2024’ten itibaren yalnızca doğrudan bağlantılı maliyetle sınırlı indirimli ücret alınabilir, 12 Ocak 2027’den itibaren hiç ücret alınamaz. 31. madde özel geliştirilen hizmetleri ve üretim dışı test sürümlerini bazı yükümlülüklerden kurtarır. 32. madde sağlayıcıların Birlik’te tutulan kişisel olmayan veriye Birlik ya da üye devlet hukukuyla çatışan üçüncü ülke kamu erişimine karşı teknik, organizasyonel ve hukuki tedbir almasını ister; AB’de barındırılan müşterileri olan Türk sağlayıcılar bu hükmü kendi sözleşmelerine yansıtmalıdır.
Uygulama ve yaptırım
Her üye devlet 37. madde uyarınca bir ya da daha fazla yetkili otorite ve birden fazlaysa bir veri koordinatörü belirler; kişisel veri söz konusu olduğunda GDPR denetim otoriteleri yetkili kalır. Yaptırımlar 40. madde uyarınca ulusal düzeyde belirlenir, etkili, orantılı ve caydırıcı olmalıdır; II, III ve V. Bölümlerdeki yükümlülüklerin ihlalinde GDPR otoriteleri GDPR m.83/5 tavanına kadar idari para cezası verebilir. 37(11). madde, Tüzük kapsamına giren ve Birlik’te bağlantılı ürün sunan ya da hizmet veren ancak Birlik’te kurulu olmayan her kuruluşun bir üye devlette hukuki temsilci belirlemesini ister; GDPR m.27 gibi. Dolayısıyla AB’ye bağlantılı ürün satan Türk üreticinin GDPR temsilcisi olsa bile Veri Yasası için de AB temsilcisine ihtiyacı vardır.
Türk şirketinin belgelerinde ne değişmeli
Üretici ya da ilgili hizmet sağlayıcı için: 12 Eylül 2026’dan sonra AB pazarına sunulan her ürün için veri erişim spesifikasyonu, satış kanalı için 3(2). madde sözleşme öncesi veri açıklaması, makine verisinin tedarikçiye ait olduğu varsayımının yerine 4(13). madde uyarınca kullanıcıyla veri kullanım sözleşmesi ve kimlik doğrulama ile amaç sınırı içeren 5–6. madde üçüncü kişi erişim prosedürü. Her B2B veri tedarikçisi ya da alıcısı için: standart koşulların 13. madde listelerine karşı gözden geçirilmesi; veri kullanımı, sorumluluk ve çözüm yollarına ilişkin tek taraflı hükümlerin yeniden yazılması. AB müşterisine hizmet veren bulut, barındırma ya da edge sağlayıcı için: 25. maddeyi karşılayan geçiş ve çıkış koşulları, 12 Ocak 2027’de sıfıra inen bir taşıma maliyeti tablosu, dışa aktarılabilir veri ve format listesi ve üçüncü ülke erişim taleplerine ilişkin 32. madde hükmü. Herkes için KVKK ve GDPR katmanları yerinde kalır: ürün verisindeki kişisel veri için GDPR m.6’ya göre hukuki sebep gerekir, Veri Yasası m.4(12) bunu açıkça saklı tutar; model API’lerinde kişisel veri yazımızda ele aldığımız yurt dışı aktarım kuralları Türkiye’ye geri akan veri için uygulanır.
Bağlantılı ürünü yapan bir Alman OEM’e bileşen satıyoruz. Kapsamda mıyız?
Ürün verisi alıyorsanız çoğunlukla veri sahibi ya da ilgili hizmet sağlayıcı olarak evet; bağlantılı ürün üretmek veya tasarlamak ya da ilgili hizmet sunmak üzere alt yüklenici olarak çalışıyorsanız 7. madde küçük işletme muafiyeti düşer. OEM’in 3. madde tasarım gereklerini tedarik zincirinde aşağıya aktarmasını her halde bekleyin.
SaaS’ımız bir hyperscaler üzerinde çalışıyor. Geçiş kuralları bize mi onlara mı uygulanır?
İkisine de. Hyperscaler size geçiş koşulları borçludur; siz de kendi hizmetiniz için AB müşterilerinize 25. madde uyarınca aynısını borçlusunuz. Özel geliştirilen hizmetler ve test ortamları 31. madde uyarınca kısmi muafiyetten yararlanır.
Türkiye’de karşılığı var mı?
Henüz yok. Türkiye’nin veri erişim kuralları sektörel (açık bankacılık, 6563 kapsamında e-ticaret verisi, sağlık verisi). Orta Vadeli Program’ın uyum taahhütleri yakınsamaya işaret ediyor; bunu 2027’ye kadar KVKK–GDPR uyumu yazımızda ele aldık.
İlgili: AB Veri Yasası · yurt dışı veri aktarımı · alt veri işleyen · SaaS kullanım şartları.
Kaynak. Veriye adil erişim ve kullanıma ilişkin uyumlaştırılmış kurallar hakkında (AB) 2023/2854 sayılı Tüzük (Veri Yasası), ABRG L, 22 Aralık 2023, m.1–9, 13, 23, 25, 29, 31, 32, 37, 40, 50; Avrupa Komisyonu, Veri Yasası açıklayıcı belgeleri ve SSS.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz. Somut bir durumun değerlendirilmesi için hukuki destek alınmalıdır.
