"AB Veri Yasası bizi etkiler mi?" sorusu, Avrupa'ya akıllı cihaz, makine ya da bağlantılı ekipman satan şirketlerin gündemine artık somut tarihlerle giriyor. Avrupa Komisyonu'na göre Veri Yasası (Data Act) 11 Ocak 2024'te yürürlüğe girdi ve 12 Eylül 2025'ten beri uygulanıyor. Üstelik takvimin iki kritik halkası da yakın: bağlantılı ürünlerin tasarımına ilişkin yükümlülük, 12 Eylül 2026'dan sonra piyasaya sürülen ürünlere uygulanıyor. Bulut sağlayıcı değiştirme bedelleri ise 12 Ocak 2027'den itibaren tamamen kalkıyor.
Bu yazıda tüzüğün Türk şirketlerini hangi kapılardan etkileyebileceğini, Komisyon sayfası ve EUR-Lex'teki tüzük metni üzerinden özetliyor ve pratik bir kontrol listesi öneriyoruz.
Veri Yasası neyi düzenliyor?
Tüzük (AB) 2023/2854'ün 1. maddesi düzenleme alanını sayıyor: bağlantılı ürün ve ilgili hizmet verisinin kullanıcıya sunulması, verinin işletmeler arasında paylaşımı, olağanüstü durumlarda kamu kurumlarına veri sağlanması, veri işleme hizmetleri arasında geçişin kolaylaştırılması, kişisel olmayan veriye yasa dışı yabancı erişime karşı güvenceler ve birlikte çalışabilirlik standartları.
Türk şirketleri açısından belirleyici olan kapsam hükmü. Tüzük, AB'de piyasaya sürülen bağlantılı ürünlerin üreticilerine ve ilgili hizmet sağlayıcılarına, yerleşik oldukları yerden bağımsız olarak uygulanıyor. Aynı yaklaşım, AB'deki müşterilere veri işleme (bulut) hizmeti sunan sağlayıcılar için de geçerli. Yani merkezi Türkiye'de olan bir üretici ya da yazılım şirketi, ürününü veya hizmetini AB pazarına sunuyorsa kapsam değerlendirmesi yapmak durumunda.
Tüzükteki tanıma göre bağlantılı ürün, kullanımına ya da çevresine ilişkin veri üreten veya toplayan ve bu veriyi bir iletişim hizmeti, fiziksel bağlantı ya da cihaz üzerinden erişimle aktarabilen bir eşya. İlgili hizmet ise ürüne bağlı olan ve yokluğunda ürünün bir işlevini yerine getiremeyeceği yazılım dahil dijital hizmet. Bu tanım; endüstriyel makinelerden beyaz eşyaya, araç ekipmanından tarım sensörlerine kadar geniş bir ürün yelpazesini kapsayabilir.
Bağlantılı ürün ihracatçıları için yükümlülükler
Tasarım yükümlülüğü. Bağlantılı ürünler, ürün ve ilgili hizmet verisine, yorumlanması için gereken üst verilerle birlikte kullanıcının varsayılan olarak kolay, güvenli, bedelsiz ve makinece okunabilir biçimde erişebileceği şekilde tasarlanmalı. 50. maddeye göre bu yükümlülük 12 Eylül 2026'dan sonra piyasaya sürülen ürünler için geçerli. Dolayısıyla bu tarihten sonra AB'ye çıkan yeni modeller, tasarım aşamasında bu gerekliliği karşılamalı.
Satış öncesi bilgilendirme. Satıcı, kiraya veren ya da üretici; sözleşmeden önce ürünün üretebileceği verinin türünü, biçimini ve tahmini hacmini, verinin sürekli ve gerçek zamanlı üretilip üretilmediğini, nerede saklandığını ve kullanıcının veriye nasıl erişeceğini açıkça bildirmeli.
Erişim ve üçüncü tarafla paylaşım. Veriye doğrudan erişilemiyorsa veri sahibi, hazır veriyi kullanıcının talebi üzerine gecikmeksizin ve bedelsiz olarak sunmalı; kullanıcı ya da onun adına hareket eden taraf istediğinde aynı veri üçüncü bir tarafa da aktarılmalı. Ticari sırların korunması için önlemler ve, istisnai durumlarda, gerekçeli ret imkânı tüzükte ayrıca düzenleniyor.
Kendi kullanımınıza sınır. Veri sahibi, kişisel olmayan hazır veriyi yalnız kullanıcıyla yapılan sözleşmeye dayanarak kullanabilir ve bu veriden kullanıcının ekonomik durumu ya da üretim yöntemleri hakkında onun ticari konumunu zayıflatacak çıkarımlar yapamaz.
Küçük işletme istisnası. Bu bölümdeki yükümlülükler, mikro ve küçük işletmelerin ürettiği bağlantılı ürünlere uygulanmıyor; ancak bunun için işletmenin bu ölçeği aşan bir ortak ya da bağlı kuruluşu olmaması ve başkası adına fason üretim yapmaması gerekiyor. Büyük bir markaya fason üretim yapan küçük bir Türk tedarikçi için istisna bu nedenle otomatik değil.
İşletmeler arası sözleşmeler. Bir işletmenin diğerine tek taraflı dayattığı ve iyi ticari uygulamadan ağır biçimde sapan veri erişimi ve kullanımı şartları bağlayıcı olmuyor. Bu kurallar 12 Eylül 2025'ten sonra yapılan sözleşmelere uygulanıyor; daha önce yapılan süresiz ya da uzun vadeli sözleşmeler için uygulama tarihi 12 Eylül 2027.
Bulut kullananlar ve bulut hizmeti sunanlar için
Tüzüğün VI. bölümü, müşterinin aynı türden bir hizmete, başka bir sağlayıcıya ya da kendi altyapısına geçişini engelleyen ticari, teknik ve sözleşmesel engelleri kaldırmayı hedefliyor. 25. maddeye göre sözleşmede en az şunlar yer almalı:
- Geçişi başlatmak için en fazla iki aylık bildirim süresi.
- Bildirim süresinin ardından en fazla 30 takvim günlük geçiş dönemi; teknik olarak mümkün değilse sağlayıcı 14 iş günü içinde gerekçe bildirip en fazla yedi aylık alternatif bir süre önerebiliyor.
- Taşınabilecek veri ve dijital varlıkların eksiksiz listesi, en az 30 günlük veri geri alma süresi ve sonrasında tam silme güvencesi.
Bedel tarafında 29. madde kademeli bir takvim kuruyor: 12 Ocak 2027'ye kadar sağlayıcılar yalnız geçişle doğrudan bağlantılı maliyeti aşmayan indirimli bedel alabiliyor; bu tarihten sonra geçiş bedeli alınamıyor. Sağlayıcılar ayrıca altyapılarının tabi olduğu yargı yetkisini ve yabancı kamu erişimine karşı aldıkları önlemleri web sitelerinde yayımlamak zorunda.
Bu haklar AB'deki müşteriler için tanımlandığından, Türkiye'deki bir şirketin kendi bulut sözleşmesinin bu kapsamda olup olmadığı sözleşme tarafına ve hizmetin sunulduğu yere göre ayrıca değerlendirilmeli. AB'de iştiraki olan gruplar ve AB'deki müşterilere SaaS ya da barındırma hizmeti sunan Türk yazılım şirketleri ise doğrudan bu bölümün muhatabı olabilir. Müşteriye özel geliştirilmiş ve geniş ölçekte sunulmayan hizmetler için bazı teknik yükümlülükler ve bedel kuralı uygulanmıyor. Bulut geçişinin genel çerçevesi için bulut geçişinde nereden başlanacağını ele aldığımız yazıya bakabilirsiniz.
Yaptırım ve değişiklik gündemi
Cezaları üye devletler belirliyor; bağlantılı ürün verisi gibi bazı bölümlerin ihlallerinde veri koruma otoriteleri, Genel Veri Koruma Tüzüğü'nün (GDPR) en üst ceza kademesine kadar idari para cezası verebiliyor.
Komisyon, Kasım 2025'te sunduğu Dijital Omnibus paketinde KOBİ'ler, küçük orta ölçekli şirketler ve müşteriye özel hizmetler için bulut geçişi kurallarında hedefli istisnalar önerdi. Ancak bu bir öneri; EUR-Lex künyesinde 5 Ekim 2026 itibarıyla tüzüğü değiştiren bir düzenleme değil, yalnız düzeltme metinleri görünüyor. Planlama bugünkü metne göre yapılmalı, değişiklik süreci ayrıca izlenmeli.
Kontrol listesi
Aşağıdaki adımlar tüzük metninden türetilmiş genel bir çerçevedir; ürün ve sözleşme yapınıza göre hukuki değerlendirmeyle uyarlanmalıdır.
- Ürün envanteri: AB'ye satılan hangi ürünlerin veri ürettiğini ve aktarabildiğini, hangi uygulama ya da yazılımın "ilgili hizmet" sayılabileceğini listeleyin.
- Tarih ayrımı: 12 Eylül 2026'dan sonra piyasaya sürülen modelleri ayrıca işaretleyin; tasarım yükümlülüğü bunlar için geçerli.
- Veri haritası: Her ürün için hangi verinin üretildiğini, nerede saklandığını, hangi biçimde dışa aktarılabildiğini ve üst verinin yeterli olup olmadığını belgeleyin.
- Satış öncesi bilgi metni: Kullanım kılavuzu, sözleşme ve web sayfalarında 3. maddedeki bilgilerin eksiksiz yer aldığını kontrol edin.
- Talep süreci: Kullanıcıdan ya da üçüncü taraftan gelen veri erişim taleplerini kimin, hangi kanal ve süreyle karşılayacağını tanımlayın; ticari sır içeren veriyi önceden belirleyin.
- Ölçek ve fason kontrolü: Küçük işletme istisnasına güveniyorsanız ortaklık, bağlı kuruluş ve fason üretim koşullarını belgeleyin.
- Sözleşme taraması: AB'li iş ortaklarıyla veri erişimi ve sorumluluk maddelerini haksız şart kuralları açısından gözden geçirin.
- Bulut sözleşmeleri: Bildirim süresi, geçiş dönemi, veri listesi, geri alma ve silme maddelerini; 12 Ocak 2027 sonrası geçiş bedeli durumunu sağlayıcınızla netleştirin.
- Kişisel veri: Ürün verisi kişisel veri içeriyorsa GDPR'ın önceliğini ve KVKK yükümlülüklerini birlikte değerlendirin.
Sonuç
Veri Yasası, AB pazarına bağlantılı ürün ya da bulut hizmeti sunan Türk şirketleri için yalnız hukuki bir başlık değil; ürün tasarımı, veri altyapısı ve sözleşme yönetimini birlikte ilgilendiren bir dijitalleşme konusu. Envanter ve veri haritası bugünden çıkarılırsa, hukuki değerlendirme ve olası değişikliklere uyum çok daha kolay ilerler. AB'deki düzenleyici takvimin bir başka boyutu için AB Yapay Zekâ Yasası'ndaki yeni takvimi de inceleyebilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.
#interimmanagement #forwarddeployedengineering