EU Data Act, Konum ve Harita API'leri İçin Açıklandı

EU Data Act, Avrupa'nın GDPR'dan bu yana çıkardığı en etkili teknoloji düzenlemelerinden biri ve şu an itibarıyla önemli olan bir son tarihi var. 12 Eylül 2026'dan itibaren AB pazarına sürülen bağlı ürünler, ürettikleri verinin onları kullanan insanlar için erişilebilir olacağı şekilde inşa edilmek zorunda. Konum verisiyle çalışan herkes için bu, uzak bir hukuki soyutlama değil. Konum verisi, yasanın konusu olan makine üretimi verinin tam da o türüdür.

Bu yazı, Data Act'in ne olduğunu, GDPR'dan nasıl ayrıldığını, konum verisinin neden onun merkezinde durduğunu ve bir harita veya konum API'siyle ürün geliştiriyorsanız bunun ne anlama geldiğini açıklıyor.

Data Act aslında neyi düzenliyor

Data Act, resmi adıyla Regulation (EU) 2023/2854, GDPR'ın sormadığı basit bir soruyu yanıtlıyor: bir bağlı ürünün oluşturduğu veriyi kim kullanabilir? Yıllarca cevap, pratikte, üreticiydi. Bir makine, bir araç veya bir sensör büyük hacimlerde veri üretirdi ve bu veri, cihazı kimin inşa ettiyse ona geri akardı; çoğu zaman kullanıcının ona ulaşmasının kolay bir yolu olmazdı.

Data Act bu varsayılanı değiştiriyor. Bağlı bir ürünün kullanıcısı, yani onu satın alan veya kiralayan kişi ya da işletme, ürettiği veriye erişme ve bunu seçtiği bir üçüncü tarafla paylaşma hakkına sahip. Üretici artık bu veriyi münhasır bir varlık olarak göremez. Yasa ayrıca veri paylaşımı için adil sözleşme koşullarına dair kurallar, daha küçük işletmelere dayatılan haksız maddelere karşı güvenceler ve bulut sağlayıcıları arasında geçişi kolaylaştıran yükümlülükler getiriyor.

Kritik olan şu: yasa hem kişisel hem de kişisel olmayan veriyi kapsıyor. İnsanların gözden kaçırdığı kısım da bu. GDPR yalnızca tanımlanabilir kişilere ait veriye ulaşır. Data Act ise, içinde herhangi bir birey tanımlanabilir olsun ya da olmasın, bir cihazın ürettiği tüm akışa ulaşır.

Data Act ve GDPR: iki yasa, tek veri akışı

En yaygın kafa karışıklığı, Data Act'in bir şekilde GDPR'ın yerini aldığı veya onu sulandırdığı düşüncesidir. İkisini de yapmaz. İkisi birlikte çalışmak üzere tasarlanmıştır ve farklı şeyleri düzenler.

GDPR kişisel veriyi düzenler: tanımlanabilir kişilere ait bilgileri hangi koşullarda toplayabileceğinizi, işleyebileceğinizi ve paylaşabileceğinizi belirler. Data Act, makine üretimi verilere erişimi ve taşınabilirliği düzenler: üreticileri, ürünlerinin oluşturduğu veriyi açmakla yükümlü kılar ve kullanıcıların bunu başka bir yere taşımasına izin verir.

Buluştukları yerde ikisi de geçerlidir. Bağlı bir araçtan gelen bir konum izini düşünün. Makine üretimidir, dolayısıyla Data Act'in erişim ve taşınabilirlik kuralları geçerlidir. Aynı zamanda bir sürücünün hareketlerini tanımlar, dolayısıyla kişisel veridir ve GDPR da geçerlidir. Data Act kapsamındaki bir paylaşım talebi GDPR'ı asla geçersiz kılmaz: yine de bir hukuki dayanağa ihtiyacınız var, yine de her zamanki güvenceleri sağlamak zorundasınız ve kişisel veriyi GDPR'ın yasaklayacağı bir şekilde bir üçüncü tarafa yine de veremezsiniz. Data Act bir kapı açar; kimin oradan geçebileceğine hâlâ GDPR karar verir.

Konum verisi neden merkezde duruyor

Bağlı ürünlerin ürettiği tüm veriler arasında konum verisi en değerli ve en hassas olanlardan biridir ve yasa için tam da bu yüzden belirleyici bir test durumudur.

Bağlı araçlar, filo takip cihazları, teslimat donanımları, tarım makineleri ve sayısız IoT sensörü sürekli bir konum verisi akışı üretir. Data Act kapsamında o ürünün kullanıcısı, bu akışa ulaşma ve onu tercih ettiği bir hizmete taşıma hakkına sahiptir. Başkasının telematik donanımını kullanan bir lojistik şirketi, kendi hareket verisini kullanılabilir bir biçimde talep edebilir. Bir çiftçi, makine verisini bağımsız bir analiz aracına götürebilir. Bir sürücü, yolculuk geçmişini taşıyabilir.

Bu ürünleri geliştiren ekipler için üç görev isteğe bağlı olmaktan çıkıp yapısal hale gelir:

1. Varsayılan erişim. Eylül 2026'dan itibaren yeni bir bağlı ürün, ürettiği verinin özel ve engelleyici bir süreç olmadan ulaşılabilir olacağı şekilde tasarlanmalıdır.
2. Taşınabilirlik. Kullanıcılar verilerini başka bir yere götürebilir, bu da verinin başka bir sistemin gerçekten alabileceği bir biçimde çıkması gerektiği anlamına gelir.
3. Birlikte çalışabilirlik. Aşağı akışta anlaşılamayan veri gerçekten taşınabilir değildir, dolayısıyla açık formatlar ve kararlı referanslar önemlidir.

Bunların hiçbiri, yalnızca kendi araçlarınızın okuyabildiği tescilli bir dışa aktarma ile karşılanmaz. Sizin lock-in'inize bağlı taşınabilirlik, taşınabilirlik değildir.

Data Act'in görevleri için bir ürün tasarlamak

Yasanın üç görevi, yani erişim, taşınabilirlik ve birlikte çalışabilirlik, somut mühendislik seçimlerine dönüşür. Bunları geliştirirken doğru yaparsanız yükümlülüğün size neredeyse hiçbir maliyeti olmaz; bir kullanıcı talep gönderdikten sonra bunları sonradan eklerseniz maliyeti yüksek olur.

Kimse istemeden önce erişim yolunu inşa edin. Eylül 2026'dan itibaren yeni bir bağlı ürün, ürettiği veriyi bir destek talebi ve iki haftalık bekleme yoluyla değil, varsayılan olarak sunmak zorundadır. Bir kullanıcıya kendi verisini geri döndüren temiz, belgelenmiş bir endpoint tasarlamanın en ucuz zamanı, özelliği geliştirdiğiniz sırasıdır, hak kullanıldıktan sonra değil.

Dışa aktarmayı gerçekten taşınabilir yapın. Yalnızca kendi araçlarınızın okuyabildiği taşınabilirlik, taşınabilirlik değildir. Sisteminizden GeoJSON olarak, yani belgelenmiş açık bir standart olarak çıkan veri, birlikte çalışabilirlik görevini yapısı gereği karşılar; tescilli bir blob ise dosyalanmayı bekleyen bir şikâyettir. Açık formatlar, yasanın sunduğu en ucuz sigortadır.

Tanımlayıcılarda ve geocode'larda lock-in'den kaçının. Bir adresi koordinata çevirdiğinizde veya bir yere bir ID eklediğinizde, başka bir sistemin çözebileceği referansları tercih edin; böylece verisini bir rakibe taşıyan bir kullanıcı, kullanılamaz anahtarlarla karşılaşmaz. Koordinat katmanının burada neden önemli olduğu için Geocode Nedir yazısına bakın.

Yasanın çözmediği bir şey, verinin en baştan hangi yargı yetkisinin yasasına tabi olduğudur. Bu, ilgili ama ayrı bir sorudur, yani veri egemenliği, ve API'nizin nerede çalıştığına dair bir tesadüfle değil, bilinçli bir şekilde karar verilmeye değer. Bunu Veri Egemenliği ve Konum Verisi yazısında ele alıyoruz.

MapAtlas Data Act'e nasıl uyuyor

Data Act açık, taşınabilir ve kilitlenmemiş veriyi ödüllendirir ve MapAtlas sonuçları varsayılan olarak tam da böyle döndürür. Geocoding API ve Search API hizmetlerimiz, koordinatları ve yerleri tescilli bir konteyner yerine belgelenmiş açık formatlarda geri verir; böylece yasa gereği kullanıcılarınıza borçlu olduğunuz dışa aktarma, sonradan tersine mühendislikle çıkarmanız gereken bir şey değil, zaten sahip olduğunuz bir şeydir.

Bunların hiçbiri uyumluluğu otomatik hale getirmez. Data Act'e uyum, ürününüzü nasıl tasarladığınıza, sözleşmelerinizi nasıl yazdığınıza ve verinizi nasıl yönettiğinize göre sağlanır, tek bir sağlayıcıyla değil. Doğru altyapının yaptığı şey, sonradan uyarlama yükünü ortadan kaldırmaktır: konum katmanınız zaten açık ve taşınabilirse, yasanın en zor görevleri kaynağında karşılanmış olur.

Yapı taşları için, Ters Geocoding Nedir konumları tekrar adreslere çevirmeyi ele alır, GeoJSON Nedir taşınabilirlik görevini önemsiz hale getiren açık formatı açıklar ve GDPR uyumlu haritalar sayfamız Avrupa işlemenin platform genelinde nasıl çalıştığını gösterir. Düzenleme talepkâr, ama bir kez olsun uyumlu yol ile iyi mühendislik yapılmış yol aynı yoldur.