Tarım verisinin sahipliği, paylaşımı ve güvenliği: sözleşmede nelere bakmalı?

Traktör, sulama kontrol ünitesi, hava istasyonu ya da çiftlik yönetim yazılımı her gün veri üretir: parsel sınırları, verim, gübre ve ilaç dozları, makine çalışma saatleri. Bu veriden kimin, hangi amaçla yararlanacağı çoğu zaman satın alma ya da abonelik sözleşmesinin ayrıntılarında belirlenir. AB'deki değerlendirmeler, veri sahipliğine ilişkin belirsizliğin dijital araçların yayılmasının önündeki engellerden biri olduğunu gösteriyor; Bavyera'da yüksek yatırım ve işletme maliyetleriyle birlikte veri sahipliği belirsizliği en sık dile getirilen engeller arasındaydı. Çiftçiler veri ihlali, bilginin kötüye kullanılması ve verisi üzerindeki denetimi kaybetme kaygısıyla veri paylaşmaktan çekinebiliyor (EU CAP Network, 2025).

AB Tarım Verisi Paylaşımı Davranış Kuralları (2018)

2018'de Copa-Cogeca öncülüğünde, tarım makineleri, gübre, bitki koruma, tohum, yem, tarım yüklenicileri, hayvan ıslahçıları ve genç çiftçileri temsil eden Avrupa kuruluşları "Sözleşmeye Dayalı Tarım Verisi Paylaşımına İlişkin AB Davranış Kuralları"nı (EUCC) yayımladı. Kurallar gönüllüdür ve açıkça çiftçi odaklıdır. Merkezinde "veri kaynağı" (data originator) kavramı vardır: tarımsal veriyi üreten, toplayan ya da kendi adına başkasına ürettiren kişi veya işletme. Veri kaynağı, veri hakkı sahibiyle aynı konumdadır (Ryan vd., 2024).

Beş temel ilke şunlardır (Ryan vd., 2024):

• Veri hakları: Haklar, veriyi üreten ya da ürettiren veri kaynağına tanınır.
• Erişim, denetim ve taşınabilirlik: Veri kaynağı verisine erişebilmeli, onu denetleyip yeniden kullanabilmelidir; üçüncü tarafların erişimi için açık onayı gerekir. Taşınabilirlik, verinin bir makineden ya da sistemden diğerine aktarılabilmesidir.
• Şeffaflık: Veri, sözleşmede sayılmayan üçüncü taraflarla paylaşılamaz; sözleşme değişiklikleri tüm tarafların onayını gerektirir.
• Gizlilik ve güvenlik: Kişisel veriler GDPR kapsamında korunur, gerektiğinde anonimleştirilir ya da takma adla işlenir; güvenlik ihlalinde etkilenenlere derhal bilgi verilir.
• Sorumluluk ve fikri mülkiyet: Sözleşme ihlalinde sorumluluk açık olmalı, fikri mülkiyet korunmalıdır.

Zayıf yanı gönüllü olmasıdır: uymayanlar için yaptırım yoktur ve literatür, bir markanın sistemine bağımlı kalma (veri kilitlenmesi) sorununu yeterince ele almadığını eleştirir. 89 paydaşla yapılan altı çalıştaya dayanan çalışma, kuralların sektör için hâlâ önemli olduğu, ancak Veri Yasası'na göre güncellenmesi ve örnek sözleşme şartlarıyla desteklenmesi gerektiği sonucuna varıyor (Ryan vd., 2024).

AB Veri Yasası: Tüzük (AB) 2023/2854

Veri Yasası 22 Aralık 2023'te AB Resmî Gazetesi'nde yayımlandı ve 12 Eylül 2025'ten beri uygulanıyor. Bağlantılı ürünlerin (örneğin sanayi ve tarım makineleri) ve bunlara bağlı hizmetlerin kullanıcıları, ürünü kullanırken birlikte ürettikleri veriye erişebilir. Bu veriyi doğrudan ya da veri sahibinden isteyerek seçtikleri bir üçüncü tarafla paylaşabilirler; Dijital Piyasalar Yasası kapsamındaki geçit bekçisi büyük platformlar bu üçüncü taraflar arasında yer alamaz. Veri sahibi genellikle ürünü üreten ya da ilgili hizmeti sunan şirkettir ve kullanıcıyla erişim, kullanım ve paylaşım haklarını belirleyen bir sözleşme yapmak zorundadır. Ürünün ürettiği kişisel olmayan veriyi kullanıcının onayı olmadan kullanamaz (Avrupa Komisyonu, 2025).

Üretici açısından diğer önemli noktalar (Avrupa Komisyonu, 2025):

• Veri sahibi, ürünün hangi tür veriyi, ne hacimde ve hangi sıklıkta üreteceği konusunda kullanıcıyı bilgilendirmelidir; kullanıcı erişimi basit bir süreçle isteyebilmeli ve veri ona ücretsiz sunulmalıdır.
• Kullanıcının eriştiği veri, rakip bir bağlantılı ürün geliştirmek için kullanılamaz.
• Veri başka bir işletmeye aktarılıyorsa, alıcı mikro işletme, KOBİ ya da kâr amacı gütmeyen araştırma kuruluşu olduğunda veri sahibi en fazla maliyeti kadar bedel isteyebilir.
• Tüm işletmeler, özellikle KOBİ'ler, güçlü tarafın dayattığı haksız sözleşme şartlarına karşı korunur; Komisyon gönüllü örnek sözleşme şartları için bir tavsiye taslağı yayımladı.
• Bulut ve yazılım hizmeti sağlayıcıları, müşterinin başka sağlayıcıya geçişini kolaylaştırmak ve veriyi yaygın, makinece okunabilir biçimde dışa aktarabilmek zorundadır.

Ürünlerin kullanıcıya doğrudan veri erişimi sağlayacak biçimde tasarlanmasına ilişkin yükümlülük ise 12 Eylül 2026'dan sonra uygulanmaya başladı (Ryan vd., 2024).

Ortak Avrupa Tarım Veri Alanı

Komisyon, Avrupa Veri Stratejisi'nde çiftçiler, makine şirketleri ve veri hizmeti sağlayıcıları gibi özel paydaşlar ile kamu kurumları arasında güvenilir veri paylaşımını kolaylaştırmak için Ortak Avrupa Tarım Veri Alanı'nı duyurdu. Uygulama aşamalıdır: önce "AgridataSpace" adlı hazırlık eylemi, ardından kurulum aşaması; ikisi de Dijital Avrupa Programı'ndan finanse edilir (Avrupa Komisyonu, tarihsiz). Amaç, tarım sektörünün veriyi güvenli ve güvenilir bir ortamda paylaşıp erişebilmesi ve bununla ekonomik ve çevresel performansını iyileştirmesidir (Avrupa Komisyonu, 2021).

KVKK ve GDPR: çiftçi verisi ne zaman kişisel veridir?

GDPR'ye göre kişisel veri, kimliği belirli ya da belirlenebilir yaşayan bir kişiye ilişkin her türlü bilgidir. Takma adla işlenmiş ya da şifrelenmiş ama yeniden kimliklendirilebilen veri kişisel veri olmaya devam eder; geri döndürülemez biçimde anonimleştirilmiş veri ise kapsam dışıdır. Şirket sicil numarası gibi tüzel kişiye ait bilgiler kişisel veri sayılmaz (Avrupa Komisyonu, tarihsiz). Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) da kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar (KVKK, 2016).

Tarımdaki pratik anlamı şudur: kendi adına çalışan bir çiftçinin parsel, verim ya da makine verisi çiftçiyle ilişkilendirilebildiği sürece kişisel veri niteliği taşıyabilir. Bir şirketin kurumsal verisi ise kişisel verilerin korunması mevzuatının değil, Veri Yasası ve sözleşme hukukunun alanındadır. Veri Yasası GDPR ile uyumludur: kullanıcı, verisi istenen kişi değilse kişisel veri ancak geçerli bir hukuki dayanak, örneğin açık rıza varsa paylaşılabilir (Avrupa Komisyonu, 2025).

KVKK, veri sorumlusuna veriyi elde ederken kimliğini, işleme amacını, verinin kimlere aktarılabileceğini, toplama yöntemini ve hukuki sebebini bildirme yükümlülüğü getirir. İlgili kişi verisinin işlenip işlenmediğini öğrenme, düzeltilmesini ve silinmesini isteme ve aktarıldığı üçüncü kişileri bilme haklarına sahiptir. Veri sorumlusu uygun güvenlik tedbirlerini almak ve veri sızıntısını en kısa sürede ilgili kişiye ve Kurul'a bildirmekle yükümlüdür (KVKK, 2016).

Sınır ötesi hizmetlerde dikkat edilecekler

• AB dışında kurulu olup AB'deki kişilere ücretli ya da ücretsiz hizmet sunan kuruluşlar GDPR kapsamına girer; Kozan merkezli bir teknoloji sağlayıcısı Larissa'daki çiftçilere hizmet verdiğinde bu kurala tabidir (Avrupa Komisyonu, tarihsiz).
• Veri Yasası, veri sahibine veriyi AB dışındaki üçüncü taraflarla paylaşma zorunluluğu getirmez (Avrupa Komisyonu, 2025). Larissa'daki bir üretici makine verisini Türkiye'deki bir danışmanla paylaşmak istiyorsa, veriyi kendisi indirip paylaşması daha güvenli bir yoldur.
• Türkiye'deki bir üretici ya da firma kişisel veriyi yurt dışındaki bir buluta aktarıyorsa KVKK'nın 9. maddesi uygulanır: yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri gerekir ve standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilir (KVKK, 2016).

Dijital hizmet sözleşmesi için kontrol listesi

Kaynaklar

1. Ryan, M., Atik, C., Rijswijk, K., Bogaardt, M.-J., Maes, E. ve Deroo, E., 2024. The future of agricultural data-sharing policy in Europe: stakeholder insights on the EU Code of Conduct. Humanities and Social Sciences Communications 11:1197 (erişim 29 Eylül 2026)
2. Avrupa Komisyonu, 2025. Data Act explained (Shaping Europe's digital future) (erişim 29 Eylül 2026)
3. Avrupa Komisyonu, tarihsiz. Digitalising the EU agricultural sector (Shaping Europe's digital future) (erişim 29 Eylül 2026)
4. Avrupa Komisyonu, 2021. Common European data spaces for agriculture and mobility (etkinlik raporu, 13.12.2021) (erişim 29 Eylül 2026)
5. Avrupa Komisyonu, tarihsiz. Data protection explained: What is personal data? Who does the data protection law apply to? (erişim 29 Eylül 2026)
6. KVKK, 2016. 6698 sayılı Kişisel Verilerin Korunması Kanunu (Resmî Gazete 7.4.2016, sayı 29677; 2024 değişiklikleri işlenmiş metin), mevzuat.gov.tr (erişim 29 Eylül 2026)
7. EU CAP Network / Avrupa Komisyonu DG AGRI, 2025. Assessing digitalisation under the CAP Strategic Plans (tematik rapor, Kasım 2025) (erişim 29 Eylül 2026)