1.                  GİRİŞ

Günümüz dijital dönüşüm çağındaveri koruması, hem bireyler hem şirketler için önemli bir endişe olmuştur. Verilerin internet ağı üzerinde dolaşımda olması sebebiyle mahremiyet ve güvenliğin sağlanması önem kazanmıştır. Bu yazımızda, Avrupa Birliği (“AB”), Birleşik Krallık ve Türkiye veri koruma düzenlemeleri kapsamında veri mahremiyetinin sağlanması amacıyla anonimleştirme ve psödönimleştirme yöntemlerinin önemini inceleyeceğiz. Ayrıca; her ne kadar bu iki yöntemin birbiriyle aynı olduğu düşünülse de anonimleştirme ve psödönimleştirme farklarına bu yazımızda, farklı mevzuattaki yönleriyle, değineceğiz.

1.1.             Veri Mahremiyetine Dair Ne Gibi Endişeler Var?

Detaylara girmeden önce; veri korumasının önemi, neden gerekli olduğu, veri güvenliğinin olumlu yanlarının anlaşılması gerekmekte ve daha sonrasında veri güvenliğinin sağlanmasının neden önemli olduğunun incelenmesi gerekmektedir. Verilere ilişkin riskleri incelemek gerekirse şu örnekler sayılabilecektir: veri ihlali, yetkisiz üçüncü kişiler tarafından sistemlere erişim ve siber saldırılar vb. Bu riskler,  veri güvenliğini sağlamak için koruyucu önlemlere duyduğumuz ihtiyacı ortaya koymaktadır. Yukarıda sayılan tüm bu risklere ek olarak, veri güvenliğine dair endişelerden olan, veri eşleştirme riski de bulunmaktadır. Veri eşleştirme; birden fazla kaynaktan gelen verilerin birleştirilmesi, karşılaştırılması veya eşleştirilmesi yöntemleri bütünü olarak tanımlanmaktadır. Veri eşleştirme, temel olarak, aşağıdaki hususları sağlamak amacıyla tercih edilmektedir[1]:

- Dolandırıcılığın önlenmesi,

- Doğrudan pazarlama yapılması,

- Kişisel kullanımı izlemek/yasal hizmet veya faydaların alınmasını sağlamak,

- Birleşik kimlik güvencesi hizmetleri için.

Ancak veri eşleştirme, her ne kadar yukarıda sayılan iyi amaçlar için kullanılsa da, veri sızdırılması ihtimali  için de risk oluşturmaktadır. Şöyle ki; sızan veri kümeleri içinde aynı ilgili kişilere ve/veya aynı ilgili kişi gruplarına ait veriler, kötü niyetli kişiler tarafından eşleştirilerek kötü amaçlar (Ör; kimlik hırsızlığı, dolandırıcılık vb.) için kullanılabilmektedir.

1.2.            Anonimleştirme ve Psödönimleştirme Yöntemleri Neden Önemli?

Yukarıda bahsedilen siber güvenlik riskleri kişisel verileri ve hatta özel nitelikli kişisel verileri etkileyebilmektedir. Bu nedenle, bir önceki bölümde bahsedilen söz konusu istenmeyen risklerin önlenmesi için teknik ve idari önlemlerin alınması gerekmektedir. Bir başka deyişle, verilerin hem mahremiyeti hem güvenliği açısından anonimleştirme ve psödönimleştirme yöntemleri tercih edilmelidir. Konuyu daha iyi kavramak adına, anonimleştirme ve psödönimleştirme, makalenin bir sonraki bölümünde karşılaştırmalı olarak incelenecektir.

2.                  ANONİMLEŞTİRME VE PSÖDÖNİMLEŞTİRME NEDİR?

Anonimleştirme ve psödönimleştirmenin ne olduğunu anlamak için öncelikle AB, Birleşik Krallık ve Türkiye'deki veri koruma mevzuatlarını incelemenin yerinde olduğu kanaatindeyiz.

2.1.             Anonimleştirme

2.1.1.       AB

Anonimleştirme, AB Genel Veri Koruma Tüzüğü’nde (“GDPR”) tanımlanmadığından; kavram, AB'de halen tartışmalıdır. Örneğin, 29. Çalışma Grubu’nun Anonimleştirme Teknikleri Rehberi’nde[2], anonimleştirmenin, aşağıdaki şekilde bir kimlik tespiti riski aranarak, bir diğer ifadeyle, risk temelli bir yaklaşımla uygulanması önerilmiştir:

“Veri sorumluları “bırak ve unut” yaklaşımına güvenmemelidir. Kimlik tespitine ilişkin mevcut risk göz önüne alındığında, veri sorumluları şunları yapmalıdır:

-         Yeni riskleri belirlemek ve kalan riskleri düzenli olarak yeniden değerlendirmek,

-         Belirlenen risklere yönelik kontrollerin yeterli olup olmadığını değerlendirmek ve ayarlamalar yapmak,

-         Riskleri izlemek ve kontrol etmek.”

Her ne kadar GDPR'ın tanımlar bölümü olan 4. maddesinde anonimleştirme tanımlanmamışsa da, anonim bilginin kapsamı GDPR’ın 26. şerhinde aşağıdaki şekilde ifade edilmiştir:

“Bu nedenle, veri koruma ilkeleri; anonim bilgiler, yani kimliği belirli veya belirlenebilir bir gerçek kişiyle ilgili olmayan bilgiler veya veri sahibinin kimliği belirlenemeyecek veya artık belirlenemeyecek şekilde anonim hale getirilen kişisel veriler için geçerli olmamalıdır. Dolayısıyla bu Tüzük istatistiksel veya araştırma amaçları da dahil olmak üzere bu tür anonim bilgilerin işlenmesiyle ilgili değildir.[3]”

İspanyol Veri Koruma Otoritesi (“AEPD”) ve Avrupa Veri Koruma Denetçisi (“EDPS”) tarafından hazırlanan Ortak Belge’ye[4] göre ise anonimleştirme şu şekilde tanımlamaktadır:

“Anonimleştirme, kişisel verilerin anonim hale getirilmesi işlemidir.”

Özetle, AB veri koruma mevzuatına göre anonim veriler, GDPR kapsamı dışında olup, tanımlanamayan veri olarak ifade edilmektedir ve anonimleştirme ise bunun işlemidir. Ancak, burada dikkate alınması gereken bir soru bulunmaktadır. Anonim verileri geri tanımlamak mümkün müdür? Bir başka deyişle, bu verilerin bazı işlemler aracılığıyla kime ait olduğunun geri tespit edilmesi mümkün müdür? AEPD ve EDPS Ortak Belgesi’nde,yeniden kimlik belirlemenin zayıf veya eksik anonimleştirmenin sonucu olduğu vurgulanarak bu konu aşağıdaki şekilde açıklanmaktadır:

“Yeniden tanımlama olasılığı, belirli bir veri kümesinde, veri eşleştirme veya benzer teknikler kullanılarak anonimleştirilmiş verilerin tekrar kişisel verilere dönüştürülmesi yoluyla bir bireyin yeniden tanımlanması ihtimalidir…

…Yıllar boyunca, bireylerin kimliklerinin yeniden belirlenmesiyle sonuçlanan eksik veya yanlış yürütülen anonimleştirme süreçlerine ilişkin birçok örnek yaşanmıştır.”

AEPD ve EDPS Ortak Belgesi, anonimleştirmeyle ilgili birçok yanlış anlaşılmayı aşağıdaki şekilde açıklamaktadır:

- Psödönimleştirme,bir anonimleştirme tekniği değildir.

- Şifrelemebir anonimleştirme değil, psödönimleştirme tekniğidir.

- Yeniden kimlik belirleme riskini azaltmak her zaman mümkün olmamaktadır.

- Anonimleştirme sonsuza kadar sürmeyebilir ve teknik gelişmeler ile ek bilgilere göre yeniden ayarlanması gerekebilmektedir.

- Her ne kadar %100 anonimleştirme arzu edilen bir hedef olsa da gerçek bu olmayabilir.

- Anonimleştirme derecesini analiz etmek ve ölçmek mümkündür.

- Anonimleştirme için insan (uzman kişi) müdahalesine ihtiyaç vardır.

- Uygun bir anonimleştirme süreci, verilerin belirli bir amaç için işlevsel kalmasını sağlar. Aksi bir görüş olan, anonimleşen veriler değerini yitirir ifadesi doğru olmamaktadır.

- Anonimleştirme süreçlerinin; işlemenin niteliğine, kapsamına, bağlamına ve amaçlarına göre uyarlanması gerekmektedir.

- Bireye ait verinin yeniden tanımlanarak verinin kimliğinin belirlenmesi, bireylerin hak ve özgürlükleri üzerinde ciddi etkiler yaratabilmektedir.

Tüm bunlara paralel olarak; anonimleştirme teknolojisinin gizliliğin sürdürülebilmesi için insan uzmanlığı gerektiren çok aşamalı ve periyodik bir süreç olduğunu belirtmek isteriz. Ancak EDPB tarafından “Anonimleştirmeye İlişkin Kılavuz” yayımlandıktan sonra bu teknolojiye ilişkin kapsamlı bilgiler güçlenecektir. Rehberin, EDPB'nin 2023 ve 2024 Çalışma Programına[5] göre, bu sene içerisinde yayımlanması beklenmektedir.

2.1.2.       Birleşik Krallık

Birleşik Krallık GDPR'ı, tanımlarını içeren 4. maddesinde, GDPR’a benzer bir şekilde anonimleştirmeyi tanımlamamaktadır. Ancak ICO, anonimleştirmeye yönelik bir Uygulama Kuralları[6] yayımlamıştır. Uygulama Kuralları aynı zamanda anonimleştirmenin veri minimizasyonunu desteklediğini vurgulayarak GDPR'nin 26. şerhine de atıfta bulunmakta ve anonimleştirmeye ilişkin konuları şu şekilde açıklamaktadır:

- Birleşik Krallık mahkemeleri, kimliği yeniden belirlemenin "olasılığı" veya "makul olasılığı"ndan kaynaklanan pratik sorunlar karşısında anonimleştirme için "muhtemelen makul" risk testini kullanmıştır.

- Anonimleştirme, kuruluşların veri koruma yükümlülüklerine uymalarına yardımcı olurken aynı zamanda bilgileri kamuya açık hale getirmelerine olanak tanımaktadır.

- Kişisel veriler yerine anonimleştirilmiş verilerin kullanılması her zaman gerekli veya mümkün değildir.

- Güvenlik verileri gibi tüm veri türleri için anonimleştirme mümkün değildir.

- Anonimleştirme, verilerin kuruluşlar ve yasal otoriteler arasında güvenli bir şekilde paylaşılmasına yardımcı olabilmektedir.

- Kişisel verilerin yeniden kimlik tespiti yoluyla üretilmesi halinde bu durum veri sorumlusunun sorumluluğunda olacaktır.

- Bir anonimleştirme sürecini meşrulaştırmak için genellikle rızaya gerek yoktur.

- Posta kodları, GPS verileri veya harita referansları duruma bağlı olarak kişisel veri olabilir veya olmayabilir.

- Verilerin kişisel veri olmaması, bunların her zaman açıklanmasının uygun olduğu anlamına gelmemektedir.

- Sınırlı erişim, ifşa etmekten daha iyidir.

- Kişisel verileri anonimleştiren kuruluşların etkili ve kapsamlı bir yönetim yapısına ihtiyacı bulunmaktadır.

Bu Uygulama Kuralları ile ICO, anonimleştirme konusunda daha kapsamlı bir yol haritası çizmiştir. Ancak ICO, AEPD ve EDPS Ortak Belgesinden farklı olarak psödönimleştirmeyi bir anonimleştirme tekniği olarak adlandırmış ve genellikle aynı teknik olarak kullanılan takma ad verme ile veri maskelemeyi ayrı kavramlar olarak değerlendirmiştir.

2.1.3.       Türkiye

6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca, anonimleştirme şu şekilde tanımlanmaktadır:

“Kişisel verilerin başka verilerleeşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyleilişkilendirilemeyecek hale getirilmesi.”

KVKK, Birleşik Krallık ve AB veri koruma mevzuatından farklı olarak, veri eşleştirmesi yapılsa bile anonimleştirilmiş verilerin kime ait olduğunun tespit edilmeyeceğini öngörmektedir.

Ayrıca KVKK'nın 28. maddesinin 1. fıkrasının (b) bendi uyarınca kişisel veriler, resmi istatistiklerle anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenebilmektedir.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca anonimleştirmeye ilişkin olarak aşağıdaki hususlara yer verilmiştir:

- Anonimleştirme, kişisel veri imha tekniklerinden (Silme, Yok Etme veya Anonim Hale Getirme) biridir.

- VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kayıtlı veri sorumlusunun hazırlama sorumluluğunda olan Kişisel Veri Saklama ve İmha Politikası (“Politika”), veri sorumlusunun anonimleştirme politikasını içermektedir

- Veri sorumlusunun VERBİS'e kaydolma zorunluluğu bulunmasa dahi, anonimleştirme dahil veri imha teknikleri yükümlülüğü devam etmektedir.

- Periyodik imha, anonimleştirme tekniğinin yanı sıra diğer veri imha teknikleriyle de yapılabilmektedir.

- Anonimleştirme aynı zamanda ilgili kişinin KVKK uyarınca hakkıdır.

- Anonimleştirme işlemlerine ilişkin tüm kayıtlar saklanmalıdır.

- Veri sorumlusu, Türkiye Veri Koruma Kurulu (“Kurul”) aksi yönde karar vermediği takdirde, uygun veri imha tekniğini seçme seçeneğine sahiptir.

- Veri sorumlusu, anonimleştirmeye ilişkin her türlü idari ve teknik tedbiri almakla yükümlüdür.

- Politika düzenlemekle yükümlü olan veri sorumlusu, kişisel verileri imha etmesi gerekiyorsa ilk periyodik imha süresinde bu verileri imha etmelidir.

- Politika hazırlamakla yükümlü olmayan veri sorumlusu, kişisel verileri imha etmesi gerekiyorsa ilk 3 ay içerisinde imha etmelidir.

- Kişisel veri işlemenin hukuki sebebi artık geçerli değilse, veri sorumlusu kişisel verileri imha etmesi gerekmektedir.

Görüldüğü gibi KVKK ve Yönetmelik, veri sorumlusu için GDPR ve Birleşik Krallık GDPR'ye göre daha katı sınırlar koymaktadır. Ancak bunlardan en farklı olanı, Yönetmelik'in 10. maddesinde anonimleştirme için "bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi" ifadesinin kullanılmasının tercih edilmesidir. Türk veri koruma mevzuatı yorumlanacak olursa, AB ve Birleşik Krallık veri koruma mevzuatına benzer şekilde, anonimleştirilmiş verilerin KVKK kapsamı dışında olduğu söylenebilecektir.

Ayrıca, KVKK'nın 17. maddesinin 2. fıkrası uyarınca kişisel verileri imha etmesi gerekmesine rağmen imha etmeyenler hakkında Türk Ceza Kanunu’nun 138. maddesi uyarınca "Verileri Yok Etmeme Suçu" suçundan cezalandırılması gerektiği öngörülmektedir.

Son olarak, imha tekniklerine ilişkin kapsamlı kılavuzlar içeren Kişisel Verileri Koruma Kurumu’nun (“Kurum”) Teknik ve İdari Tedbirler Kılavuzu'nda anonimleştirmenin teknik bir önlem olduğu vurgulanarak buna yönelik rehberin incelenmesi önerilmiştir.

2.2.            Psödönimleştirme

2.2.1.       AB

Psödönimleştirme, GDPR'ın 4. maddesinde şu şekilde tanımlanmaktadır:

“Kişisel verilerin, ek bilgiler kullanılmadan artık belirli bir ilgili kişiye atfedilemeyecek şekilde işlenmesi, söz konusu ek bilgilerin ayrı tutulması ve aşağıdaki hususların sağlanması için teknik ve idari önlemlere tabi tutulmasıdır. Psödönim kişisel veriler, kimliği belirli veya belirlenebilir bir gerçek kişiye atfedilemez.”

Ayrıca, GDPR'nin birçok şerhinde psödönimleştirme kullanımı şu şekilde açıklanmaktadır:

- Şerh 26: “Ek bilgi kullanılarak gerçek kişiye atfedilebilen, psödönim kişisel veriler, kimliği belirlenebilir gerçek kişiye ilişkin bilgi olarak değerlendirilmelidir.”

- Şerh 28: "Kişisel verilere psödönimleştirme uygulanması, ilgili kişilere yönelik riskleri azaltabilir ve veri sorumlusu ve veri işleyenlerin veri koruma yükümlülüklerini yerine getirmelerine yardımcı olabilir.

- Şerh 29: “Kişisel verileri işlerken psödönimleştirme uygulanmasına yönelik teşvikler oluşturmak amacıyla, veri sorumlusunun veri işleme için gerekli teknik ve idari tedbirleri alması durumunda psödönimleştirme önlemi alması mümkün olmalıdır.”

- Şerh 75: "Kişisel verilerin işlenmesi, gerçek kişilerin hak ve özgürlüklerine yönelik, farklı olasılık ve şiddette riskler doğurabilir ve bu da psödönimleştirmenin yetkisiz bir şekilde tersine çevrilmesine yol açabilir.”

- Şerh 85: “Kişisel veri ihlali, uygun ve zamanında ele alınmazsa … psödönimleştirmeyle sonuçlanabilir.”

- Şerh 156: “Kişisel verilerin kamu yararına arşivleme, bilimsel veya tarihi araştırma amaçları veya istatistiksel amaçlarla işlenmesi, kişilerin hak ve özgürlükleri açısından uygun güvencelere (örneğin, verilerin psödönimleştirilmesi gibi) uyulması gerekmektedir.”

Görüldüğü gibi psödönimleştirme, anonimleştirmeye göre çok daha net bir şekilde düzenlenmiştir. Özet olarak psödönimleştirme, kişisel verilerin ek bir bilgi olmadığı sürece artık ilgili kişiyle ilişkilendirilememesi olarak tanımlanabilir. Anonimleştirmeden diğer bir fark ise psödönimleştirilen verilerin GDPR kapsamında olmasıdır.

Ayrıca GDPR'nin "Tasarım Yoluyla ve Varsayılan Olarak Veri Koruma" başlıklı 25. maddesinde psödönimleştirme kullanımı uygun teknik ve idari önlemlere örnek olarak verilmiştir. Daha sonra GDPR'nin “İşleme Güvenliği” başlıklı 32. maddesinde psödönimleştirmenin uygun güvencelerden biri olduğu açıklanmaktadır. Bu ifadelerle, anonimleştirmenin de tasarım gereği ve varsayılan olarak ve uygun bir koruma olarak veri koruma kapsamında olduğu söylenebilir, çünkü anonimleştirme daha sıkı bir gizlilik gerektirmektedir.

2.2.2.       Birleşik Krallık

Ayrıca Birleşik Krallık GDPR'ın da tanımları içeren 4. maddesinde psödönimleştirme tanımlanmaktadır ve GDPR şerhlerine atıfta bulunmaktadır.

Ancak ICO'nun Şubat 2022'de yayımlanan Taslak Kılavuz'u bulunmaktadır. Taslak Kılavuz'da psödönimleştirme kullanımına ilişkin hususlar şu şekilde açıklanmaktadır:

- Psödönimleştirilen anılan veriler hâlâ kişisel veridir.

- Psödönimleştirme, işleme sürecinizin bireysel haklar açısından oluşturduğu riski azaltmaktadır.

- Psödönimleştirme, işlediğiniz kişisel verilerin güvenliğini artırmaktadır.

- Psödönimleştirme, kişisel verilerin yeni amaçlarla yeniden kullanılmasını desteklemektedir.

- Psödönimleştirme, veri koruma ilkelerine genel uyumunuzu desteklemektedir.

- Psödönimleştirme, bireylerin verilerini nasıl işlediğinize dair güvenini ve güvenini artırmaktadır.

- Psödönimleştirme değerlendirirken, hem tasarım gereği veri koruması hem de güvenlik açısından aşağıdaki hususların dikkate alınması gerekmektedir: (i) herhangi bir önlemin son durumu ve uygulama maliyetleri, (ii) niteliği, kapsamı, bağlamı ve amaç(lar)ı ) işleminizin; ve(iii) işleme faaliyetinizin bireylerin hak ve özgürlükleri açısından oluşturduğu riskler.

- Psödönimleştirme teknikleri, kişisel veri ihlallerinden kaynaklanabilecek kişilerin zarar görmesi riskini azaltabilmektedir.

- Psödönimleştirme, kişisel verilerin araştırma, daha fazla analiz veya uyumlu amaçlar gibi orijinal amacının ötesinde daha fazla işlenmesini sağlamak için yararlı bir araç olabilmektedir.

- Psödönimleştirmeye karar verilmeden önce etkililik testi yapılmalıdır.

- Psödönimleştirme tekniklerine duruma göre karar verilmelidir.

Ayrıca Birleşik Krallık GDPR'nin 171(1) ve 171(5) maddelerinde kimlik bilgileri kaldırılmış kişisel verilerin yeniden tanımlanmasıyla ilgili iki suç bulunmaktadır.

2.2.3.       Türkiye

Psödönimleştirme, KVKK’da tanımlanmamış veya açıklanmamıştır, ancak Kurul kararlarında tanınmıştır. Kurum’un Teknik ve İdari Tedbirler Kılavuzu'nda psödönimleştirme, teknik bir tedbir olarak kabul edilmektedir. Kurul kararları aşağıdaki gibidir:

- Psödönimleştirme: kişisel verilerin kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üzerinin çizilmesi, boyanması, belirli alanlarının yıldızla işaretlenmesi gibi işlemler

- Veri sorumlusu, kullanıcıların kişisel verilerini psödönimleştirerek veya şifreleyerek saklar.

- Verilerin işlenmesinde psödönimleştirme, anonimleştirme gibi yöntemler kullanılmalı, kişinin ad ve soyad bilgilerinin yanı sıra kişiyi tanımlayan başka bir verinin (örneğin Türkiye Cumhuriyeti Kimlik numarası) kullanılması gerekiyorsa ilgili veriler maskelenerek kullanılabilir.

- Veri sorumlusu, hastanın kişisel sağlık verilerini içeren basılı materyal üzerinde gerekli kısmi kimliksizleştirme veya psödönimleştirme tedbirlerini uygulamak ve söz konusu materyalin mevzuat kapsamına girmesi durumunda söz konusu kişinin kimliğinin tespitini zorlaştıracak tedbirleri almakla yükümlüdür.

Türk veri koruma mevzuatı yorumlanacak olursa, psödönimleştirilmiş verilerin KVKK kapsamında olduğu ve mahremiyetin sağlanmasına yönelik teknik bir tedbir olduğu söylenebilecektir.

3.                  Sonuç

Birleşik Krallık, AB veya Türk veri koruma mevzuatlarından hangisi kapsamda olursa olsun, veri güvenliğinin ve veri gizliliğinin sağlanmasına yönelik tedbirlerin alınması gerekmektedir. Bu tedbirler arasında teknik tedbir kategorisinde yer alan anonimleştirme ve psödönimleştirme tavsiye edilmektedir. Hangi yöntemin kullanılacağını seçerken verinin kategorisi, verinin boyutu, işleme süreci vb. dikkate alınmalıdır. Tüm konular değerlendirilerek vaka bazında bir inceleme yapılmalıdır. Özetle, anonimleştirme kapsamındaki verilerin veri koruma mevzuatı dışında kalması olağan bir durumdur ancak psödönim veriler, veri koruma mevzuatı kapsamında değerlendirilmektedir. Önemli olan bu işlemlerin hangi bölgenin veri koruma mevzuatına göre gerçekleştirileceğidir, çünkü bazen küçük ya da büyük de olsa bölgesel farklılıklar olabilmektedir.