Hızlı cevap: Anonimleştirme, veriyi hiçbir şekilde bir kişiyle ilişkilendirilemeyecek biçimde geri döndürülemez olarak dönüştürür ve sonuç KVKK kapsamı dışına çıkar. Takma adlandırma (pseudonimizasyon) kimliği ayrı bir anahtarla gizler ama geri döndürülebilir olduğu için veri hâlâ kişisel veridir. Maskeleme, verinin bir kısmını görüntüde gizlemektir. Tokenizasyon ise hassas veriyi, kendisi anlam taşımayan bir token ile değiştirir. Bu dördü farklı amaçlara hizmet eder ve birbirinin yerine kullanılamaz.

Neden bu kavramlar karıştırılıyor?

Bu dört terim uygulamada sıkça birbirinin yerine kullanılır. Oysa aralarındaki fark hem teknik hem hukuki sonuç doğurur. En kritik ayrım geri döndürülebilirliktir. Bir veri gerçekten anonim ise artık kişisel veri değildir ve KVKK yükümlülüklerinin çoğu ona uygulanmaz. Ama yalnızca takma adlandırılmışsa, doğru anahtarla kimliğe geri dönülebildiği için hâlâ kişisel veridir ve tüm koruma yükümlülükleri devam eder.

Bu farkı bilmeden "verilerimizi anonimleştirdik" demek yaygın bir hatadır. Çoğu zaman yapılan şey aslında takma adlandırmadır ve kurum, KVKK kapsamından çıktığını sanırken çıkmamıştır.

Dört yöntemin karşılaştırması

Yöntem Ne yapar Geri döndürülebilir mi KVKK açısından Tipik kullanım
Anonimleştirme Kimlik ilişkisini kalıcı olarak yok eder Hayır Sonuç kişisel veri değildir İstatistik, açık veri, analiz
Takma adlandırma Kimliği ayrı anahtarla değiştirir Evet, anahtarla Hâlâ kişisel veri Araştırma, sınırlı erişim
Maskeleme Verinin bir kısmını gizler (örn. kart no) Duruma göre Bağlama bağlı Ekran, rapor, destek ekranı
Tokenizasyon Hassas veriyi anlamsız token ile değiştirir Evet, token kasasıyla Kapsamı daraltır Ödeme, kart saklama (PCI DSS)

Her yöntem ne zaman kullanılır?

Anonimleştirme, verinin bir daha kişiyle ilişkilendirilmesine gerek olmadığında uygundur. İstatistik yayımlamak, model eğitmek ya da açık veri paylaşmak gibi durumlarda hedeflenir. Ancak gerçek anonimlik zordur. Yetersiz anonimleştirilmiş bir veri, başka kaynaklarla birleştirilince kişiyi yeniden tanımlanabilir hale getirebilir. Bu yüzden anonimlik iddiası yeniden tanımlama riskine karşı test edilmelidir.

Takma adlandırma, veriyi analiz için kullanılabilir tutarken kimliği ayırmak istediğinizde uygundur. Örneğin bir araştırmada hastaların kimliği ayrı bir anahtarda tutulur. Bu güçlü bir koruma önlemidir, ancak veri hâlâ kişisel veri olduğu için KVKK yükümlülükleri sürer.

Maskeleme, verinin çalışan ya da destek ekibi tarafından görülmesi gereken ama tamamının gösterilmesi gerekmeyen durumlarda kullanılır. Kredi kartının yalnızca son dört hanesinin gösterilmesi tipik örnektir.

Tokenizasyon, özellikle ödeme dünyasında hassas veriyi sistemlerden uzak tutmak için kullanılır. Kart numarası bir token ile değiştirilir, gerçek numara ayrı ve korumalı bir token kasasında saklanır. Bu, PCI DSS kapsamındaki sistem sayısını azaltarak uyum yükünü hafifletir.

Sık yapılan hata: test ortamında gerçek veri

Kurumların en riskli alışkanlıklarından biri, üretim ortamındaki gerçek kişisel veriyi test ve geliştirme ortamına kopyalamaktır. Test ortamları genelde daha az korunur, daha çok kişiye açıktır ve daha az izlenir. Buraya taşınan gerçek müşteri verisi, bir ihlalin sessiz kaynağı olur.

Doğru yaklaşım, test ve geliştirme ortamlarında gerçek veri yerine maskelenmiş ya da sentetik veri kullanmaktır. Böylece geliştirici gerçekçi veriyle çalışır ama kişisel veri riske girmez.

KAOS ve DSET yaklaşımı

DSET, KVKK uyum danışmanlığında kurumların hangi veriyi hangi yöntemle koruması gerektiğini belirler ve anonimleştirme iddialarını yeniden tanımlama riskine karşı test eder. Geliştirdiğimiz KAOS güvenlik motoru, kaynak kod ve veri akışı taramasında test ortamına sızmış gerçek kişisel veriyi ve maskelenmemiş hassas alanları tespit edip raporlar. Amacımız kağıt üzerinde uyum değil, sahada doğrulanan koruma.

Bağlantılı okumalar: KVKK uyum danışmanlığı ve VERBİS, veri sınıflandırma ve etiketleme, KVKK ihlal cezası ne kadar, veri ihlali 72 saat bildirim karar matrisi, kaynak kodu güvenlik denetimi.

Sık sorulan sorular

Anonimleştirilmiş veri KVKK kapsamında mı? Gerçekten anonim hale getirilmiş, yani hiçbir şekilde bir kişiyle ilişkilendirilemeyecek veri kişisel veri sayılmaz ve KVKK yükümlülüklerinin çoğu ona uygulanmaz. Ancak veri yalnızca takma adlandırılmışsa, doğru anahtarla kimliğe dönülebildiği için hâlâ kişisel veridir ve koruma yükümlülükleri sürer. Bu ayrımın doğru yapılması kritik önemdedir.

Maskeleme ile tokenizasyon aynı şey mi? Hayır. Maskeleme verinin bir kısmını görüntüde gizler, örneğin kart numarasının yalnızca son dört hanesini gösterir. Tokenizasyon ise hassas verinin tamamını, kendisi anlam taşımayan bir token ile değiştirir ve gerçek veriyi ayrı korumalı bir kasada tutar. Tokenizasyon özellikle ödeme sistemlerinde uyum kapsamını daraltmak için kullanılır.

Test ortamında gerçek müşteri verisi kullanmak sorun mu? Evet, önemli bir risktir. Test ve geliştirme ortamları genelde üretim kadar korunmaz ve daha çok kişiye açıktır. Buraya kopyalanan gerçek kişisel veri sessiz bir ihlal kaynağı olur. Doğru yol, test ortamlarında maskelenmiş ya da sentetik veri kullanmaktır.

Kaynaklar

Verilerinizi doğru yöntemle korumak ve anonimleştirme iddialarınızı test etmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.