Single Blog

Veri anonimleştirme, depolanan verilerde doğrudan kişiyi adresleyecek tanımlayıcıların silinmesi veya şifrelenmesi yönetimiyle özel, hassas ya da kişisel nitelikli verileri koruma işlemidir. Örneğin, verilerin anonim hale getirilmesi ile işlemiyle doğrudan kişiyi adresleyecek isimler, sosyal güvenlik numaraları, TC kimlik numaraları ve adres gibi veri setleri anonimleştirilerek verinin korunması sağlanır.

Ancak, tanımlayıcıların verileri temizlense bile, saldırganlar tarafından kişisel veri anonimleştirme süreci tersten işleterek anonimleştirme yöntemleri deşifre edebilir.

Genellikle anonimleştirme işleminden arındırma teknikleri birden fazla kaynaktan geçtiğinden anonimleştirme teknikleri kaynaklara çapraz referans verebilir ve kişisel bilgileri açığa çıkarabilir. 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda da (KVKK) veri anonimleştirme ya da anonim hale getirme, kişisel ve özel nitelikli kişisel verilerin korunması için alınması gereken teknik tedbirler kapsamındadır.

KVKK, şirketlerin tüm tanımlayıcıları verilerden kaldırdığı sürece istatistikî amaçla anonimleştirilmiş veri toplanmasına, kullanmasına ve süresiz olarak saklamasına izin vermektedir.

Veri Anonimleştirme Teknikleri

• Veri Maskeleme (Data Masking): Verilerin değiştirilmiş değerlerle gizlenmesi yöntemidir. Bir veri tabanın kopya sürümü oluşturularak karakter karıştırma, şifreleme ve sözcük veya karakter değiştirme gibi değişik teknikler uygulanabilir. Örneğin, bir değer karakteri “*” ya da “x” gibi bir sembolle değiştirebilir. Veri maskeleme, tersine mühendislik veya algılamayı imkânsız hale getirir.
• Takma Adlandırma (Pseudonymization): Özel tanımlayıcıları sahte tanımlayıcılarla veya takma adlarla değiştiren, örneğin “Mehmet Kartal” tanımlayıcısını “Mert Demir” ile değiştiren bir veri yönetim ve kimlik belirleme yöntemidir. Takma adlandırma, istatistiksel doğruluğu ve veri bütünlüğünü korurken aynı zamanda değiştirilen verilerin eğitim, geliştirme, test ve analitik için kullanılmasına izin verir ve veri gizliliğini korur.
• Genelleme (Generalization): Daha az tanımlanabilir hale getirmek maksadıyla bazı verilerin kasıtlı olarak kaldırılması yöntemidir. Örneğin, bir adresteki bina numarasının kaldırılması durumunda sokak isminin kaldırılmaması önem arz etmektedir. Buradaki amaç, veri doğruluğu ölçüsünü korurken bazı tanımlayıcıları ortadan kaldırmaktır.
• Veri Değiştirme (Data Swapping): Karıştırma ve permütasyon olarak da bilinir, veri kümesi öznitelik değerlerini orijinal kayıtlara karşılık gelmeyecek şekilde yeniden düzenlemek maksadıyla kullanılan bir tekniktir. Örneğin doğum tarihi gibi tanımlayıcı değerleri içeren verilerin (sütunlar) anonimleştirme üzerinde üyelik türü değerlerinden daha fazla etkisi olabilir.
• Veri Bozulması (Data Perturbation): Sayıları yuvarlayan ve rastgele gürültü ekleyen teknikler uygulayarak orijinal veri kümesinin biraz değiştirilmesi yöntemidir. Değer aralığı, bozulma ile orantılı olmalıdır. Küçük bir taban zayıf anonimleştirmeye yol açarken, büyük bir taban veri kümesinin faydasını azaltabilir. Örneğin, orijinal değerle orantılı olduğundan, yaş veya ev numarası gibi değerleri yuvarlamak için 5 tabanını kullanabilirsiniz. Bir bina numarasını 15 ile çarpabilirsiniz ve değer onun güvenilirliğini koruyabilir. Bununla birlikte, 15 gibi daha yüksek bazların kullanılması, yaş değerlerinin sahte görünmesini sağlayabilir.
• Sentetik Veriler (Synthetic Data): Gerçek olaylarla bağlantısı olmayan algoritmik olarak üretilmiş bilgilerin kullanılması yöntemidir. Sentetik veriler, orijinal veri kümesini değiştirmek veya olduğu gibi kullanmak aynı zamanda gizlilik ve güvenliği riske atmak yerine yapay veri kümeleri oluşturmak için kullanılır. İşlem, orijinal veri kümesinde bulunan kalıplara dayalı istatistiksel modeller oluşturmayı içerir. Sentetik verileri oluşturmak için standart sapmalar, medyanlar, doğrusal regresyon veya diğer istatistiksel teknikler kullanabilir.

Veri Anonimleştirmenin Dezavantajları

KVKK, web sitelerinin IP adresleri, cihaz kimliği ve çerezler gibi kişisel bilgileri toplamak için kullanıcılardan izin alması gerektiğini şart koşar. Anonim veri toplamak ve tanımlayıcıları veritabanından silmek, verilerinizden değer ve içgörü elde etme yeteneğinizi sınırlar. Örneğin, anonimleştirilmiş veriler pazarlama çabaları veya kullanıcı deneyimini kişiselleştirmek için kullanılamaz. 

Yukarıdaki maddelerde belirtilen veri anonimleştirme teknikleri kullanılarak özel, hassas veya kişisel verilerinizi koruyabilir, KVKK Kanunu kapsamında da kişisel veri anonimleştirme işlemi yaparak verilerin anonim hale getirmesi ile yasal yükümlülükten kurtulmuş olursunuz.