Anonimleştirmenin önemi: süresi dolan veri ve geri döndürülemezlik

Saklama süresi dolan kişisel veri, kurum için artık bir varlık değil, bir yükümlülüktür. Silinmesi gerekir; ancak çoğu kurumda bu veri, “ileride analiz için lazım olur” gerekçesiyle süresiz tutulur ve her geçen yıl ihlal, başvuru ve denetim riskini büyütür. Anonimleştirme, bu ikilemin çıkış yoludur: verinin istatistiksel değerini korurken kişiyle bağını geri döndürülemez biçimde keser. Doğru yapıldığında sonuç artık kişisel veri değildir; yanlış yapıldığında kurum, anonim sandığı bir veri kümesiyle ihlal bildirimi yapmak zorunda kalır.

Bu yazı hukuki tavsiye değildir; anonimleştirmenin kuruma özgü hukuki değerlendirmesi hukuk biriminizle doğrulanmalıdır.

Saklama süresi dolan veri sorunu

Her kişisel veri bir amaçla işlenir ve bu amaç bir gün sona erer. Sözleşme biter, çalışan ayrılır, kampanya kapanır, yasal saklama süresi dolar. Kurum’un “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi” sayfası, bu noktada verinin akıbeti için üç yolu çerçeveler: silme, yok etme ve anonim hâle getirme. Hangisinin seçileceği, verinin kalan değerine ve hukuki yükümlülüklere bağlıdır; ancak “hiçbiri” seçenek değildir.

Pratikte süresi dolan veri üç nedenle sistemde kalır. Birincisi, kimse süresinin dolduğunu bilmez; saklama süresi bir politika belgesinde yazılıdır ama hiçbir sistem bu süreyi veriye bağlamaz. İkincisi, verinin nerede olduğu bilinmez; üretim sistemindeki kayıt silinir ama dosya sunucusundaki dışa aktarım, posta arşivindeki ek ve test veritabanındaki kopya kalır. Üçüncüsü, veri hâlâ işe yarar görünür; satış analizi, kapasite planlaması ya da model eğitimi için tarihsel veri istenir ve silme ertelenir.

Üçüncü neden meşru bir ihtiyaca işaret eder ve anonimleştirmenin varlık nedenidir. Analitik değer kişide değil, dağılımdadır; dağılım kişiler olmadan da korunabilir.

Anonimleştirme neden farklıdır

Anonimleştirme, kişisel verinin başka verilerle eşleştirilse bile hiçbir şekilde kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Tanımın kritik kısmı “başka verilerle eşleştirilse bile” ifadesidir. Adı ve TCKN’yi silmek anonimleştirme değildir; doğum tarihi, posta kodu ve cinsiyet birlikte kaldığında kişi başka bir kaynakla eşleştirilerek yeniden tanımlanabilir.

Bu, anonimleştirmeyi maskeleme ve takma adlandırmadan ayırır. Maskeleme bir değeri görünümde gizler; IBAN’ın son dört hanesi dışındakileri yıldızlamak gibi. Veri kümesi kişiyle ilişkilendirilebilir kalır. Takma adlandırma tanımlayıcıyı bir anahtar ya da belirteçle değiştirir ama geri dönüş yolunu korur; veri hâlâ kişisel veridir. Anonimleştirme ise bağı geri döndürülemez biçimde keser. Bu üç kavramın ayrıntılı karşılaştırmasını anonimleştirme, maskeleme ve takma adlandırma farkı yazısında ele alıyoruz.

Yöntem	Kişiyle bağ	Sonuç kişisel veri mi?	Tipik kullanım
Maskeleme	Korunur (görünümde gizli)	Evet	Ekranlar, raporlar, başvuru yanıtı redaksiyonu
Takma adlandırma	Anahtarla geri döndürülebilir	Evet	Test ortamları, iç analitik
Anonimleştirme	Geri döndürülemez biçimde kesilir	Hayır	Saklama süresi dolan verinin istatistiksel değerini koruma

Geri döndürülemezlik ve tekillik denetimi

Anonimleştirmenin kalitesi, yeniden tanımlama riskiyle ölçülür. En temel ölçüt tekilliktir: anonimleştirilmiş kümede, kalan niteliklerin kombinasyonu yalnızca bir kayda karşılık geliyorsa o kayıt tekildir ve yeniden tanımlanabilir. Bir ilçede, belirli bir doğum yılında, belirli bir meslekte tek bir kişi varsa, adı silinmiş olsa bile o kişi bellidir.

Tekillik denetimi, anonimleştirilmiş kümedeki her kaydın kaç başka kayıtla aynı nitelik kombinasyonunu paylaştığını hesaplar. Tekil ya da az sayıda eşi olan kayıtlar, ek genelleştirme (yaş yerine yaş aralığı, ilçe yerine il) ya da bastırma (kaydın çıkarılması) gerektirir. Denetim, anonimleştirme işleminin bir parçası olarak yapılmalı ve sonucu, işlemin kanıtına eklenmelidir. “Anonimleştirdik” ifadesi, tekillik sonucu olmadan bir iddiadan ibarettir.

Bir örnek senaryo: bir sigorta şirketi, saklama süresi dolan poliçe verisini risk modelleme için tutmak ister. Ad, TCKN ve adres silinir; doğum tarihi, araç plakası ve hasar geçmişi kalır. Tekillik denetimi, araç plakasının tek başına her kaydı benzersiz kıldığını gösterir. Plaka kaldırılıp doğum tarihi yıla genelleştirildiğinde tekil kayıt sayısı kabul edilebilir düzeye iner. Denetim olmadan bu küme “anonim” olarak paylaşılır ve her kayıt plaka sorgusuyla kişiye bağlanabilirdi.

Redakte kopya ve aslın imhası

Anonimleştirmenin en sık atlanan adımı, asıl verinin imhasıdır. Pek çok kurumda anonimleştirme, kişisel veriden bir “anonim kopya” üretmek olarak anlaşılır; asıl veri yerinde kalır. Bu durumda anonimleştirme gerçekleşmemiştir; kurum yalnızca bir kopya daha üretmiştir ve asıl veri saklama süresi dolmuş olarak sistemde durmaya devam eder.

Doğru akış ikilidir: redakte (anonimleştirilmiş) bir kopya üretilir, tekillik denetimi yapılır ve kabul edilirse asıl veri imha edilir. İmha, tüm kopyaları kapsamalıdır: üretim tablosundaki satırlar, dosya sunucusundaki dışa aktarımlar, nesne depolamadaki yedekler, posta arşivindeki ekler. Keşif altyapısı olmadan bu kopyaların tamamı bilinemez ve imha eksik kalır.

Her iki adım da kanıtlanmalıdır: hangi veri, hangi kaynaklarda bulundu; hangi anonimleştirme kuralları uygulandı; tekillik denetimi sonucu neydi; aslın imhası kim tarafından onaylandı ve ne zaman tamamlandı. Bu kayıt, denetimde “saklama süresi dolan veriye ne yaptınız” sorusunun yanıtıdır.

Anonimleştirme ne zaman doğru seçim değildir

Anonimleştirme her durumda uygun değildir. Küçük veri kümelerinde tekilliği gidermek için gereken genelleştirme, verinin analitik değerini yok edebilir; bu durumda silme daha dürüst bir seçenektir. Serbest metin içeren veri (çağrı merkezi notları, e-posta gövdeleri, tıbbi anamnez) yapılandırılmış alanlardan çok daha zor anonimleştirilir; metin içindeki dolaylı tanımlayıcılar tespit motorunun kapsamını aşabilir. Bu tür veri için redaksiyon sonrası insan onayı şarttır.

Ayrıca anonimleştirme, yasal saklama yükümlülüğü devam eden veriye uygulanamaz; vergi, iş hukuku ya da sektörel düzenlemeler gereği tutulması gereken kayıtlar, süresi dolana kadar kişisel veri olarak korunur. Hangi verinin hangi yükümlülüğe tabi olduğu, saklama takviminde etiketlere bağlı olarak tanımlanmalı ve karar hukuk birimiyle verilmelidir.

Bir diğer sınır, anonimleştirilmiş kümenin sonradan başka verilerle birleştirilmesidir. Bugün tekil olmayan bir kayıt, kurumun ileride edindiği yeni bir veri kümesiyle eşleştirildiğinde tekil hâle gelebilir. Bu nedenle anonimleştirilmiş kümelerin de envanterde izlenmesi, hangi niteliklerin kaldığının kaydedilmesi ve yeni veri kaynakları eklendiğinde tekillik denetiminin yinelenmesi gerekir. Anonimlik bir kez verilen bir statü değil, korunması gereken bir durumdur.

Keşiften kanıta: anonimleştirme yaşam döngüsü

Anonimleştirme tek seferlik bir işlem değil, saklama takvimine bağlı tekrarlayan bir döngüdür. Döngü keşifle başlar: hangi veri kümelerinin saklama süresi dolmuştur ve bu kümelerin kaç kopyası, hangi kaynaklarda bulunmaktadır? Bu soru, sınıflandırma etiketleri saklama takvimine bağlı olmadan yanıtlanamaz. Etiket, verinin iş kategorisini ve dolayısıyla hangi saklama kuralına tabi olduğunu söyler; takvim, kuralın ne zaman dolduğunu hesaplar; keşif, o anda verinin fiilen nerede olduğunu gösterir.

İkinci adım karardır: silme mi, anonimleştirme mi? Kararı veren kişi, verinin analitik değerini bilen iş birimi ile hukuki yükümlülükleri bilen hukuk birimidir. Konsolun görevi, kararı vermek değil, karar için gereken bilgiyi (veri türleri, kopya sayısı, erişen kişiler, kalan yükümlülükler) tek ekranda sunmak ve kararı kayda geçirmektir.

Üçüncü adım uygulamadır: redakte kopya üretilir, tekillik denetimi yapılır, sonuç kabul eşiğiyle karşılaştırılır. Eşik aşılmışsa genelleştirme kuralları sıkılaştırılır ve denetim yinelenir. Kabul edildiğinde aslın imhası onaya gider; onaylayan kişi, işlemi öneren kişiden farklıdır. Dördüncü adım kanıttır: denetim kaydı, bulgudan imhaya kadar her adımı kim, ne zaman, neden bilgisiyle tutar ve denetim raporuna dönüştürülür.

Bu döngünün bir sonraki tarama döneminde yeniden başlaması, anonimleştirmeyi proje olmaktan çıkarıp operasyon hâline getirir. Yeni süresi dolan veri otomatik olarak listeye düşer, karar ve uygulama aynı kurallarla yinelenir, kanıt birikir. Denetçinin sorusu “anonimleştirme yapıyor musunuz” değil, “son dönemde hangi kümeleri, hangi tekillik sonucuyla anonimleştirdiniz ve aslını ne zaman imha ettiniz” olduğunda, yanıt kayıttan okunur.

Seratus bu açıkları nasıl kapatır

Açık 1: Saklama süresi veriye bağlı değil. Seratus’ta sınıflandırma etiketleri saklama takvimine ve imha süreçlerine bağlanır. Süresi dolan veri, KVKK takımındaki “açıklar” listesine “saklama süresi dolmuş veri” maddesi olarak düşer ve imha ya da anonimleştirme akışına girer.

Açık 2: Verinin tüm kopyaları bilinmiyor. Ajansız keşif dosya sunucularını, yerel diskleri, Microsoft 365’i, Oracle, SQL Server ve PostgreSQL/MySQL veritabanlarını, S3-uyumlu depolamayı ve PST/OST/MSG arşivlerini salt okunur tarar; aynı verinin dışa aktarım, yedek ve ek olarak bulunan kopyaları tek listede görünür.

Açık 3: Anonimleştirme yalnızca kopya üretiyor, aslı kalıyor. Seratus anonimleştirmeyi redakte kopya üretimi ve aslın imhası olarak uygular. İmha, sorumluya atanan ve ayrı onay yetkisiyle yürütülen bir iyileştirme eylemidir; karantina, önce geri alınabilir bir ara adım olarak kullanılabilir.

Açık 4: Geri döndürülemezlik ölçülmüyor. Anonimleştirme kalitesi tekillik denetimiyle ölçülür ve sonuç işlemin kaydına eklenir. Tekil kayıt oranı kabul eşiğinin üzerindeyse işlem onaya gitmeden önce ek genelleştirme gerektirir.

Açık 5: Türkçe tanımlayıcılar redaksiyonda kaçıyor. Türkçeye özel tespit motoru TCKN, IBAN, telefon, araç plakası ve ICD kodlu sağlık verisini bağlamıyla bulur; redaksiyon bu bulgulara dayanır ve insan onayından geçer.

Açık 6: İmhanın kanıtı yok. Her anonimleştirme ve imha kim, ne zaman, neden bilgisiyle denetim kaydına yazılır; tekillik denetimi sonucu, onay zinciri ve imha zamanı aynı kayıttadır. Denetim raporu PDF, Excel veya CSV olarak dışa aktarılır.

Sonuç

Saklama süresi dolan veriyi tutmanın maliyeti her yıl artar; silmek analitik değeri yok eder; anonimleştirme, doğru yapıldığında ikisinin arasındaki tek yoldur. Doğru yapmak, geri döndürülemezliği tekillik denetimiyle ölçmek, aslı imha etmek ve her adımı kanıtlamak demektir. Kopyaları bilinmeyen, ölçülmeyen ve aslı yerinde duran bir anonimleştirme, kuruma yalnızca sahte bir güvenlik hissi verir. Seratus bu akışı keşiften imhaya kadar tek konsolda, kurumun kendi altyapısında yürütür.