İçeriğe Atla Menüye Atla

Kişisel Verilerin Anonim Hale Getirilmesi 07 Ağustos 2017

I. Kişisel Veri

Kişisel veri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) tanımlanmış olup, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak ifade edilmiştir. Buna göre, bir gerçek kişinin adı, soyadı, kimlik bilgileri, özgeçmişi, fotoğrafı, adresi, telefon numarası, kapalı devre kamera görüntüleri, ses kayıtları gibi her türlü kişisel bilgi, kişisel veriye örnek oluşturabilir.

II. Kişisel Verilerin İşlenmesi ve Aktarılması

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem kişisel verilerin işlenmesi olarak tanımlanmaktadır.

Kanun kapsamında kişisel verilerin işlenmesinde ve aktarılmasında esas kural, kişisel veri sahibinin açık rızasının bulunması olarak kabul edilmiştir. Buna göre, kişisel veri sahibinin açık rızası olmaksızın kişisel verilerin işlenmesi veya aktarılması mümkün değildir. Kanun’da belirtilen istisnai haller saklıdır.

III. Kişisel Verilerin Anonim Hale Getirilmesi

Kanun kapsamında anonim hale getirme; “Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini” ifade etmektedir.

Yukarıda açıklandığı üzere, kişisel verilerin işlenmesi ve aktarılması hususunda Kanun kapsamında önem arz eden nokta; verinin kimliği belirli veya belirlenebilir bir gerçek kişi ile bağdaştırılabilmesi noktasında toplanmaktadır. Dolayısıyla; kişisel verilerin anonim hale getirilmesi durumunda kişisel veri bir gerçek kişi ile ilişkilendirilemeyeceğinden, anonim hale getirilmiş verinin işlenmesi ve aktarılması hususunda Kanun’da öngörülmüş olan düzenlemelere tabi olmayacağı düşünülmektedir.

Hal bu olmakla birlikte; Anonimleştirme konusunda Kanun’un nasıl bir yol izlenmesi gerektiğine dair açık bir hükmü bulunmamakla beraber, Kanun’un 7. maddesinin 3. fıkrasında anonim hale getirmeye ilişkin usul ve esasların yönetmelik ile belirleneceği düzenlenmiştir. Buna karşın; anonim hale getirmeye ilişkin halihazırda yürürlükte olan bir yönetmelik bulunmamakta, Kişisel Verileri Koruma Kurulu’nun (“KVKK”) bu yöndeki taslak çalışmaları devam etmektedir.

Öte yandan; KVKK tarafından çıkarılan bilgilendirici yayınlarda, anonimleştirme konusunda sıkça kullanılan bazı tekniklerin olduğu ve bu teknikler yoluyla kişisel veri sahiplerinin kimliğini belirli veya belirlenebilir kılınmaması halinde verilerin anonimleştirildiğinin kabul edilebileceği belirtilmiştir. Bu tekniklerden bazıları; maskeleme, toplulaştırma/kümülatif data yaratma, veri türetme ve veri karması teknikleridir.

IV. Sonuç

Bu noktada dikkat çekilmesi gereken husus, yukarıda belirtilen yöntemlerden birinin seçilmesi halinde kişisel verinin anonim hale getirilmiş olduğuna dair mutlak bir değerlendirme yapılamayacak olmasıdır. Zira bu yöntemlerden birinin uygulanmasına rağmen eğer kişisel veri, veri sahibinin kimliğini belirli veya belirlenebilir kılıyorsa, bu verinin anonim hale getirilmiş olduğundan söz edilemeyecektir. Böyle bir durumda ise kişisel verilerin Kanun’a uygun işlenerek aktarıldığından söz edilemeyeceğinden Kanun kapsamında öngörülmüş olan cezai ve idari yaptırımlarla karşı karşıya kalınabilecektir. Bu nedenle;  kişisel verilerin anonim hale getirilmesi hususunda ilgili mevzuat konusunda uzmanlardan destek alınması gerekmektedir.