Maskeleme

Kişisel Verilerin Korunması Kanunu uyarınca ilgili kanun hükümlerine uygun olarak işlenmiş olup olmamasına bakılmaksızın, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde, kişisel verilerin; resen veya ilgili kişinin talebi üzerine, veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmektedir. Kişisel verilerin anonim hâle getirilmesi, Kişisel Verilerin Korunması Kanunu kapsamında tanımlanmamıştır. Bununla birlikte, Kişisel Verilerin Korunması Kanunu kapsamında hazırlanan, 28 Ekim 2017 tarihinde yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik‘te kişisel verilerin anonim hâle getirilmesi, “kişisel verilerin başka verilerle eşleştirilse dâhi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi” olarak ifade edilmiştir.

Kişisel verilerin anonim hâle getirilmiş olması için, kişisel verilerin, veri sorumlusu, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dâhi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hâle getirilmesi gerekmektedir. Kişisel Verileri Koruma Kurumu tarafından hazırlanan Kişisel Verilerin Korunması Kanunu ve Uygulaması adlı yayımda, kişisel verileri anonim hâle getirme tekniklerinden biri olarak maskeleme belirtilmektedir. Dolayısıyla, bu yazımızda anonim hâle getirme yöntemlerinden biri olarak maskelemeyi inceleyeceğiz.

Maskeleme, kişisel verilerin belli alanlarının karıştırılarak, değiştirilerek, silinerek, yıldızlanarak veya diğer tekniklerle kişinin belirlenemez hâle getirilmesi olarak ifade edilmektedir. Örneğin, bir üniversite tarafından açıklanan sınav sonucunda, katılanların Türkiye Cumhuriyeti kimlik numaralarının 25*******10 olacak şekilde yıldızlanması bir maskeleme örneğidir. Benzer bir şekilde, internet üzerinden alışveriş yapılan sitelerde, kullanıcılara ait kredi kartı ya da banka kartlarının 6615 – **** – **** – **41 şeklinde yıldızlanması maskelemedir. Veri maskelemenin amacı, hassas veya gizli kişisel bilgilerin kötü niyetli olarak elde edilmesinin veya kullanılmasının önüne geçmektir.

Kişisel Verilerin Korunması Kanunu kapsamında; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak tanımlanmaktadır. Kişisel verilerin korunması mevzuatı uyarınca, özel nitelikli kişisel verilerin korunması için veri sorumluları tarafından daha fazla özen gösterilmeli ve daha fazla teknik ve idari tedbir alınmalıdır. Kişisel verilerin güvenliğini hem dışarıdan gelebilecek saldırılara hem de şirket içi yetkisiz erişimlere karşı korumanın yollarından birisi maskelemedir. Benzer şekilde, ticari hayatta bazı kişisel verilerin korunması için ek tedbirler alınması gerekebilmektedir. Buna göre, ticari hayatta maskeleme ihtiyacı olabilecek kişisel veri türleri şunlardır:

• İnsan kaynakları verileri
• Finans – muhasebe verileri
• Müşteri verileri
• Bankacılık verileri
• Sağlık verileri

Veri maskelemenin farklı teknikleri bulunmaktadır. Bunlardan bazıları şunlardır:

• Karıştırma: Kişisel verileri oluşturulan karakterler yer değiştirilerek maskeleme yapılmaktadır.

Örnek: İlgili kişinin ‘Ahmet Yılmaz’ olan adı ve soyadının veri sorumlusu tarafından ‘Temyıl Mazah’ olarak karıştırılması.

• Değiştirme: Kişisel veriler belirli kurallara göre değiştirilerek maskelenmektedir.

Örnek: İlgi kişinin Türkiye Cumhuriyeti kimlik numarasının, örneğin 2 rakamı yerine 5, 3 rakamı yerine 7 kullanılacak şekilde, belirli bir kurala uygun olarak değiştirilmesi.

• Simge Kullanma: Kişisel verilerin tamamı ya da bir kısmı belirli sabit karakterlerle değiştirilmektedir.

Örnek: İlgili kişinin 28/06/1993 olan doğum tarihinin 2*/**/19** olarak ya da Osman Develi olan isminin OXXXN DXXXXI değiştirilmesi.

• Rastgele Değer Atama: Kişisel veriler herhangi bir kurala tabi olmaksızın rastgele değiştirilmektedir.

Örnek: İlgi kişinin banka IBAN numarasının hiçbir kurala tabi olmaksızın rastgele rakamlar ile değiştirilmesi.

• Bulanıklaştırma: Kişisel veriler üzerinde bir değişiklik yapılmamakta, bunun yerine kişisel veriler okunamayacak şekilde bulanık hâle getirilmektedir.
• Şifreleme: Kişisel veriler şifrelenerek maskelenmektedir.

Örnek: İlgi kişinin ahmetyilmaz@example.com olan e-posta adresinin WYN5DF6D55D@example.com olarak şifrelenmesi.

• Genelleştirme: Kişisel veriler, kişisel verilerin türüne bağlı olarak genelleştirilerek maskelenmektedir.

Örnek: İlgi kişinin isminin “Erkek”, doğum tarihinin “1980ler” ya da ev telefonu numarasının “İstanbul” olarak genelleştirilmesi.

• Geçersizleştirme: Kişisel veriler, boş değer hâline getirilerek gizlenmekte ve maskelenmektedir.

Örnek: Birden çok kişisel verinin yer aldığı bir mahkeme kararında, tarafların isim ve adres bilgilerinin boş değer hâline getirilmesi.

• Karalama: Kişisel veriler üzerinde bir değişiklik yapılmamakta, bunun yerine kişisel veriler okunamayacak şekilde, dijital kayıtlar için görüntünün pikselleri bozulmakta; fiziksel kayıtlarda ise çeşitli yöntemlerle yazı karalanmaktadır.

Örnek: Eski tip kimlik fotokopilerinde din ve kan grubu hanesinin okunmayacak şekilde karalanması

Kişisel verilerin yukarıda sayılan teknikler kullanılarak maskelenmesi için farklı yöntemler geliştirilmiştir. Dolayısıyla, veri maskeleme işlemi statik veri maskeleme (SDM), dinamik veri maskeleme (DDM) ve anında veri maskeleme olmak üzere 3 farklı yöntemle gerçekleştirilebilir:

• Statik Veri Maskeleme: Statik veri maskelemede, kişisel verilerin bir kopyası çıkarılmakta ve maskeleme işlemi bu kopya üzerinden yapılmaktadır. Bu yöntemde kişisel verilere yetkili erişime sahip olanlara karşı güvenlik sağlanmakta, fakat yetkisiz erişimlere karşı güvenlik sağlanamamaktadır.
• Dinamik Veri Maskeleme: Dinamik veri maskelemede, kişisel veriler erişildiği anda maskelenmektedir. Dinamik maskelemede kimlik yetkilendirme yöntemi kullanılarak, kimlerin hangi verilere ulaşabileceği belirlenir ve sadece yetkisi olan kişilerin görmesi gereken bilgileri görmesi ve diğer bilgilerin maskelenmesi sağlanır.
• Anında Veri Maskeleme: Dinamik veri maskeleme ile benzer bir çalışma prensibine sahip olmakla birlikte, aynı anda çok fazla kişisel verinin maskelenmesi gereken durumlarda kullanılan anında veri maskeleme, daha hızlı ve daha az işlem ile maskeleme yapan bir yöntemdir.