Takma Adlandırma

Takma adlandırma (pseudonymisation), kişisel verilerdeki ad, kimlik numarası veya e-posta adresi gibi doğrudan tanımlayıcıların bir kod, numara veya takma adla değiştirilmesidir. Kodu kişiyle eşleştiren bilgi (anahtar) ayrı ve güvenli bir yerde saklanır. Örneğin bir klinik araştırmada hastalara “H-0247” gibi kodlar verilmesi veya bir analiz veri setinde müşteri adlarının rastgele numaralarla değiştirilmesi takma adlandırmadır.

Hukuki Niteliği

Anahtar saklandığı sürece kişi yeniden tanımlanabilir. Bu nedenle takma adlı veri kişisel veri olmaya devam eder. KVKK takma adlandırmayı ayrıca tanımlamaz; GDPR ise takma adlı verinin kişisel veri olduğunu açıkça belirtir ve takma adlandırmayı uygun bir güvenlik tedbiri olarak anar. Türk hukukunda da sonuç aynıdır: takma adlı veri, işleme şartları, aydınlatma, aktarım ve diğer bütün KVKK yükümlülüklerine tabidir.

Veri Güvenliği Tedbiri Olarak

Takma adlandırma KVKK’ya uyumun yerine geçmez; ancak teknik tedbirler arasında riskleri önemli ölçüde azaltan bir araçtır:

• Analiz, raporlama ve yazılım testi ortamlarında çalışanların doğrudan kimlik bilgilerini görmesini engeller,
• Bir veri ihlalinde etkilenen bilginin değerini ve zararını sınırlar,
• Ölçülülük ve veri minimizasyonu ilkelerinin uygulanmasına yardımcı olur.

Anahtarın Korunması

Takma adlandırmanın etkisi, anahtarın korunmasına bağlıdır. Anahtar, takma adlı veriden ayrı tutulmalı, erişimi sınırlı sayıda yetkiliyle kısıtlanmalı ve erişimler kayıt altına alınmalıdır. Anahtarın da kalıcı olarak yok edildiği durumlarda veri anonim hâle gelebilir; ancak bunun için yeniden tanımlama riskinin ayrıca değerlendirilmesi gerekir.