Önce şu ayrım
Gerçek anlamda anonim veri KVKK kapsamındaki kişiyle ilişkilendirilebilirliğini kaybetmiştir; ancak takma adlandırılmış veya başka verilerle yeniden kişiye bağlanabilen veri anonim değildir. Sentetik veri de kaynağı ve yeniden belirleme riski incelenmeden otomatik olarak KVKK dışında kabul edilemez.
AI projelerinde 'veri anonim' ifadesi çoğu zaman isimlerin silindiğini anlatır. Oysa nadir hastalık, ilçe, yaş ve tarih gibi dolaylı bilgiler bir araya geldiğinde kişi yeniden bulunabilir.
Sentetik veri de gerçek veriyle aynı dağılımı taklit ederken belirli kayıtları ezberleyebilir veya küçük grupları açığa çıkarabilir. Bu nedenle etiket yerine yöntem ve saldırı senaryosu test edilmelidir.
Anonimleştirme için geri dönüşsüz ilişkisizlik aranır
KVKK’nın resmî açıklamasına göre anonimleştirme, verinin başka verilerle eşleştirilse dahi hiçbir surette belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.
Veri sorumlusu, alıcılar ve faaliyet alanındaki makul teknik imkânlar dikkate alınmadan yalnızca doğrudan tanımlayıcıları silmek anonimlik sağlamaz. İsimleri çıkarılmış on kişilik nadir hastalık listesinde ilçe ve doğum tarihi kişiyi ortaya çıkarabilir. Anonimlik mutlak teorik imkânsızlık tartışmasına indirgenmemeli; gerçek veri ortamı ve erişilebilir yardımcı veri değerlendirilmelidir.
Anonimleştirme yöntemi, yardımcı veri kaynakları, saldırgan modeli, test sonucu ve periyodik gözden geçirme belgelenmelidir.
Takma adlandırma anonimleştirme değildir
Bir veri setindeki ad veya kimlik numarasını kodla değiştirmek, veri başka bilgilerle yeniden kişiye bağlanabiliyorsa anonimleştirme sayılmaz. Takma adlandırma güvenlik ve risk azaltma tedbiri olabilir; fakat ilişkilendirme anahtarı veya ek veriler mevcutken KVKK kapsamı kendiliğinden ortadan kalkmaz. Anahtar dosyası, ek veri kaynakları, erişim yetkisi, yeniden belirleme maliyeti ve zaman içinde değişen teknik imkânlar düzenli olarak test edilmelidir. Anonimlik değerlendirmesinde veri sorumlusunun ve makul olarak erişebilecek diğer kişilerin yeniden belirleme imkânı birlikte incelenmelidir.
Müşteri adlarının “K-001” biçimine çevrilmesi, kurumun eşleştirme tablosunu koruduğu durumda veriyi anonim yapmaz.
Sentetik verinin kaynağı önemlidir
Sentetik veri algoritma veya simülasyonla yapay olarak üretilebilir; fakat gerçek kişisel veriden öğrenilen dağılım ve örüntülere dayanabilir. Sentetik veri setinin kişisel veri sayılıp sayılmayacağı, belirli kişiyle ilişkilendirilebilirlik ve modelin kaynak kayıtları açığa çıkarma riski üzerinden değerlendirilir.
Kaynak veri, üretim yöntemi, gizlilik testi, benzerlik eşiği ve bilinen üyelik çıkarımı riskleri kayıt altına alınmalıdır.
Modelin çok nadir bir hasta kaydını neredeyse aynen sentetik örnek olarak üretmesi, 'tamamen yapay' etiketini tartışmalı hâle getirir. Gerçek veri kullanılmadan simülasyonla üretilen veri ile küçük gerçek veri setini ezberleyen üretken model aynı riskte değildir.
Anonimlik zaman içinde bozulabilir
Yeni veri kaynakları, daha güçlü eşleştirme teknikleri veya alıcıdaki ek bilgiler daha önce düşük görülen yeniden belirleme riskini artırabilir. Anonimleştirme kararı, veri setinin yaşam döngüsü ve paylaşılacağı çevreye göre periyodik olarak gözden geçirilmelidir. Paylaşım öncesi ve önemli dış veri değişikliklerinde yeniden tanımlama testi tekrarlanmalıdır.
Yıllar sonra yayımlanan açık nüfus verisi, eski araştırma setindeki nadir kombinasyonları kişiye bağlayabilir. Her teknolojik ilerleme bütün anonim veriyi otomatik olarak kişisel veriye dönüştürmez; somut yeniden ilişkilendirme olasılığı değerlendirilir.
Anonim veri de başka hukuk alanlarına tabi olabilir
Bir veri setinin KVKK bakımından anonim olması, telif, ticari sır, sözleşme veya etik kısıtların ortadan kalktığı anlamına gelmez.
Kaynak veri setinin edinim ve kullanım koşulları, kişisel veri niteliğinden bağımsız hak ve yükümlülükler doğurabilir. Anonimleştirilmiş müşteri yorumlarının tamamını rakip siteden kopyalamak, KVKK dışında telif veya sözleşme sorunları yaratabilir. KVKK dışında kalma sonucu, verinin mülkiyetsiz ve sınırsız serbest kaynak olduğu şeklinde genişletilmemelidir.
Veri seti kartında KVKK statüsü yanında telif, lisans, sır, etik ve sektör sınırlamaları da gösterilmelidir.
Anonimlik iddiasının sonucu
Anonim veri, isimleri silinmiş veri değildir; yeniden ilişkilendirilemeyecek düzeyde dönüşmüş veri olmalıdır. Sentetik veri için de kaynak kayıtların ezberlenmesi ve yeniden belirlenebilirlik test edilmeden KVKK dışı sonucu kurulamaz.
En güvenli yaklaşım, anonimlik etiketini tek seferlik değil veri setinin paylaşım ve kullanım çevresi değiştikçe yeniden doğrulanan bir durum olarak görmektir.
Aktörler arasındaki genel dağılım için genel sorumluluk çerçevemiz yazımız bütünleyici bir çerçeve sunar.
Bu içerik genel bilgilendirme amaçlıdır; her dosyanın koşulları farklıdır ve somut durum ayrıca değerlendirilmelidir. Son hukuki kontrol: 12 Temmuz 2026. Konuyla ilgili destek için iletişim sayfamızı kullanabilirsiniz.