Veri anonimleştirme teknikleri örneklerle açıklandı

Başlıca veri anonimleştirme teknikleri maskeleme, genelleştirme, toplulaştırma, gürültü ekleme, yer değiştirme, belirteçleştirme, takma adlandırma ve özetlemedir; ayrıca sonucu ölçmenin iki yolu vardır: k-anonimliği ve diferansiyel mahremiyet. Bu yöntemlerden hiçbiri tek başına yeterli değildir. Avrupa düzenleyicileri, her tekniğin yeniden kimlik belirleme riski bıraktığını söylüyor; bir sonuç ancak hiç kimse bir kaydın kiminle ilgili olduğunu makul biçimde anlayamıyorsa anonim sayılır.

Her tekniğin ölçüldüğü kıstas

GDPR ve Birleşik Krallık GDPR'si kapsamında anonim bilgiler veri koruma mevzuatının dışında, kişisel veriler ise kapsamındadır. 26. Gerekçe sınırı belirler: bir kişiyi doğrudan veya dolaylı olarak tanımlamak için tek başına ayırt etme gibi "makul olarak kullanılması muhtemel" tüm araçları hesaba katarsınız. Aynı gerekçe, ek bilgilerle bir kişiyle ilişkilendirilebilen takma adlandırılmış verilerin de hâlâ kimliği belirlenebilir bir kişi hakkında bilgi olduğunu söyler.

Dönemin AB veri koruma düzenleyicileri olan 29. Madde Çalışma Grubu, bunu şu belgelerinde üç soruya dönüştürdü: Anonimleştirme Teknikleri Hakkında 05/2014 Sayılı Görüş (WP216). Bir kişiyi hâlâ tek başına ayırt etmek mümkün mü? Aynı kişiyle ilgili iki kaydı birbirine bağlamak mümkün mü? Bir kişi hakkında bir çıkarımda bulunmak mümkün mü? Görüş, incelediği her tekniğin bazı durumlarda bu sorulardan en az birinde başarısız olduğu sonucuna varır; bu nedenle teknikler birlikte kullanılır. Birleşik Krallık düzenleyicisinin 28 Mart 2025'te yayımlanan anonimleştirme ve takma adlandırma rehberide aynı risk temelli yaklaşımı benimser.

Anonimleştirme, takma adlandırma ve redaksiyon arasındaki farkı önce öğrenmek istiyorsanız, şu yazıyla başlayın: Yapay zekâ için hangisine ihtiyacınız var. Bu yazı, tek tek teknikleri ele alıyor.

Örnek kayıt

Aşağıdaki tüm örnekler, bir İK dosyasındaki aynı kurgusal kayıttan yola çıkıyor:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

Değerleri kaldıran veya bulanıklaştıran teknikler

Maskeleme ve bastırma

Maskeleme, bir değerin bir bölümünü gizler; bastırma ise değeri, sütunu veya kaydın tamamını siler.

A***** K*******, born **.**.1989, [address removed], staff nurse

Doğrudan tanımlamaya karşı koruma sağlar. Kaldırılan değere ihtiyaç duyan her şeyi bozar ve çıktıya bakılarak geri alınamaz. Geriye kalan bilgiler yine de Anna'yı işaret edebilir: 1989 doğumlu bir servis hemşiresini küçük bir serviste bulmak zor değildir. Tek başına maskeleme, verileri nadiren anonim hâle getirir.

Genelleştirme

Genelleştirme, kesin bir değeri daha kapsayıcı bir değerle değiştirir.

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

Birçok kişiyi birbirine benzeterek kişilerin tek tek ayırt edilmesine karşı koruma sağlar. Kesinliği ortadan kaldırır: kimin daha yaşlı olduğunu artık söyleyemezsiniz. Geri alınamaz. Sonucun anonim olup olmadığı, her kombinasyonu kaç kişinin paylaştığına bağlıdır; k-anonimliği bunu ölçer (aşağıya bakın).

Toplulaştırma

Toplulaştırma, bireysel satırlar yerine toplamları veya ortalamaları yayımlar.

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

Her grupta yeterince kişi olduğu sürece bireyleri korur. Tek bir kişiyle ilgili tüm soruları yanıtlanamaz hâle getirir. Grup bir veya iki kişiden oluşuyorsa ortalama, kişinin kendi değerini açığa çıkarır; bu nedenle küçük hücreler genellikle bastırılır.

Gürültü (pertürbasyon)

Gürültü, değerleri rastgele küçük miktarlarda değiştirir.

age 37 → 39; sick leave 12 days → 10 days

Her bir değeri güvenilmez hâle getirirken istatistikleri yaklaşık olarak doğru tutar. Kesin rakamları bozar. WP216, gürültü bilgi miktarını aşmadığı sürece bunun tek başına bir anonimleştirme yöntemi olmadığını belirtir: 90 gün izin kullanan tek kişi gibi aykırı bir değer hâlâ tanınabilir.

Değer değiştirme (permütasyon)

Değer değiştirme, kayıtlar arasındaki değerleri değiş tokuş eder; böylece her sütunun toplamı aynı kalır, ancak satırlar artık tek bir kişiye ait olmaz.

Anna's 12 days of leave ↔ another nurse's 3 days

Bir değerin bir kişiyle ilişkilendirilmesine karşı koruma sağlar. Sütunlar arasındaki ilişkileri bozar ve WP216, değiş tokuş edilen değerler diğer sütunlardaki değerlerle ilişkili olduğunda bu yöntemin başarısız olduğunu gösterir: Bir yöneticinin maaşının kıdemsiz bir pozisyon unvanıyla eşleşmesi göze çarpar.

Kimlik belirteçlerini değiştiren teknikler

Belirteçleştirme

Belirteçleştirme, bir tanımlayıcıyı rastgele bir belirteçle değiştirir ve bağlantıyı ayrı, korumalı bir tabloda tutar.

anna.kowalski@example.com → TKN-8F3K2Q

ICO, rastgele bir belirtecin asıl değerle matematiksel bir ilişkisi olmadığını, dolayısıyla belirtecin tek başına hiçbir şeyi açığa çıkarmadığını belirtir. Tabloyu elinde bulunduran kişi bu işlemi geri alabilir; bu nedenle sonuç, o kişi açısından hâlâ kişisel veridir.

Tutarlı yer tutucularla takma adlandırma

Her kişiye, şirkete veya adrese okunabilir bir yer tutucu verilir ve aynı değer her zaman aynı yer tutucuyla değiştirilir.

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

Doğrudan tanımlayıcıları gizler ve kimin ne yaptığının okunabilir kalmasını sağlar; bu, metin açısından önemlidir. Belgenin mantıksal akışı korunur. Eşleştirme tablosuyla işlem geri alınabilir ve 26. Gerekçe uyarınca veriler kişisel veri olmaya devam eder. Anahtarı elinde bulunduran tarafla ilgili ayrıntılar için şu yazımıza bakın: Takma adlandırılmış veriler hâlâ kişisel veri midir?.

Özetleme

Özetleme, bir değeri tek yönlü bir işlevden geçirir ve çıktıyı saklar.

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Geri alınamaz gibi görünür, ancak adlar ve e-posta adresleri için çoğu zaman öyle değildir. Muhtemel değerlerin listesine sahip olan herkes, listedeki her bir değerin özetini hesaplayıp sonuçları karşılaştırabilir: çalışan adlarının veya şirket adreslerinin sayısı sınırlıdır. WP216, bilinen girdi aralıklarıyla ilgili bu noktayı vurgular; ICO ise tavsiyede bulunur tuz, gizli ek değer veya anahtar olmadan özetleme yapılmasına ve kaba kuvvet saldırılarına açık oldukları için MD5 ve SHA-1 gibi eski algoritmaların kullanılmasına karşı uyarır. Anahtarlı özet, takma adlandırmadır; bir e-posta adresinin yalın özeti ise buna bile ancak çok az yaklaşır.

k-anonimliği ve diferansiyel mahremiyet

Bunlar bir değeri değiştirme yöntemleri değildir. Bütün bir veri kümesinin ne ölçüde korunduğunu denetleme veya güvence altına alma yöntemleridir.

k-anonimliği tanımlayıcı niteliklerin (yaş aralığı, şehir, iş) her kombinasyonunun en az k kayıtta ortak olmasını gerektirir. k = 5 olduğunda Anna, kendisiyle aynı görünen en az beş kişinin arasında gizlenir. Bu yöntem çıkarım yapılmasını önlemez: Leeds'te 30 ile 39 yaş arasındaki sağlık çalışanlarının beşi de on günden fazla izin kullandıysa, Anna hakkında da bunu öğrenirsiniz. l-çeşitliliği her grubun hassas nitelik için en az l farklı değer içermesi kuralını ekler.

Diferansiyel gizlilik satırlar yerine yanıtlar üzerinde çalışır. Yayımlanan her istatistiğe, herhangi bir kişinin verilerde bulunup bulunmamasına bağlı olarak yanıtın çok az değişmesini sağlayacak şekilde ayarlanmış gürültü eklenir. Koruma düzeyi bir parametreyle belirlenir; daha güçlü koruma, rakamların daha az doğru olması anlamına gelir. ABD Nüfus Sayım Bürosu veri ürünlerinde bunu kullandı . İstatistikler için uygundur; birinin okuması gereken bir belge için hiçbir işe yaramaz.

Tablolar için bu ölçümü araçlar sizin yerinize yapar. ARX, ücretsiz, açık kaynaklı bir masaüstü aracı ve Java kütüphanesidir (Apache 2.0 lisansı; Ekim 2026 itibarıyla 3.9.2 sürümü). Yapılandırılmış verilere genelleştirme, bastırma ve mikro-toplulaştırma uygular; sonucu k-anonimliği, l-çeşitliliği, t-yakınlığı ve diferansiyel gizliliğe göre denetler. Ayrıca geriye kalan yeniden tanımlama riskini tahmin eder. Sözleşmeler veya mektuplar için değil, CSV dosyaları, Excel sayfaları ve veritabanı tabloları gibi veri kümeleri için tasarlanmıştır.

Tüm teknikler yan yana

Satırların çoğunda "bağlıdır" ifadesi yer alır; çünkü bir veri kümesinin anonim olup olmadığı tekniğe göre değil, bağlamı içindeki veri kümesinin tamamına göre belirlenir. Anonim olarak yayımlamayı veya paylaşmayı planladığınız her şey için veri koruma görevlinize ya da veri koruma alanında çalışan bir avukata danışın.

Yapay zekâya verdiğiniz belgeler için hangi teknikler uygundur?

İstatistiklere yönelik bir veri kümesiyle yapay zekâ sohbet robotunun işleyeceği bir belge birbirinin zıddı şeyler gerektirir. İstatistikler çok sayıda satıra ve hiçbir bireyin ayırt edilememesine ihtiyaç duyar; toplulaştırma, genelleştirme, k-anonimliği ve diferansiyel gizlilik bu amaçla geliştirilmiştir. Sözleşme, e-posta yazışması veya şikâyet mektubu ise belirli kişiler hakkındadır ve yapay zekânın bu kişileri takip edebilmesi gerekir.

Belgelerde işin büyük kısmını üç teknik yapar:

• Adlar, şirketler, adresler, e-postalar ve kimlik numaraları için tutarlı yer tutucularla takma adlandırma. Person_1 tüm metin boyunca Person_1 olarak kalır; böylece yapay zekâ kimin ne yazdığını ve kimin kime borçlu olduğunu anlayabilir. Siyah şeritler veya tek bir "[REDACTED]" ifadesi bu bilgiyi siler; bkz. yer tutucular neden daha iyi çalışır.
• Sorunun kesin olarak gerektirmediği tarih ve yerleri genelleştirme: gün yerine "Mart 2025", sokak yerine "İngiltere'nin kuzeyinde bir şehir".
• Bildirim süreleriyle ilgili soru sorduğunuz belgede bir sağlık ayrıntısı gibi, sorunun hiç ihtiyaç duymadığı her şeyi bastırma.

Gürültü, değerleri yer değiştirme ve diferansiyel gizliliğin burada yeri yoktur: Bir belgedeki olguları değiştirmek, yapay zekânın yanlış yanıt vermesine yol açar. Özetleme, adları bağlam içinde hiç kimsenin, yapay zekâ dâhil, okuyamayacağı dizelere dönüştürür.

Sonuç takma adlandırılmış veridir; dolayısıyla veri koruma kuralları sizin için hâlâ geçerlidir. Değişen, bilgisayarınızdan dışarı çıkan şeydir. Bunun için yazılım seçiyorsanız, takma adlandırma aracında nelere bakmanız gerektiğine ilişkin kontrol listemiz verilerin nereye gittiğini ve adların nasıl geri getirildiğini ele alıyor.

Sık sorulan sorular

En etkili veri anonimleştirme tekniği hangisidir?

Tek bir teknik yoktur. WP216, incelediği her tekniğin bazı durumlarda üç testten en az birinde yetersiz kaldığını ortaya koymuştur. İstatistiksel veri kümeleri için k-anonimliğiyle ölçülen genelleştirme ve bastırma ya da diferansiyel gizlilik en güçlü sonuçları verir. Yapay zekânın okuması gereken belgeler için tarihlerin ve yerlerin genelleştirilmesiyle birlikte takma adlandırma pratik seçimdir; ancak bu, anonimleştirme değildir.

Bir e-posta adresini anonimleştirmek için özetlemek yeterli midir?

Hayır. E-posta adresleri öngörülebilir kalıpları izlediğinden, bir saldırgan muhtemel adreslerin listesini özetleyip sonuçları eşleştirebilir. Anahtarlı özet veya rastgele bir belirteç daha güvenlidir; ikisi de anonimleştirme değil, takma adlandırmadır.

Tablolar için veri anonimleştirme araçları nelerdir?

ARX ücretsiz ve açık kaynaklı bir örnektir: Bir CSV, Excel dosyası veya veritabanı tablosu yüklersiniz, genelleştirme ve bastırma kurallarını belirlersiniz, k-anonimliği gibi bir gizlilik modeli seçersiniz; araç da geriye kalan riski bildirir. Bu tür araçlar sütun ve satırlar üzerinde çalışır, düz yazı üzerinde değil.

Anonimleştirilmiş veriler GDPR kapsamına girer mi?

26. Gerekçe uyarınca gerçekten anonim veriler veri koruma mevzuatının kapsamı dışındadır. Takma adlandırılmış veriler ise kapsam içindedir. Zor olan, hiç kimsenin verileri makul olarak yeniden tanımlayamayacağını kanıtlamaktır; düzenleyicilerin anonimleştirmeyi tek bir adım yerine risk değerlendirmesi olarak ele almasının nedeni de budur.

ClientSafe Belgelerde bilgisayarınızda takma adlandırma yapar: adları, şirketleri, adresleri, telefon numaralarını, e-posta adreslerini, hesap ve kimlik numaralarını ve doğum tarihlerini Person_1 gibi yer tutucularla değiştirir; aynı olay dosyasındaki tüm belgelerde aynı ad için aynı yer tutucuyu kullanır. Algılama kusursuz değildir; bu nedenle kopyalamadan önce listeyi gözden geçirin.