Adları yer tutucularla değiştirmek iyi bir ilk adımdır. GDPR kapsamında bu işlem, tek başına verileri anonim hâle getirmez. Bu yazıda düzenlemenin ne söylediği, Avrupa Birliği Adalet Divanının Eylül 2025'te neye karar verdiği ve bu karar karşısında ne yapılması gerektiği açıklanıyor.
Kısa yanıt
Genel olarak evet. GDPR, takma adlandırma işleminden geçmiş ve ek bilgi kullanılarak bir kişiyle ilişkilendirilebilecek kişisel verilerin kimliği belirlenebilir bir kişi hakkındaki bilgi olduğunu söyler. "Person_1" ifadesini gerçek bir ada bağlayan anahtar sizdeyse, değiştirdiğiniz metin sizin elinizde hâlâ kişisel veridir ve bu veriyi işlemeniz GDPR kapsamındadır.
Daha dikkatli bir yanıt ise verileri kimin elinde tuttuğuna ve o kişinin kimliği belirlemek için makul olarak hangi araçları kullanabileceğine bağlı olduğudur. 2025 tarihli mahkeme kararının önem kazandığı nokta budur.
GDPR ne diyor?
4(5). madde takma adlandırmayı şöyle tanımlar:
"kişisel verilerin, ek bilgi kullanılmadan belirli bir veri sahibiyle artık ilişkilendirilemeyeceği bir şekilde işlenmesi; ek bilginin ayrı tutulması ve kişisel verilerin kimliği belirlenmiş veya belirlenebilir bir gerçek kişiyle ilişkilendirilmemesini sağlamak üzere teknik ve organizasyonel önlemlere tabi olması şartıyla"
26. Gerekçe, ek bilgi kullanılarak bir gerçek kişiyle ilişkilendirilebilecek takma adlandırma işleminden geçmiş kişisel verilerin, kimliği belirlenebilir bir gerçek kişi hakkındaki bilgi olarak değerlendirilmesi gerektiğini söyler. Bir kişinin kimliğinin belirlenebilir olup olmadığına karar verirken, tek başına ayırt etme gibi, veri sorumlusu veya başka bir kişi tarafından kullanılması makul olarak muhtemel tüm araçlar hesaba katılmalıdır; buna gereken maliyet ve süre ile mevcut teknoloji de dâhildir.
Bu ifadelerden iki pratik sonuç çıkar. Anahtar ayrı tutulmalı ve teknik ve organizasyonel önlemlerle korunmalıdır. Ayrıca "kimliği belirlenebilir" olma, kimliğin teorik olarak belirlenip belirlenemeyeceğine değil, gerçekçi araçlara göre değerlendirilir.
Adalet Divanı 2025'te ne ekledi?
4 Eylül 2025'te Avrupa Birliği Adalet Divanı şu davada karar verdi: EDPS v SRB (C-413/23 P sayılı dava). Dava, bir bankacılık otoritesinin yazarların kimliklerini kodlarla değiştirdikten sonra danışmanlık şirketine ilettiği yorumlarla ilgiliydi. Dava, AB kurumları için geçerli olan 2018/1725 sayılı Tüzük kapsamında karara bağlandı; ancak bu tüzükteki kişisel veri ve takma adlandırma tanımları GDPR'dekilerle aynıdır.
Mahkeme, takma adlandırılmış verilerin “her durumda ve herkes bakımından” kişisel veri sayılmaması gerektiğine hükmetti. Verilerin belirli bir alıcı için kişisel veri olup olmadığı, ilgili kişileri yeniden tanımlamak için makul olarak kullanılması muhtemel araçlara sahip olup olmadığı da dâhil olmak üzere koşullara bağlıdır. Takma adlandırma işlemini yapan ve ek bilgileri elinde bulunduran taraf, kodları herhangi bir kişiyle ilişkilendirme imkânı olmayan bir alıcıdan farklı konumdadır.
Bu, uzmanların hâlâ değerlendirmekte olduğu hukuki bir gelişmedir. Bunu, takma adlandırılmış müşteri verilerini istediğiniz yere gönderebileceğinizin izni olarak yorumlamayın. Kararın söylediği, sorunun alıcı açısından değerlendirildiğidir; sorunun ortadan kalktığı değil.
Bu, bir yapay zekâ sohbet robotu için ne anlama geliyor?
- İlk verilerin ve anahtarın veri sorumlusu hâlâ sizsiniz . Belgeyle ilgili yaptıklarınız, buna değiştirme işlemi de dâhil olmak üzere, GDPR kapsamındaki kendi yükümlülüklerinize tabidir.
- Yapay zekâ sağlayıcısının kişisel veri alıp almadığı olgulara göre değerlendirilmesi gereken bir sorudur. Ad olmasa bile bağlam bir kişinin kimliğini açığa çıkarabilir: nadir bir iş, küçük bir kasaba, olağandışı bir olay. Birisi metnin kim hakkında olduğunu gerçekçi biçimde çıkarabiliyorsa, bunu kişisel veri olarak ele alın.
- Uyum yaklaşımınızı yer tutucuların metni anonim hâle getirdiği düşüncesi üzerine kurmayın. Verilerin hâlâ kişisel veri olabileceğini varsayarak plan yapın ve yer tutucuları birkaç korumadan biri olarak değerlendirin.
Takma adlandırma yine de önemlidir ve GDPR da bunu kabul eder. 32(1)(a). madde, veri sorumlusunun kullanabileceği güvenlik önlemleri arasında takma adlandırmayı sayar. 28. ve 78. Gerekçeler, bunun veri sahiplerine yönelik riskleri azaltabileceğini ve tasarımda ve varsayılan olarak veri koruma ilkelerini desteklediğini belirtir. Düzenleme, takma adlandırmayı düzenlemenin kapsamından çıkış yolu olarak değil, bir koruma önlemi olarak ele alır.
Uygulamada ne yapmalı?
- Önce veri miktarını en aza indirin. Yalnızca görev için gereken bölümü gönderin. Bkz. küçük işletmeler için kontrol listesi.
- Yalnızca adları değil, Yalnızca adları değil. Hesap numaraları, kimlik numaraları ve doğum tarihleri de tanımlayıcıdır. Bu kontrol listesinde sıralanıyor.
- Anahtarı kendi tarafınızda tutun, gönderdiğiniz metinden ayrı saklayın ve konu kapandığında silin.
- Sağlayıcının koşullarını ve kullandığınız planı kontrol edin. Veri işleme sözleşmesi bulunan bir işletme planı, ücretsiz kişisel hesaptan farklı bir durumdur. Bkz. veri ayarlarının ne söylediği.
- Yüksek riskli durumlarda uzman görüşü alın: sağlık verileri, çocuklara ait veriler, özel nitelikli veri kategorileri veya ihlalin ciddi sonuçlar doğuracağı her türlü veri.
Bu terimler günlük konuşmada gelişigüzel kullanılır. Anonimleştirme, takma adlandırma ve redaksiyon bu kavramları karşılaştırıyor.
Sık sorulan sorular
Takma adlandırılmış veriler, anonim verilerle aynı mıdır?
Hayır. 26. Gerekçe, veri koruma ilkelerinin anonim bilgilere (kimliği belirlenebilir bir kişiyle ilgili olmayan bilgilere veya kişi artık kimliği belirlenemeyecek şekilde anonimleştirilmiş verilere) uygulanmadığını söyler. Yeniden bağlantı kurulabilen takma adlandırılmış veriler farklı bir kategoridedir.
GDPR, yapay zekâ araçlarının kişisel verilerle kullanılmasını yasaklıyor mu?
Hayır. Yasal dayanak, veri minimizasyonu, güvenlik ve bir sağlayıcıyla çalışıldığında uygun bir sözleşme gerektirir. Yer tutucuların kullanılması veri minimizasyonuna yardımcı olur.
Bu, AB dışı yerlerde de geçerli mi?
Birleşik Krallık'ın kendi mevzuatı vardır ve birçok ülkede benzer kurallar uygulanır. AB'deki kişilere hizmet sunan AB dışındaki işletmeler için de GDPR geçerli olabilir.
ClientSafe Yer tutucuları gerçek adlara bağlayan tabloyu bilgisayarınızda tutar. Bir yapay zekâ aracına kopyaladığınız metinde yalnızca yer tutucular bulunur. Hiçbir araç her şeyi yakalayamayacağından, önce bulduklarını gözden geçirirsiniz.
Genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kendi durumunuz için yetkin bir veri koruma danışmanına başvurun.