EDPB 2025: Takma Ad Verme Kılavuzları Açıklandı
2026 için Güncellendi
Ocak 2025'te Ne Değişti
Avrupa Veri Koruma Kurulu (EDPB), Ocak 2025'te Kılavuz 01/2025'i yayımladı. Konu: takma adlandırma (pseudonymization). Ana mesaj kısadır. Takma adlandırılmış dosyalar kişisel dosya olmaya devam eder. Kanun kapsamı içinde kalırlar. Pek çok ekip bu kapsamın dışında olduklarını varsaymıştı. Yeni kılavuz buna hayır diyor.
Kuruluşunuz süreci geri almak için anahtarı elinde tutuyorsa kurallar hâlâ sizin için geçerli.
Takma Adlandırma Alanı
Kılavuz yeni bir kavram ekliyor: takma adlandırma alanı. Bu, takma adlandırılmış bir öğeyi gerçek bir kişiye bağlayabilecek taraflar topluluğunu ifade eder.
Bu topluluktaki herhangi bir taraf kanun kapsamındadır. Anahtarı elinizde bulunduruyorsanız veya bunu hesaplayabiliyorsanız o topluluktasınızdır. Tüm kurallar geçerlidir.
İki Terim. Tek Bir Boşluk.
Bu iki terim aynı değildir.
Gerçek anonimleştirme geri alınamaz. Hiçbir taraf — şimdi ya da sonra — bunu tersine çeviremez. Gerçek anlamda anonimleştirilmiş dosyalar kanun kapsamının dışında kalır.
Takma adlandırma geri alınabilir. Bir anahtar, arama tablosu ya da yan dosya özgün değerleri geri getirebilir. Bu öğeler, anahtarı elinde bulunduran tüm taraflar için kanun kapsamında kalmaya devam eder.
Takma adlandırılmış — anonimleştirilmiş değil — çıktı üreten üç araç türü:
- Token sistemleri: kişisel veriyi sabit token'larla değiştiren ve arama tablosu tutan araçlar
- Şifreleme araçları: kişisel veri değerlerini kilitleyen ve kilit açma anahtarını tutan araçlar
- Biçim koruyan şifreleme araçları
Hashing (karma), gerçek anonimleştirmeye daha yakındır — ancak yalnızca girdiler tahmin edilmesi güçse. Kısa isimler veya yaygın kimlik kodları için arama saldırıları karmayı geri alabilir. EDPB bu riski vurguluyor. Tahmin edilmesi kolay değerlerin hashlenmesi gerçek anonimleştirme sayılmayabilir.
VKY'ler için Adımlar
"Anonimleştirilmiş" etiketli her dosya kümesini gözden geçirin. Şu soruyu sorun: herhangi bir taraf bunu geri alabilir mi? Yanıt evetse, bu takma adlandırmadır. Kanun hâlâ geçerlidir.
Kanun kapsamının tamamen dışında kalması gereken dosyalar — analitik, arşiv, araştırma toplamları — geri alınamayacak adımlar gerektirir. Seçenekler: kalıcı sansür, kurtarma değeri olmayan maskeleme veya tahmin edilmesi güç girdilerin hashlenmesi. Yöntemi ve gerekçesini belgeleyin.
Sürecin geri alınabilir olması gereken dosyalar — araştırma tekrar iletişimi, denetim izleri, yasal tutma — takma adlandırılmış kişisel dosya olarak etiketlenmelidir. Tüm yasal yükümlülükler korunur. EDPB anahtar kurallarını kullanarak anahtar gözetimini belgeleyin.
Beş yöntemli çerçeve bu ayrıma uyuyor. Değiştir, Maskele ve Şifrele, takma adlandırılmış çıktı üretir. Sansürle ve Hashle (yalnızca tahmin edilmesi güç girdiler için) gerçek anonimleştirmeye ulaşabilir — eksiksizlik incelemesine tabi olarak.
Araçlarınızın aslında ne ürettiğini kontrol edin. "Anonimleştirme" aracı olarak satılan bir ürün, herhangi bir arama tablosu veya anahtar tutuyorsa takma adlandırılmış öğe çıkarabilir. GDPR uyum kılavuzumuz tüm sınıflandırma kurallarını kapsar. Güvenlik uyum genel bakışımız VKY'lerin kaydetmesi gereken teknik kontrolleri açıklar. Araç rehberliği için anonimleştirme ön ayarları ve denetim kılavuzumuza bakın.