Pikniktube olarak bu yazımızda “Ne kişisel veri değildir” konusunu masaya yatırıyoruz. Keyifli okumalar!
Ne kişisel veri değildir? üzerine düşünürken Ankara’da bir gün
Ankara’da sabahları hava biraz sert olur. Özellikle kışa yaklaşırken, Kızılay’dan işe yürürken yüzüme çarpan rüzgâr bana her zaman verinin de bazen aynı böyle “keskin ama öğretici” olduğunu hatırlatır. Ekonomi okumuş, mezun olduktan sonra veriyle uğraşmaya başlamış biri olarak gün içinde sürekli rakamlarla, tablolarla, dashboard’larla uğraşıyorum. Ama işin ilginç tarafı şu: en çok zorlandığım konu teknik hesaplamalar değil, “Ne kişisel veri değildir?” sorusunun pratik hayattaki karşılığı oluyor.
Çünkü veri dediğimiz şey sadece Excel satırlarından ibaret değil. Bir insanın hayatına dokunan, onu tanımlayan ya da tanımlamayan her şey aslında bu ayrımın içinde gizli. Ve bu ayrımı doğru yapamamak, hem hukuki hem etik açıdan ciddi hatalara yol açabiliyor.
Kişisel veri tanımı kısa hatırlatma
Önce zihni netleştirmek gerekiyor. Kişisel veri, en basit haliyle bir kişiyi doğrudan ya da dolaylı olarak tanımlayan her türlü bilgi. Ad-soyad, T.C. kimlik numarası, telefon numarası, konum bilgisi, hatta bazen IP adresi bile bu kapsama girebiliyor.
Ama asıl mesele burada başlıyor: Her veri kişisel veri değildir. İşte bu noktada “Ne kişisel veri değildir?” sorusu devreye giriyor.
Bir gün üniversiteden arkadaşım, veri analisti olarak çalıştığı şirkette yaşadığı bir durumu anlatmıştı. Elindeki veri setinde binlerce satış kaydı vardı ama hiçbirinde müşteri isimleri yoktu. Sadece şehir, yaş aralığı ve ürün kategorisi bulunuyordu. Şirket hukuki ekipten “Bu veriler kişisel veri midir?” diye geri dönüş bekliyordu. Cevap aslında basitti ama kafa karıştırıcıydı: Hayır, doğru şekilde anonimleştirilmişse kişisel veri değildir.
İşte bu ayrımın önemi burada başlıyor.
Ne kişisel veri değildir? günlük hayattan örnekler
Günlük hayatta fark etmeden çok fazla veri üretiyoruz ama bunların hepsi bizi doğrudan tanımlamıyor. “Ne kişisel veri değildir?” sorusunu anlamanın en iyi yolu biraz etrafımıza bakmak.
Ankara’da bir kafede oturup sadece müşteri yoğunluğunu saydığınızı düşünün. “Saat 15:00-16:00 arası 42 kişi geldi” bilgisi kişisel veri değildir. Çünkü burada hiçbir birey tanımlanmıyor.
Ama aynı veriye “Ahmet saat 15:12’de geldi” gibi bir ekleme yaparsanız iş değişir.
Anonim veri
En kritik kavramlardan biri anonim veridir. Anonim veri, kimliği belirlenemeyecek hale getirilmiş veridir.
Örneğin bir e-ticaret sitesinin “geçen ay en çok satılan ürünler” raporu kişisel veri değildir. Çünkü bu raporda birey yoktur, sadece toplu davranış vardır.
Ben ilk veri stajımda bunu çok net yaşamıştım. Bir sağlık teknolojisi firmasında çalışıyordum. Hastaların isimleri silinmiş, sadece yaş, şehir ve teşhis kategorileri kalmıştı. İlk başta “Bu yine de riskli olabilir mi?” diye düşünmüştüm. Ama veri uzmanı abi şunu demişti: “Eğer geri döndürülemez şekilde anonimleştirildiyse artık kişisel veri değildir.”
Bu cümle o gün bana çok şey öğretmişti.
İstatistikler ve toplulaştırılmış veriler
“Ne kişisel veri değildir?” sorusunun en net cevaplarından biri de istatistiklerdir.
Örneğin:
Türkiye’de ortalama internet kullanım süresi
Bir şehirdeki ortalama gelir seviyesi
Bir üniversitedeki öğrenci sayısı
Bunların hiçbiri kişisel veri değildir. Çünkü birey seviyesinde bir tanımlama yoktur.
Ekonomi okuduğum yıllarda hocalar sürekli şunu söylerdi: “Veri büyüdükçe birey silinir, ortalama güçlenir.” O zamanlar kulağa biraz soyut gelirdi ama şimdi veri analizi yaparken bunun ne kadar doğru olduğunu görüyorum.
Kurumsal ve tüzel kişi verileri
Bir diğer önemli nokta da şirket verileridir. Örneğin bir şirketin yıllık cirosu, çalışan sayısı ya da sektör içindeki payı kişisel veri değildir.
Geçenlerde bir proje üzerinde çalışırken bir arkadaşım şöyle bir soru sormuştu: “Bir şirketin CEO’sunun adı kişisel veri mi?” Evet, çünkü o kişi bir birey. Ama şirketin toplam satış hacmi kişisel veri değildir.
Bu ayrımı yapmak bazen kolay gibi görünse de pratikte oldukça ince çizgiler vardır.
Kamusal ve genel bilgiler
Herkese açık bilgiler de çoğu zaman “Ne kişisel veri değildir?” sorusunun cevabına girer.
Örneğin:
Resmî gazetede yayımlanan mevzuatlar
Açık adres bilgisi olmayan genel kurum telefonları
Toplumla paylaşılan duyurular
Ama burada küçük bir detay var: Bir bilginin kamuya açık olması, onun her zaman kişisel veri olmadığı anlamına gelmez. Çünkü bağlama göre değişebilir.
Bir veri analistinin gözünden Ne kişisel veri değildir?
İşin mutfağına girdiğinizde konu daha da netleşiyor. Veri analisti olarak çalışmaya başladığım ilk aylarda en çok zorlandığım şeylerden biri veri sınıflandırmasıydı.
Bir gün bir finans şirketi için müşteri davranış analizi yapıyorduk. Elimizde kredi kartı harcama verileri vardı. Veri seti ilk bakışta anonim gibiydi. Ama detaylara indikçe küçük ipuçları birleşmeye başladı: alışveriş saatleri, lokasyonlar, alışkanlıklar…
O noktada şunu anladım: “Ne kişisel veri değildir?” sorusunun cevabı sadece verinin kendisinde değil, onun nasıl işlendiğinde gizli.
Ofis sahnesi: yanlış sınıflandırmanın bedeli
Bir projede yanlışlıkla yarı anonim bir veri seti “tam anonim” kabul edilmişti. Küçük bir hata gibi görünüyordu ama sonuçları büyüktü. Çünkü bazı kullanıcılar dolaylı olarak tekrar tanımlanabiliyordu.
O gün ekipte ciddi bir tartışma olmuştu. Hukuk ekibi, “Bu veri yeniden tanımlanabilir, dolayısıyla kişisel veri sayılmalı” diyordu. Veri ekibi ise “Ama direkt kimlik bilgisi yok” diye savunuyordu.
Sonuçta doğru yaklaşımın ortada olduğu anlaşıldı: bağlam varsa veri kişisel olabilir.
Bu olay bana şunu öğretti: veri dünyasında “kesin çizgiler” sandığımız kadar net değil.
KVKK ve GDPR perspektifinden Ne kişisel veri değildir?
Türkiye’de KVKK, Avrupa’da GDPR bu konuda oldukça net çerçeveler çizer.
Özellikle anonimleştirme konusu kritik bir noktadır. Eğer bir veri:
Geri döndürülemez şekilde kimliksizleştirilmişse
Hiçbir şekilde birey ile eşleştirilemiyorsa
o zaman artık kişisel veri değildir.
Ama burada dikkat edilmesi gereken şey şu: pseudonymous (takma adlı) veriler çoğu zaman kişisel veri sayılır. Çünkü yeniden eşleştirme ihtimali vardır.
Bir ekonomi öğrencisi olarak bu bana hep şu metaforu hatırlatırdı: “Veri bir kez iz bıraktıysa, tamamen silinmesi zordur.”
Yanlış anlaşılmalar ve gri alanlar
“Ne kişisel veri değildir?” sorusu aslında birçok yanlış anlaşılmayı da beraberinde getirir.
En yaygın hatalardan biri, “isim yoksa kişisel veri değildir” düşüncesidir. Bu çok eksik bir bakış açısıdır. Çünkü bazen sadece yaş + şehir + alışkanlık bile bir kişiyi tanımlamaya yeter.
Bir diğer yanlış ise “istatistikler tamamen güvenlidir” düşüncesidir. Evet, genelde değildir ama küçük veri kümelerinde bireyler tekrar tanımlanabilir.
Bir arkadaşımın çalıştığı startup’ta sadece 50 kullanıcı vardı. Şehir bazlı raporlar hazırlanmıştı. Ama şehir + saat + işlem tipi birleşince bazı kullanıcıların kim olduğu tahmin edilebiliyordu. Bu da bize şunu gösterdi: veri küçükse anonimlik kırılganlaşır.
Gündelik hayatla bağ kurunca her şey daha netleşiyor
Bazen veri konularını düşünürken Ankara’da otobüste insanların davranışlarını izlerken buluyorum kendimi. Kim ne kadar süre telefona bakıyor, kim nerede iniyor… Bunlar tek başına veri gibi görünse de aslında bireysel anlam taşımadığında kişisel veri değildir.
Ama biriyle eşleştirildiğinde tamamen farklı bir hale gelir.
Veri dediğimiz şey biraz da böyle: tek başına masum, bağlamla birlikte güçlü.
Son düşünceler
“Ne kişisel veri değildir?” sorusu aslında sadece hukuki bir tanım değil, aynı zamanda veriyle kurduğumuz ilişkinin de bir yansıması. Ekonomi geçmişim bana hep şunu öğretti: her sayı bir hikâye taşır ama her hikâye bir kişiyi anlatmak zorunda değildir.
Bazen veriler sadece toplumu anlatır, bazen bir sistemi, bazen de sadece bir eğilimi.
Ve işin en ilginç yanı şu: veri dünyasında neyin kişisel olmadığını anlamak, neyin kişisel olduğunu anlamaktan daha zor olabilir.
İlgili Makale: Natüralizm akımı nedir ?