Üç kavram arasındaki tek belirleyici fark, verinin hâlâ bir kişiye bağlanıp bağlanamadığıdır. Maskeleme ve takma adlandırma veriyi kişiye bağlanabilir bırakır, yani kişisel veri olarak kalır; yalnızca anonimleştirme bu bağı tamamen koparır ve veriyi Kanun kapsamından çıkarır. Bu ayrım, "verimizi maskeledik, artık KVKK bizi bağlamaz" cümlesinin neden yanlış olduğunu da açıklıyor.
Maskeleme, takma adlandırma ve anonimleştirme arasındaki fark nedir?
Sağdaki sütun, denetimde işinize yarayan tek soruyu yanıtlıyor: veri hâlâ kişisel veri mi?
| Kavram | Ne yapar | Geri döndürülebilir mi? | Hâlâ kişisel veri mi? |
|---|---|---|---|
| Maskeleme | Kişisel alanı yer tutucu etikete çevirir | Kuruluma göre değişir | Evet (çoğu durumda) |
| Takma adlandırma | Kişiyi ek bilgiyle çözülebilen bir kodla değiştirir | Evet, ek bilgiyle | Evet |
| Anonimleştirme | Bağı tamamen koparır | Hayır | Hayır |
Anonimleştirme neden bu kadar yüksek bir eşik?
Çünkü Kanun onu neredeyse ulaşılmaz tanımlıyor. KVKK madde 3'e göre anonim veri, "başka verilerle eşleştirilerek dahi hiçbir surette" bir kişiyle ilişkilendirilemeyen veridir. "Hiçbir surette" ifadesi kritik: bugün bağlanamıyor olması yetmez, yarın başka bir veri kümesiyle de bağlanamamalıdır.
Serbest bir metindeki isimleri etikete çevirmek bu eşiği tek başına karşılamaz. Metnin geri kalanı çoğu zaman kişiyi yeniden teşhis etmeye yeter: "Ankara'daki tek şubemizin müdürü" cümlesinde isim olmasa bile kişi tektir. Avrupa Veri Koruma Kurulunun 2026 tarihli anonimleştirme taslak kılavuzu da aynı noktada duruyor: kolay çözülebilen bir dönüşüm veriyi anonim yapmaz ve yapay zekâ yeniden kimliklendirmenin maliyetini hızla düşürüyor.
Peki takma adlandırma nerede duruyor?
Ortada. Takma adlandırma, veriyi ek bir bilgi olmadan kişiye bağlanamayacak şekilde işlemektir; örneğin bir müşteri adını bir kodla değiştirip eşleştirme tablosunu ayrı ve korumalı tutmak. EDPB'ye göre takma adlı veri kişisel veri olmaya devam eder, çünkü o eşleştirme tablosuyla kişi yeniden bulunabilir.
Yine de EDPB bunu güçlü bir araç sayar: tasarımdan itibaren veri koruma ve güvenlik yükümlülüklerini karşılamada işe yarar. Maskeleme, takma adlandırmanın serbest metin üzerindeki pratik karşılığıdır; ikisi de veriyi kapsamdan çıkarmaz, işleme rejimini ve riski hafifletir.
Bu ayrım pratikte neyi değiştirir?
Üç somut sonucu var.
- "Maskeledik, artık kişisel veri değil" savunması geçmez. Maskeli metni de kişisel veri gibi işlemeye devam edersiniz: aydınlatma, hukuki dayanak ve kayıt yükümlülükleri sürer.
- Yurt dışındaki bir modele maskeli metin göndermek yine de aktarım rejimine tabidir. Maskeleme sizi Kanunun 9. maddesinden muaf tutmaz; ama ham kimlik bilgisini modele göndermeyip yer tutucuyla değiştirdiğiniz için veri minimizasyonunu destekler.
- Doğru kavramı doğru yerde kullanmak, denetimde güven verir. "Kişisel veriyi anonimleştiriyoruz" demek, sağlayamadığınız bir iddiadır; "modele giden ham veriyi maskeliyoruz" demek, gerçekten yaptığınız şeydir.
Siper'in duruşu bu yüzden nettir: anonimleştirme iddia etmez. Ne yaptığını ve ne yapmadığını açık söyler. Kavramların tam tanımları için sözlüğe, KVKK çerçevesinin tamamı için KVKK ne diyor? sayfasına bakabilirsiniz.