Kimliksizleştirme: İlk defa Kişisel Sağlık Verileri Hakkında Yönetmelik’te yer alan Kimliksizleştirme Yönetmeliğin 4. Maddesinin ı) bendine göre, kişisel verilerin; kimliğe göre belirli veya belirlenebilir gerçek kişiyle ilişkisi olmaması için teknik ve idari tedbirlerin alınması şartıyla ve farklı bir ortamda muhafaza edilen diğer verilerle bir araya getirilmeksizin ilgili kişiyle ilişkilendirilemeyecek şekilde işlenmesini ifade eder.
Yönetmeliği 5/5 Maddesinde; sağlık hizmeti sunucuları, tahlil ve tetkik sonuçları gibi hastaya ait kişisel sağlık verilerini içeren basılı materyal üzerinde gerekli kısmî kimliksizleştirme veya maskeleme tedbirlerini uygular ve söz konusu materyalin yetkisiz kişilerin eline geçmesi hâlinde kime ait olduğunun tespit edilmesini zorlaştıracak diğer tedbirleri alır denilmektedir.
Teknik bir kavram olarak kimliksizleştirme (de-identification): Kişisel verilerin bulanıklaştırma, şifreleme, anahtar kodlama ve veri paylaşımı gibi teknolojiler vasıtasıyla açık tanımlayıcılarından sıyrılması ve genelleştirilmesiyle kişiyi belirlenebilir kılan özelliklerinden arındırılması anlamına gelmektedir.
Kişisel verilerin mahremiyet artırıcı teknolojiler vasıtasıyla kişiyi belirlenebilir kılan özelliklerinden sıyrılarak işlenmesi ‘kimliksizleştirme’ olarak adlandırılmakta ve uzun zamandan beri kabul edilen bir yöntem olarak benimsenmektedir. Bu çerçevede, veri işleyen kuruluşlar başta anonimleştirme, bulanıklaştırma, şifreleme, anahtar kodlama ve veri paylaşımı olmak üzere, pek çok farklı kimliksizleştirme metodu uygulamaktadır. Ancak, son birkaç yılda bilgisayar bilimciler tarafından ortaya konulan çalışmalar göstermiştir ki bu çözümler arasında en köklü olduğu kabul edilen anonimleştirme sonrasında dahi, veri belirli bir kişiyle yeniden ilişkilendirilebilmekte ve bireyi belirlenebilir (yeniden kimliklendirme) kılabilmektedir. Belirleyiciler içeren veri setleriyle anonimleştirilmiş veri setlerini çapraz referanslayarak geliştirilen ve bireylerin kimliklerinin yeniden belirlenmesine imkân tanıyan bazı büyük veri uygulamaları da bu alandaki şüpheleri artırmaktadır. Bu gelişmeler ise verileri kimliksizleştirmenin, veriyi istikrarlı bir kişisel olmayan veri kategorisine yerleştirmekten ziyade geçici bir çözüm olabildiğini göstermektedir. Sağlık verilerinin işlenmesi (örneğin; klinik araştırmalar), çevrimiçi davranışsal reklamcılık ve bulut bilişim uygulamaları başta gelmek üzere sayısız iş modeli bakımından sağladığı imkânlar nedeniyle kilit bir teknik çözüm haline gelen yeniden kimliklendirmenin, hukuk doktrini tarafından mahremiyet ilkelerinin uygulanmasını imkânsızlaştırdığına dikkat çekilmektedir.
Büyük veri setleri toplayan ve kullanan kuruluşların faydalı kullanımlarından ödün vermemeleri bakımından mümkün olduğu ölçüde verileri kimliksizleştirmeleri önem arz etmektedir. Ayrıca, mahremiyet ilkelerinin kimliksizleştirilmiş verilere kısmen uygulanmaya devam edilmesinin faydalı olduğuna; çünkü araştırmacıların hemen hemen her bilgiyi bir kişiyle yeniden ilişkilendirme olanağına sahip olduğuna dikkat çekilmektedir.
Günümüzde mahremiyeti korumayı amaçlayan, öte taraftan da işlevselliği sürdüren birtakım teknolojiler bulunmaktadır. Söz konusu teknolojiler arasında; mahremiyet koruyucu analizler, farklılaştırılmış mahremiyet veya anonimleştirme sayılabilmektedir. Kimliksizleştirme genellikle mahremiyet risklerini azaltarak büyük veri analizinden faydalanmayı mümkün kılan pratik yöntem olarak OECD tarafından kabul görmektedir.
Verileri kimliksizleştirmeyi sağlayan mahremiyet artırıcı teknolojilerin, büyük veri bağlamında veriyi istikrarlı bir kişisel olmayan veri kategorisine yerleştirmekten ziyade, geçici bir çözüm olabildiği tespit edilmiştir. Mahremiyet artırıcı teknolojiler karşısında yeniden kimliklendirmeyi mümkün kılan araçların hızla kullanılmasının mümkün olduğu büyük veri analizinde, söz konusu araçların tek başına politika belirleyicisi olarak etkin olamayacakları değerlendirilmektedir. AB’nin yeni düzenlemesinde olduğu gibi veri işleyenlerin gerekli teknik önlemleri almakla yükümlü kılındığı artırılmış bir sorumluluk rejiminin bu alanda faydalı olacağı değerlendirilmektedir.
Sözde anonimleştirme (pseudonymisation), kişisel verilerin korunması amacıyla alınan teknik ve idari önlemlerden ayrı olmak üzere herhangi bir ek bilgi olmadan kişisel verinin ilgili kişiye atfedilemeyecek biçimde veya ilgili kişi belirlenebilir/belirlenmiş olmayacak şekilde işlenmesini ifade eder [14]. Bu kavram, ilk kez GDPR ile düzenlenmiştir, dolayısıyla GDPR ile AB Kişisel Verilerin Korunması Hukuku terminolojisine yeni girmiştir. “Pseudonomysation” terimi yeni bir konsept olduğu için esasen tam olarak bir Türkçe karşılığı yoktur. Mahlaslaştırma, kimliksizleştirme, sözde anonimleştirme gibi kelimelerle karşılığını türetebiliriz. Kavramın özü irdelendiği zaman “pseudo”nun birçok kullanımı olsa da genellikle bilişim alanında “sözde” anlamında gelmektedir. Dolayısıyla bu kavramı “sözde anonimleştirme” olarak uyarlamak daha yerinde olacaktır.
