Veri işleme süreçlerinde tartışmalı bir çözüm: Veri anonimleştirmesi
A Controversial protection method on data processing: Data anonymization
Yazar: MERVE GÖZÜKÜÇÜK
Danışman: YRD. DOÇ. DR. LEYLA BERBER
İstanbul Bilgi Üniversitesi / Sosyal Bilimler Enstitüsü / Bilişim ve Teknoloji Hukuku Ana Bilim Dalı
Derece: Yüksek Lisans, 2014
Konu: Hukuk = Law
Dizin: Anonimleştirme = Anonymization ; Kişisel veri = Personal data ; Kişisel veri = Personal data ; Veri güvenliği = Data security ; Veri işleme = Data processing ; Veriler = Data

Özet:
Bilişim teknolojilerindeki hızlı gelişmeleri takiben hayatımızın her alanına giren büyük veri, sağladığı fayda ile enformasyonel toplumun hammaddesi haline dönüşmüştür. Veri odaklı yaklaşımlar, büyük veriden elde edilen faydanın ve kazanımın artmasına paralel olarak gelişmiş ve ticari, hukuki, idari, sosyal olmak üzere tüm faaliyetlerin merkezine yerleşmiştir.  Bütün bu gelişmeler ve veri odaklı yaklaşımlar veri işleme, veri analizi, veri yönetimi süreçlerinin önemini arttırmış ve bu konuları ayrı birer uzmanlık seviyesine taşımıştır. Diğer taraftan ise, büyük veri, veri paylaşımı ve ifşa süreçlerini hızlandırmış ve bu durum kişisel verilerin korunması ve gizlilik hususlarında yeni tehditler ve yeni tartışmalar doğurmuştur. Büyük veri içeriğinde yer alan kişisel verilerin, paylaşım ve ifşa yoluyla daha geniş kitlelere yayılıyor olması, kişilerin kendi verileri üzerindeki denetimlerini büyük ölçekte düşürmüştür. Büyük veri ve veri odaklı yaklaşımların enformasyonel topluma sağladığı faydanın vazgeçilmezliği, uzmanları hem faydayı hem de gizliliği koruyacak mimari çözümler geliştirmeye itmiştir. Veri anonimleştirmesi, paylaşım ve ifşa süreçlerinde bu dengeyi sağlaması beklenen bir mimari çözüm olarak karşımıza çıkar. Veri anonimleştirmesi ile veri kümesi içinde, kişilerin kimliğini saptayan veya saptayabilme özelliği olan tüm veriler çıkartılarak, gizlenerek veya çeşitli istatistiksel metotlara tabi tutularak, veri kimliksizleştirilir. Böylece, verinin sağladığı çıktılar gelişime katkı sağlarken, veriyi üreten öznenin gizliliği korunmuş olur. Ancak, teoride dengeyi sağladığı düşünülen veri anonimleştirmesi, pratikte yaşanan bazı ihlallerle anonimleştirmenin güvenilirliği tartışmasını başlatmıştır. Yaşanan örneklerde, anonimleştirilmiş veri kümeleri, birden fazla dolaylı betimleyicinin bir araya gelmesiyle veya dışarıdan elde edilen ek bilgilerle birleştirilmesi sonucunda yeniden kişileri saptayabilir hale gelir ve böylece anonimleştirme bozarak veri öznelerinin kişisel bilgileri ifşa edilmiş olmaktadır.
Bu çalışma öncelikle büyük verinin genel çerçevesini, veri işleme operasyonlarına etkisini ve akabinde gelişen veri anonimleştirme süreçlerini detaylandıracaktır. Sonrasında kişisel verilerin korunması ve gizlilik hususunda yasal mevzuatlar Türkiye ve AB özelinde incelenecek ve bu konudaki hukuksal yaklaşım netleştirilecektir. Takiben, veri anonimleştirilmesi etrafında gelişen teknik ve içeriksel tartışmalar yaşanmış ihlal örnekleriyle analiz edilerek, fayda ve gizlilik dengesinin kurulması hususundaki mevcut anlayış ele alınacaktır. Sonuç bölümünde ise kontrol edilemeyen parametreler, mevcut tartışmaların eksikleri tespit edilerek, anonimleştirmenin ilkelerine dair öneriler geliştirilecektir.

Abstract:
Due to the rapid developments in the information science, big data has diffused to the every aspect of our lives and has become a substantial source of the information society. As the utility gained from big data has expanded in years, it has gradually leveraged the data-centered approaches in commercial, legal, administrative and social activities. Accordingly, all these progress increased the value of the data management steps in terms of data processing and analysis and created the per se developing expertise on this field. Apart from its utility, big data, by intensifying the data sharing and disclosure processes, posed new privacy and data protection threats and initiated new debates. With respect to the indispensible contribution of big data and data-centered approaches to the modern information age, researchers aimed to produce architectural solutions in the aim of balancing the privacy with utility. As a result, data anonymization processes have been designed and implemented in order to fulfill this balance. Data anonymization roughly means to dismiss or omit all the identified or identifiable patterns of the data that can disclosure the personal information of data subjects. Thus, with the help of anonymization, big data could still be utilized while preserving the personal information and privacy of individuals. However, although this architecture created succesful results in theory, it practically failed in some real-life cases by emerging the outside information with anonymized data or by applying statistical calculations on the combinations of non-identifiable variables. Therefore, these unexpected real-life de-anonymization cases led the researchers to revisit the liability of the anonymization processes and mischiefed the faith on anonymization.
This thesis firstly aims to analyse the big data concept and its interactions with the data processing operations, specifically focusing on sharing and disclosure steps, and data anonymization methods. Afterwards, the privacy and data protection legislations that are currently in force in EU and Turkey will be investigated in order to draw the frame of the legal approaches. Following, technical and contextual debates regarding the faith on anonymization practices will be examined in detail including the comprehensive researches conducted by both the advocates and the detractors of anonymization. Finally, by studying the divergent approaches, it will be concluded by mentioning the deficiencies in the prevailing debates and developing new suggestions in the aim of clarifying the fundamentals of anonymization.