Kanun ve Kurum ne diyor?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 4. maddesi, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını genel ilkeler arasında sayar. 12. madde ise veri sorumlusuna, verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Kanun belirli bir yazılım veya yöntem dayatmaz; maskeleme bu tedbirlerden yalnızca biridir.
Kişisel Verileri Koruma Kurumu'nun Kasım 2017 tarihli 'Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi', 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete'de yayımlanan yönetmeliğe dayanır ve iki kavramı ayrı tanımlar. Maskeleme, kişisel verilerin belli alanlarının kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemlerdir. Karartma ise verilerin bütününün üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemlerdir. Rehber, kâğıt belgelerde karartmanın geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde yapılmasını ister.
Maskeleme ile anonimleştirmeyi karıştırmamak gerekir. Aynı rehber maskelemeyi anonim hâle getirme yöntemlerinin arasında anar, ama sonucun belirli bir kişiyi tanımlayamaz olması şartını koyar. Rehberdeki k-anonimlik örneği, ad ve posta kodu maskelenmiş bir tabloda bile benzersiz bir değer birleşimi taşıyan kaydın doğru kişiye bağlanabileceğini gösterir. Yani kısmen maskelenmiş bir belge, çoğu durumda hâlâ kişisel veri içerir. Bu yazı hukuki danışmanlık değildir; kurumunuzun yükümlülükleri için uzman görüşü alın.
Kısmi mi, tam mı? Veri türüne göre maskeleme
Sitedeki maskeleme motoru altı veri türünü arar. T.C. kimlik numarasında ilk hanesi sıfır olmayan 11 haneli değerler, iki kontrol hanesi hesaplanarak doğrulanır. Vergi kimlik numarası 10 hane ve kontrol algoritmasıyla, kart numaraları 13 ile 19 hane arası ve Luhn kontrolüyle denetlenir. IBAN için TR ile başlayan 26 karakterlik Türkiye biçimi aranır; bu biçimde 2 kontrol hanesini 5 haneli banka kodu, 1 rezerv hane ve 16 haneli hesap numarası izler. Bunlara cep ve sabit hat telefonları ile e-posta adresleri eklenir.
Kısmi modda okunabilirlik için bir kısım bırakılır: T.C. kimlik numarasının ilk 3 hanesi, IBAN'ın TR ve 2 kontrol hanesiyle son 2 hanesi, kart numarasının ilk ve son 4 hanesi, telefonun son 2 hanesi, e-postada ise kullanıcı adının ve alan adının ilk harfleri görünür. Tam modda harf ve rakamların tamamı yıldıza döner; boşluk ve tire gibi ayırıcılar yerinde kalır.
Hangisini seçeceğiniz paylaşımın amacına bağlıdır. Bir ödeme kanıtında karşı tarafın hesabı son hanelerden tanıması işe yarayabilir; kamuya açık bir paylaşımda ise tam maskeleme daha doğru olur. Görünür bırakılan her hane, ad ve şehir gibi bağlamla birleştiğinde tahmin olasılığını artırır.
Kullanım yolu basittir: metni KVKK maskeleme aracına yapıştırın, üstteki etiketlerden maskelenecek türleri seçin, kısmi veya tam modu belirleyin. Sağdaki çıktı anında güncellenir ve özet satırı hangi türden kaç değerin maskelendiğini gösterir. Bu sayı beklentinizin altındaysa, örneğin belgede üç IBAN olduğunu biliyorsanız ama özette bir tane görünüyorsa, kalan değerlerin tanınmayan bir biçimde yazıldığını düşünün. Belirli dosya türleri için ayrı sayfalar vardır: e-Fatura XML, UYAP UDF metni, banka dekontu ve Excel tabloları kendi yapılarına uygun araçlarla maskelenir.
Otomatik tespitin kaçırdıkları
Ad-soyad, adres, araç plakası, doğum tarihi, sağlık bilgisi, imza ve fotoğraf otomatik olarak bulunmaz; bu veriler bağlama dayalıdır ve elle işaretlenmelidir. Biçime bağlı türlerde de boşluklar vardır. Yalnızca Türkiye IBAN'ları tanınır; DE veya GB ile başlayan yabancı IBAN'lar ve IBAN biçiminde olmayan hesap numaraları maskelenmez. '123 456 789 01' gibi boşluklarla yazılmış bir kimlik numarası, bitişik 11 hane aradığı için yakalanmaz. Tireyle yazılmış 0532-123-45-67 biçimindeki telefonlar da yakalanmaz.
Kontrol hanesi tutmayan, yani yanlış yazılmış kimlik ve kart numaraları bilinçli olarak atlanır. Bunun faydası, rastgele bir sipariş numarasının kimlik numarası sanılıp bozulmamasıdır. Bedeli ise hatalı girilmiş ama yine de bir kişiye işaret eden numaraların açıkta kalmasıdır. Ters yönde de nadir hata olabilir: kontrol hanesi tesadüfen tutan bir ürün kodu maskelenebilir. Her iki nedenle de çıktıyı paylaşmadan önce baştan sona okumak gerekir.
PDF, görsel ve Excel'de doğru karartma
En sık yapılan hata, bir PDF düzenleyicide metnin üzerine siyah dikdörtgen çizip kaydetmektir. Bu dikdörtgen çoğu zaman bir çizim katmanıdır; altındaki metin durur, seçilip kopyalanabilir ve aranabilir. Sitedeki 'PDF'i karart' aracı farklı çalışır: her sayfayı tarayıcıda 1.000 piksel genişliğinde bir görsele dönüştürür, kutuları bu görselin piksellerine işler ve sayfaları görsel olarak içeren yeni bir PDF üretir. Sonuçta karartılmış bölgenin altında metin katmanı kalmaz.
Bu yöntemin bilinmesi gereken sonuçları var. Çıktıda metin seçilemez ve aranamaz, görüntü kalitesi özgün belgeden düşük olabilir, sayfalar özgün boyut ve yönleriyle görsel olarak yazılır ve en fazla 50 sayfa yüklenir. Belge yeniden oluşturulduğu için özgün dosyadaki elektronik imzalar çıktıya taşınmaz. Metin katmanı olan PDF'lerde otomatik tespit bulduğu alanlara kutu ekler; taranmış belgelerde kutuları elle çizmeniz gerekir.
Excel veri maskeleme aracı dosyadaki tüm sayfalarda hücre değerlerini tarar ve -maskeli ekiyle yeni bir .xlsx indirir. Formüller, biçimlendirme ve grafikler bu çıktıda birebir korunmayabilir; ad ve adres sütunlarını ayrıca silmeniz veya elle maskelemeniz gerekir. Dosya adına da dikkat edin: Ahmet_Yilmaz_dilekce.pdf adıyla paylaşılan karartılmış bir belge, adı zaten açığa çıkarır.
Maskeleme araçları metni ve dosyayı tarayıcınızda işler, sunucuya yüklemez. Sayfada analiz ve reklam betikleri çalıştığını da açıkça belirtelim; ayrıntılar gizlilik sayfasındadır. Otomatik tespit her veriyi yakalamayabilir ve araçlar belgeye resmî bir uyum niteliği kazandırmaz.
Belgeyi bir yapay zekâ hizmetine, bulut tabanlı bir çeviri aracına veya yurt dışındaki bir tedarikçiye göndermeden önce maskelemek, aktarılan kişisel veri miktarını azaltır. Ancak maskelenmiş belgede kişiyi tanımlamaya yetecek bilgi kalıyorsa aktarım yine kişisel veri aktarımıdır ve Kanun'un 2024'te değiştirilen 9. maddesindeki yurt dışına aktarım kuralları gündeme gelebilir. Bu değerlendirmeyi kurumunuzun hukuk birimiyle birlikte yapın.
Bu rehberdeki araçlar
Anlatılan işlemleri hemen tarayıcınızda, dosyanız sunucuya yüklenmeden yapın:
Sık sorulan sorular
Maskeleme KVKK uyumu için tek başına yeterli mi?
Hayır. Maskeleme teknik tedbirlerden biridir. Aydınlatma yükümlülüğü, hukuki işleme şartları, saklama ve imha süreleri ile idari tedbirler ayrıca ele alınmalıdır.
Kısmen maskelenmiş belge anonim sayılır mı?
Çoğu durumda hayır. KVKK Kurumu'nun rehberi anonim hâle getirmede sonucun kişiyi tanımlayamaz olmasını şart koşar. Görünür bırakılan haneler başka bilgilerle birleşince kişi tanınabiliyorsa veri kişisel veri olmayı sürdürür.
Siyah kutu çizdiğim PDF'te metin neden hâlâ kopyalanabiliyor?
Kutu çoğu editörde metnin üstüne eklenen ayrı bir katmandır ve alttaki metni silmez. Sayfayı görsele dönüştürüp kutuyu piksellere işleyen bir karartma yöntemi kullanın ve çıktıda metin seçmeyi deneyerek kontrol edin.
Bulanıklaştırma ya da pikselleştirme yeterli mi?
KVKK rehberindeki karartma tanımı buzlamayı da sayar, ancak kâğıt belgeler için geri döndürülemezlik şartı koyar. Hafif bulanıklaştırma altındaki metni tahmin etmeye imkân bırakabilir; tam dolu siyah kutu daha güvenli bir tercihtir.