Hashlenmiş verinin anonim veri niteliğinde olup olmadığının tespit edilebilmesi için öncelikle ‘hash’leme kavramını irdelemekte fayda vardır. Hashleme herhangi bir uzunluktaki girdiyi alarak onu bir dizi algoritma ile şifreli çıktı haline dönüştürme işlemine verilen isimdir. Uzmanlar hashleme kavramını genellikle tek taraflı bir şifreleme yöntemi olarak tanımlamaktadır. Bu işlem sonrasında elde edilen değere ise ‘’hash değeri’’ denir.

Hashleme yönteminde kullanılan algoritma çeşidine göre, elde edilen hash değeri değişiklik göstermektedir. Aynı zamanda aşağıdaki örneklerde görüldüğü üzere, algoritmanın değişmesinin yanı sıra hashleme işlemine tabi olan kelimede bir harfin başka bir harfle değiştirilmesi ya da bir harfin büyük/küçük harf olarak değiştirilmesi dahi ortaya çıkan hash değerini doğrudan değiştirebilmektedir.

Örneğin, SHA256 ve SHA1 algoritmaları kullanılarak ‘’KPVeri’’ ve ‘’kpveri’’ kelimeleri hashlendiğinde ortaya çıkan değerler aşağıdaki gibidir:

Peki çeşitli algoritmalar kullanılarak bir veri ya da veri seti hashlendiğinde ulaşılan hash değeri/leri her ihtimalde anonim veri niteliği kazanır mı?

Türk Mevzuatı’nda hashleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (‘’KVKK’’) başta olmak üzere herhangi Kanun ya da ikincil düzenlemede tanımlanmamıştır. Mahremiyet ile ilgili uluslararası mevzuatta hatta günümüzde en gelişmiş mahremiyet mevzuatı olarak kabul edilen Avrupa Birliği Genel Veri Koruma Tüzüğü’nde (‘’GDPR’’) de bu yönteme ilişkin doğrudan bir hukuki düzenlemeye rastlanmamaktadır. Bu anlamda hashleme daha çok mevzuatın konusu değil, teknik bir standardın konusudur.

KVKK’nın tanımlar maddesinde kişisel veri ‘’kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” şeklinde tanımlanmıştır. Anonimleştirme işlemi ise, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

İşbu tanımlardan yola çıkarak doktrinde hashlenmiş verinin kişisel veri olduğunu ya da tam tersine bir yorumla verinin anonim veri nitelik kazandığını değerlendiren uzmanlar bulunmaktadır. Dolayısıyla bu konuya ilişkin sonuca varmak için uluslararası otoriteler tarafından verilen kararları ve yayınlanan içerikleri gözden geçirmek faydalı olacaktır:

İspanya Veri Koruma Otoritesi tarafından yayınlanan bir rehberde; anonimleştirme tekniklerine ilişkin 5/2014 sayılı görüş yazısında, hashleme yönteminin bir kimliksizleştirme yöntemi olarak değerlendirildiği belirtilmiştir. Buna göre; kişisel verileri kimliksizleştirme (pseudonymization) veya anonim hale getirmek için hashleme yönteminin kullanılmasının, veri işlemede kullanılan özel hashleme yöntemi ile ilişkili bir yeniden tanımlama risk analiziyle gerekçelendirilmesi gerekecektir. Bu tür bir risk analizinin hashleme ile temsil edilen değere bağlı olan veya olabilecek bilgiler öncelikli olmak kaydıyla, hem hashleme sürecini hem de hashleme yöntemini oluşturan diğer unsurları incelemesi/kapsaması gerekecektir. Bu analiz uzun vadede “çözümlenebilme” olasılığının nesnel bir değerlendirmesiyle sonuçlanmalıdır. Yani uzun vadede “çözümlenebilme” ihtimali ve riskleri objektif bir şekilde değerlendirilmelidir.

Belirli şartların sağlanması halinde bazı uluslararası otoritelerince hashleme yönteminin anonimleştirme tekniği olarak kabul edilebileceği görülmektedir. Bu kapsamda; İspanya Veri Koruma Otoritesi’nin rehberinde, hashleme yönteminin anonim hale getirme yöntemi olarak kabul edilebilmesi için risk değerlendirmesinde:

Verinin yeniden “çözümlenmesi”ne izin veren tüm bilgilerin ortadan kaldırılmasının garanti edilmesi açısından gerekli idari tedbirlerin alınması,
Kişisel verilerin beklenen kullanım ömrünün ötesinde olacak bir şekilde sistem güvenliğinin garanti edilmesi gerektiği belirtilmiştir.

Bu kriterler ışığında verilerin hash yöntemine tabi tutulması durumunda, hashlenen her veri kişisel veri niteliğini korur ya da hashlenen her veri kişisel veri niteliğini kaybederek anonim hale gelir şeklinde nihai bir yorum yapmak doğru olmayacaktır. Konu oldukça tartışmalı olmakla birlikte, somut olay özelinde değerlendirme yapılması daha isabetli olacaktır. Bu noktada değerlendirme kriterlerinin odak noktasında ‘’çözümlenebilirlik’’ kriterinin olması gerekir.

Örneğin, bir veri setinin hashleme işlemine tabi tutulup yurt dışına aktarılması durumunda yurt dışında mukim taraf (veri sorumlusu yahut veri işleyen) herhangi bir veriyi kullanarak eşleştirme gerçekleştirmesi neticesinde hashlenen veriyi çözümleyebiliyor ise bu durumda veri, kişisel veri niteliğini korumaktadır. Ancak, yurt dışında yerleşik taraf herhangi bir veriyle eşleştirme yapamıyor ve dolayısıyla hashlenen veriyi çözümleyemiyor ise burada verinin kişisel veri niteliğini kaybettiği ve anonim hale geldiği değerlendirilebilecektir.

Konuya ilişkin Alman Mahkemesi tarafından verilen bir kararda (VG Bayreuth, Beschluss v. 08.05.2018 – B 1 S 18.105) da hash yöntemi hakkında somut olay özelinde değerlendirme yapılmış olup, Facebook tarafından üçüncü taraf veri sorumlularından alınan hashlenmiş verilerin, Facebook veritabanında kayıtlı olan veriler olabileceği ve veriler hashlenmiş ise de bu verilerin Facebook tarafından tespit edilebilme imkanı olabileceği değerlendirilerek hashlenen verinin anonim hale gelmediği neticesine varılmıştır.

Konu hakkındaki Kişisel Verileri Koruma Kurulu (‘’Kurul’’) kararında (20/05/2020 tarihli ve 2020/404 sayılı Karar Özeti) ise biyometrik verilerin hash yöntemi ile biyometrik veri niteliğini kaybetmediği vurgulanmıştır. Oldukça isabetli bir karar olsa da kararın çıkış yoluna dikkat çekmek gerekir. Somut olayda, yalnızca tek bir veri (biyometrik veri) hashlenmekte ve hashlenen veri sistemlerde yer alan biyometrik veri ile veri sorumlusu bünyesindeki sistemlerde eşleştirilebilmektedir. Bu durumda hashlenmiş olsa da biyometrik veriye ulaşım/erişim imkanı söz konusu olduğu bilhassa çözümleme imkanı gözetilerek, Kurul tarafından verinin anonim hale gelmediği şeklinde değerlendirme yapılmıştır.

Sonuç olarak, hashlenen bir verinin kişisel veri niteliğini kaybedip kaybetmediği hususu somut olay özelinde değerlendirilmelidir:

Hashlenen veri çözümlenebilir durumda ise; verinin halen kişisel veri niteliğini haiz olacağı ve bu süreç özelinde hashleme yönteminin anonim hale getirme yöntemi değil, kimliksizleştirme yöntemi olduğu ve bu hashleme kişisel veriler açısından ancak bir güvenlik tedbiri olarak değerlendirilmesi daha isabetli olacaktır.
Hashlenen verinin çözümlenmesine imkan veren tüm gerekli verilerin ortadan kaldırılmasının garanti edilmesi ve bu noktada tüm tedbirlerin alınması ayrıca, kişisel verilerin beklenen kullanım ömrünün ötesinde olacak bir şekilde sistem güvenliğinin teknik anlamda garanti edilmesi sonucunda verinin çözümlenebilme imkanının bulunmaması durumunda hashleme yöntemi bir anonimleştirme yöntemi olarak değerlendirilebilecektir.

‘Hash’lenmiş Veri Anonim Veri Midir?