Bir ihbar sistemine başvuran çalışan, ihbarını yaptığı andan itibaren tek bir soruyla baş başa kalır: “Bu bilgi gerçekten korunacak mı?” Teknik anonimlik, bu soruya sistemin mimarisi üzerinden cevap veren tek mekanizmadır. Politika metinleri, gizlilik taahhütleri veya yönetici beyanları bu soruyu karşılamaz; sistemin arka planda nasıl çalıştığı karşılar. Bir etik hat alım sürecinde teknik anonimlik bileşenlerini değerlendirmeyen bir uyum yöneticisi, kâğıt üzerinde mükemmel görünen ama pratikte ihbarcıyı açığa çıkaran bir araç satın almış olabilir. Bu yazı, o değerlendirmeyi doğru yapmak için gerekli teknik kavramları ve pratik kontrol noktalarını ele alıyor.

Teknik Anonimlik Nedir ve Politika Taahhüdünden Neden Farklıdır?

  • Politika düzeyindeki gizlilik, “sistemimiz kimlik saklar” ifadesiyle ifade edilir ve bir insan kararına dayanır. Teknik anonimlik ise kimlik bilgisinin sistemin kendisi tarafından hiçbir zaman işlenmemesini ya da işlense bile anonimleştirilerek depolanmasını ifade eder. Aradaki fark şudur: Politika ihlal edilebilir, mimari ihlal edilemez.
  • IP adresi günlükleme, oturum çerezleri ve tarayıcı parmak izi analizi; ihbarcının kimliğini teknik olarak tespit edilebilir kılan üç temel vektördür. Bunların sisteminiz tarafından tutulup tutulmadığını ve ne süreyle saklandığını tedarikçinizden yazılı olarak talep etmeniz, seçim sürecinin olmazsa olmaz bir adımıdır.
  • KVKK kapsamında bir ihbar platformu, işlediği kişisel verilerin meşru dayanağını net biçimde ortaya koymak zorundadır. Eğer platform ihbarcının kimliğini herhangi bir formda işliyorsa bu işleme, KVKK’nın 5. maddesindeki hukuki dayanaklardan birine oturmalıdır; aksi takdirde platform hem ihbarcıyı hem de kurumu hukuki riske sokar.

S1/S2/S3 Anonimlik Seviyeleri: Farkı Bilmek Tedarikçiyi Doğru Sormak Demektir

  • S1 düzeyinde anonimlik, ihbarcının hiçbir kimlik bilgisinin sistem tarafından işlenmediği, sadece ihbar içeriğinin şifreli kanaldan aktarıldığı en yüksek koruma seviyesidir. İhbarcı, İhbar Takip Numarası (İTN) ve Güvenlik Kodu aracılığıyla ihbarını takip edebilir; sistem ise bu ikilinin dışında ihbarcıya dair hiçbir veri barındırmaz.
  • S2 düzeyi, ihbarcının sistemde isteğe bağlı olarak sınırlı bir profil oluşturabildiği ama bu profilin şifreli, hash’lenmiş ve kimlik tespitini önleyecek biçimde saklandığı ara seviyedir. Kurumun ihbarcıyla ek sorular için diyalog kurabilmesine olanak tanır; bu daihbarcının sürece daha aktif katılımını mümkün kılar. Ancak S2’nin hukuki ve teknik güvenceleri tedarikçiden tedarikçiye ciddi biçimde farklılaşabilir; bu nedenle hash algoritması, şifreleme yöntemi ve saklama süresi mutlaka ayrıca sorgulanmalıdır.
  • S3 düzeyi ise ihbarcının kimliğini sisteme açık olarak girdiği, genellikle iç intranet üzerinden yönlendirilen yapıları kapsar. Bu seviyede anonimlik teknik anlamda mevcut değildir; koruma tamamen erişim kontrolü ve politika taahhüdüne dayanır. Bazı kurumlar S3’ü belirli ihbar kategorileri için tercih etse de teknik anonimlik değerlendirmesi yapan bir uyum yöneticisi bu seviyeyi ayrı bir risk kategorisi olarak ele almalıdır.

Probuddy Etik Hat online ihbar sisteminde tüm anonimlik seviyesi, yasal regulasyonlar ve KVKK süreçlerine göre oluşturulmuştur. Detaylı bilgi almak için Probuddy uzmanlarımız ile görüşebilir demo talebinde bulunabilirsiniz; https://probuddy.com.tr/

0850 Etik Hat Kanalında Teknik Anonimlik Nasıl Sağlanır?

  • Sesli ihbar kanalları, teknik anonimlik açısından web tabanlı sistemlere kıyasla farklı bir değerlendirme gerektirmektedir. Telefon numarası tespiti, ses kaydı saklama politikası ve çağrı merkezi erişim yetkileri bu kanalın zayıf noktalarını oluşturur. 0850 Etik Hat gibi yapılarda arayanın numarasının sisteme kaydedilip kaydedilmediği, kaydediliyorsa ne süreyle tutulduğu ve bu veriye kimlerin erişebildiği net olarak tanımlanmış olmalıdır.
  • Arama yönlendirme mimarisi de kritik bir kontrol noktasıdır. Çağrı, kurumun iç PBX sisteminden geçiyorsa teknik anonimlik pratikte ortadan kalkar. Bağımsız bir etik hat operatörünün kullandığı yalıtılmış altyapı, bu riski minimize eder ve tercih edilmesi gereken modeldir.

Web İhbar Sistemi ve AI Destekli Asistan: Dikkat Edilmesi Gereken Teknik Noktalar

  • Web İhbar Sistemi üzerinden alınan ihbarlarda form verilerinin hangi sunucularda işlendiği, bu sunucuların Türkiye sınırları içinde mi yoksa yurt dışında mı konumlandığı KVKK açısından doğrudan belirleyicidir. Yurt dışı veri aktarımı söz konusuysa AB Whistleblower Direktifi gerekliliklerinin yanı sıra KVKK’nın yurt dışına veri aktarımına ilişkin hükümleri de devreye girmektedir.
  • AI Destekli Asistan kullanan platformlarda ihbarcının asistanla kurduğu diyaloğun loglanıp loglanmadığı, bu logların model eğitimine dahil edilip edilmediği ve hangi tarafların bu verilere erişebildiği ayrı bir teknik soru olarak değerlendirilmelidir. Yapay zeka katmanının anonimlik zincirini kırmaması için diyalog verilerinin ihbarcı kimliğinden tam olarak ayrıştırılmış biçimde işlenmesi zorunludur.

Etik Skor ve Raporlama Katmanı: Kimlik Sızıntısının Görünmeyen Kapısı

  • Etik Skor ve analitik raporlama sistemleri, teknik anonimitlik değerlendirmelerinde göz ardı edilen bir kimlik sızıntısı vektörü olabilir. Departman bazlı ihbar dağılımı, zaman damgası korelasyonu veya konu kümelemesi gibi analizler; küçük bir organizasyonda tek başına ihbarcıyı tanımlamaya yetecek kadar dar bir kişi havuzu oluşturabilir. Bu raporların kimler tarafından görülebildiği, hangi granülaritede sunulduğu ve ham veriyle raporlama katmanı arasında anonimleştirme adımının bulunup bulunmadığı tedarikçiden ayrıca sorgulanmalıdır.
  • Etik Skor hesaplamasında kullanılan değişkenlerin ihbarcı profiline bağlanıp bağlanmadığı da kritik bir kontrol noktasıdır. Skor, ihbar içeriğine değil ihbarcı davranış örüntüsüne dayalı biçimde üretiliyorsa teknik anonimlik zinciri bu katmanda sessizce kırılmış olabilir. Uyum yöneticilerinin bu soruyu sistematik olarak tedarikçi değerlendirme sürecine dahil etmesi, satın alma sonrası sürprizlerin önüne geçer.

Tedarikçi Değerlendirmesinde Sorulması Gereken Beş Teknik Soru

  • Sistemin IP adresi ve oturum çerezi günlüklerini tutup tutmadığını, tutuyorsa saklama süresini ve bu verilere erişim yetkisini belgeleyerek sunmasını talep edin. Yanıt muğlaksa bu, teknik anonimliğin politika düzeyinde kaldığının sinyalidir.
  • S1 anonimlik seviyesi iddiasını destekleyen bağımsız bir teknik denetim raporu veya sızma testi özeti istenmeli; üçüncü tarafça doğrulanmamış öz beyanlar, seçim kriterlerinde belirleyici kabul edilmemelidir.
  • Veri işleme altyapısının Türkiye’de mi yoksa yurt dışında mı konumlandığı, yurt dışı bileşen varsa KVKK kapsamındaki aktarım mekanizmasının ne olduğu yazılı olarak netleştirilmelidir.
  • AI Destekli Asistan kullanan platformlarda diyalog loglarının model eğitimine dahil edilip edilmediği ve bu konuda ihbarcıya açık bir aydınlatma yapılıp yapılmadığı sözleşme metninde yer almalıdır.
  • Raporlama ve analitik katmanında departman/zaman/konu bazlı analizlerin minimum hangi eşik değeri geçildiğinde sunulduğu, yani k-anonimlik veya benzeri bir koruma mekanizmasının uygulanıp uygulanmadığı, teknik dokümantasyondan doğrulanmalıdır.