Özel Nitelikli Kişisel Veri İşleme Politikası

Yarına Hazırlık Enstitüsü

 

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU KAPSAMINDA

ÖZEL NİTELİKLİ KİŞİSEL VERİ İŞLEME POLİTİKASI

 

BAŞLANGIÇ

  1. GİRİŞ

6698 sayılı Kişisel Verilerin Korunması Kanununun (“Kanun”) 6’ncı maddesinin (4) numaralı fıkrasında ise “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmü yer almaktadır. Yarına Hazırlık Enstitüsü (“Enstitü”) özel nitelikli kişisel verilerin korunması konusunda; gerekli bütün önlemleri almaktadır.

Kişisel Sağlık Verileri Hakkında Yönetmelik’in 20.maddesinde de özel nitelikli kişisel verilerin işlenmesinde, yukarıda sayılanlara atıf yapılmış, Kişisel Verilerin Korunması Kanununun 6’ncı maddesinin dördüncü fıkrası ile 22’nci maddesinin birinci fıkrasının (ç) bendi uyarınca Kişisel Verileri Koruma Kurulu tarafından yapılan ikincil düzenlemelerde yer alan yeterli önlemlere riayet edileceği düzenlenmiştir. Ayrıca, adı geçen Yönetmelik’te veri güvenliğine ilişkin olarak Kişisel Verilerin Korunması Kanunu ile Kişisel Verilerin Korunması Kurumunun yayımladığı Kişisel Veri Güvenliği Rehberinin esas alınacağı düzenlenmiştir.

29677 sayılı Resmi Gazete’de yayımlanan 6698 Sayılı Kişisel Verilerin Korunması Kanunu ve Kişisel Verileri Koruma Kurulunun “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı doğrultusunda, özel nitelikli kişisel verilerin korunması konusunda verilerin güvenliğine yönelik sistemli, kuralları belli, yönetilebilir ve sürdürülebilir bir politika hazırlanmıştır.

 

  1. AMAÇ

Bu Politikanın amacı, Enstitü tarafından mevzuata uygun olarak yürütülen özel nitelikli kişisel veri işleme ve saklama ilke ve prensiplerinin oluşturulması ve kişisel veri envanterine uygun olarak, özel nitelikli kişisel verilere ilişkin Kurul tarafından belirlenen yeterli önlemlerin alınmasını sağlamak ve özel nitelikli kişisel veri saklama yükümlülüğünün yerine getirilmesini temin etmektir.

  1. KAPSAM

Bu Politika, teşhis ve tedavi hizmetlerinin yerine getirilebilmesi ile çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi amacıyla, Enstitü tarafından, mevzuata uygun olarak otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen özel nitelikli kişisel verilere dair her türlü işleme ve kişisel verilerin güvenliği için alınan idari ve teknik önlemlere ilişkindir.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi ve özel nitelikli olmayan genel nitelikli kişisel verilerin korunmasına dair esaslar ayrı birer politika içerisinde belirlendiğinden işbu politikada yer verilmemiştir.

  1. DAYANAK

Bu Politika, öncelikli olarak Türkiye Cumhuriyeti Anayasası, Kanun, Kişisel Verileri Koruma Kurumu tarafından yayımlanan ikincil mevzuat ve yürürlükte bulunan sair mevzuat dayanak alınarak hazırlanmıştır.

  1. ÖZEL NİTELİKLİ KİŞİSEL VERİLER

          5.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLER

Enstitü tarafından teşhis ve tedavi hizmetleri ile çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi kapsamında, Kanun’da mevcut şartlar ve ilkeler çerçevesinde işlenen özel nitelikli kişisel verilere ilişkin bilgiler aşağıdaki tabloda verilmiştir.

Kişisel Veri Kategorisi Açıklama
Özel Nitelikli Kişisel Veriler Kanun’un 6. maddesinde nitelikleri belirtilen aşağıdaki kişisel veriler işlenmektedir:

  • Kişisel Sağlık Bilgileri
  • Psikolojik Durum ve Ruh Hali Bilgisi Tanı
  • Cinsel Hayata İlişkin Bilgiler Kullanılan
  • Ceza Mahkumiyeti ve Güvenlik Tedbirleri
  • Kan Grubu Bilgisi

 

5.2. ÖZEL NİTELİKLİ KİŞİSEL VERİ SAHİPLERİ

İlgili Kişi Açıklama
Hasta Koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetleri almak amacıyla Enstitü’ye gelerek tedavi olan, kişisel sağlık verileri işlenen gerçek kişileri ifade eder.
Çalışan Kişi İş sözleşmesi ile bağlı olarak çalışan gerçek kişi çalışanları ifade eder.

 

  1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERE DAİR ALINAN ÖNLEMLER

          6.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ 

Enstitü tarafından Kanunda özel nitelikli olarak belirlenen kişisel verilerin işlenmesinde mevzuatta öngörülen düzenlemelere uygun davranılmaktadır. Enstitü, özel nitelikli kişisel verilerin, öğrenilmesi halinde İlgili Kişi hakkında ayrımcılık yapılmasına ve mağduriyete neden olabilecek nitelikte veriler olduğunun, bu nedenle diğer kişisel verilere göre çok daha sıkı şekilde korunması gerektiğinin bilincinde olarak hareket etmektedir.

Kanun’un 6. maddesi ile kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik verileri özel nitelikli kişisel veri olarak düzenlenmiştir.

Kanun’un 6. maddesinin (3) numaralı fıkrasında, “Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.” hükmü yer almaktadır. Bu hükme dayanılarak “Enstitü” tarafından hastaların sağlık ve cinsel hayata ilişkin kişisel verileri, sayılan amaçlar doğrultusunda işlenmektedir.

 

Enstitü, hastaların sağlık ve cinsel hayat verileri dışında, Çalışanların özel nitelikli kişisel verilerini, Kurum tarafından belirlenecek olan yeterli önlemlerin alınması şartıyla ve sadece;

  • İlgili Kişinin açık rızası ile,
  • İlgili kişinin sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verilerini kanunlarda öngörülen hâllerde

işler.

          6.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ SÜREÇLERİNDE YER ALAN ÇALIŞANLAR

Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik Kurul tarafından belirlenen aşağıdaki önlemler alınmakta, önlemlerin tam ve gereğince sağlanması konusunda aşağıdaki çalışmalarda ve belirlemelerde bulunulmuştur:

  • Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi,
  • Gizlilik sözleşmelerinin yapılması,
  • Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması,
  • Elektronik ortamda muhafaza edilen özel nitelikli kişisel verilere erişimde, yetki sınırları belirlenmiş profiller kullanılması,
  • Fiziksel ortamda (Kilitli dolaplarda vb.) saklanan özel nitelikli kişisel verilere erişimde, yetki matrisine uygun olarak, Enstitü tarafından varsa yetkilendirilen çalışan, çalışan dışındaki kişilerde anahtar bulundurulmaması,
  • Periyodik olarak yetki kontrollerinin gerçekleştirilmesi,
  • Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu olan Enstitü tarafından kendisine tahsis edilen envanterin iade alınması.

          6.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ ve/veya ERİŞİLDİĞİ ELEKTRONİK ORTAMLAR

Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlarda;

  • Verilerin şifreli bilgisayarlarda ve disklerde muhafaza edilmesi,
  • Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması,
  • Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
  • Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
  • Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması gerçekleştirilmektedir.

            6.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ ve/veya ERİŞİLDİĞİ FİZİKSEL ORTAMLAR

Özel nitelikli kişisel verileri içeren belgeler, Enstitü dışındaki kişilerin erişebileceği yerlerde bırakılmaz.  Yalnızca yetkili personelin ulaşabileceği, güvenli dosyalar içinde, kilitli dolapta ve güvenli yerlerde muhafaza edilmektedir. Bu ortamların;

  • Elektrik kaçağı, yangın, su baskını, hırsızlık gibi tehlikelere karşı eksiksiz ve yeterli güvenlik önlemleri alınmaktadır.
  • Bu ortamlarda fiziksel güvenlik tedbirleri alınarak yetkisiz giriş çıkışların gerçekleşmesi engellenmektedir.
  • Fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
  1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI

Enstitü, sınırlı ve hukuka uygun olarak, gerekli güvenlik önlemlerini almak kaydıyla, ilgili kişinin kişisel verilerini Kanun tarafından izin verilen şartlarda veya ilgili kişinin açık rızası ile üçüncü kişilere aktarabilmektedir. Enstitü, kişisel verilerin aktarılmasında kişisel verinin işlenmesi amaçları doğrultusunda, hukuka ve dürüstlük kurallarına uygun olarak, ilgili kişinin kişisel verilerini üçüncü kişiler ile paylaşabilmektedir.

          7.1 ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI

Enstitü, özel nitelikli kişisel verileri, Kurum tarafından belirlenecek olan yeterli önlemlerin alınması şartıyla ve sadece aşağıdaki durumlarda aktarılabilir;

  1. İlgilinin açık rızası varsa veya
  2. Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler ilgili kişinin açık rızası aranmaksızın kanunlarda öngörülen hâllerde,
  3. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın aktarılabilir.

            7.2       ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMA USULLERİ

  1. Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresi kullanılarak aktarılır.
  2. Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa bunlar şifrelenir.
  3. Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınır ve evrak “gizlilik dereceli belgeler” formatında, güvenli dosyalarda gönderilir.

UYGULAMA VE YÜRÜRLÜK

İşbu Politika Enstitü tarafından onaylanmasının akabinde yürürlüğe girer.

 

DÖKÜMAN TARİHÇESİ
Versiyon Yayın Tarihi Değişikliğin Tanımı

 

Hazırlayan İnceleyen Onaylayan