DR. SELAHATTİN TULUNAY
KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI
1.GİRİŞ
1.1 Amaç
İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”) yürürlükteki mevzuat çerçevesinde Dr.Selahattin Tulunay Muayenehanesinde (Bundan sonra “Muayenehane” olarak anılacaktır.)tamamına uygulanmakta ve kişisel veri imha ile ilgili ulusal olarak kabul görmüş temel ilkelere dayanmaktadır. İlgili mevzuat kapsamında gerekli imha çalışmalarının yapılmasına ilişkin çerçeve ve esasları içermektedir.
Kişiler Verilerin Korunması Kanunu’nun (“Kanun”) 7nci maddesinin üçüncü fıkrasında “Kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir” hükmü yer almaktadır. Bu hüküm ve Kanun’un 22 nci maddesinin birinci fıkrasının (e)bendine istinaden Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hazırlanmış olup 28 Ekim2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanmıştır.
Yukarıdaki düzenlemeye dayanarak, bu Politikanın amacı, Muayenehane faaliyetlerinin yürütülmesinde işlediği kişisel verilerin, Yönetmeliğe uygun şekilde silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.
1.2.Kapsam
Muayenehanemizin hukuki ilişkide bulunduğu hasta, hasta yakını, çalışan, hizmet alınan/sunulan şirket çalışanları/yetkilileri ile tedarikçilere ait kişisel veriler bu Politika kapsamında olup Muayene hanenin sahip olduğu ya da Muayenehane tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.
1.3. Kısaltmalar ve Tanımlar
Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza
Anonim Hale: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli
Getirme: veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi
Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
Elektronik Olmayan Ortam: Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.
İlgili Kişi: Kişisel verisi işlenen gerçek kişi
İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi
Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu
Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı
Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
Kişisel veri sahibi: Kişisel verisi işlenen gerçek kişi
Kişisel verinin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi
Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter
Kurul: Kişisel Verileri Koruma Kurulu
Kurum: Kişisel Verileri Koruma Kurumu
Özel nitelikli kişisel veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri
Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi
Politika: Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politika.
Sicil: Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan veri sorumluları sicilini
Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişiyi
Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini
Veri sorumlusu: Dr.Selahattin Tulunay Yönetmelik 28.10.2017 tarih ve 30224 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
2. SORUMLULUK ve GÖREV DAĞILIMLARI
Kişisel verilerin saklama ve imha süreçlerinde veri sorumlusu Dr.Selahattin Tulunay sorumludur.
3.KAYIT ORTAMLARI
Kişisel veriler, Kurum tarafından
Tablo 2’de listelenen ortamlarda hukuka uygun olarak güvenli birşekilde saklanır.
Tablo 2: Kişisel veri saklama ortamları
Elektronik Ortamlar Elektronik Olmayan Ortamlar
Sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım,vb.)
Yazılımlar (ofis yazılımları)
Mobil cihazlar (telefon, tablet vb.)
Çıkartılabilir bellekler (USB, Hafıza Kartvb.)
Kağıt
Manuel veri kayıt sistemleri
Yazılı, basılı, görsel ortamlar
Klasörler
Dosyalar
Yazıcı, tarayıcı, fotokopi makinesi
USB, harddisk gibi çıkarılabilir bellekler
Masaüstü ve dizüstü bilgisayar
4. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR
Muayenehane tarafından; hasta, hasta yakını, çalışan, hizmet alınan/sunulan şirket çalışanları/yetkilileri ile tedarikçilere ait kişisel verileri KVKK’ya uygun olarak saklanır ve imha edilir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.
4.1 Saklamaya İlişkin Açıklamalar
Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.
Buna göre, Muayenehane faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.
4.1.1 Saklamayı Gerektiren Hukuki Sebepler
Muayenehane, faaliyetleri çerçevesinde işlenen kişisel verileri, ilgili mevzuatta öngörülen süre kadar muhafaza eder. Bu kapsamda kişisel veriler;
213 sayılı Vergi Usul Kanunu 4857 sayılı İş Kanunu
5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
6098 sayılı Türk Borçlar Kanunu
6102 sayılı Türk Ticaret Kanunu
3359 sayılı Sağlık Hizmetleri Temel Kanunu
663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname,
Özel Hastaneler Yönetmeliği
6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere yürürlükte olan diğer ikincil mevzuatta yer alan saklama süreleri kadarsaklanmaktadır.
4.1.2. Saklamayı Gerektiren İşleme Amaçları
Muayenehane, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlardoğrultusunda saklar:
Faaliyetlerin Mevzuata Uygun Yürütülmesi Finans ve Muhasebe İşlerinin Yürütülmesi
Hukuk İşlerinin Takibi Ve Yürütülmesi İletişim Faaliyetlerinin Yürütülmesi
İnsan Kaynakları Süreçlerinin Planlanması Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
Mal / hizmet üretim ve operasyon süreçlerinin yürütülmesi
Reklam / Kampanya / Promosyon Süreçlerinin Yürütülmesi
Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi
Sözleşme Süreçlerinin Yürütülmesi
Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
Tedarik Zinciri Yönetimi Süreçlerinin Yürütülmesi
Tıbbi Teşhis, Tedavi ve Bakım Hizmetlerinin Yürütülmesi
Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi
4.2. İmhayı Gerektiren Sebepler Kişisel veriler;
İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişini açık rızasını geri alması,
KVKK’nın 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerin silinmesi ve yok edilmesine ilişkin yapılan başvurunun kabul edilmesi,
Muayenehanenin, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması ve Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması durumlarında, Muayenehane tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da silinir, yok edilir veya anonim hale getirilir.
5. TEKNİK VE İDARİ TEDBİRLER
Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için KVKK’nın 12. maddesi ile 6.maddesinin 4. fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Muayenehane tarafından teknik ve idari tedbirler alınır.
5.1. Teknik Tedbirler
Muayenehane tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır;
Güncel anti-virüs sistemleri kullanılmaktadır.
Güvenlik duvarları kullanılmaktadır.
Şifreleme yapılmaktadır.
5.2. İdari Tedbirler
Muayenehane tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır;
Gizlilik taahhütnameleri yapılmaktadır.
Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
Kişisel veriler mümkün olduğunca azaltılmaktadır.
6. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Muayenehane tarafından veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.
6.1. Kişisel Verilerin Silinmesi
Kişisel veriler Tablo-3’te verilen yöntemlerle silinir. Tablo 3: Kişisel verilerin silinmesi Veri Kayıt Ortamı
Açıklama
Fiziksel ortamda yer alan kişisel veriler Fiziksel ortamda bulunan kişisel veriler karartma yöntemi kullanılarak veya belgenin, ilgili kullanıcılar tarafından hiçbir şekilde erişilmeyecek şekilde güvenli bir ortamda saklanılması suretiyle silinmektedir.
Sunucularda Yer Alan Kişisel Veriler Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır. Veri tabanlarında yer alan kişisel veriler İlgili kullanıcının, rol ve izin ataması yapılarak, veri tabanında yer alan kişisel verilere erişimi engellenmektedir.
Taşınabilir cihazlarda (USB, Hard disk, CD, DVD gibi) yer alan kişisel veriler
İlgili kullanıcının dosyaya erişimi engellenmektedir.
6.2. Kişisel Verilerin Yok Edilmesi Muayenehane olarak, kişisel verilerin hukuka uygun olarak yok edilmesi işlemini gerçekleştirebilmek amacıyla tarafımızca kullanılan yöntemler şu şekildedir:
Tablo 4: Kişisel Verilerin Yok Edilmesi Veri Kayıt Ortamı
Açıklama
Fiziksel ortamda yer alan kişisel veriler Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
Çevresel (ağ cihazları, flash tabanlı ortamlar, optik sistemler vb.) ve yerel sistemlerde yer alan kişisel veriler
Kişisel veri içeren cihazlar; yakma, küçük parçalara ayırma, eritme gibi fiziksel işlemlerle yok edilmektedir. Ayrıca, demanyetize etme yöntemi ile aygıtın üzerinde yer alan kişisel veriler okunamaz hale getirilerek yok etme işlemi gerçekleştirilmektedir. Bununla birlikte; özel yazılımlar ile var olan verilerin üzerine rastgele veri girişi yapılması sonucu eski verilerin kurtarılmasının önüne geçilerek yoketme işlemi uygulanmaktadır.
6.3. Kişisel Verilerin Anonim Hale Getirilmesi Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.
7. SAKLAMA VE İMHA SÜRELERİ
Muayenehane tarafından, faaliyetler kapsamında işlenmekte olan kişisel verilerle ilgili olarak;
Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde;
Veri kategorileri bazında saklama süreleri VERBİS’e kayıtta;
Süreç bazında saklama süreleri ise iş bu Kişisel Veri Saklama ve İmha Politikasında yer alır.
Kişisel verilerin imha süreci, Muayenehane tarafından her bir ilişkiye uygun olarak ilgili mevzuat gözetilerek belirlenmiş olan saklama süreleri doğrultusunda yürütülmektedir. Saklama süreleri sona eren kişisel veriler, Muayenehane tarafından belirlenmiş olan periyodik imha sürelerinde silinir, yok edilir veya anonim hale getirilir.
Tablo 5: Süreç Bazında Saklama ve İmha Süreleri Tablosu SÜREÇ SAKLAMA SÜRESİ İMHA SÜRESİ
İnsan kaynakları çalışan süreçlerinin yürütülmesi
Çalışanın işten ayrılmasından itibaren 10 yıl
Saklama süresinin bitimini takip eden ilk 6 aylık periyodik imha süresinde
Sözleşme süreçlerinin yürütülmesi
Sözleşmenin sona ermesini takiben 10 yıl
Saklama süresinin bitimini takip eden ilk 6 aylık periyodik imha süresinde
Kamera kayıtları Kayıt altına alınmasını takiben 7 gün
Kayıt süresinin sonunda otomatik olarak imha edilmekte
Muhasebe ve finans süreçlerinin yürütülmesi
Kayıt altına alınmasını takiben10 yıl
Saklama süresinin bitimini takip eden ilk 6 aylık periyodik imha süresinde
Hasta/ ürün hizmet alan kişi Müşteri/ hasta ilişkisinin sona ermesinden itibaren 10 yıl
Saklama süresinin bitimini takip eden ilk 6 aylık periyodik imha süresinde
Saklama süreleri sona eren kişisel veriler için silme, yok etme veya anonim hale getirme işlemi Dr.Selahattin Tulunay tarafından yerine getirilir.
8. PERİYODİK İMHA SÜRESİ
Yönetmelik’in 11. maddesi gereğince periyodik imha süresi, Muayenehane tarafından, [6] ay olarak belirlenmiştir. Buna göre, Muayenehane tarafından her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.
9. POLİTİKA’NIN YAYIMLANMASI VE SAKLANMASI
Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, internet sayfasında kamuya açıklanır.
10. POLİTİKA’NIN GÜNCELLEME PERİYODU
Politika, ihtiyaç duyulduğunda ve değişen süreçler bulunduğunda güncellenir.
11. POLİTİKA’NIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI
İşbu Politika, Muayenehaneye ait internet sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilir.
