KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ POLİTİKAMIZ

Mehmet Yavuz Sütbeyaz “Muayenehane” bünyesinde uygun görülen kişisel verilerin imhası için her yılın son ayı imha dönemi olarak belirlenmiştir. İlgili kişilerden elde edilen kişisel veriler saklama sürelerinin bitiminden itibaren takip eden imha dönemi içinde “Muayenehane” bünyesindeki verilerin korunmasından sorumlu personel/personeller tarafından silinecek, yok edilecek veya anonim hale getirilecektir. İmha işlemine ilişkin tutanaklar bağımsız bir yerde “Muayenehane” bünyesindeki verilerin korunmasından sorumlu personel/personeller tarafından 3 (üç) yıl süreyle tutulacaktır. Üç yıl sonra söz konusu tutanaklarda imha edilecektir. İmha işlemine ilişkin 28 Ekim 2017 tarih ve 30224 sayılı Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ile 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümleri esas alınacaktır.

Saklama sürelerine dayanak mevzuat hükümleri şunlardır; 

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 6098 sayılı Türk Borçlar Kanunu,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• 4982 Sayılı Bilgi Edinme Kanunu,
• 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun,
• 6102 sayılı Türk Ticaret Kanunu
• 6502 sayılı Tüketicinin Korunması Hakkında Kanun
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
• 213 Sayılı Vergi Usul Kanunu
• 193 Sayılı Gelir Vergisi Kanunu
• 29417 Sayılı 15.07.2015 Tarihli Resmi Gazetede Yayınlanan Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik
•  29029 Sayılı ve 13.06.2014 Tarihli Resmi Gazetede Yayınlanan Satış Sonrası Hizmetler Yönetmeliği
• 26751 Sayılı Suç Gelirlerinin Aklanmasının Ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik
• 3359 Sayılı Sağlık Hizmetleri Temel Kanunu
• 663 Sayılı Sağlık Bakanlığı ve Bağlı Kuruluşların Teşkilat Ve Görevleri Hakkında Kanun Hükmünde Kararname
• Özel Hastaneler Yönetmeliği
• Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik,
• Ağız ve Diş Sağlığı Hizmeti Sunulan Özel Sağlık Kuruluşları Hakkında Yönetmelik
• Ayakta Teşhis ve Tedavi Yapılan Özel Sağlık Kuruluşları Hakkında Yönetmelik
• Hasta Hakları Yönetmeliği
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 4857 sayılı İş Kanunu
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun

İmhayı gerektiren sebepler şunlardır: 

• Söz konusu verinin işlenmesine dayanak ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası
• Verinin işlenmesine ve saklanmasına dayanak teşkil eden amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• İlgili kişinin 6698 sayılı 11.madde kapsamında verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi için “Muayenehane”ye yaptığı başvurunun kabul edilmesi halinde,
• “Muayenehane”ye yapılan anonim hale getirme, imha veya yok edilme talebinin uygun bulunmaması halinde kurula yapılan şikayette ilgili kişi talebinin kabul edilmesi halinde,
• Saklama süresinin bitmesi ve daha uzun süre saklamayı haklı kılacak herhangi bir şartın somut olay özelinde bulunmaması

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12 nci maddesiyle Kanunun 6 ncı maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde “Muayenehane” tarafından teknik ve idari tedbirler alınır.

“Muayenehane” tarafından, işlediği kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:

• Sızma testleri rutin ve rastgele uygulamalar şeklinde yapılarak bilgi ve veri güvenliği sağlanmaktadır.
• Muayenehane veya çözüm ortakları tarafından sağlanan eş zamanlı Bilgi Güvenliği Analizleri ile risk ve tehditlere yönelik raporlamalar yapılmaktadır.
• Yetki matrisi tanımlamaları yapılarak istisnai uygulamalara izin verilmeyerek veri ve bilgi güvenliği sağlanmaktadır.
• “Muayenehane” içinde bilişim ve sistemi, server ve diğer güvenliğe yönelik cihaz ve uygulamaların fiziksel mekan güvenliği sağlanmaktadır. Üçüncü kişiler tarafında muhtemel fiziksel saldırılara karşı güvenlikler alınmıştır.
• Yakın çevre tehditlerine karşı bilişim sistemlerinin korunması için donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) gerekli önlemler alınmıştır.
• “Muayenehane” tarafından risk analizleri yapılmakta düzeltici teknik tedbirler alınmaktadır.
• “Muayenehane” içinde çalışanlara yönelik erişim sınırlandırmaları getirilerek gerekli risk analizleri ve raporlamalar yapılmaktadır.
• Log kayıtlarının tutulduğu serverlar başta olmak üzere saklama alanlarına yönelik erişimler kayıt altında tutulmakta ve muhtemel yetkisiz erişimler kontrol edilmektedir.
• Söz konusu verilerin silme işlemi gerçekleştikten sonra yeniden getirilmelerinin önüne geçmek için gerekli yazılımsal ve fiziksel tedbirler alınmaktadır.
• Muhtemel ihlal halinde kurula yapılacak bilgilendirmelere ilişkin yetkilendirme prosedürleri etkin bir şekilde tanımlanmıştır.
• Bilgi güveliğinin sağlanmasına ilişkin uygulama ve yöntemler güncel tutulmakta gerektiğinde uygun güvenlik yamaları yüklenmektedir.
• Parola politikası belirlenmiştir. Güçlü ve belli aralıklarla değiştirilen parolalar kullanılmaktadır.
• Loglamalar yapılmaktadır. Aynı zamanda Log yedeklemesi de yapılmaktadır.
• Dijital ve dijital olmayan ortamlarda tutulan verilere ilişkin yetkiler sınırlandırılmıştır.
• Muayenehane tarafından hizmet sunulan internet sayfası HTTPS yöntemi kullanılarak SHA 256 Bit RSA algoritmasıyla şifrelenmektedir.
• Özel nitelikli kişisel verilerin korunması ile alakalı ayrı politikalar belirlenmiştir.
• Özel nitelikte kişisel verilerin saklanmasından ve işlenmesinden sorumlu olan çalışan ve diğer üçüncü kişilerin bilgilendirilmeleri konusunda gerekli çalışmalar yapılmış, taahhütler alınmış ve gizlilik sözleşmeleri yapılmıştır.
• Çalışanların farkındalıklarını artırmak için rutin bilgilendirme eğitimleri yapılmaktadır.

Tüm bunların yanında, Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler" ile ilgili Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı uyarınca özel nitelikli kişisel veriler ile alakalı asgari aşağıdaki tedbirler alınmaktadır;

1- Özel nitelikli kişisel verilerin güvenliğine yönelik sistemli, kuralları net bir şekilde belli, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedürün belirlenmesi,

2- Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik,

a) Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi,

b) Gizlilik sözleşmelerinin yapılması,

c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması,

ç) Periyodik olarak yetki kontrollerinin gerçekleştirilmesi,

d) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması,

3- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise

a) Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi,

b) Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması,

c) Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması,

ç) Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

d) Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

e) Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması,

4- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise

a) Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması,

b) Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi,

5- Özel nitelikli kişisel veriler aktarılacaksa

a) Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması,

b) Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması,

c) Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımının gerçekleştirilmesi,

ç) Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın “gizlilik dereceli belgeler” formatında gönderilmesi gerekir.

6- Yukarıda belirtilen önlemlerin yanı sıra Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberinde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de dikkate alınmalıdır.

MUAYENEHANE BU MADDELERDEN HANGİSİNİ YAPABİLECEĞİNİ BELİRTECEK

“Muayenehane” tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:

• Çalışanların özellikle özel nitelikte kişisel verilerde sorumlu olan personelin verilerin işlenmesi, aktarılması, imhası saklanması konusunda bilinçlendirilmeleri adına farkındalık eğitimleri belli aralıklarla verilmektedir.
• Çalışanlardan iş faaliyet alanları konusunda taahhütler alınmakta ve gizlilik sözleşmeleri yapılmaktadır.
• KVKK Yönetmeliği ve Disiplin yönetmeliği kapsamında bilgi güvenliği ihlalleri konusunda disiplin cezaları öngörülmüştür.
• Veri işlemeye başlanmadan önce Aydınlatma metinleri ilgili kişilere ulaştırılmaktadır.
• İlgili kişilerden şartları sağlanmak üzere açık rıza formları alınmaktadır. Söz konusu formların temini ve rızaların elde edilmesinden sonra veri işleme faaliyetlerine geçilmektedir.
• Kişisel veri işleme envanteri hazırlanmıştır.
• “Muayenehane” içi periyodik ve rastgele denetimlerİ yapılmaktadır.

Kişisel veriler yasal sürelerin dolması üzerine ilgili kişinin talebi yahut “Muayenehane” tarafından resen aşağıdaki şekillerde imha edilir.

İlgililerden alınacak kişisel veriler niteliklerine göre farklı zaman dilimlerinde saklanıp imha edilirler. İş bu verilerin saklama süreleri dolanlar en yakın imha dönemi içinde imha edilir ve imhaya ilişkin tutanaklar 3 yıl süre ile muhafaza edilir. Kişisel veriler saklama süresi ve dayanaklarına ilişkin genel uygulama tablosu aşağıdaki gibidir.

Muayenehanemiz nezdinde her yılın son ayı kişisel verilerin imha edilmesi olarak seçilmiş olup saklama süresi dolan veriler en yakın imha dönemi olan ay içinde imha edilerek tutanağa bağlanacaktır. Söz konusu tutanakta kişinin Çalışılan Birim veya İsim bilgileri yer alacaktır. Söz konusu tutanaklar 3 yıl boyunca saklanacaktır.

İlgili kişi, Kanunun 13’ncü maddesine istinaden Prof. Dr. Mehmet Yavuz sütbeyaz’a başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde;

1. Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; “Muayenehane” talebe konu kişisel verileri talebi aldığı günden itibaren 30 (otuz) gün içinde gerekçesini açıklayarak uygun imha yöntemi ile siler, yok eder veya anonim hale getirir. “Muayenehane”nin talebi almış sayılması için ilgili kişinin talebini Kişisel Verilerin İşlenmesi ve Korunması Politikasına uygun olarak yapmış olması gerekir. “Muayenehane”, her halde yapılan işlemle ilgili ilgili kişiye bilgi verir.
2. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep “Muayenehane”tarafından Kanunun 13’ncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir. İlgili kişinin kuruma şikayet hakkı saklıdır. Bu bağlamda ilgili kişiler taleplerin reddedildiğini öğrenmelerinden itibaren Kurula 60 (altmış gün) içinde başvurabilir.
3. Bu çerçevede “yazılı” olarak “Muayenehane”mize yapılacak başvurular,
4. Başvuru Sahibinin şahsen başvurusu ile,
5. Noter vasıtasıyla,
6. Başvuru Sahibince 5070 Sayılı Elektronik İmza Kanunu’nda tanımlı olan “güvenli elektronik imza” ile imzalanarak
7. “Muayenehane” kayıtlı elektronik posta adresine gönderilmek suretiyle, tarafımıza iletilebilecektir.

Bu hakkınızı kullanmak için iletişim bilgilerimiz aşağıdaki gibidir:

Feneryolu Mah, Fahrettin Kerim Gökay Caddesi, No:116-7 Kadıköy-İstanbul adresine bizzat, elden, posta yoluyla veya “mehmetyavuz.sutbeyaz@hs01.kep.tr” adresine kayıtlı elektronik posta aracılığıyla iletebilirsiniz.