Doküman

Özel Nitelikli Kişisel Veri İşleme Ve Koruma Politikası

 

 

ÖZEL NİTELİKLİ KİŞİSEL VERİ İŞLEME VE KORUMA POLİTİKASI

Amaç

6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun’un (Kanun) 6.  maddesi gereği özel nitelikli kişisel verilerin işlenirken korunması amaçlanmaktadır.

 

Kapsam

6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun’un (Kanun) 6.maddesi gereği özel nitelikli kişisel verilerin işlenmesinde Körfez Belediyesi (Birlikte “Kurum” olarak anılacaktır) genelinde uygulanacak kurallar ile rol ve sorumlulukları belirlemektir.

 

 

Hedef Grup

 

Müdürlükler

 

 

Yürürlük Alanı

Tüm Müdürlük çalışanları, tüm iş birimleri

 

İÇERİK

 

  1. Giriş ve Politikanın Amacı
  2. Politikanın Kapsamı
  3. Kısaltmalar ve Tanımlar
  4. Özel Nitelikli Kişisel Veriler
  5. Özel Nitelikli Kişisel Verilerin İşlenmesi
  6. Özel Nitelikli Kişisel Verilerin Aktarılması
  7. Özel Nitelikli Kişisel Verileri Yurtdışına Aktarılması
  8. Özel Nitelikli Kişisel Verilerin Korunması
  9. Özel Nitelikli Kişisel Verilerin İşlenmesinde Yer Alan Çalışanlara Yönelik Tedbirler
  10. Özel Nitelikli Kişisel Verilerin İşlendiği, Muhafaza Edildiği Elektronik Ortamlar İçin
  11. Özel Nitelikli Kişisel Verilerin İşlendiği, Muhafaza Edildiği Fiziksel Ortamlar İçin
  12. Özel Nitelikli Kişisel Verilerin Aktarılmasına İlişkin Önlemler
  13. Yürütme ve Değişiklik
  14. Dış Referans Kısayolları
  15. Önceki Versiyondaki Değişikler

 

Giriş ve Politikanın Amacı

 

6698 sayılı Kişisel Verilerin Korunması Kanunu (Bundan sonra “KANUN” olarak anılacaktır.) 7 Nisan 2016 tarihinde yürürlüğe girmiş olup; işbu politika ile Körfez Belediyesi (Bundan sonra “KURUM” ya da “[Körfez Belediyesi]olarak anılacaktır.); Kanuna Özel Nitelikli Kişisel Verilerin Korunması Politikası, uyumluluğunun sağlanmasını ve Kurum tarafından özel nitelikli kişisel verilerin korunması ve işlenmesine ilişkin yükümlülüklerin yerine getirilmesinde uyulacak prensiplerin belirlenmesini amaçlamaktadır.

Politikanın Kapsamı

Politika, özel nitelikli kişisel verilerin işleme şartlarını belirlemekte ve kişisel verilerin işlenmesinde Kurum tarafından benimsenen ana ilkeleri ortaya koymaktadır. Bu çerçevede Politika, Kurum tarafından Kanun kapsamındaki tüm kişisel veri işleme faaliyetlerini, Kurum’un işlediği tüm kişisel verilerin sahiplerini ve işlediği tüm kişisel verileri kapsamaktadır.

 

 

Kısaltmalar ve Tanımlar

 

KISALTMA

 

TANIM

 

Açık Rıza

 

:

 

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

 

 

Anonim Hale Getirme

 

:

 

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

 

 

İlgili Kişi

 

:

 

Kişisel verisi işlenen gerçek kişiyi,

 

 

İmha

 

:

 

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

 

 

Kayıt Ortamı

 

:

 

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,

 

 

Kişisel Veri

 

:

 

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

 

 

 

 

 

  Kurum

:

 

  Körfez Belediyesi

 

Kişisel Verilerin İşlenmesi

 

:

 

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

 

 

KVKK

 

:

 

Kişisel Verileri Koruma Kanunu’nu,

 

  Kurul

:

 

Kişisel Verileri Koruma Kurulu’nu,

 

 

Özel Nitelikteki Kişisel Veri

 

:

 

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri,

 

 

Periyodik İmha

 

:

 

Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,

 

 

Veri İşleyen

 

:

Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,

 

 

Veri Kayıt Sistemi

 

:

Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,

 

Veri Sorumlusu

 

:

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder.

 

 

Özel Nitelikli Kişisel Veriler

Irka, etnik kökene, siyasi düşüncelere, felsefi inanca, dine, mezhebe veya diğer inançlara, kılık ve kıyafete, dernek, vakıf ya da sendika üyeliklerine, sağlığa, cinsel hayata, ceza mahkûmiyeti ve güvenlik tedbirlerine ve biyometrik verilere ilişkin verileri ifade etmektedir.

Özel Nitelikli Kişisel Verilerin İşlenmesi

Kurumumuz tarafından, Kanun ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, Kanunda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır. Kanunun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Kanuna uygun bir biçimde Kurumumuz tarafından; özel nitelikli kişisel veriler, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenmektedir:

Kişisel veri sahibinin açık rızası var ise veya

Kişisel veri sahibinin açık rızası yok ise;

Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde, Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmektedir.

 

Özel Nitelikli Kişisel Verilerin Aktarılması

Kurumumuz gerekli özeni göstererek, gerekli güvenlik tedbirlerini alarak ve KVK Kurulu tarafından öngörülen yeterli önlemleri alarak; meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda kişisel veri sahibinin özel nitelikli kişisel verilerini aşağıdaki durumlarda üçüncü kişilere aktarabilmektedir.

  • Kişisel veri sahibinin açık rızası var ise veya
  • Kişisel veri sahibinin açık rızası yok ise;

Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel verileri (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir), kanunlarda öngörülen hallerde,

Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından.

 

Özel Nitelikli Kişisel Verilerin Yurtdışına Aktarılması

Kurumumuz gerekli özeni göstererek, gerekli güvenlik tedbirlerini alarak ve KVK Kurulu tarafından öngörülen yeterli önlemleri alarak; meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda kişisel veri sahibinin özel nitelikli verilerini aşağıdaki durumlarda Yeterli Korumaya Sahip veya Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülkelere aktarabilmektedir.

  • Kişisel veri sahibinin açık rızası var ise veya
  • Kişisel veri sahibinin açık rızası yok ise;

Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel verileri (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir), kanunlarda öngörülen hallerde,

Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi kapsamında.

Özel Nitelikli Kişisel Verilerin Korunması

Kurumumuz tarafından, Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, Kurumumuz tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve Kurumumuz bünyesinde gerekli denetimler sağlanmaktadır.

Ayrıca özel nitelikli kişisel veriler bakımından Kişisel Verileri Koruma Kurulu tarafından belirlenen önlemler ile, uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de alınmaktadır.

Kurumumuzun genel prensibi, kanundan kaynaklanan sebepler olmadıkça özel nitelikli kişisel veri işlememektedir.

Gerekli olmayan özel nitelikli kişisel veriler silinmekte, karartılmakta ve yok edilmektedir.

Buna istinaden, özel nitelikli kişisel verilerin güvenliğine yönelik sistemli kurallar işbu politikada belirlenmiştir;

Özel Nitelikli Kişisel Verilerin İşlenmesinde Yer Alan Çalışanlara Yönelik Tedbirler

  • Kanun ve buna bağlı yönetmelikle ile özel nitelikli kişisel veri güvenliği konularında düzenli eğitimler verilmektedir.
  • Gizlilik sözleşmeleri imzalanmaktadır.
  • Verilere erişim yetkisine sahip kullanıcıların yetki kapsamları ve yetki süreçleri YETKİ MATRİSİ ile tanımlanmıştır.
  • Periyodik olarak yetki kontrolü yapılmaktadır.
  • Görev değişikliği olan ya da işten ayrılan çalışanların bu alanlarındaki yetkileri derhal kaldırılmaktadır.
  • Çalışana envanter tahsis edilmiş ise derhal geri alınmaktadır.

Özel Nitelikli Kişisel Verilerin İşlendiği, Muhafaza Edildiği Elektronik Ortamlar İçin

  • Elektronik ortama özel veri aktarılmamaktadır.
  • Kriptografik anahtarlar güvenli ve farklı ortamlarda tutulmaktadır.
  • Verilerin bulunduğu ortamlara ait güvenlik güncellemeleri sürekli takip edilmektedir.
  • Verilere yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirilmesi yapılmaktadır.
  • Gerekli güvenlik testleri yaptırılarak, test sonuçları kayıt alınmaktadır.
  • Verilere uzaktan erişim olması halinde iki kademeli kimlik doğrulama sistemi kullanılmaktadır.

Özel Nitelikli Kişisel Verilerin İşlendiği, Muhafaza Edildiği Fiziki Ortamlar İçin

  • Özel nitelikli kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
  • Özel nitelikli kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.      

Özel Nitelikli Kişisel Verilerin Aktarılmasına İlişkin Önlemler

  • E-posta yolu ile aktarılması halinde kurumsal e-posta adresi veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılmaktadır.
  • Taşınır bellek, CD, DVD gibi ortamlar yoluyla aktarılması halinde- gerekli durumlarda- kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır.
  • Farklı fiziksel ortamlardaki sunucular arasında aktarma yapılırken, sunucular arasında VPN kurularak veya SFTP yöntemiyle aktarım yapılmaktadır.
  • Kâğıt ortamında aktarım yapılırken evrakın çalınması, kaybolması, yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve belgeler “gizlilik dereceli belgeler” formatında kapalı zarfta gönderilmektedir.

 

Yürütme ve Değişiklik

 

Başta Kanun olmak üzere yürürlükteki mevzuat ile bu Politika’da yer verilen düzenlemelerin çelişmesi halinde mevzuat hükümleri uygulanır.

Kurum, yasal düzenlemelere paralel olarak Politika’da değişiklik yapma hakkını saklı tutar.

 

Dış Referans Yolları

 

Kişisel Verilerin Korunması Kanunu, Yönetmelikler, Tebliğler, Kurul Kararları ve sair mevzuatlar.

 

Önceki Versiyondaki Değişiklikler

 

Yok

 


DOKÜMANLAR