İÇİNDEKİLER
1. GİRİŞ
2. POLİTİKANIN AMACI VE KAPSAMI
3. TANIMLAR
4. POLİTİKA İLE DÜZENLENEN KAYIT ORTAMLARI
5. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER
6. KİŞİSEL VERİLERİN İMHA EDİLMESİ İŞLEMİ İLE İLGİLİ UYGULANAN YÖNTEMLERVE
KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINMIŞ TEKNİK VE
İDARİ TEDBİRLER
7. KİŞİSEL VERİLERİN GÜVENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK
İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER
8. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜREÇLERİNDE YER ALANLARIN UNVANLARI,
BİRİMLERİ VE GÖREV TANIMLARI
9. SAKLAMA VE İMHA SÜRELERİ
10. PERİYODİK İMHA SÜRELERİ
11. YÜRÜRLÜK
12. EK – 1: VERSİYON TAKİP TABLOSU
1. GİRİŞ
Kişisel verilerin korunması, ORBİT SAĞLIK HİZMETLERİ AŞ. (Kısaca “ORBİT” ve/veya “Tıp
Merkezi” olarak anılacaktır ) için büyük önem arz etmekte olup, Tıp Merkezimiz tarafından bu
konuda azami hassasiyet gösterilmektedir. Bu doğrultuda, kişisel verilerin kişilerin beklentileri ile
tutarlı bir şekilde ve yasalara uygun olarak işlenmesi, Tıp Merkezimizin temel yapı taşlarından
biridir.
Bu bakımdan Tıp Merkezimiz, faaliyetleri sırasında elde etmiş olduğu kişisel verileri başta
Anayasa olmak üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kısaca “KVKK” ve/
veya ‘’Kanun’’ olarak anılacaktır.) Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale
Getirilmesi Hakkında Yönetmelik (Kısaca “Yönetmelik” olarak anılacaktır.) ve diğer ilgili mevzuata
uygun şekilde hazırlanan işbu Kişisel Veri Saklama ve İmha Politikası’nda
(Kısaca “Politika” olarak anılacaktır.) belirtilen genel prensipler ve düzenlemelere uygun şekilde
saklamakta ve imha etmektedir.
2. POLİTİKANIN AMACI VE KAPSAMI
İşbu Politika ile Tıp Merkezi, KVKK kapsamındaki kişisel veri işleme faaliyetlerine konu gerçek
kişi verilerinin saklanması ve imha edilmesine ilişkin Tıp Merkezinin genel ilke ve prensiplerinin
ortaya konulması olmak üzere bu hususlarla ilgili mevzuatla belirlenen yükümlülüklerin yerine
getirilmesi hedeflemiştir.
İşbu Politika, Tıp Merkezinin KVKK kapsamındaki veri işleme faaliyetlerine konu tüm kişisel
verileri kapsamaktadır. Ayrıca, işbu Politikada aksi belirtilmedikçe, Politika ile atıf yapılan
dokümanlar hem fiziki hem de dijital kopyaları kapsamaktadır.
3. Tanımlar
İşbu Politikada içerik aksini gerektirmedikçe:
“Açık Rıza”
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,
“Alıcı Grubu”
Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi,
“Anayasa”
Türkiye Cumhuriyeti Anayasası,
“İlgili Kullanıcı”
Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da
birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı
yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler,“İmha”
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
“Kayıt Ortamı”
Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak
kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,
“Kişisel Veri”
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyad, TCKN, e-posta,
adresi, doğum tarihi, kredi kartı numarası, banka hesap numarası - Dolayısıyla tüzel kişilere
ilişkin bilgilerin işlenmesi KVKK kapsamında değildir),
“İlgili Kişi”
Kişisel verisi işlenen gerçek kişi,
“Kişisel Verilerin İşlenmesi”
Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin
parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması,
muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması,
elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler
üzerinde gerçekleştirilen her türlü işlem,
“Kurul”
Kişisel Verileri Koruma Kurulu,
“Özel Nitelikli Kişisel Veri”
Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet,
dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik
tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,
“Periyodik İmha”
KVKK’ da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda
işbu Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya
anonim hale getirme işlemi,
“Veri Sorumlusu”
Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde
tutulduğu yeri (veri kayıt sistemi) yöneten kişi, anlamına gelmektedir.
4. POLİTİKA İLE DÜZENLENEN KAYIT ORTAMLARI
Tıp Merkezi, KVKK kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri, tamamen
veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla
otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu ve aşağıda belirtilen ortamlarda
saklamaktadır:
Tıp Merkezi veri tabanlarımız, üçüncü parti veri tabanları, e-posta hesapları, masaüstü
bilgisayarları, Tıp Merkezi çalışanlarının araçları (örn. cep telefonu), yedekleme alanları, kağıt
dosyalar vb.
5. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI
GEREKTİREN SEBEPLER
Tıp Merkezi tarafından, kişisel veri işleme faaliyetlerinde aşağıdaki ilkeler esas alınmaktadır:
•
Hukuka ve dürüstlük kuralına uygun olunması,
•
Kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama,
•
Belirli, açık ve meşru amaçlarla işleme,
•
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
•
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme.
Tıp Merkezi, kişisel
verileri, yukarıda bahsi geçen ilkelerle uyumlu şekilde
Kişisel Verilerin Korunması ve İşlenmesi
Politikası ilgili
maddelerinde yer alan kişisel veri işleme amaçlarıyla
ve aşağıda belirtilen KVKK’
nın 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin
işlenmeşartlarına istinaden kişisel
verileri saklamakta ve kullanmakta
olup, söz konusu şartların
tamamının ortadan kalkması halinde, kişisel verileri re’sen veya kişisel veri sahibinin talebi
üzerine imha etmektedir.
(a) Kişisel Veri Sahibinin Açık Rızasının Bulunması
Kişisel verilerin işlenme şartlarından birincisi, sahibinin açık rızasıdır. Kişisel veri sahibinin açık
rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.
(b) Kanunlarda Açıkça Öngörülmesi
Veri sahibinin kişisel verileri, Kanunlarda açıkça öngörülmesi halinde açık rızası alınmadan
hukuka uygun olarak işlenebilecektir.
(c) Fiili İmkansızlık Sebebiyle Kişisel Veri Sahibinin Açık Rızasının Alınamaması
Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik
tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü
korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri
işlenebilecektir.
(d) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin
taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi
mümkündür.
(e) Hukuki Yükümlülük
Tıp Merkezimizin hukuki yükümlülüklerini yerine getirmesi için veri işlemenin zorunlu olması
halinde kişisel veri sahibinin verileri işlenebilecektir.
(f) Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi
Veri sahibinin, kişisel verisini kendisi tarafından alenileştirmiş olması halinde ilgili kişisel veriler
alenileştirmeyle sınırlı olarak işlenebilecektir.
(g) Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri
sahibinin kişisel verileri işlenebilecektir.
(h) Tıp Merkezimizin Meşru Menfaati İçin Veri İşlemenin Zorunlu Olması
Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Tıp Merkezimizin
meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri
işlenebilecektir.
Bu doğrultuda, kişisel veri işleme faaliyetinin dayanağı yukarıda belirtilen şartlardan yalnızca biri
olabildiği gibi bu şartlardan birden fazlası da aynı kişisel veri işleme faaliyetinin dayanağı
olabilmektedir.
6. KİŞİSEL VERİLERİN İMHA EDİLMESİ İŞLEMİ İLE İLGİLİ
UYGULANAN YÖNTEMLER VE KİŞİSEL VERİLERİN HUKUKA
UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINMIŞ TEKNİK VE
İDARİ TEDBİRLER
Tıp Merkezimiz, KVKK’ nın 5’ inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme
şartlarının tamamının ortadan kalkması halinde, kişisel verileri aşağıdaki yöntemlerle silmekte,
yok etmekte veya anonim hale getirilmesi getirmektedir. Tıp Merkezimiz, kişisel verilerin
imhasında azami dikkat ve özeni göstermektedir. Bu kapsamda Tıp Merkezimiz, KVKK’nın 12’nci
maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kişisel
Verileri Koruma Kurulu kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkânlar ve
uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır. İmha kapsamında
gerçekleştirilen tüm işlemler Tıp Merkezimiz tarafından kayıt altına alınmakta ve söz konusu
kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere 10 yıl süreyle saklanmaktadır. TıpMerkezimiz, Kişisel Verileri Koruma Kurulu tarafından aksine bir karar alınmadıkça, kişisel verileri
re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını teknolojik
imkanlar ve uygulama maliyetine göre seçmekte olup, kişisel veri sahibinin talebi halinde uygun
yöntemin gerekçesini açıklamaktadır.
(a) Kişisel Verilerin Silinme Yöntemleri
Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar
kullanılamaz hale getirilmesi işlemidir. Tıp Merkezimiz, silinen kişisel verilerin ilgili kullanıcılar için
erişilmemesi ve tekrar kullanılmaması amacıyla teknolojik imkânlar ve uygulama maliyetine göre
gerekli her türlü teknik ve idari tedbirleri almaktadır.
Bu kapsamda Tıp Merkezimiz, kişisel verileri silme işlemi için aşağıdaki yöntemleri
uygulamaktadır:
Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem
yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
(b) Kişisel Verilerin Yok Edilme Yöntemleri
Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri
getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Tıp Merkezimiz, kişisel verilerin
yok edilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve
idari tedbirleri almaktadır.
(c) Kişisel Verilerin Anonim Hale Getirilme Yöntemleri
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir
surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, Tıp Merkezimiz, alıcı veya alıcı
grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve
ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya
belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekmektedir. Tıp Merkezimiz,
kişisel verilerin anonim hale getirilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre
gerekli her türlü teknik ve idari tedbirleri almaktadır.
7. KİŞİSEL VERİLERİN GÜVENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK
İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER
Tıp Merkezimiz, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi
ve erişilmesinin önlenmesi konusunda azami dikkat ve özeni göstermekte olup, KVKK’ nın 12’nci
maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kişisel
Verileri Koruma Kurulu kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkânlar ve
uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır:
• Gerekli yazılım ve donanım belirlenmiştir.
• Gerekli yazılım ve donanımın kesintisiz sağlanması için gerekli kaynaklar ayrılmıştır.
• Müşteri bilgisinin korunması açısından korunması gerekenler personelimize
eğitimlerle aktarılmış, iş aktileriyle sorumlulukları yazılı hale getirilmiştir.
• Tüm verilen yedeklemesi amacıyla gerekli alt yapı belirlenip, sorumlular tanımlanmıştır.
• Tıp Merkezi bilgi sistemimizde her türlü işlemleri sınırlandırılmıştır.
• Müşteri dosyaları ve bilgileri sadece hastalarımızın kendilerine, yazılı onay
verdikleri yakınlarına, sağlık mevzuatı çerçevesinde ilgili kamu kurum ve kuruluşlarına ve
adli durumlarda yetkili adli merciilere verilmektedir.
8. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜREÇLERİNDE YER
ALANLARIN UNVANLARI, BİRİMLERİ VE GÖREV TANIMLARI
Tıp Merkezimiz, kişisel verilerin saklanması ve imha edilmesi süreçlerinde yer alan kişileri, kişisel
verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda
bilgilendirilmekte ve eğitilmektedir.
Bu kapsamda, Tıp Merkezimiz
çalışanları ve görevleri dolayısıyla kişisel verileri öğrenen
kişiler,bahse konu bilgileri
KVKK ve diğer ilgili mevzuat hükümlerine
uygun olarak saklamakta ve imha
etmektedir. Bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam etmektedir.
9. SAKLAMA VE İMHA SÜRELERİ
Tıp Merkezimiz, kişisel verileri ancak uymakla yükümlü olduğu mevzuatta belirtildiği veya
işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir.
Kişisel veri sahibinin, Tıp Merkezimize başvurarak kendisine ait kişisel verilerin imha edilmesini
talep etmesi halinde Tıp Merkezimiz:
(a) Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa:
(i) Kişisel veri sahibinin talebini en geç otuz gün içinde sonuçlandırır ve kişisel veri sahibine bilgi
verir ve
(ii) Talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa, bu durumu üçüncü kişiye bildirir;
üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.
(b) Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, kişisel veri sahibinin talebini
KVKK’nın 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesini açıklayarak reddedilebilir ve
ret cevabını kişisel veri sahibine en geç otuz gün içinde yazılı olarak ya da dijital ortamda bildirir.
10. PERİYODİK İMHA SÜRELERİ
Tıp Merkezimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk
periyodik imha işleminde, kişisel verileri imha etmektedir. Bu kapsamda Tıp Merkezimiz, kişisel
verileri imha etme yükümlülüğünün ortaya çıkması halinde kişisel verileri 3 aylık periyotlar halinde
imha işlemine tabi tutmaktadır. Anılan süre, her hal ve koşulda Yönetmelik’ in 11’ inci maddesinde
belirtilen azami periyodik imha süresini aşmamaktadır.
11. YÜRÜRLÜK
İşbu Politika [15.08.2020] tarihinde yürürlüğe girmiştir. Politika değişen şartlara ve mevzuata
uyum sağlamak amacıyla zaman zaman güncellenebilecektir. Güncel Politika Kişisel Verilerin Korunması ve İşlenmesi Politikası yayımlandığı tarihte yürürlüğe girecektir. İşbu Politika ile KVKK,
Yönetmelik ve ORBİT Kişisel Verilerin Korunması ve İşlenmesi Politikası hükümleri arasında
herhangi bir çelişki olması halinde, KVKK, Yönetmelik ve ORBİT Kişisel Verilerin Korunması ve
İşlenmesi Politikası’ nda yer alan hükümler geçerli olacaktır.