ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI POLİTİKASI
1. GİRİŞ
1.1. POLİTİKANIN AMACI VE KAPSAMI
Türkiye Cumhuriyeti Anayasası’nın 20’nci maddesine 2010 yılında eklenen fıkra ile herkesin kendisiyle ilgili kişisel verilerinin korunmasını isteme hakkı, anayasal bir hak olarak teminat altına alınmıştır. Söz konusu düzenlemeyle bireylerin, kişisel verileri üzerinde hangi hak ve yetkilere sahip olduğu ve kişisel verilerinin hangi hallerde işlenebileceği hükme bağlanırken, kişisel verilerin korunmasına ilişkin usul ve esasların da kanunla düzenleneceği öngörülmüştür.
Bu çerçevede 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun), kişisel veri kavramı başta olmak üzere kişisel verilerin korunmasına ilişkin temel kavramların tanımlarını yapmakta, ilgili kişilerin haklarını belirlemekte, kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek suretiyle kişisel verilerin işlenmesinin disiplin altına alınmasını amaçlamaktadır.
İşbu LOKMAN KOÇASLAN OTOMOTİV SAN. TİC. LTD. ŞTİ. (Şirket) Özel Nitelikli Kişisel Verilerin Korunması Politikası (Politika), uyumluluğunun sağlanmasını ve Şirket tarafından özel nitelikli kişisel verilerin korunması ve işlenmesine ilişkin yükümlülüklerin yerine getirilmesinde uyulacak prensiplerin belirlenmesini amaçlamaktadır. Ayrıca Politika ile, Şirket bünyesinde özel nitelikli kişisel verilerin hukuka uygun olarak işlenmesi ve korunması, bu konuda farkındalığın oluşması hedefi doğrultusunda gerekli sistemleri oluşturmak ve mevzuata uyumu temin etmek için gereken düzenin kurulması amaçlanmaktadır. Politika, özel nitelikli kişisel verilerin işleme şartlarını belirlemekte ve kişisel verilerin işlenmesinde Şirket tarafından benimsenen ana ilkeleri ortaya koymaktadır. Bu çerçevede Politika, Şirket tarafından Kanun kapsamındaki tüm kişisel veri işleme faaliyetlerini, Şirket’in işlediği tüm kişisel verilerin sahiplerini ve işlediği tüm kişisel verileri kapsamaktadır.
Şirket’in tüm organ ve departmanları Politika’ya uyulmasını gözetmekle ve Şirket bünyesinde oluşturulmuş olan Kişisel Verilerin Korunması Birimi ile işbirliği yapmakla sorumludur.
1.2. YÜRÜRLÜK VE DEĞİŞİKLİK
Politika, Şirket tarafından internet sitesinde yayımlanarak kamuoyuna sunulmuştur. Başta Kanun olmak üzere yürürlükteki mevzuat ile bu Politika’da yer verilen düzenlemelerin çelişmesi halinde mevzuat hükümleri uygulanır.
Şirket, yasal düzenlemelere paralel olarak Politika’da değişiklik yapma hakkını saklı tutar. Politika’nın güncel versiyonuna Şirket web sitesinden erişilebilir.
2. ÖZEL NİTELİKLİ KİŞİSEL VERİLER
Kanun’un “Özel nitelikli kişisel verilerin işlenme şartları”nı düzenleyen 6’ncı maddesinin birinci fıkrasında kişilerin “ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri” özel nitelikli kişisel veriler olarak sayılmaktadır. Söz konusu veriler, öğrenilmesi halinde genellikle ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete neden olabilecek nitelikteki verilerdir.
Şirket tarafından işlenen özel nitelikli kişisel verilere VERBİS kayıt bilgilerinden (verbis.kvkk.gov.tr) ulaşabilirsiniz.
2.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN ELDE EDİLMESİ ESNASINDA İLGİLİ KİŞİLERİN AYDINLATILMASI
Kanun’un 10 uncu maddesine göre; kişisel verilerin elde edilmesi sırasında veri sorumluları veya yetkilendirdiği kişilerce ilgili kişilerin bilgilendirilmesi gerekmektedir. Şirketimiz ilgili kişilere yönelik aydınlatma yükümlülüğünü yerine getirirken asgari olarak aşağıdaki konular hakkında ilgili kişileri bilgilendirmektedir:
a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
d) Kanun’un 11 inci maddesinde sayılan ve ilgili kişilere tanınmış olan haklar ve bu hakların ne şekilde kullanılabileceği.
2.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ
Özel nitelikli kişisel veriler;
a) İlgili kişinin açık rızasının olması,
b) Kanunlarda açıkça öngörülmesi,
c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefî, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,
halinde işlenmeleri mümkündür.
Şirketimiz tarafından, Kanun ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, Kanunda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır. Kanuna uygun bir biçimde Şirketimiz tarafından; özel nitelikli kişisel veriler, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla ancak yukarıda sayılan durumlarda işlenmektedir.
2.3. BENİMSENEN İLKELER
Şirket kişisel verilerin işlenmesi faaliyetlerini yürütürken, temel ilkelere, kişisel veri işleme şartlarına ve özel nitelikli kişisel veri işleme şartlarına uygun hareket etmektedir.
Şirketimiz kişisel verileri ancak Kanunda öngörülen usul ve esaslara uygun olarak işlemekte ve kişisel verilerin işlenmesinde;
a) Hukuka ve dürüstlük kurallarına uygun olma.
b) Doğru ve gerektiğinde güncel olma.
c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
ilkelerine uymaktadır.
2.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI
Şirketimiz gerekli özeni göstererek, gerekli güvenlik tedbirlerini alarak ve KVK Kurulu tarafından öngörülen yeterli önlemleri alarak; meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda ilgili kişinin özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir.
Şirketimiz özel nitelikli kişisel verileri yurtdışına aktarmamaktadır.
3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI
Kanun’un 12’nci maddesinin birinci ve ikinci fıkralarında, “Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri de almak zorundadır. Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.” hükmü, 6’ncı maddesinin dördüncü fıkrasında ise, “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmü yer almaktadır.
Şirketimiz tarafından, Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, Şirketimiz tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve Şirketimiz bünyesinde Kanun’un 12/3 maddesi uyarınca gerekli periyodik denetimler yapılıp raporlanmaktadır. Ayrıca özel nitelikli kişisel veriler bakımından Kişisel Verileri Koruma Kurulu tarafında belirlenen önlemler ile uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de alınmaktadır.
Şirketimizin genel prensibi, açık rıza olmadan veya kanundan kaynaklanan sebepler olmadıkça özel nitelikli kişisel veri işlememektir. Gerekli olmayan özel nitelikli kişisel veriler silinmekte veya karartılmaktadır. Buna istinaden, özel nitelikli kişisel verilerin güvenliğine yönelik sistemli kurallar işbu politikada belirlenmiştir.
3.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNDE YER ALAN ÇALIŞANLARA YÖNELİK TEDBİRLER
a) Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında gerekli eğitimler verilmektedir.
b) Gizlilik sözleşmeleri yapılmaktadır.
c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamları ve süreleri net olarak tanımlanmaktadır.
ç) Periyodik olarak yetki kontrolleri gerçekleştirilmektedir.
d) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkiler derhal kaldırılmaktadır ve bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanter iade alınmaktadır.
3.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ ELEKTRONİK ORTAMLARA YÖNELİK TEDBİRLER
a) Veriler kriptografik yöntemler kullanılarak muhafaza edilmektedir.
b) Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması sağlanmaktadır.
c) Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması sağlanmaktadır.
ç) Güvenlik testleri düzenli olarak yapılmaktadır.
3.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ FİZİKSEL ORTAMLARA YÖNELİK TEDBİRLER
a) Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemleri (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınmaktadır.
b) Bu ortamların fiziksel güvenliği sağlanmaktadır.
3.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASINA İLİŞKİN ÖNLEMLER
a) Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılmaktadır.
b) Verilerin kâğıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmaktadır.
