KVKK Uyum Danışmanlığı

Kişisel verilerin korunması kanunu (kanun) 7 Nisan 2016 tarihinde 29677 sayılı resmî gazetede yayımlanarak yürürlüğe girmiştir. Kanun, kişisel verilerin işlenmesi sürecinde günümüz standartlarına uyulmasını, verilerin korunmasını ve kişilerin temel hak ve özgürlüklerine zarar verilmemesini amaçlamaktadır.

Sağlık sektöründeki özel işletmeler (diş poliklinikleri, eczaneler, estetik merkezleri, hastaneler) kanunun kişisel verileri işlenen gerçek kişiler (ilgili kişi) ile bu verileri işleyen gerçek ve tüzel kişiler (veri sorumluları) hakkında uygulanması bakımından kanun kapsamına girmektedir.

Kişisel Veri, kimliği belirli veya belirlenebilir gerçek bir kişinin kimliğini tek başına ve/veya başka kayıtlarla eşleştirilerek ortaya çıkarabilecek her türlü bilgidir.

Özel Nitelikli Kişisel Veri öğrenildiği takdirde ilgili kişinin mağduriyetine ve ayrımcılığa uğramasına sebep olabilecek bilgilerdir. Kişinin sağlığı, cinsel hayatı, genetik veriler şeklinde örneklendirilebilir.

Kişisel Sağlık Verisi özellikle sağlık sektöründeki özel işletmeleri ilgilendiren bir konudur. Bu veri özel nitelikli kişisel veri olup; kişiye sunulan sağlık hizmeti ile kişinin fiziksel ve ruhsal sağlığına ilişkin veri ve bilgilerdir. Her türlü tahlil sonucu, geçirilmiş hastalıklar, muayene kaydı, geçirilen operasyonlar ve kullanılan ilaçlar şeklinde örneklendirilebilir.

Kanun kapsamında veri sorumlularına yüklenen yükümlülükler mevcuttur. Bir veri sorumlusu olarak kanun kapsamında veri sorumlusuna (firmanıza) yüklenen yükümlülükler;

• Kişisel veri işleme ilkelerine uyum sağlama,
• Kişisel verileri veri işleme şartlarına uygun işleme,
• Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
• Yurtiçi ve yurtdışı aktarımda mevzuata uygunluk,
• Aydınlatma,
• Veri güvenliğini sağlama,
• VERBİS’e kayıt,
Olarak sıralanabilir.

Sağlık sektöründe faaliyet gösteren firmalar, ana faaliyet konularının özel nitelikli kişisel veri işleme olması sebebiyle tüm kısıt ve şartlardan bağımsız olarak VERBİS’e kaydolmak zorundadır. Bu zorunluluğun yerine getirilmesi için belirlenen son tarih 31 Mart 2021’dir. Tarih daha önce 1 Ocak 2019’dan belirtilen süreye uzatılmış olup yeni bir uzatma beklenilmemektedir. Bunun yanında veri sorumluları kanundan doğan yükümlülüklerini kanunun yürürlüğe girdiği tarihten (7 Nisan 2016) bu yana yerine getirmekle mükelleftir. 7 Nisan 2016’dan bu yana işlenen kişisel veriler kanuna uygun hale getirilmeli getirilemiyorsa silinmeli, yok edilmeli veya anonim hale getirilmelidir. Veri Sorumlularına kanun kapsamında yüklenen sorumluluklar için yapılması gerekenler;

• Yetkili kişi belirlemek,
• Kişisel veri işleme envanteri hazırlamak,
• Kanunla uyumlu politika ve prosedürleri belirlemek,
• Belge ve bilgileri kanuna uyacak şekilde yenilemek ve/veya hazırlamak,
• Eğitim ve farkındalık faaliyetleri yürütmek,
• Çalışanların periyodik ve/veya rastgele denetimini sağlamak,
• İdari ve teknik tedbirleri almaktır. Kanun kapsamında doğan yükümlülüklerin yerine getirilmemesi halinde uygulanacak cezalara sebep kabahatler ve bu kabahatlere verilecek cezalar kurulca;
• Veri güvenliğini ihlal etme için 29.503 – 1.966.861₺
• Aydınlatma yükümlülüğüne aykırılık için 9.834 – 196.686₺
• Kurul tarafından verilen kararı yerine getirmeme için 49.171 – 1.966.861₺
• Veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırılık için 39.337 – 1.966.861₺
Şeklinde belirtilmiştir.

Kurul periyodik ve/veya rastgele denetim ve şikâyet üzerine yaptığı incelemelerle tek seferde birden fazla kabahat için ceza kesme yetkisine sahiptir.

Türk ceza kanunu kapsamında da kişisel verilere ilişkin kabahat ve cezalar mevcuttur. Bu cezalar farklı sürelerde hapis cezaları olup;

• Kişisel verilerin kaydedilmesi için 1-3 yıla kadar hapis cezası,
• Kişisel verilerin hukuka aykırı olarak verme veya ele geçirme için 2-4 yıla kadar hapis cezası,
• Verileri yok etmeme için 1-2 yıla kadar hapis cezası,

Şeklindedir.

KVKK danışmanlığı kapsamında uyum süreci projelerinde veri sorumlularına sunduğumuz hizmetler;

1. Görev tanımlarının belirlenmesi
2. KVKK çalışma grubu oluşturulup, üst yönetimce yetkilendirilmesi,
3. KVKK Departman/Birim anketi hazırlanıp doldurulması suretiyle kişisel veri parametresi elde edilmesi,
4. Kişisel veri envanteri hazırlanması,
5. Kişisel verileri koruma politikası belgesinin hazırlanması,
6. İmha ve saklama politikası belgesinin hazırlanması,
7. KVKK kurulu iç yönergesi düzenlenmesi,
8. VERBİS bildirimi yapılması,
9. Çeşitli aydınlatma metinleri hazırlanması,
10. Açık rıza yöntemlerinin belirlenmesi ve metin hazırlanması,
11. Veri sahibi başvuru formu düzenlenmesi,
12. Kamera aydınlatma metni hazırlanması,
13. Kapalı devre kamera kayıt sistemleri aydınlatma metni hazırlanması,
14. Gerekli bilgi ve belgelerin çalışanlara duyurulması, muvafakatname alınması ve iş sözleşmesi revizyonlarının gerçekleştirilmesi,
15. Tedarikçi gizlilik sözleşmesi düzenlenmesi,
16. Çerez aydınlatma metni hazırlanması,
17. Çerez politikası hazırlanması,
18. Site, sosyal medya, E-posta uyarı metinleri hazırlanması,
19. Form/anket aydınlatma metni hazırlanması,
20. Risk analiz şeması oluşturulması,
21. KVKK ihlal raporu hazırlanması,
22. KVKK kişisel veri ihlal bildirim formu hazırlanması,
23. Eğitim faaliyetlerinin gerçekleştirilmesi,
24. Yurt dışı taahhütname düzenlenmesi,
25. İdari ve teknik güvenlik önlemleri için inceleme yapıp veri sorumlusuna yapılması gereken asgari iyileştirmeler kapsamında detaylı bilgi verilmesi,
26. Rastgele ve/veya düzenli denetimler ile firma içi kanuna uyumun incelenmesi,
27. Raporlamanın gerçekleşmesi ve proje bitişi,

Olup uyum çalışmaları içerisinde de yukarıda belirtilen sıra ile yürütülmektedir.