Kişisel verilerin korunması, Etap Sigorta Aracılık Hizmetleri Ltd. Şti.’nin (“Etap Sigorta”) en önemli öncelikleri arasındadır. Bu bağlamda, yürürlükte bulunan başta 6698 sayılı Kişisel Verilerin Korunması Kanununu (“Kanun”) olmak üzere tüm mevzuata uygun davranmak için azami gayret gösterilmektedir. İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) çerçevesinde Etap Sigorta, kişisel veri işleme faaliyetleri bakımından benimsediği temel prensipleri açıklanmakta ve böylelikle kişisel veri sahiplerini bilgilendirerek gerekli şeffaflığı sağlamaktadır. Bu kapsamdaki sorumluluğumuzun tam bilinci ile kişisel verileriniz işbu Politika kapsamında işlenmekte ve korunmaktadır. Bu Politika; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla Etap Sigorta tarafından işlenen, gerçek kişilere ait (Ek 1 - Kişisel Veri Sahipleri) tüm kişisel verilerine ilişkindir. Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, yürürlükteki mevzuatın uygulama alanı bulacağı kabul edilir. İşbu Politika, ilgili mevzuat tarafından ortaya konulan kuralları Etap Sigorta uygulamaları kapsamında somutlaştırılarak düzenlemektedir.
Etap Sigorta, Kanun’un 12. maddesine uygun olarak, kişisel verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek için, korunacak verinin niteliğine göre gerekli tedbirleri almaktadır. Bu kapsamda, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirler alınmakta, denetimler yapılmakta veya yaptırılmaktadır.
Hukuka aykırı olarak işlenmesi durumunda kişilerin mağduriyet veya ayrımcılık yaşamasına sebep olma riski nedeniyle özel nitelikli verilere Kanun yoluyla özel bir önem atfedilmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.
Etap Sigorta tarafından, Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, kişisel verilerin korunması için Etap Sigorta tarafından alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve Etap Sigorta bünyesinde gerekli denetimler sağlanmaktadır.
Kişisel verilerin hukuka aykırı olarak işlenmesini, kişisel verilere hukuka aykırı olarak erişilmesini önlemeye ve kişisel verilerin muhafazasını sağlamaya yönelik farkındalığın artırılması için Etap Sigorta çalışanlarında farkındalık oluşması için gerekli eğitimlerin düzenlenmesi sağlanmaktadır. Bu doğrultuda Etap Sigorta, ihtiyaç duyulması halinde danışmanlar ile çalışmakta, ilgili mevzuatın güncellenmesine paralel olarak eğitimlerini güncellemekte ve yenilemektedir.
Etap Sigorta, kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile dürüstlük kuralına uygun hareket etmektedir. Bu çerçevede, kişisel veriler Etap Sigorta iş faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir.
Etap Sigorta, kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemleri almakta ve belirli sürelerle kişisel verilerin doğruluğunun ve güncelliğinin sağlanmasına ilişkin gerekli mekanizmaları kurmaktadır.
Etap Sigorta, kişisel verilerin işlenme amaçlarını açıkça ortaya koymakta ve yine iş faaliyetleri doğrultusunda bu faaliyetlerle bağlantılı amaçlar kapsamında işlemektedir.
Etap Sigorta, kişisel verileri yalnızca şirket faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta olup yalnızca belirlenen amaçlarla sınırlı olarak işlemektedir.
Etap Sigorta, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili faaliyetin tabi olduğu yasal mevzuatta öngörülen süre kadar muhafaza etmektedir. Bu kapsamda, Etap Sigorta öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise, kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler, belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.
Kişisel veri sahibinin açık rıza vermesi haricinde kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabileceği gibi birden fazla şart da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir. İşlenen verilerin özel nitelikli kişisel veri olması halinde, işbu Politikada yer alan düzenlemelere ilave olarak Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı içerisinde yer alan şartlar uygulanacaktır.
Kişisel verilerin işlenme şartlarından biri, veri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası, belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.
Aşağıda yer alan kişisel veri işleme şartlarının varlığı durumunda ise veri sahibinin açık rızasına gerek kalmaksızın kişisel veriler işlenebilecektir.
Veri sahibinin kişisel verileri, kanunda açıkça öngörülmekte ise diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde işbu veri işleme şartının varlığından söz edilebilecektir.
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde işbu şart yerine getirilmiş sayılabilecektir.
Etap Sigortanın hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
Veri sahibinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
Veri sahibinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.
Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Etap Sigorta meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
Etap Sigorta, Kanun’un 10. maddesine ve ikincil mevzuata uygun olarak, kişisel veri sahiplerini aydınlatmaktadır. Bu kapsamda Etap Sigorta, kişisel verilerin veri sorumlusu olarak verilerin, hangi amaçlarla işlendiği, kimlerle paylaşıldığı, hangi yöntemlerle toplandığı ve hukuki sebebi ile veri sahiplerinin sahip olduğu hakları konusunda ilgili kişileri bilgilendirmektedir.
Etap Sigorta hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere (üçüncü kişi şirketlere, resmi ve özel mercilere, üçüncü gerçek kişilere) aktarabilmektedir. Etap Sigorta bu doğrultuda Kanun’un 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir. Bu konu ile ilgili ayrıntılı bilgiye işbu Politikanın Ek2 (EK 2 - Etap Sigorta Tarafından Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarılma Amaçları) dokümanından ulaşılabilir.
Kişisel veri sahibinin açık rızası olmasa dahi aşağıda belirtilen şartlardan bir ya da birkaçının mevcut olması halinde Etap Sigorta tarafından gerekli özen gösterilerek ve Kurul tarafından öngörülen yöntemler dahil olmak üzere gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir.
Yukarıdakilere ek olarak kişisel veriler, Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilecektir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelere (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”) aktarılabilecektir.
Kişisel veriler, Kanun’un 10. maddesi uyarınca ilgili kişiler bilgilendirilerek, işleme amaçları doğrultusunda, Kanun’un 5. ve 6. maddesinde belirtilen kişisel veri işleme şartlarından en az birine dayalı ve sınırlı olarak, Kanun’un 4. Maddesi başta olmak üzere Kanun’da belirtilen genel ilkelere uygun bir şekilde işlenmektedir. İşbu Politikada belirtilen amaçlar ve şartlar çerçevesinde, işlenen kişisel veri kategorilerine Politikanın Ek3’ünde (EK 3 -Kişisel Veri Kategorileri), kişisel verilerin işleme amaçlarına ilişkin bilgilere Politikanın Ek4’ünde (EK 4 -Kişisel Veri İşleme Amaçları”) yer verilmiştir.
Etap Sigorta, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili faaliyetin tabi olduğu yasal mevzuatta öngörülen sürelere uygun olarak muhafaza etmektedir. Bu kapsamda, Etap Sigorta öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir. Kişisel verilerin saklanması ve imhasına yönelik olarak Etap Sigorta Kişisel Verileri Saklama ve İmha Politikası uygulanır.
Kişisel veri sahipleri, aşağıda sayılan haklarına ilişkin taleplerini Kurul’un belirlemiş olduğu yöntemlerle www.etapsigorta.com.tr adresinde bulunan Başvuru Formu vasıtasıyla Etap Sigorta’ya iletebileceklerdir. Kişisel veri sahipleri aşağıda yer alan haklara sahiptirler.
Etap Sigorta, kişisel veri sahibi tarafından yapılacak başvuruları Kanun ve ikincil mevzuata uygun olarak sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almaktadır.
Kişisel veri sahibinin, bölüm 6.1.’de yer alan haklara ilişkin talebini usulüne uygun olarak Etap Sigorta’ya iletmesi durumunda, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ilgili talep ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyet gerektirmesi halinde, Kurul tarafından belirlenen tarife uyarınca ücret alınabilecektir. Bu konuda Kanun hükümleri ile birlikte İlgili Kişinin Veri Sorumlusuna Başvurusuna ve Başvurunun Yanıtlanmasına İlişkin Prosedür uygulanır.
Etap Sigorta tarafından firma içinde ve çevresinde güvenliğin sağlanması amacıyla yürürlükte bulunan ilgili mevzuatta öngörülen amaçlarla ve Kanun’da sayılan kişisel veri işleme şartlarına uygun olarak güvenlik kamerası izleme ve kayıt altına alma faaliyetinde bulunmaktadır.
Kanun’un 10. maddesine uyarınca, kamera ile izleme ve kayıt altına alma faaliyeti hususunda kişisel veri sahipleri aydınlatılmaktadır. Etap Sigorta tarafından video kamera ile izleme ve kayıt altına alma faaliyetinin sürdürülmesindeki amaç, işbu Politikada sayılan amaçlarla sınırlıdır. Bu doğrultuda, güvenlik kameralarının izleme ve kayıt altına alma alanları, sayısı ve ne zaman izleme yapılacağı, güvenlik amacına ulaşmak için yeterli ve bu amaçla sınırlı olarak uygulamaya alınmaktadır. Kişinin mahremiyetine güvenlik amaçlarını aşan şekilde müdahale sonucu doğurabilecek alanlarda (örneğin, tuvaletler) izlemeye tabi tutulmamaktadır.
Canlı kamera görüntüleri ile dijital ortamda kaydedilen ve muhafaza edilen kayıtlara yalnızca sınırlı sayıda Etap Sigorta çalışanının erişimi bulunmaktadır. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.
Çalışanların adli sicil kaydı ve sağlık bilgileri, özel nitelikli kişisel veri olarak kabul edilmektedir. Özel nitelikli kişisel veriler hakkında işbu Politikada yer alan düzenlemelere ilave olarak Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı (Ek 5 - Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler) hükümleri uygulanır.
Çalışan ile ilgili özel nitelikli kişisel veriler, Etap Sigorta olanakları elverdiği oranda, yetkisiz erişimlerden korumak ve daha yüksek güvenlik sağlamak adına, diğer kişisel verilerden ayrı olarak saklanmaktadır. Etap Sigorta, bu verileri mümkün olan en dar kapsamda işlemeye özen göstermektedir. Bu verilerin işlenmesi gereken durumlarda, bu işlemeyi gerçekleştirmek amacıyla yetkilendirilen kişilerin, bu verilerin hassasiyetini anlamasına ve gerekli önemleri alabilmesine yönelik bilgilendirmeler yapılır.
Çalışan ile ilgili kişisel verilere erişim sadece gerekli olması durumunda bu konuda yetkilendirilmiş Etap Sigorta çalışan(lar)ı tarafından gerçekleştirilebilecektir. Ayrıca yöneticilere, onların yönetsel rollerini yerine getirebilmeleri için gereken seviyede sağlık verileri açıklanabilir.
İşbu Politika, Etap Sigorta kanuni temsilcisi tarafından onaylanır ve yürürlüğe girer. Tüm çalışanlara ve kamuya duyurulmak üzere internet sitesinde yayımlanır, kâğıt nüshası Etap Sigorta nezdinde saklanır. İşbu Politika, tüm iş birimleri, danışmanlar, dış hizmet sağlayıcıları ve kişisel veri işleyen herkes için bağlayıcı olacaktır.
Etap Sigorta, Kanun’da yapılan değişiklikler, Kurul kararları, sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda işbu Kişisel Verilerin İşlenmesi ve Korunması Politikasında değişiklik yapma hakkını saklı tutar. İşbu Politikada yapılan değişiklikler derhal metne işlenir ve değişikliklere ilişkin açıklamalar politikanın sonunda açıklanır.
Politikanın gereklerinin çalışanlar tarafından yerine getirilmesinde sorumluluk işverene aittir. Politikaya aykırı davranış tespit edildiğinde, aykırılığın önemli boyutta olması halinde vakit kaybetmeksizin irtibat kişisine bilgi verilecektir. Politikaya aykırı davranan çalışan hakkında, işveren tarafından yapılacak değerlendirme sonrasında gerekli idari işlem yapılacaktır.
| Kişisel Veri Sahibi Kategorisi | Açıklama |
| Çalışan | Etap Sigortada sözleşme ile çalışan gerçek kişi |
| Hissedar | Etap Sigorta hisselerine sahip gerçek kişi |
| Tedarikçi | Etap Sigorta ile yürüttüğü faaliyetler çerçevesinde her türlü mal ve hizmet tedariki sunan kurum ve kuruluşların hissedarı, yetkilisi ve çalışanı olan gerçek kişiler |
| Ürün veya Hizmet Alan Kişi | Etap Sigorta ile herhangi bir sözleşme ilişkisi olup olmadığına bakılmaksızın Etap Sigortanın sunduğu mal ve hizmetler kapsamında kişisel verileri elde edilen gerçek kişiler ile tüzel kişi müşterilerin çalışanları veya yetkilileri |
| Potansiyel Ürün veya Hizmet Alıcısı | Etap Sigortanın sunduğu mal ve hizmetler kapsamında kendisine teklif vermek amacıyla kişisel verileri elde edilen gerçek kişiler ile tüzel kişi müşterilerin çalışanları veya yetkilileri |
| Ziyaretçi | Etap Sigortanın sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan gerçek kişiler ile web sitesini ziyaret eden gerçek kişiler |
| Diğer | Bankacı, Ciranta, Doktorvb. diğer 3. gerçek kişiler |
Etap Sigorta, Kanun’un 8. ve 9. maddelerine uygun olarak işbu Politika ile yönetilen veri sahiplerinin kişisel verilerini, gerçek kişiler veya özel hukuk tüzel kişilerine ve yetkili kamu kurum ve kuruluşlarına aşağıda belirtilen kapsam ve amaçlarla aktarabilir.
| Veri Aktarımı Yapılabilecek Kişiler | Tanımı | Veri Aktarım Amacı |
| Gerçek kişiler veya özel hukuk tüzel kişileri | Ticari faaliyetlerini yürütürken sözleşme temelli olarak Etap Sigortaya mal ve hizmet sunan taraflardır. | Dış kaynaklı olarak ve ticari faaliyetlerini yürütmek üzere mal ve hizmet sağlamak amacıyla sınırlı olarak |
| Yetkili Kamu Kurum ve Kuruluşları | İlgili mevzuat hükümlerine göre Etap Sigortadan bilgi ve belge almaya yetkili kamu kurum ve kuruluşlarıdır. | İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak |
| Kişisel Veri Sahibi Kategorisi | Açıklama |
| Kimlik | Ad-soyad, T.C./vergi kimlik numarası, uyruk bilgisi, doğum yeri, doğum tarihi, cinsiyet, medeni durum, işyeri bilgisi, SGK/Kurum sicil numarası vb. bilgiler ile ehliyet, nüfus cüzdanı ve pasaport gibi belgeler üzerindeki bilgiler. |
| İletişim | Telefon numarası, adres, e-posta adresi, faks numarası vb. bilgiler. |
| Fiziksel Mekân Güvenliği | Kamera kaydı. |
| Müşteri İşlem | Fatura, senet, çek, dekont bilgileri, araç bilgisi (marka, model, motor şasi no, ruhsat bilgileri vb.), seyahat bilgisi (nakliyat, güzergâh bilgisi vb.) |
| Finans | Banka hesap bilgileri, IBAN numarası, gelir bilgisi, tapu vb. mal varlığı bilgileri, banka hesap hareketleri, kredi kartı bilgileri vb. |
| Görsel ve İşitsel Kayıtlar | Fotoğraf |
| Özlük | İşe başlama tarihi, izin başlangıç-bitiş tarihi, ücret hesap pusulası, özlük dosyasına ilişkin tutanaklar vb. |
| Hukuki İşlem | İmza, imza sirküleri, vekaletname bilgileri, mahkeme ve idari merci kararları vb. |
| Mesleki Deneyim | Öğrenim ve meslek bilgileri. |
| Özel Nitelikli Kişisel Veriler | Din bilgisi, sağlık bilgisi(boy-kilo bilgileri, kan grubu, muhtelif sağlık raporları, tetkik, tanı, reçete, engel durumu vb. bilgiler), ceza mahkumiyeti ve güvenlik tedbirleri bilgisi. |
| Diğer Bilgiler | İmza |
| Kişisel Veri İşleme Amaçları |
| Çalışan adayı/stajyer seçme ve yerleştirme süreçlerinin yürütülmesi |
| Çalışanlar İçin İş Akdi ve Mevzuat Kaynaklı Yükümlülüklerin Yerine Getirilmesi |
| Çalışanlar İçin Yan Haklar ve Menfaatleri Süreçlerinin Yürütülmesi |
| Faaliyetlerin Mevzuata Uygun Yürütülmesi |
| Finans ve Muhasebe İşlerinin Yürütülmesi |
| Fiziksel Mekân Güvenliğinin Temini |
| Hukuk İşlerinin Takibi ve Yürütülmesi |
| İş Faaliyetlerinin Yürütülmesi/Denetimi |
| Lojistik Faaliyetlerinin Yürütülmesi |
| Mal/Hizmet Satın Alım Süreçlerinin Yürütülmesi |
| Mal/Hizmet Satış Süreçlerinin Yürütülmesi |
| Reklam/kampanya/promosyon Süreçlerinin Yürütülmesi |
| Saklama ve Arşiv Faaliyetlerinin Yürütülmesi |
| Sözleşme Süreçlerinin Yürütülmesi |
| Ürün/hizmet Pazarlama Süreçlerinin Yürütülmesi |
| Yetkili Kişi/kurum ve Kuruluşlara Bilgi Verilmesi |
Karar Tarihi : 31/01/2018 Karar No : 2018/10 Konu Özeti : “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”in görüşülmesi.
Kanunun 6 ncı maddesinin (4) numaralı fıkrası ile 22 nci maddesinin (1) numaralı fıkrasının (ç) bendi kapsamında hazırlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” in ekte yer verilen şekilde kabulüne ve Resmi Gazetede yayımlanmasına oy birliği ile karar verilmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 6 ncı maddesinin (4) numaralı fıkrasında, “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmü yer almaktadır. Bu çerçevede, Kanunun 22 nci maddesinin (1) numaralı fıkrasının (ç) ve (e) bentleri uyarınca özel nitelikli kişisel veri işleyen veri sorumluları tarafından alınması gereken yeterli önlemler Kişisel Verileri Koruma Kurulu tarafından aşağıdaki şekilde belirlenmiştir: 1- Özel nitelikli kişisel verilerin güvenliğine yönelik sistemli, kuralları net bir şekilde belli, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedürün belirlenmesi, 2- Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik, a) Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi, b) Gizlilik sözleşmelerinin yapılması, c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması, ç) Periyodik olarak yetki kontrollerinin gerçekleştirilmesi, d) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması, 3- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise a) Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi, b) Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması, c) Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması, ç) Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması, d) Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması, e) Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması, 4- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise a) Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması, b) Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi, 5- Özel nitelikli kişisel veriler aktarılacaksa a) Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması, b) Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması, c) Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımının gerçekleştirilmesi, ç) Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın “gizlilik dereceli belgeler” formatında gönderilmesi gerekir. 6- Yukarıda belirtilen önlemlerin yanı sıra Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberinde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de dikkate alınmalıdır.
