Kişisel Verilerin İşlenmesi ve Korunması Politikası

1. Amaç ve kapsam

Mansuroğlu Mah. 1593/1 Sok. İnşaat No:4 İç Kapı No:106 Bayraklı-İZMİR adresindeki Kulak Burun Boğaz uzmanı Dr. Düzgün Ateş'in işlettiği muayenehane (aşağıda kısaca Hekim/Klinik/Muayenehane/İşveren olarak ifade edilecektir) olarak, anayasal bir hak olarak düzenlenen 6698 Sayılı Kişisel Verilerin Korunması Kanunu'na ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) hükümlerine uygun olarak; faaliyetlerimizi yerine getirirken, herhangi bir şekilde temas ettiğimiz tüm gerçek kişilere ait kişisel verilerin korunmasına ve bu bağlamda KVKK'da yer alan gerekliliklerin yerine getirilmesine önem vermekteyiz.

İşbu Kişisel Verilerin Korunması Politikası, Mansuroğlu Mah. 1593/1 Sok. İnşaat No:4 İç Kapı No:106 Bayraklı-İZMİR adresindeki Kulak Burun Boğaz uzmanı Dr. Düzgün Ateş tarafından kişisel verilerin toplanması, kullanılması, paylaşılması ve saklanması ile ilgili süreçler hakkında sizleri bilgilendirmek amacıyla hazırlanmıştır. Kişisel verilerin işlenmesi ve korunması sürecinde yürürlükte bulunan ilgili mevzuat hükümleri öncelikli olarak uygulanacaktır.

Bu çerçevede işbu Kişisel Verilerin Korunması ve İşlenmesi Politikası'nın ("Politika") temel amacı; Hekim ve Muayenehanesinin benimsemiş olduğu kişisel verilerin korunması mevzuatı kapsamındaki kuralları, önlemleri, görev ve sorumlulukları metodolojik bir yaklaşımla ortaya koymak ve bu kapsamda kişisel verilerin korunmasına yönelik uyguladığımız önlemlerde şeffaflığı sağlamaktır.

2. Tanımlar ve kısaltmalar

Bu Politika'nın uygulanmasında kullanılan terimler aşağıda yer verilen anlamları ifade eder.

3. Kişisel verilerin işlenmesi ilkeleri

Hekim ve Muayenehanesi kişisel verileri, KVKK ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlemektedir. Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulur:

• a) Hukuka ve dürüstlük kurallarına uygun olma: Hekim ve Muayenehanesi yasal mevzuat hükümlerine, hukuka ve dürüstlük kurallarına uygun olarak kişisel verileri işler. Kişisel veri sahiplerine bilgilendirmede bulunur.
• b) Doğru ve gerektiğinde güncel olma: Hekim ve Muayenehanesi işlediği kişisel verilerin doğru ve güncel olması için gerekli tedbirleri almaktadır.
• c) Belirli, açık ve meşru amaçlar için işlenme: Hekim ve Muayenehanesi meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir. Hekim ve Muayenehanesi kişisel verileri sunmakta olduğu hizmetle bağlantılı ve bunlar için gerekli olan kadar işlemektedir.
• ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Hekim ve Muayenehanesi verdiği hizmet kapsamında belirlenen amaçların gerçekleştirilmesi için kişisel verileri işlemekte, amacın gerçekleştirilmesi için gerekli olmayan kişisel veriyi almak, işlemek ve saklamaktan kaçınır.
• d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Hekim ve Muayenehanesi yasal mevzuat hükümlerine uygun olarak kişisel verileri saklamaktadır. Süre sonunda kişisel veriler silinmekte, anonim hâle getirilmekte veya imha edilmektedir.

4. Kişisel verilerin işlenme şartları

Hekim ve Muayenehanesi kişisel verileri işlerken 6698 sayılı KVKK hükümleri doğrultusunda aşağıdaki şartlara uymaktadır:

Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Kişisel veriler ancak veri sahibinin/ilgili kişinin açık rızası ile işlenir. Bu doğrultuda hastalar konuya ilişkin bilgilendirilir, özgür iradeye dayalı açık rızaları alınır.

Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

• a) Kanunlarda açıkça öngörülmesi.
• b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
• e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

5. Özel nitelikli kişisel verilerin işlenme şartları

Hekim ve Muayenehanesi, 6698 sayılı KVKK ile belirtilen özel nitelikli kişisel verilerin işlenmesinde belirtilen düzenlemelere uymaktadır.

KVKK "MADDE 6- (1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri" olarak tanımlanmıştır.

Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;

• a) İlgili kişinin açık rızasının olması,
• b) Kanunlarda açıkça öngörülmesi,
• c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması

hâlinde mümkündür. Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

6. Kişisel verilerin toplanması ve işlenmesi yöntemleri

Hekim ve Muayenehanesi, Kişisel Verilerin Korunması Kanunu'nun 4, 5 ve 6. maddelerine uygun olarak ve Yönetmelik'in 5'inci, 7'nci, 9'uncu ve 10'uncu maddeleri kapsamında düzenlenmesi ve aşağıda yer alan bilgileri içermesi zorunlu olan Kişisel Veri İşleme Envanterine dayalı olarak gerçek kişilere ait kişisel verileri işlemektedir:

• Veri kategorisi
• Kişisel veri işleme amaçları ve hukuki sebebi
• Aktarılan alıcı/alıcı grupları
• Veri konusu kişi grupları
• Kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresi
• Yabancı ülkelere aktarım
• Veri güvenliğine ilişkin alınan idari ve teknik tedbirler

7. Kişisel verilerin aktarıldığı üçüncü kişiler ve aktarılma amaçları

Hekim ve Muayenehanesi tarafından kişisel verilerin üçüncü taraflarla paylaşılması hususunda, diğer kanunlarda yer alan hükümler saklı kalmak kaydıyla, KVKK'da düzenlenen şartlara özenle uyulmaktadır. Bu çerçevede kişisel veriler, Hekim ve Muayenehanesi tarafından veri sahibinin açık rızası olmadan üçüncü kişilere aktarılmamaktadır. Ancak KVKK tarafından düzenlenen aşağıdaki şartlardan birinin varlığı hâlinde kişisel veriler, Hekim ve Muayenehanesi tarafından veri sahibinin açık rızası temin edilmeksizin de aktarılabilecektir:

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Veri sahibinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Özel nitelikli kişisel veriler bakımından aktarım, yeterli önlemler alınmak kaydıyla;

• a) İlgili kişinin açık rızasının olması,
• b) Kanunlarda açıkça öngörülmesi,
• c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması

hâlinde mümkündür.

Ayrıca GDPR madde 9/2/h, madde 6/1/b ve madde 6/1/f uyarınca açık rıza beyanı aranmaksızın verilerinizin işlenebileceği durumlar:

• Muayene, tıbbî teşhis, tedavi ve bakım hizmetlerini yürütebilmek amacıyla, kanun gereği sır saklama yükümlülüğü altında bulunan Muayenehane tarafından, özel nitelikli kişisel veri sayılan sağlık verileriniz açık rızanız aranmaksızın işlenecektir.
• Tıbbi teşhis ve tedavi süreçleri sonrasında kontrollerinizi gerçekleştirebilmek, sizinle birebir iletişime geçebilmek, randevu süreçlerini yönetebilmek amacıyla, Muayenehane tarafından açık rızanız aranmaksızın kişisel verileriniz işlenecektir.
• Hasta memnuniyeti ve talep yönetiminin gerçekleştirilebilmesi amacıyla, Muayenehane tarafından açık rızanız aranmaksızın kişisel verileriniz işlenecektir.

GDPR madde 6/1/c uyarınca hukuki yükümlülüklere istinaden, aşağıdaki durumlarda açık rızanız alınmaksızın kişisel verileriniz işlenecektir:

• Hasta dosyası oluşturulması.
• İlgili mevzuatı gereği saklanması gereken sağlık verilerinize ilişkin bilgilerin muhafaza edilmesi.
• Ücret ödemelerinizin kontrolünü gerçekleştirerek fatura tanzim edilmesi.
• Vergi ödemelerinin ifa edilmesi.
• Sağlık Bakanlığı mevzuatları gereği yükümlülüklerin ifa edilmesi.
• Sağlık turizmi mevzuatı gereği yükümlülüklerin ifa edilmesi.
• Veri güvenliğinizin sağlanması.
• Yargı makamları nezdinde hukuki yükümlülüklerin ifa edilmesi.
• İdari kurum ve kuruluşlar nezdinde idari yükümlülüklerin ifa edilmesi.

8. Kişisel verilerin ilgili mevzuat kapsamında muhafazası

Hekim ve Muayenehanesi kişisel verileri, KVKK ve ilgili diğer kanun hükümlerine uygun olarak, muayenehanemizin faaliyetlerinin yerine getirilebilmesi amacıyla uygun süre zarfında fiziksel veya elektronik ortamda güvenli bir şekilde saklamaktadır. Öncelikle kişisel verilerin saklanması için yasal bir süre olup olmadığı incelenir ve bu süreye uygun davranılır. Yasal süre bulunmaması hâlinde gerekli süre belirlenerek kişisel veriler bu süreye uygun olarak saklanır. Süre bittiğinde kişisel veriler silinir, yok edilir veya anonim hâle getirilir.

Ancak veri sorumlusunun meşru menfaatinin olduğu durumlarda, işlenme amacının ve ilgili kanunlarda belirtilen sürelerin sona ermesine rağmen, veri sahiplerinin temel hak ve özgürlüklerine zarar vermemek kaydıyla kişisel veriler, Borçlar Kanunu'nda düzenlenen genel zamanaşımı süresinin (on yıl) sona ermesine kadar saklanabilecektir. Bu kapsamda Hekim ve Muayenehanesi bünyesindeki ilgili birimlere gerekli eğitimler verilmekte, farkındalık sağlanmaktadır.

9. Veri güvenliği için alınan tedbirler

Hekim ve Muayenehanesi, kişisel verilerin korunması için gerekli olan uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almaktadır. KVKK'nın 12(1). maddesinde öngörülen tedbirler şunlardır:

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
• Kişisel verilerin muhafazasını sağlamak.

Hekim ve Muayenehanesinin bu kapsamda aldığı önlemler aşağıda sayılmıştır.

İdari tedbirler

• Hekim ve Muayenehanesi, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapar.
• İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Hekim ve Muayenehanesi, bu durumu en kısa sürede ilgilisine ve Kurula bildirir.
• Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile çerçeve sözleşmeler, onam formları ve veri sahibi açık rıza formları yahut sözleşmelere ekleyeceği hükümler ile veri güvenliğini sağlar.
• Kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel istihdam eder ve personeline gerekli KVK eğitimlerini verir.

Teknik tedbirler

• Hekim ve Muayenehanesi, veri güvenliğini sağlamak amacıyla bilgili ve deneyimli kişiler istihdam eder ve personeline gerekli KVK eğitimlerini verir.
• Kurulan sistemler kapsamında gerekli iç kontrolleri yapar.
• Kişisel verilerin kurum dışına sızmasını engelleyecek ve/veya gözlemleyecek teknik altyapının temin edilmesini ve ilgili matrislerin oluşturulmasını sağlar.

10. Kişisel veri sahiplerinin KVKK 11. maddesi gereğince hakları

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 11. maddesi çerçevesinde kişisel veri sahipleri, Hekim ve Muayenehanesi adresine başvurarak;

• a) Kişisel veri işlenip işlenmediğini öğrenme,
• b) Kişisel veri işlenmiş ise buna ilişkin bilgi talep etme,
• c) Kişisel verilerin işlenme amacını ve bunların amaca uygun kullanılıp kullanılmadığını öğrenme,
• ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• e) KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak kişisel verilerin silinmesini veya yok edilmesini isteme,
• f) Kişisel verilerinizin düzeltilmesi, silinmesi ya da yok edilmesi hâlinde bu işlemlerin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• g) İşlenen kişisel verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkması hâlinde bu sonuca itiraz etme,
• ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

11. GDPR uyarınca veri sahiplerinin hakları

Veri sahibi olarak kişisel verileriniz GDPR uyarınca da korunmaktadır. GDPR'ın yetki alanına girildiği hâllerde (Avrupa Birliği vatandaşları veya Avrupa Birliği ülkelerinde ikamet edenler) veri sahiplerinin hakları şu şekildedir:

• Erişim hakkı (GDPR madde 15): Veri sahibi, kendisi ile ilgili kişisel verilerin işlenip işlenmediğini Muayenehaneye başvurarak teyit etme, kişisel verilerin işlenmesi hâlinde GDPR m.15'te yer alan detayları öğrenme hakkına sahiptir.
• Düzeltme hakkı (GDPR madde 16): Veri sahibi, Muayenehane uhdesinde bulunan ve kendisine ait değişen kişisel verilerini her zaman başvurarak düzelttirme hakkına sahiptir.
• Silme hakkı (GDPR madde 17): Veri sahibi, Muayenehane uhdesinde tutulmakta olan kişisel verilerinin silinmesini talep etme hakkına sahiptir. GDPR madde 17'de belirtilen hususlar meydana geldiği takdirde Muayenehane tarafından kişisel verileriniz gecikmeye mahal verilmeksizin silinecektir.
• İşlemenin kısıtlanması hakkı (GDPR madde 18):
  • Veri sahipleri, kişisel verilerinin güncelliği konusunda itiraz etmeleri hâlinde, Muayenehane tarafından kişisel verilerin doğruluğu teyit edilene kadar verilerin kullanımının kısıtlanmasını talep etme hakkına sahiptir.
  • Veri sahibi, kişisel veri işleme faaliyetinin yasa dışı olması nedeniyle kişisel verilerinin silinmesini talep ettiği durumlarda, talebi gerçekleşene kadar verilerin kullanımının kısıtlanmasını talep etme hakkına sahiptir.
  • Veri sahibi, Muayenehanenin işleme amacı doğrultusunda artık kişisel verilerine ihtiyaç kalmadığı durumlarda verilerinin kullanımının kısıtlanmasını talep etme hakkına sahiptir.
  • Veri sahipleri, GDPR 21/1 maddesi uyarınca işleme faaliyetine itiraz ettikleri durumlarda, Muayenehanenin veri işlemedeki meşru sebeplerinin veri sahibinin meşru sebeplerine ağır basıp basmadığı doğrulanana kadar verilerinin kullanımının kısıtlanmasını talep etme hakkına sahiptir.
• Veri taşınması hakkı (GDPR madde 20): Veri sahibi, teknik olarak mümkün olduğu takdirde, Muayenehane uhdesinde tutulmakta olan kişisel verilerinin her zaman başvurarak başka bir kontrolöre aktarılmasını talep etme hakkına sahiptir. Ancak işbu hak, veri işlemenin rızaya dayandığı zamanlarda veya sözleşmenin gerektirdiği hâllerde kullanılabilecektir.
• İtiraz hakkı (GDPR madde 21): Veri sahibi, GDPR madde 6/1/e ve (f) bentleri kapsamında kişisel verilerin işlenmesine, özel durumuyla ilgili gerekçelere dayanarak itiraz etme hakkına sahiptir.

Sizlere sunduğumuz tüm hizmetlerimizde kişisel veri güvenliğinin ön planda olduğu bilinciyle faaliyetlerimize devam etmekte olduğumuzu bilgilerinize sunarız.

İlgili belgeler

• Aydınlatma Metni
• Açık Rıza Beyan Formu
• Gizlilik Politikası (internet sitesi ve iletişim formu)
• Çerez Politikası