Kişisel Verilerin Korunması
Bilgi, modern yasamın en önemli değerlerinden biridir. Her gün, devlet kurumları ve özel kuruluşlar; bireyler hakkında önemli miktarda veriyi toplamakta, saklamakta, islemekte ve nakletmektedirler. Teknolojinin gelişmesi, kişilerin bilgiyi paylaşması ve dünya çapında yaymasına izin verecek şekilde; kişilerin bilgilerinin kontrolünü kaybederek, kendilerine karsı kullanılması gibi tehlikeli durumların oluşmasına sebep olmaktadır. Kişisel verilerin korunması, bireylerin verilerinin başka kişi veya kuruluşlar tarafından yetkisiz kullanımına karsı sahip oldukları bir haktır. 6098 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) kabulü ile ülkemizde de yeni bir döneme girilmiş olup, anılan Kanun vatandaşları, veri sorumlusu olarak tanımladığı gerçek ve tüzel kişilere karşı birtakım haklarla donatırken veri sorumlularına da birtakım yükümlülükler getirmiştir. Bu yükümlülükler şirketlerin özellikle bilgi işlem ve insan kaynakları birimlerini ilgilendirmektedir.
KVKK’ ya uyumun sağlanması amacıyla Eren Hukuk Bürosu olarak müvekkillerimize:
KVKK kapsamında müvekkillerin tâbi oldukları yükümlülüklerin tespiti ve analizi,
İlgili yükümlülüklerin yerine getirilebilmesi bakımından müvekkillerin kullanmaları gereken veri kayıt sistemlerinin oluşturulması aşamasında IT (information technology = Bilgi Teknolojileri) departmanları ile gereken işbirliğinin sağlanması ve mevcut durumda kullanılmakta olan veri kayıt sistemlerinin KVKK kapsamındaki yükümlülüklere uyumlu hale getirilmesi bakımından gerekli desteğin sunulması,
Müvekkillerin KVKK kapsamında müşterileriyle veya iş ortaklarıyla akdetmeleri gereken sözleşmelerin hazırlanması ve/veya revize edilmesi,
KVKK kapsamındaki yükümlülüklere tam anlamıyla uyumun sağlanması bakımından Veri Sorumlusu bünyesindeki ilgili tüm departmanlara (hukuk, İK, IT, pazarlama, halkla ilişkiler vb.) şirket içi farkındalık eğitimlerinin sunulması,
konularında gerekli tüm hizmetleri sunmaktayız.
Eczacılar Açısından Kişisel Verilerin Korunması Kanunu
Kişisel Verilerin Korunmasına Neden İhtiyaç Duyulmuştur?
Hayatın bir düzen içinde sürdürülmesi, mal ve hizmetlerin geliştirilmesi, dağıtımı ve pazarlanması gibi süreçlerde kişisel verilerin toplanması kaçınılmazdır. Bunun yanında kişisel verilerin sınırsız ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, ifşası, amaç dışı ya da kötüye kullanımı sonucu kişisel hakların ihlal edilmesinin önüne geçilmesi gerekir. Bu sebeple kişisel verilerin korunmasına yönelik yasal düzenleme yapılması gerekli hale gelmiştir.
Kişisel Verilerin Korunması Kanunu Ne Zaman Yürürlüğe Girmiştir?
Kişisel Verilerin Korunması Kanunu (“Kanun”) 7 Nisan 2016 tarihinde Resmî Gazetede yayımlanarak yürürlüğe girmiştir.
Kanunun Amacı Nedir?
Kanun, kişisel verilerin çağdaş standartlarda işlenmesi, koruma altına alınması, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerinin korunmasını amaçlamaktadır. Kanun, temelde verilerin değil, bu verilerin ilişkili olduğu kişilerin korunmasını amaçlamaktadır. Kişilere ilişkin verilerin toplanması, saklanması, kullanılması ve aktarılması gibi veri işleme süreçlerinin bütün aşamalarını kapsar şekilde bireylere kontrol hakkını kazandırmayı hedeflemektedir.
Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu ifade son derece geniş olup, bir gerçek kişinin; adı, soyadı, doğum tarihi gibi kişinin sadece kimliğini ortaya koyan bilgiler değil; sosyal güvenlik numarası, sağlık bilgileri, cinsel hayatına dair bilgiler gibi kişiyi doğrudan/dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri olarak kabul edilmektedir.
Özel Nitelikli Kişisel Veri Nedir?
Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikteki verilerdir.
Örneğin; kişinin sağlığı, cinsel hayatı, biyometrik veriler vb. özel nitelikli verilerdir.
Kişisel Sağlık Verisi Nedir?
Kişisel sağlık verisi özel nitelikli kişisel veri olup; kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü veri ile kişiye sunulan sağlık hizmeti ile ilgili bilgilerdir.
Örneğin; her türlü tahlil sonucu, kişinin geçirdiği hastalıklar, kullandığı ilaçlar gibi veriler kişisel sağlık verileridir.
Kanun Kimleri Kapsar?
Kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişileri kapsar. Kanunda verisi işlenen gerçek kişilerden bahsedildiği için hak ehliyetine sahip olan herkes Kanun kapsamındadır. Ayrıca Kanun özel sektörde faaliyet gösterip göstermemesi gibi kriterlere göre bir ayrım yapmamakta; tüm kurum ve kuruluşlar açısından uygulanmaktadır.
Eczaneler Kanun Kapsamında Mıdır?
Kanun Kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulandığından, eczaneler de bu kapsamdadır.
Kanun Kapsamındaki Yükümlülükler Nelerdir?
Kanun eczanelere bu kapsamda bazı yükümlülükler getirmiştir.
A. Kişisel Veri İşleme İlkelerine Uyum Sağlama
Kişisel verilerin işlenmesinde Kanunda belirtilen genel ilkelere her zaman uygun davranılması gerekmektedir. Bu ilkeler aşağıdaki gibidir;
Hukuka ve dürüstlük kurallarına uygun olma
Doğru ve gerektiğinde güncel olma
Belirli, açık ve meşru amaçlar için işlenme
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
B. Kişisel Veri İşleme Şartlarına Uygun İşleme
Kanunda belirtilen kişisel veri işleme şartlarının varlığı hâlinde kişisel verilerinin işlenmesi mümkündür. Bu şartlar aşağıdaki gibidir;
İlgili kişinin açık rızasının varlığı,
Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Kanun, özel nitelikli kişisel veriler arasında da bir ayrım yapmıştır. Buna göre eczanelerin işlediği sağlık ve cinsel hayata ilişkin kişisel verilerin, açık rıza olmaksızın işlenebileceği haller daha sınırlıdır.
Not: Kişisel veri işleme, yukarıda sayılan açık rıza dışındaki şartlardan birine dayanıyorsa, bu durumda ilgili kişiden açık rıza alınmasına gerek bulunmamaktadır. Veri işleme faaliyetinin, açık rıza dışında bir dayanakla yürütülmesi mümkün iken açık rızaya dayandırılması, aldatıcı ve hakkın kötüye kullanımı niteliğinde olacaktır.
C. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi
Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler eczaneler tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmektedir.
D. Yurtiçi ve Yurtdışı Aktarımda Mevzuata Uygunluk
Kişisel verilerin yurtiçinde veya yurtdışında başka bir veri sorumlusuna aktarılması halinde Kanunda belirtilen şartlara uygun hareket edilmesi gerekmektedir.
Not: Yurtdışı aktarımlarında yazılı taahhüt verilmesi ve Kişisel Verileri Koruma Kurulundan izin alınması gerekebilmektedir.
E. Aydınlatma
Eczane, aydınlatma yükümlülüğü kapsamında eczanenin kimliği, veri işleme amacı, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile Kanunun 11. maddesinde sayılan diğer hakları konusunda ilgili kişiyi bilgilendirmekle yükümlüdür.
F. Veri Güvenliğini Sağlama
Eczane;
Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür.
G. VERBİS’e Kayıt
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) veri sorumlularının kaydedildiği, Kişisel Verileri Koruma Kurulunun gözetiminde Başkanlık tarafından kamuya açık olarak tutulan sicildir. Kişisel veri işleyen gerçek veya tüzel kişiler -istisna olanlar hariç- VERBİS’e kaydolmak zorundadır.
Eczaneler VERBİS’e Kayıt Olmakla Yükümlü Müdür?
Ana faaliyet konusu özel nitelikli kişisel veri (sağlık, cinsel hayat verileri) işleme olan eczaneler herhangi bir şarta bağlı olmaksızın VERBİS’e kayıt olmakla yükümlüdür.
VERBİS’e Kaydın Son Tarihi Nedir?
Ana faaliyet konusu özel nitelikli kişisel veri (sağlık, cinsel hayat verileri) işleme olan eczanelerin 31.03.2021 tarihine kadar VERBİS’e kayıt olması gerekmektedir.
Not: VERBİS’e kayıt tarihi 01.01.2019’dan 31.03.2021 tarihine kadar uzatılmıştır. Yeni bir uzatma beklenmemektedir.
VERBİS’e Kayıt Süresi Diğer Yükümlülüklerin de O Tarihe Kadar Ertelendiği Anlamına Gelir Mi?
Belirlenen bu süre sadece VERBİS’e kayıt için son tarihi ifade etmektedir dolayısıyla eczaneler, Kanunun yürürlüğe girme tarihi olan 7 Nisan 2016’dan itibaren yükümlülüklerini yerine getirmekle mükelleftir.
Yükümlülükler Kapsamında Yapılması Gerekenler Nelerdir?
Eczanelerin yükümlülüklerini yerine getirebilmesi için yapması gerekenler aşağıda verilmiştir. Buna göre;
A. KVKK Yetkili Kişisi Belirleme
KVKK Dönüşüm sürecinden sonra alınan teknik ve idari tedbirleri sürdürecek ve alınması gereken yeni tedbirlere de karar verecek bir kişi belirlenmesi gerekmektedir.
Örneğin; eczacı, mesul müdür, ikinci eczacı, yardımcı eczacı, yardımcı personel
B. Kişisel Veri İşleme Envanteri Hazırlama
KVKK Yetkili Kişisi tarafından mevcut fiziksel veya elektronik ortamda işlenen tüm kişisel verilerin analizinin yapılması ve kişisel veri işleme faaliyetleri doğrultusunda kişisel veri işleme envanteri hazırlanması gerekmektedir.
C. Politika ve Prosedür Belirleme
Kişisel veri güvenliğine ilişkin iyi bir politika hazırlanması gerekmektedir. Kişisel veri güvenliğine ilişkin belirlenecek doğru ve tutarlı politika ve prosedürlerin, eczanenin çalışma ve işleyişine uygun şekilde entegre edilmesi gerekmektedir.
Örneğin; özel nitelikli kişisel veri işleme, saklama ve imha vb.
D. Doküman Hazırlama ve Revize Etme
Hazırlanan kişisel veri işleme envanteri doğrultusunda dokümanlar hazırlanması ve var olan dokümanlarda revizeler yapılması gerekmektedir.
Örneğin; gizlilik sözleşmeleri, taahhütnameler, aydınlatma metinleri, açık rıza beyanları, iç denetim formu, başvuruya cevap formu vb. hazırlanmalı ve iş sözleşmesi, tedarikçi sözleşmesi, iş başvuru formları vb. revize edilmelidir.
E. Eğitim ve Farkındalık Faaliyetleri
Kişisel verilerin korunması için bilinçlendirme ve hazırlanan politika ve prosedürlerin çalışanlar tarafından eksiksiz uygulanabilmesi için eczanenin tüm çalışanlarına (eczacı, mesul müdür, ikinci eczacı, yardımcı eczacı, yardımcı personel) eğitim verilmesi gerekmektedir.
F. Eczanede Çalışanların Periyodik ve/veya Rastgele Denetimi
Eczanede çalışanların periyodik ve/veya rastgele denetlenmesi gerekmektedir. Bu denetimlerin alanında uzman firmalar tarafından yapılması tavsiye edilmektedir.
G. Teknik Tedbirler
Eczanelerin gerekli olan teknik tedbirleri alması gerekmektedir. Bunlar;
Kullanıcı Hesap Yönetimi
Ağ Güvenliği
Uygulama Güvenliği
Şifreleme
Sızma Testi
Veri Maskeleme
Yedekleme
Güvenlik Duvarları
Güncel Anti-Virüs Sistemler
Silme, Yok Etme veya Anonim Hale Getirme
Anahtar Yönetimi
Yükümlülüklerin Yerine Getirilmemesi Halinde Verilecek Cezalar Nelerdir?
Veri güvenliğini ihlal etme halinde 29.503 - 1.966.861₺
Aydınlatma yükümlülüğüne aykırılık halinde 9.834 - 196.686₺
Kurulun tarafından verilen kararı yerine getirmeme halinde 49.171 - 1.966.861₺
Veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırılık halinde 39.337 - 1.966.861₺
Not: Kişisel Verileri Koruma Kurulu, yaptığı tek bir denetimde yukarıda belirtilen kabahatlere ilişkin birden fazla ceza verebilmektedir.
Türk Ceza Kanunu Kapsamında Sorumluluk Nedir?
Türk Ceza Kanunu’nda Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar bölümünde düzenlenen suçlar aşağıdaki gibidir;
Suçlar Ceza Süreleri
Kişisel Verilerin Kaydedilmesi 1-3 yıla kadar hapis cezası
Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme 2-4 yıla kadar hapis cezası
Verileri Yok Etmeme 1-2 yıla kadar hapis cezası
Hizmetlerimiz
Eczanenin İhtiyaçlarına ve Muhtemel Veri İşleme Süreçlerine Göre Proje Stratejisi Belirleme
Ana faaliyet alanı özel nitelikli veri olma
Sağlık verileri
Banko, gişe gibi hizmet alanlarında satış yapılması
Eczane bünyesinde birden fazla faaliyet bulunup/bulunmaması
Dermokozmetik, özel ilaç yapımı vb.
Kişisel veri işleme süreçlerinin değişmesi
Eczane yönetim sistemleri kullanılıp/kullanılmaması
İlaç, tıbbi malzeme, veri raporlama vb.
Eczane yardımcı personelinin bulunup/bulunması
Eczacılık fakültesi stajyeri bulunup/bulunması
İç yazılım program ve kullanılan mail serverlarının niteliği
VERBİS kaydı kalan süre
KVKK Yetkili Kişisi Belirleme
KVKK Yetkili Kişisi dönüşüm projesinin yürütücüsüdür.
KVKK Yetkili Kişisi dönüşüm sürecinden sonra iç denetim, imha, kişisel veri işleme envanteri ve politika/prosedürleri güncelleme, eğitim programlanması, farkındalık çalışmalarına ve alınması gereken yeni tedbirlere de karar verecek kişi olarak süreklilik kazandırılması hedeflenmektedir.
Not: KVKK Yetkili Kişisi eczacı olabileceği gibi mesul müdür, ikinci eczacı, yardımcı eczacı ya da yardımcı personel de olabilecektir. Ancak sürecin sağlıklı yürütülebilmesi açısından KVKK Yetkili Kişisinin eczacının kendisinin olması tavsiye edilmektedir.
Eczacının Bilgilendirilmesi
Yarım gün şeklinde planlanmaktadır. Eczanenin KVKK’ya uyumu, kişisel veri işleme envanteri hazırlama süreci ve sonrasında yapılacaklarla ilgili bilgilendirilmesi sürecin hızlı ve doğru bir şekilde yürütülebilmesi için önemlidir.
Bilgilendirme İçeriği
Kişisel Veri, Özel Nitelikli Kişisel Veri
Veri Sorumlusu Eczane Yükümlülükleri
İlgili Kişi Hakları
Kişisel Veri İşleme Envanteri Aşamaları
İstenecek Bilgiler, Kişisel Veri İşleme, Faaliyet, Süreç, Alt Süreç Hakkında Bilgilendirme
Politika ve Prosedür Belirleme
Hedef ve Yapılması Gerekenlerin Anlatılması
Envanter Toplantıları
Toplantının Amaç ve Gündemi
Faaliyet ve süreç bazında kişisel veri işlemelerinin belirlenmesi
Kişisel veri işleme amaçlarının belirlenmesi
Kişisel verisi işlenen kişi gruplarının belirlenmesi
Aktarılan kişi-kişi gruplarının ve yerlerin belirlenmesi
İl Sağlık Müdürlüğü, Eczacı Odası, Türkiye İlaç ve Tıbbî Cihaz Kurumu vb.
Tespit edilen kişisel verilerin niteliklerinin belirlenmesi
İşlenen kişisel verilerin hukuki sebeplerinin belirlenmesi
Kişisel verilerin saklama sürelerinin belirlenmesi
Politika ve Prosedürlerin Belirlenmesi
Politika: Eczanenin kişisel veri işleme faaliyetlerine ilişkin bütün süreçlerde uyulacak prosedür ve ilkeleri gösteren kılavuzdur.
Prosedür: Eczanenin kişisel veri işleme faaliyetlerine ilişkin gerçekleştirdiği her aşamayı gösteren yöntemler bütünüdür.
Özel Nitelikli Kişisel Veri İşleme ve Koruma Politika ve Prosedürü
Banko Hizmet Alanlarında Satış Politika ve Prosedürü
Eczane Yönetim Sistemleri ve Medula Sistemi Kullanımı Politika ve Prosedürü
Kişisel Veri Aktarım Politika ve Prosedürü
Aydınlatma Yükümlülüğü Politika ve Prosedürü
Açık Rıza Politika ve Prosedürü
Veri Güvenliği Politika ve Prosedürü
Kişisel Veri İşleme Envanteri Politika ve Prosedürü
Kişisel Veri Saklama ile İmha Politika ve Prosedürü
Kişisel Veri İç Denetim Politika ve Prosedürü
Başvuru Kabul ve Cevap Politika ve Prosedürü
Veri İhlal Bildirim – Müdahale Politika ve Prosedürü
Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) Bildirim Politika ve Prosedürü
KVKK Yetkili Kişisi Politika ve Prosedürü
Teknik Tedbir Çalışmaları
IT Teknik Değerlendirme ve Raporlama yapılması
IT Teknik Değerlendirme ve Raporlama sonucunda eczanenin alması gereken teknik tedbirlerin raporlanması
Yetki matrisi oluşturulması
Yetki kontrol düzenlemeleri
Uyum Toplantıları
Dönüşüm sürecinden önce işlenen verilerin hukuka uygun hale getirilmesi, imhası ya da maskelenmesi faaliyeti hakkında yönlendirme yapılacaktır.
İş süreçlerinden çıkarılması gereken işlemlere ilişkin liste teslim edilecek ve sebepleri açıklanacaktır.
Farkındalık için yapılacak çalışmalarda yönlendirme yapılacaktır.
Eczacının talepleri proje danışmanlarınca alınıp eksik dokümanlar tamamlanacaktır.
Hazırlanan dokümanlar ve kullanılması, hazırlanan politika ve prosedürlerin işlerlik kazandırılması için çalışmalar yapılacaktır.
Eğitimler
Kişisel verilerin korunması için bilinçlendirme ve hazırlanan politika ve prosedürlerin çalışanlar tarafından eksiksiz uygulanabilmesi için eczanenin tüm çalışanlarına (eczacı, mesul müdür, ikinci eczacı, yardımcı eczacı, yardımcı personel) eğitim verilmesi gerekmektedir.
İç Denetim
Proje danışmanları tarafından dönüşüm sürecinin sonunda denetim yapılacaktır.
Bu denetim sonucunda alınması gereken idari veya teknik tedbirlerin (çalışanın ya da tedarikçi çalışanın kişisel veri ihlali, hukuksuz işlemesi, aktarması ya da veri güvenliği önlemlerine uymamasının tespitinin içerir şekilde) bulunması durumunda denetim raporu yazılıp eczaneye sunulacaktır.
VERBİS Kaydı
Atanan irtibat kişisi aracılığıyla uzmanlarımız eşliğinde hazırlanan kişisel veri işleme envanterine göre VERBİS kaydı yapılacaktır.
Sonuç Toplantısı ve Proje Raporu Teslimi
Proje kapsamında yapılan çalışmalar proje danışmanları tarafından raporlanacaktır.
Tüm hazırlanan dokümanların (kişisel veri işleme envanteri, politika/prosedür, aydınlatma, başvuru cevap örneği, VERBİS kaydı vb.) kontrol ve raporlaması yapılacaktır.
Eczacıya yapması gerekenler tekrar anlatılacaktır.
Hazırlanan dokümanların kullanım kılavuzu oluşturulacaktır.
Proje raporunun teslimi ile dönüşüm tamamlanmış kabul edilir.
Dönüşüm Projesi Sonrasında Verilen Hizmetler
Dönüşüm Projesi tamamlandıktan sonraki süreçlerde eczanenin talebi halinde bazı hizmetler verilebilecektir. Bunlar;
Eczanenin tüm çalışanlarına (eczacı, mesul müdür, ikinci eczacı, yardımcı eczacı, yardımcı personel) kişisel veri koruma kültürü ve bu kapsamda farkındalık oluşmasını sağlamak amacıyla eğitimler verilmesi
Eczane bünyesinde düzenli olarak yapılması gereken periyodik ve/veya rastgele denetimlerin yapılması
Belli alanlarda danışmanlık alınması
Kişisel veri işleme envanterinin güncellenmesi
Kişisel veri işleme politika ve prosedürlerinin güncellenmesi