Kişisel Verilerin Korunması

1. AMAÇ

Bu dokümanın amacı, NEBİOĞLU BELEDİYE BAŞKANLIĞI bünyesinde kişisel verilerin korunması, bilgi güvenliği, erişim yetkilendirme, fiziksel güvenlik, tedarikçi yönetimi, çerez yönetimi, ihlal müdahalesi ve saklama-imha süreçlerinin hukuka uygun, ölçülebilir, denetlenebilir ve kurumsal şekilde yürütülmesini sağlamaktır.

2. KAPSAM

Bu doküman; NEBİOĞLU BELEDİYE BAŞKANLIĞI birimleri, çalışanları, geçici/sözleşmeli personeli, hizmet alımı yoluyla görev yapan personel, meclis ve encümen süreçleri, tedarikçiler, veri işleyenler, belediye adına kişisel veri işleme süreçlerine dahil olan tüm kişi ve birimler ile elektronik/fiziki kayıt ortamlarını kapsar.

3. DAYANAK

Bu doküman; 6698 sayılı Kişisel Verilerin Korunması Kanunu, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, Veri Sorumluları Sicili Hakkında Yönetmelik, Kişisel Verileri Koruma Kurulu kararları, Kişisel Veri Güvenliği Rehberi, 5393 sayılı Belediye Kanunu ve Nebioğlu Belediyesi hizmet süreçleri esas alınarak hazırlanmıştır.

4. TANIMLAR VE KISALTMALAR

5. GÖREV VE SORUMLULUKLAR

• Belediye Başkanı ve üst yönetim, kişisel veri güvenliği kültürünün oluşturulması, kaynak tahsisi, onay ve gözetim faaliyetlerinden sorumludur.
• KVK Komisyonu veya görevlendirilen sorumlu ekip, dokümanların güncelliğini, aydınlatma süreçlerini, ilgili kişi başvurularını, ihlal yönetimini, envanter ve VERBİS uyumunu takip eder.
• Birim amirleri, kendi birim süreçlerinde kişisel verilerin amaçla bağlantılı, sınırlı ve ölçülü işlenmesini, erişim yetkilerinin kontrolünü ve personel farkındalığını sağlar.
• Bilgi işlem/teknik sorumlular, ağ, sistem, kullanıcı hesabı, yedekleme, loglama, parola, zararlı yazılım ve yetki kontrollerinin uygulanmasını sağlar.
• Tüm çalışanlar, gizlilik, veri minimizasyonu, güvenli aktarım, temiz masa/temiz ekran ve ihlal bildirimi kurallarına uymakla yükümlüdür.
• Tedarikçiler ve veri işleyenler, sözleşme, protokol ve taahhütlerde yer alan veri güvenliği yükümlülüklerine uygun hareket eder.

6. UYGULAMA ESASLARI

• Kişisel veri işleme faaliyetleri envanterde tanımlanan amaç, hukuki sebep, veri kategorisi, alıcı grubu, saklama süresi ve güvenlik tedbirleriyle uyumlu yürütülür.
• Yeni hizmet, web formu, başvuru kanalı, tedarikçi, yazılım veya kamera alanı devreye alınmadan önce ilgili aydınlatma metni, açık rıza ihtiyacı, veri minimizasyonu, saklama süresi ve aktarım riski değerlendirilir.
• Nebioğlu Belediyesi web sitesi, iletişim ve çözüm merkezi kanalları, evlendirme işlemleri, halı saha/düğün salonu tahsisi, ruhsat/imar, belediye hizmet, zabıta, ihale, meclis/encümen ve duyuru süreçleri ayrı işleme faaliyeti olarak ele alınır.
• Özel nitelikli kişisel veriler, yalnızca kanuni zorunluluk veya açık ve ölçülü bir süreç gerekliliği bulunması halinde işlenir; erişim yetkisi daraltılır ve güvenli aktarım uygulanır.

7. KAYIT, KANIT VE RAPORLAMA

• Bu doküman kapsamında yapılan işlemler; başvuru kayıtları, tutanaklar, erişim/yetki kayıtları, eğitim listeleri, ihlal formları, imha tutanakları, tedarikçi sözleşmeleri ve denetim raporlarıyla kanıtlanır.
• Kayıtlar saklama-imha politikasında belirtilen süreler boyunca yetkisiz erişime kapalı şekilde muhafaza edilir.

8. GÖZDEN GEÇİRME VE SÜREKLİ İYİLEŞTİRME

• Doküman yılda en az bir kez veya mevzuat, sistem, hizmet, organizasyon, web sitesi, kamera alanı, tedarikçi veya veri işleme faaliyeti değiştiğinde gözden geçirilir.
• Denetimlerde tespit edilen uygunsuzluklar için düzeltici/önleyici faaliyet planı hazırlanır ve tamamlanma durumu takip edilir.

TEKNİK VE İDARİ TEDBİRLER

Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği tedbirleri uygulanır; güvenlik duvarı, güncel antivirüs/EDR, yama yönetimi ve güvenli yapılandırma kontrolleri takip edilir.
• Kullanıcı hesapları kişiye özel açılır; ortak hesap kullanımı zorunlu haller dışında yasaktır ve istisnalar kayıt altına alınır.
• Erişim logları, 5651 ve ilgili bilgi güvenliği gereklilikleri kapsamında kullanıcı müdahalesi olmayacak şekilde tutulur, korunur ve yalnızca yetkili kişilerce incelenir.
• Yetki matrisi oluşturulur; görev değişikliği, işten ayrılış, sözleşme bitişi veya hizmet sonlanması halinde erişimler gecikmeksizin kapatılır.
• Özel nitelikli kişisel veriler elektronik ortamda şifreli, erişimi kısıtlı ve ayrı yetkilendirme ile tutulur; e-posta ile aktarım zorunluysa şifreli gönderim ve ayrı kanal parola iletimi uygulanır.
• Yedekleme, geri dönüş testi, fiziksel ortam güvenliği, taşınabilir medya kontrolü, güvenli silme ve arşiv güvenliği süreçleri uygulanır.

İdari Tedbirler

• Kişisel veri işleme envanteri ve saklama-imha matrisi birim süreçleriyle eşleştirilir; yeni hizmet veya sistem devreye alınmadan önce veri koruma değerlendirmesi yapılır.
• Aydınlatma metinleri ilgili başvuru formlarında, hizmet noktalarında, web sitesinde ve gerektiğinde fiziksel alanlarda erişilebilir kılınır.
• Çalışanlara ve ilgili görev gruplarına periyodik KVKK, bilgi güvenliği, ihlal bildirimi, parola ve güvenli aktarım eğitimleri verilir.
• Tedarikçi ve veri işleyen sözleşmeleri, kişisel veri güvenliği, gizlilik, alt işleyen, ihlal bildirimi, denetim ve iade/imha hükümleri içerecek şekilde düzenlenir.
• Kişisel veriler kâğıt ortamında kilitli dolap/arşivde; elektronik ortamda yetki sınırlaması ile saklanır. Fazla, güncel olmayan veya amaç dışı veri işlenmemesi esastır.
• İhlal şüphesi halinde deliller korunur, olay kayıt altına alınır ve KVK Komisyonuna derhal bildirilir.

İLGİLİ DOKÜMANLAR

• Kişisel Veri İşleme Envanteri
• Kişisel Veri Saklama ve İmha Politikası
• İlgili Kişi Başvuru Formu
• Veri İhlali İlk Bildirim Formu
• Genel Güvenlik Talimatı
• Kullanıcı Parola Yönetimi Prosedürü
• Tedarikçi ve Veri İşleyen Yönetimi Prosedürü
• Kamera Kayıt Sistemi Yönetimi Prosedürü