KVKK Politikası

RECEP TAYYİP ERDOĞAN ÜNİVERSİTESİ

KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI POLİTİKASI

Zihni Derin Yerleşkesi – Fener Mahallesi Atatürk Caddesi 53100 Merkez/RİZE

   444 01 99 veya +90 (464) 223 61 26 erdogan.edu.tr

ÖNSÖZ

Kişisel Verilerin Korunması hakkı temel insan hakkı olarak Avrupa Birliği Temel Haklar Bildirgesi’nin 8. ve Avrupa Birliği’nin İşleyişi Hakkında Antlaşma’nın 16. maddelerinde yerini almıştır. Ayrıca kişisel veri, Türkiye Cumhuriyeti Anayasa’sının “Özel Hayatın Gizliliği” başlıklı 20. maddesinde de düzenleme altına alınarak, temel haklar arasına dahil edilmiştir.

Bu önemi sebebiyle, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") gerçek kişilere ait kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyulması gerekli usul ve esasları düzenlemek maksadıyla 7 Nisan 2016 tarihli Resmi Gazete’de yayınlanmıştır.

1. AMAÇ VE KAPSAM

Recep Tayyip Erdoğan Üniversitesi ("RTEÜ") Kişisel Verilerin İşlenmesi ve Korunması Politikası (“Politika”), kişisel verilere ilişkin mevzuat çerçevesinde kişisel verilerin işlenmesinin disiplin altına alınması ve Anayasa’da öngörülen başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerin korunması amaçlanarak hazırlanmıştır.

“Politika” hazırlanırken öncelikle "RTEÜ" organizasyon şeması dahilinde çalışma birimlerinin hangi verileri, neden topladıkları ve bu verileri neden üçüncü kişilere aktarma gereksinimi olduğunu belirlemek ve RTEÜ’nün kişisel veri işleme usulünü anlamak temel ilke olarak belirlenmiştir. İlgili mevzuatın gereksinimleri “Politika”ya aktarılırken, özelleştirilerek, "RTEÜ"nün hangi verileri neden temin ettiğini, bu verileri neden işlediğini sade ve anlaşılır bir dil ile izah etmek  kişisel verilerin korunması gerekliliği dahilinde duyulan hassasiyet çerçevesinde  ilke edinilmiştir. Ayrıca, "RTEÜ" organizasyonu içinde ve organizasyon dışında veri gizliliğinin korunması için gerekli idari ve teknik tedbirleri almak ve verileri işlenen bireyleri bilgilendirmek ve aydınlatmak hedeflenmektedir.  

“Politika” kapsamına "RTEÜ" tarafından verileri işlenen tüm gerçek kişiler girmektedir.

İş bu “Politika” kapsamında "RTEÜ" organizasyonunda yer alan işlem ve faaliyetler çerçevesinde işlenen veriler, verilerin kategorizasyonu, veri alıcı grupları, veri toplama hukuki sebebi ve yöntemi, verilerin aktarıldığı üçüncü kişi grupları, verilerin işleme süreleri, verilerin silinme süreleri hakkında özelleştirilmiş bilgilere yer verilmeye çalışılmıştır. Ancak hali hazırdaki işleme faaliyetlerinin dışında "RTEÜ" tarafından veri işleme yapılması/yapılacak olması halinde harici bir aydınlatma metni dahilinde, işbu politikada belirtilen temel ilke ve prensiplere uyulmak kaydıyla işleme faaliyeti yürütülmesi ve aydınlatma yapılması mümkündür. Bu durumda yapılan aydınlatma işbu “Politika”nın ayrılmaz bir parçasını teşkil edecek olup, İşbu “Politika” da yer almadığı iddia edilemeyecektir. Nitekim Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5. maddesi kapsamında aydınlatmanın  sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle yapılması mümkündür.

2. TANIMLAR

3. KİŞİSEL VERİLERİNİZİN İŞLENME AMAÇLARI, İŞLEDİĞİMİZ KİŞİSEL VERİLERİNİZ VE HUKUKİ SEBEPLERİ

i.İşlenme Amaçları

Kişisel verileriniz KVKK’da öngörülen sınırlara riayet edilerek ve 2547 sayılı Yükseköğretim Kanunu’na uygun biçimde, RTEÜ mevzuatında gösterilen amaçları gerçekleştirmek için kullanılacaktır. İşleme amaçlar şunlardır:

1. Yüksek Öğretim Kanunu ve Yüksek Öğretim Kurumu tarafından öngörülen eğitim faaliyetlerine ve denetime ilişkin yükümlülüklerin karşılanması,
2. Yüksek Öğretim Mevzuatı kapsamında eğitim faaliyetinden kaynaklı hakların tesis edilmesi,
3. Üniversiteye kaydınızın sağlanması ve öğrenci işleri faaliyetlerinin yürütülmesi,
4. Üniversitemiz tarafından sunulan hizmetlerden yararlanmanız için gereken çalışmaların ilgili birimlerce yapılması,
5. Tarafımızla paylaştığınız iletişim kanallarınız üzerinden Üniversitemiz ve faaliyetlerinin tanıtımı amacıyla sizinle iletişime geçilmesi,
6. Üniversitenin ihtiyaç duyduğu alanlarda personel temini, 4857 sayılı İş Kanunu, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu başta gelmek üzere iş hayatını düzenleyen mevzuat kapsamında hak ve yükümlülüklerin yerine getirilmesi,
7. Sınav sonuçlarının açıklanması ve ilanı,
8. Personele ilişkin maaş ödeme, harcırah temini, döner sermaye ödemelerinin gerçekleştirilebilmesi vb. faaliyetlerin yürütülmesi, üniversite içi yazışmaların yapılması,
9. Yetkili kamu kurum ve kuruluşları ile adli ve yargı makamlarına kanunlarda gösterilen haller dahilinde bilgi-belge temini,
10. Üniversitedeki organizasyon ve etkinlik (seminer, konferans, toplantı, eğitim, sempozyum vb.) yönetimi süreçlerinin işlerliğinin sağlanarak kamuoyuna duyurulması, üniversitenin kamuoyunda bilinirliğinin sağlanması ve güncelliğinin korunabilmesi için internet sayfası ve sosyal medya hesaplarının güncel verilerle sürekliliğinin sağlanması, tanıtım ve reklam süreçlerinin yönetilmesi,
11. Saklama ve arşiv faaliyetlerinin yürütülebilmesi ve yıllık birim faaliyet raporlarının oluşturulabilmesi amacıyla mevzuatta gösterilen usullerle arşiv tutulması,
12. Ziyaretçi kayıtlarının oluşturulması ve takibi,
13. Bina, personel, öğrenci ve ziyaretçi güvenliğinin temini,
14. Uluslararası ofis kapsamında, yurt dışına yapılacak değişim, hareketlilik, ortak proje ve üniversitece belirlenen milletlerarası eğitim iş birliklerinin sağlanması ile uluslararası proje başvurularının yapılabilmesi ve yürütülmesi, eğitim-öğretim ve iletişim hizmetlerinin daha rahat yürütülebilmesi amacıyla uluslararası öğrenci listesi adıyla eposta listesi oluşturularak uluslararası öğrencilere duyuruların yapılması,
15. Verilerin anonim hale getirilerek araştırma amacıyla istatistiki faaliyetlerde kullanılabilmesi,
16. Üniversite adına Strateji Geliştirme Daire Başkanlığı öncülüğünde yeni stratejilerin geliştirilebilmesi, eski stratejilerin güncellenebilmesi ve gerekli analizlerin yapılması,
17. Örgün/online, sertifikalı/sertifikasız eğitimlerin düzenlenebilmesi,
18. KVKK kapsamında yapılacak ilgili kişi başvurularının alınması ve yanıtlanabilmesi.

ii.İşlediğimiz Kişisel Verileriniz

Kimlik Bilgileri: İsminiz, soy isminiz, T.C. kimlik numaranız, anne adı, baba adı, doğum yeri ve tarihi, öğrenci numaranız, personel sicil numaranız, uyruk bilginiz ve Üniversite’ye tarafınızca açık rızanız dahilinde temin edilen sair bilgiler.

İletişim Bilgileri: İkamet adresiniz, işyeri adresiniz, telefon numaranız ve e-posta adresiniz, KEP adresi ile var ise Üniversite’ye tarafınızla iletişim kurulması için tercih ettiğinizi bildirdiğiniz cep telefonu numaranız, faks numaranız veya size ulaşabilmemiz için rızanız ile temin etmiş olduğunuz diğer iletişim kanallarına ilişkin bilgileriniz.

Çalışma ve Eğitim Bilgileriniz: Üniversite’ye başvuru (iş başvurusu, öğrenci kaydı, sertifikalı/sertifikasız eğitimlere katılma başvurusu) için doldurmuş olduğunuz başvuru formu, Üniversite tarafından sağlanan çevrimiçi ya da fiziki başka başvuru usulleri kullanılmak suretiyle kimlik bilgileriniz, iş durumunuza ait bilgiler, iletişim bilgileriniz ile eğitim durumunuza ait (“üniversite mezunu, yüksek lisans mezunu, fizik bölümü mezunu” gibi) bilgileriniz ve geçmiş mezuniyet bilgileriniz, katıldığınız kurs/seminer bilgileriniz, sertifika bilgileriniz ile ulusal yahut uluslararası sınav sonuçlarınız. Ayrıca üniversitemizden talep edilmesi halinde transkript ve öğrenci durum belgesinde yer alan veriler. İş başvurularında gönderilen kişisel veriler web sayfasındaki CV Bankası alanına yönlendirilmekte ve Üniversite’deki ilgili birime iletilmektedir.

Finansal/Mali Bilgileriniz: Üniversite ikinci öğretim ücretlerinin tahsili, tezsiz yüksek lisans ücretlerinin tahsili, öğrenim ücreti katkı payı ödemelerinin yapılabilmesi, ek ders ödemelerinin gerçekleştirilebilmesi, sertifikalı/sertifikasız eğitim ücretlerinin tahsili, fazla ve yersiz alınan ödemelerin iadesi, adınıza çıkarılan öğrenci kartlarının banka kartı olarak da kullanılabilmesi, döner sermayeden yapılacak ödemelerin gerçekleştirilebilmesi, Üniversite dışı görevlendirmelerde dışarıdan gelen öğretim üyesi/eğitmene ek ders ödemelerinin yapılabilmesi amacıyla edinilen; banka isim ve şube bilgisi, banka hesap no bilgisi, IBAN no bilgisi.

Görsel/İşitsel Bilgiler: Üniversite’nin düzenlediği konferans, seminer, tiyatro gösterisi, sergi, münazara ve benzeri etkinliklerde etkinlikle ilgili olarak; etkinliği tanıtmak, duyurmak, yaygınlaşmasını sağlamak gibi amaçlar için etkinliğin gerçekleştiği yerin ve katılanların durağan veya akan görüntüleri ve/veya sesleri ile Üniversite merkez, şube ve temsilciliklerinde güvenliği sağlamak için kurulmuş olan kameraların sağladığı görsel/işitsel bilgiler. Söz konusu etkinliklerde elde edilen görsel/işitsel bilgiler Üniversite faaliyetlerini aşmayacak ve etkinliğin amacı ile sınırlı olacak şekilde Üniversite’nin internet sitesinde, Üniversite tarafından kullanılan sosyal paylaşım platformlarında, Üniversite tarafından basılan eserlerde kullanılabilecektir. Yahut Üniversite’nin izniyle ve kontrolü altında basılmak/yayınlanmak üzere 3. kişilere (basımevi, yayıncı, kurum, kuruluş…) gönderilebilecektir. Bu kullanım usulü güvenlik kamera görüntülerini kapsamayacak olup, ilgili görsel/işitsel kişisel veriler kullanılmadan önce (Misalen; etkinliğin başında) katılımcılara ayrıca bilgilendirme yapılacak olup, açık rızaları alınacaktır.

Özel Nitelikli Kişisel Veriler: Üniversite bünyesinde mevzuat kaynaklı çalıştırma yükümlülüklerini yerine getirebilmek amacıyla çalıştırılan engelli ve hakkında mahkumiyet kararı verilmiş ve/veya güvenlik tedbiri uygulanmış kişilere ilişkin sağlık, ceza mahkumiyeti ve güvenlik tedbirlerine ilişkin özel nitelikli kişisel veriler işlenmektedir.

Üniversite bünyesinde bulunan engelli öğrencilerin, engelli öğrenci adaylarının yahut üniversitede sınava girecek olan engelli kişilerin sağlık özel nitelikli kişisel verileri; mevzuat kaynaklı yükümlülükleri yerine getirebilmek, herhangi bir sağlık problemi ile karşılaşılması ihtimalinde acil ve doğru müdahalede bulunabilmek, eğitim/öğretim faaliyetlerinden eksiksiz yararlanabilmelerini sağlamak, fırsat eşitliğini sağlayabilmek, kişilerin engel durumlarının oluşturduğu olumsuzlukları en aza indirgemeye yönelik tedbirler alabilmek amacıyla işlenmektedir.

Ayrıca Üniversite’de eğitim alan ve öğretim elemanı olarak görev yapan yabancı uyruklu kişilerin ırk, etnik kökene ilişkin özel nitelikli kişisel verileri eğitim hizmetinin verilebilmesi, öğrenci, öğretim elemanı ve ders takibinin sağlanabilmesi, yurt dışı ile koordinasyonun sağlanması ve mevzuattan kaynaklı yükümlülüklerin yerine getirilebilmesi amacıyla işlenmektedir.

Üniversite’nin bu amaçlar haricinde başka herhangi bir doğrudan özel nitelikli kişisel veri işleme amacı olmamakla birlikte Üniversite’ye sunmuş olduğunuz kimlik belgesi, fotoğraflar yahut etkinlikler kapsamında durağan/akan görüntülerden elde edilen veriler kapsamında dolaylı olarak edinilme ihtimali olan din, kılık-kıyafet, felsefi inanç, siyasi düşünce ve sağlık verileriniz (örneğin fotoğraftan anlaşılan kıyafet, cihaz ve protezler) ile Üniversite tarafından sağlanan bir evrakta ihtiyari olarak belirttiğiniz özel nitelikli sair bilgiler.

iii.Kişisel Veri İşlemenin Hukuki Sebepleri

KVKK, kişisel verilerin işlenme şartlarını 5. maddesinin 2. fıkrasında listelemektedir. Eğer bir veri sorumlusu tarafından kişisel verilerin işlenme amaçları, KVKK’da listelenmiş olan kişisel veri işleme şartları çerçevesinde değerlendirilebiliyorsa, o veri sorumlusu kişisel verileri hukuka uygun olarak işleyebilmektedir. Bu kapsamda Üniversite tarafından da güdülmekte olan kişisel veri işleme amaçlarının, KVKKK’da düzenlenen kişisel veri işleme şartları kapsamında değerlendirilebildiği durumlarda Üniversite tarafından kişisel veri işleme faaliyetleri gerçekleştirilmektedir. Üniversite kişisel veri işleme şartları kapsamına girmeyen herhangi bir kişisel veri işleme faaliyetinde bulunmamaktadır.

KVKK’da yer alan kişisel veri işleme şartları şunlardır:

• İlgili kişinin açık rızasının bulunması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Veri sahibinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Özel nitelikli kişisel veriler için de temel işleme şartı açık rızadır ve Üniversite temelde özel nitelikli kişisel veri işleme amacı gütmemektedir. Ancak faaliyetimiz gereği işlememiz gereken veya açık rızanız ile onay verdiğiniz özel nitelikli kişisel verileriniz de mevzuat dahilinde ölçülü olarak işlenmektedir.

KVKK’da özel nitelikli kişisel verilerin işlenebilmesi için sayılan şartlar şunlardır:

• İlgili kişinin açık rızasının bulunması,
• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler için kanunlarda açıkça öngörülmesi,

Söz konusu amaçlarımızı gerçekleştirebilmek için yukarıda belirttiğimiz verilerinizin işlenmesi gereği hasıl olmaktadır. Üniversitemize, kimlik bilgileri aktarılırken aslında işleme amaçlarımız dahilinde olmayan veriler de tarafımıza aktarılabilmektedir. İdari ve teknik tedbirler dahilinde söz konusu verileri mevzuatta öngörülen süreler sonunda siliyor ve/veya anonim hale getiriyoruz ancak her koşulda bu durumu temin etmek mümkün olmamaktadır. Bu halde, söz konusu verilerin işlenmesi amacıyla açık rızanıza başvurmak gerekmektedir.

4. İLGİLİ KİŞİNİN HAKLARI

KVKK kapsamında,

1. Kişisel Verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel Verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel Verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurtiçinde veya yurtdışında Kişisel Verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel Verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
6. KVKK mevzuatında öngörülen şartlar çerçevesinde Kişisel Verilerinizin silinmesini veya yok edilmesini isteme,
7. v. ve vi. maddeleri kapsamında yapılan işlemlerin Kişisel Verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel Verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde bu zararın giderilmesini talep etme haklarına sahipsiniz.

5. KİŞİSEL VERİLERİN İŞLENMESİNDE GENEL İLKELER

KVKK m. 4, kişisel verilerin işlenmesi için uyulması gereken temel ilkeleri listelemektedir. Söz konusu ilkeler, "RTEÜ" tarafından gerçekleştirilen tüm kişisel veri işleme faaliyetleri kapsamında dikkate alınmakta ve titizlikle uygulanmaktadır. Bahsi geçen ilkeler ve bunlara ilişkin açıklamalar aşağıda yer almaktadır:

Hukuka ve Dürüstlük Kuralına Uygun Olmak: "RTEÜ", kişisel verilerin işlenmesi ve korunması yükümlülüğünü yerine getirirken, hukukun genel ilkelerine ve Türk Medeni Kanununda düzenlenmiş olan dürüstlük kuralına uygun olarak hareket etmektedir.

Kişisel Verilerin Doğru ve Güncel Olmasını Sağlamak: Kişisel verilerin bireyler hakkında doğru ve güncel bilgileri sağlaması, bireylerin haklarının korunması için büyük bir önem taşımaktadır. "RTEÜ" işlenmekte olan kişisel verilerin doğru ve güncel olmasını sağlamak adına kendisinden beklenecek makul düzeyde özeni göstermektedir.

Belirli, Açık ve Meşru Amaçlarla Kişisel Veri İşlemek: Kişisel verilerin işlenmesi ile ulaşılmak istenilen amaçlar, kişisel veri işleme faaliyetinin hukuka uygun olup olmadığının belirlenmesinde en önemli kriteri oluşturmaktadır. Bu kapsamda KVKK veri işleme faaliyetlerinin belirli, açık ve meşru amaçlarla işlenmesini gerektirmektedir. "RTEÜ" de bu ilke çerçevesinde faaliyetlerinin gerektirdiği belirli, açık ve meşru amaçlarla kişisel veri işleme faaliyetleri yürütmektedir.

İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olmak: "RTEÜ", kişisel verileri yürüttüğü faaliyetler kapsamında belirlenen amaçları gerçekleştirmesine yetecek kadar işlemektedir. "RTEÜ" ayrıca ihtiyaç olmayan kişisel verileri işlemekten kaçınarak sınırlı ve ölçülü olmak prensibine uygun hareket etmektedir.

İlgili Mevzuatta Öngörülen veya İşlendiği Amaç için Gerekli Olan Süre Kadar Muhafaza Etmek: "RTEÜ" tarafından işlenmekte olan kişisel veriler, kişisel veri işleme şartları kapsamında değerlendirilebilecek kişisel veri işleme amaçlarının ortadan kalkmasına kadar geçecek süre boyunca muhafaza edilmektedir. Söz konusu amaçlar ortadan kalktığında, "RTEÜ" tarafından ilgili kişisel verilerin muhafaza edilmesi işlemleri sonlandırılacaktır.

6. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

KVKK, kişisel verilerin işlenme şartlarını 5 numaralı maddesi altında listelemektedir. Eğer bir veri sorumlusu tarafından kişisel verilerin işlenme amaçları, KVKK’da listelenmiş olan kişisel veri işleme şartları çerçevesinde değerlendirilebiliyorsa, o veri sorumlusu kişisel verileri hukuka uygun olarak işleyebilmektedir. Bu kapsamda "RTEÜ" tarafından da güdülmekte olan kişisel veri işleme amaçlarının, KVKK’da düzenlenen kişisel veri işleme şartları kapsamında değerlendirilebildiği durumlarda "RTEÜ" tarafından kişisel veri işleme faaliyetleri gerçekleştirilmektedir. "RTEÜ" kişisel veri işleme şartları kapsamına girmeyen herhangi bir kişisel veri işleme faaliyetinde bulunmamaktadır.

KVKK’da yer alan kişisel veri işleme şartları aşağıda paylaşılmaktadır:

• İlgili kişinin açık rızasının bulunması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Veri sahibinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Bir kişisel veri işleme faaliyetini hukuka uygun kılan bir ya da birden fazla kişisel veri işleme şartı aynı anda uygulanabilmektedir.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ ŞARTLARI

"RTEÜ" KVKK’nın 6. maddesinde yer alan veri işleme koşullarının varlığı halinde özel nitelikli kişisel verileri işleyebilmektedir. Özel nitelikli kişisel veriler, bireyler arasında ayrımcılık yapılmasına yol açacak herhangi bir amaçla ya da bir bireyin hukuka aykırı muamelelere maruz kalmasına sebep olacak şekilde işlenmemektedir. Ayrıca "RTEÜ"  tarafından ilgili mevzuatta öngörüldüğü şekilde ek güvenlik önlemleri, özel nitelikli kişisel verilerin güvenliğinin sağlanması amacıyla alınmaktadır.

KVKK m. 6’da yer alan özel nitelikli kişisel verilerin işlenme şartları şunlardır:

• Özel nitelikli veri sahibinin açık rızası,
• Sağlık ve cinsel hayata ilişkin kişisel veriler dışındaki kişisel veriler için kanunlarda öngörülen hâller,
• Sağlık ve cinsel hayata ilişkin kişisel veriler için ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenme.

8. KİŞİSEL VE ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNDE KANUNİ İSTİSNALAR ve AÇIK RIZA AÇIKLAMASI

KVKK aşağıdaki sıralanan hallerde veri sorumlusunun ilgili kişinin açık rızası olmaksızın veri işleme faaliyetinin yürütülebileceğini belirtmiştir.

İşbu Politika’da belirtilen işleme amaç ve şartları dikkate alındığında kanuni istisnalar kapsamına giren veri işleme şartları bakımından ilgili kişilerin rızalarının alınması gereği bulunmamaktadır. Ancak istisnaların ve işleme ilkelerinin yorumlanmasından ortaya çıkabilecek ihtilafların bertaraf edilmesi, bir belge içinde yer alan birden fazla verinin bir kısmının istisna kapsamına girerken, diğer kısmının istisna kapsamında değerlendirilmemesi, veri sorumlusunun meşru menfaat kavramının farklı yorumlanması, KVKK ve ilgili mevzuatı dahilinde içtihat ve yüksek mahkeme kararlarının az sayıda olması; kanunen işlenmesi, saklanması ve aktarılması zorunlu verilerin düzenleyici işlemlerde tek tek sayılmaması, saklama sürelerinin belirtilmemesi ve/veya muğlak olması ve/veya fiili uygulamada talep edilmesi ile yaptırımların ağır olması hususları birlikte değerlendirildiğinde, "RTEÜ" tarafından ilke olarak ilgili kişilerin “açık rızalarına” başvurma yönteminin benimsenmesi arzu edilmektedir.

Ancak bu hal hiçbir koşulda "RTEÜ" nün istisna hükümlerden yararlanmayacağı ve/veya her durumda açık rıza alma yolunu seçeceği şeklinde yorumlanmamalıdır. "RTEÜ" kanuni istisna kapsamında yer alan işleme faaliyetlerinden açık rıza almadan yararlanabilecektir.

8.1.  Kişisel Verilerin Açık Rıza Olmaksızın İşlenmesi:

Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

• Kanunlarda açıkça öngörülmesi.
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• İlgili kişinin kendisi tarafından alenileştirilmiş olması.
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

8.2.  Özel Nitelikli Kişisel Verilerin Açık Rıza Olmaksızın İşlenmesi:

• Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, Üniversite, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
• Yukarıda belirtilen sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir.
• Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
• Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

8.3. KVKK’nın Uygulanmayacağı Tam İstisna Halleri

• Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarat faaliyetleri kapsamında işlenmesi.
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

8.4. Kısmi İstisna Halleri:

KVKK’nın amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncı maddeleri aşağıdaki hâllerde uygulanmaz:

• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

9. AYDINLATMA YÜKÜMLÜLÜĞÜ

KVKK’nın 10. maddesi uyarınca "RTEÜ"; kişisel verilerin elde edilmesi sırasında aşağıdaki bilgileri ilgili veri sahiplerine sunarak KVKK’da bahsedilen aydınlatma yükümlülüğünü yerine getirecektir:

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• 11 inci maddede sayılan diğer hakları.

"RTEÜ", aydınlatma yükümlülüğünü yerine getirmek amacıyla, Üniversite faaliyetlerini yürütürken veri sahipleriyle temas edilen noktalarda kullanılmak üzere uygun aydınlatma metinleri hazırlamakta ve bunları veri sahiplerine sunmaktadır. Ayrıca bu politika da aydınlatma yükümlülüğünün yerine getirilmesi amacına hizmet etmektedir.

10. VERİ SAHİBİNİN HAKLARI

KVKK’nın 11. maddesi kapsamında veri sahiplerine tanınan haklar aşağıda sıralanmaktadır:

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş kişisel verilerin, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

"RTEÜ", her veri sahibinin KVKK’nın veri sahiplerine tanıdığı hakların rahatça kullanabilmesi konusunda mevzuatın gerekliliklerine uygun olarak gerekli idari ve teknik önemleri almaktadır.

11. KİŞİSEL VERİLERİN GÜVENLİĞİNE İLİŞKİN TEDBİRLER

"RTEÜ", işlemekte olduğu kişisel verilerin gizliliğinin ve güvenliğinin sağlanması konusunda, bir devlet üniversitesi olmanın da verdiği sorumluluk bilinciyle, gereken her türlü makul dikkat ve özeni sağlamaktadır. "RTEÜ", ilgili mevzuatının gereklilikleri yanında KVKK’nın 12. maddesi çerçevesinde veri gizliliğinin ve güvenliğinin sağlanması için de gereken teknik ve idari tedbirlerini makul düzeyde almaktadır. Söz konusu idari ve teknik güvenlik tedbirleriyle birlikte kişisel verilerin hukuka aykırı işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ile kişisel verilerin uygun güvenlik düzeyinde muhafaza edilmesi hedeflenmektedir.

"RTEÜ", kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi (veri işleyen) tarafından işlenmesi hâlinde, yukarıda belirtilen tedbirlerin ilgili veri işleyenler tarafından da alınması için gerekli tedbirleri alacaktır.

Kişisel verilerin üçüncü kişiler tarafından hukuka aykırı olarak ele geçirilmesi halinde, ilgili mevzuat hükümleri uyarınca veri sahiplerine, Kurul’a ve diğer ilgili kamu kurum ve kuruluşlarına bildirimde bulunacaktır.

Kişisel verilerin güvenliğine ilişkin tedbirler alınırken Kurul tarafından yayınlanmış olan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) göz önünde bulundurulmaktadır.

İdari Tedbirler

• Üniversite bünyesinde bilgi güvenliği yönetim sisteminin kurulması ve işletilmesi,
• Üniversite personelleri ve ilgili taraflar ile taahhütnameler ve gizlilik sözleşmelerinin imzalanması,
• İş süreçleri üzerinde risk analizlerinin gerçekleştirilmesi,
• Kişisel veri envanterlerinin oluşturulması,
• Bilgi güvenliği politika ve prosedürlerinin işletilmesi,
• Bilgi güvenliği ve kişisel veri işleme faaliyetleri hakkında eğitimlerin düzenlenmesi ve değerlendirilmesi,
• Çalışan bilgisayar vb. araç gereçlerine yetkisiz erişimlerin önüne geçmek adına söz konusu araç ve gereçleri yalnızca yetkili kişilerin kullanması,
• Üniversite içi ya da bağımsız denetimler ile faaliyetlerin gözden geçirilmesi,
• Yapılan işlemler için objektif delil üretecek kayıtların oluşturulması,

Teknik Tedbirler

• Sızma testleri ile Üniversite bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
• Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
• Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
• Sistemler üzerinde yazılımsal değişiklik ve/veya güncelleme yapılacağı zaman denemeler test ortamında yapılmakta, varsa güvenlik açıkları tespit edilerek gerekli tedbirler alınmakta ve yapılacak değişikliğe son hali bu işlemlerin ardından verilmektedir.
• Üniversitenin bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
• Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
• Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlerle ilgili teknik kontroller yapılmaktadır.
• Üniversite içerisinde yazılımsal erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
• Üniversite, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
• Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için Üniversite tarafından buna uygun hazırlık çalışmaları yapılmıştır.
• Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
• Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
• Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• Üniversite internet sayfasına erişimde güvenli protokol (HTTPS) kullanılmaktadır.
• Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı gerçekleştirilmektedir.
• Kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

12. ÜNİVERSİTEDE SAĞLANAN İNTERNET ERİŞİMLERİNE İLİŞKİN KAYITLARIN SAKLANMASI

 "RTEÜ" tarafından güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla; "RTEÜ" tarafından "RTEÜ" yerleşkesinde kaldığı süre boyunca talep eden ziyaretçilere internet erişimi sağlanabilmektedir. Bu erişimin sağlanabilmesi adına ziyaretçilerden ad- soyad ve TC Kimlik numarası bilgileri talep edilmektedir. Ayrıca internet erişimlerine ilişkin log kayıtları 5651 Sayılı Kanun ve bu Kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi veya "RTEÜ" içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğü yerine getirmek amacıyla işlenmektedir.

Bahsi geçen kayıtlara erişimi olan Üniversite çalışanları bu kayıtları yalnızca yetkili kamu kurum ve kuruluşlardan gelen talep veya denetim süreçlerinde kullanmak üzere erişmekte ve hukuken yetkili olan kişilere aktarmaktadır.

13. DİĞER HÜKÜMLER

"RTEÜ", bu Politika’nın diğer "RTEÜ" politikaları ile uyuşmaması durumunda, her iki politika arasında KVKK veya ilgili ikincil düzenlemeleri dikkate alarak uyum sağlayacaktır. Politika ile mevzuat arasında uyumsuzluk olması durumunda öncelikli olarak ilgili mevzuat uygulanacaktır.

Bu politika yayınlandığı tarihte yürürlüğe girer. Politika zaman içerisinde değişen durum ve ihtiyaçlar kapsamında güncellenebilecektir.