Kişisel veri İhlal Bildirim ve Yönetimi Prosedürü

1. Amaç

İşbu prosedür, Ege Seramik San. ve Tic. A.Ş tarafından 6698 Sayılı Kişisel Verilerin Korunması Kanun gerekliliklerine uygun bir şekilde işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde,

İhlal durumunun “Veri İlgilisine” ve “Kişisel Verileri Koruma Kuruluna” bildirim sürecinin tanımlanması
İhlal kaynaklı oluşabilecek zararların bertaraf edilmesi veya minimum düzeye indirgenmesi için alınacak tedbirlerin belirlenmesi

amacı ile hazırlanmıştır.

2. Kapsam

Çalışanlar, çalışan adayları, müşteriler, tedarikçiler, ziyaretçiler ve diğer üçüncü kişilere ait kişisel verilerin Ege Seramik San. ve Tic. A.Ş tarafından işlendiği tüm kayıt ortamları ve faaliyetler.

3. Tanım ve Kavramlar

a) Çalışan: Ege Seramik San. ve Tic. A.Ş personeli.
b) Form: Kişisel Veriler Koruma Kurulu’nun 24.01.2019 tarihli 2019/10 sayılı kararı ile yayınlanan “Kişisel Veri İhlali Bildirim Formu”
c) Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
d) Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
e) Kurul: Kişisel Verileri Koruma Kurulu.
f) Kurum: Kişisel Veriler Koruma Kurumu.
g) Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik veriler.
h) Potansiyel Veri İhlali: Çalışanlar tarafından Şirket bünyesinde potansiyel olarak veri ihlali riski yaratan durum
i) Veri İlgilisi: Kişisel verisi işlenen ve Veri İhlali’ ne uğrayan gerçek kişi.
j) Veri Sorumlusu: Ege Seramik Sanayi ve Ticaret A.Ş.
k) ES KVK Kurulu: Ege Seramik San. ve Tic. A.Ş Kişisel Verileri Koruma Kurulu.
l) Paydaş: Şirket faaliyetlerinden etkilenen veya Şirket’ in faaliyetlerini etkileyen çalışan, müşteri, tedarikçi, hissedar, vb. taraflar.

4. Sorumluluklar

Çalışanlar

Yaşanan veri ihlali veya potansiyel veri ihlalinin derhal ES KVK Kuruluna bildirilmesinden,
ES KVK Kurulu tarafından verilecek talimatlara uyulmasından,
Kişisel Veri İhlali Bildirimi ve Yönetimi Prosedürünün uygulanmasından sorumludurlar.

Paydaşlar: Ege Seramik San. ve Tic. A.Ş’ nin tüm paydaşları veri ihlali durumunda iş birliği yapmak ile yükümlüdürler.

ES KVK Kurulu: Kişisel veri ihlali veya potansiyel veri ihlalinin analiz edilmesi ve oluşabilecek zafiyetlerin giderilerek ihlallerin tekrarlamaması için tedbir alınmasından sorumludur. (Tablo-1 “İhlalin İncelenmesi”, “Olası Sonuçların Analizi” ve “Önlem” maddelerinin gerekliliklerinin yerine getirilmesi)

Veri İrtibat Sorumlusu: Kişisel veri ihlalinin KVK Kurulu’ na ve Veri İlgilisi’ ne bildirmekten sorumludur.

Genel Müdür: ES KVK Kurulu’ na başkanlık eder. Kişisel veri ihlali ve potansiyel veri ihlali durumunda Holding Mali İşler Grup Başkanlığı’ na bilgi vermekten sorumludur.

5. Kişisel Veri İhlali

Ege Seramik San. ve Tic. A.Ş, Kişisel Verileri aşağıdaki yöntemler dâhilinde doğru ve güncel olarak muhafaza etmektedir:

Günlük yedeklemeler
Firewall
Antivirüs programları
Sanal ortam erişiminde şifreleme sistemleri ve yetkilerde kısıtlamalar
Oda ve dolaplara kartlı, anahtarlı ve şifreli giriş sistemleri
Gizlilik sözleşmeleri ve gizlilik taahhütnameleri.

Ege Seramik San. ve Tic. A.Ş’ nin hakimiyet alanında olan Kişisel Verilerin, Şirket içinden veya dışından hukuka aykırı olarak işlenmesi, erişilmesi, elde edilmesi veya Kişisel Veriler’ in muhafazasını sağlamak amacıyla Şirket tarafından alınan teknik ve idari tedbirlerin yetkisiz kişilerce aşılması durumu ile ortaya çıkan kişisel veri ihlali ve potansiyel veri ihlali durumunda;

Analiz
Bildirim
Önlem olmak üzere 3 temel adım izlenmektedir.

Kişisel veri ihlali ya da potansiyel ihlal durumunda izlenecek adımların detayı Tablo-1’ de verilmiştir.

Tablo-1: Kişisel Veri İhlali Durumunda İzlenecek Adımlar

1- ANALİZ
1.1 İhlalin İncelenmesi	Kişisel veri ihlali ya da potansiyel ihlal durumunda aşağıda yer alan bilgiler toplanır. a) İhlalin gerçekleştiği tarih ve saat b) İhlalin kaynağı c) İhlalden hangi kişisel verilerin ve kişi gruplarının etkilendiği d) İhlalden kaç kişinin etkilendiği
1.2 Olası Sonuçların Analizi	Kişisel veri ihlali ya da potansiyel ihlalden kaynaklanabilecek sorunların tespit edilmesi için aşağıdaki hususlar araştırılır. a) İhlale uğrayan verilerin hangi amaçlar için kullanılacağı b) Diğer kişisel veriler / sistemler için risk bulunup bulunmadığı c) İhlalin potansiyel etkileri d) İlgili kişilerin ihlalden hangi seviyede (Düşük - Orta - Yüksek) etkilenecekleri e) İhlalin Ege Seramik San. ve Tic. A.Ş.’yi etkileme seviyesi (Düşük - Orta - Yüksek) f) İyileşme Zamanı
2- BİLDİRİM
2.1 KVK Kurulu’na Bildirim	Şirket nezdinde bir Veri İhlali yaşanması durumunda, ihlale ilişkin Kurul’a yapılacak bildirimde izlenecek bu maddedeki prosedür, Kurul’un 24.01.2019 tarihli 2019/10 sayılı kararına uygun olarak hazırlanmıştır. Veri ihlali, ihlalin tespit edildiği tarihten itibaren 72 saat içerisinde Kurul’a bildirilecektir. İhlalin Kurul’a bildirilmesi için 72 saatin yeterli olmaması ve bu durumun haklı bir gerekçeye dayanması halinde, yapılacak geç bildirimde “gecikmenin gerekçesi” de Kurul’a açıklanacaktır. Kurum’un https://ihlalbildirim.kvkk.gov.tr/ adresli web sayfasından “Bildirim Oluştur” bağlantısına girilmek suretiyle ilgili Veri İhlali Bildirim Formu doldurularak bildirim yapılacaktır. Bildirime ilişkin formu https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/641835-dfc-428f-9315-2e8b3f4f4a.pdf adresinde yer almaktadır. Formda yer alan bilgilerin aynı anda sağlanmasının mümkün olmadığı hallerde, bu bilgilerin gecikmeye mahal verilmeksizin aşamalı olarak elde edilmesi sağlanacaktır.
2.2 Veri İlgilisi’ne Bildirim	Şirket nezdinde bir Veri İhlali yaşanması durumunda, ihlale ilişkin Veri İlgilisi’ne yapılacak bildirimde izlenecek bu maddedeki prosedür Kurul’un 24.01.2019 tarihli 2019/10 sayılı kararına ve Kurul’un 18.09.2019 tarihli 2019/2713 kararına uygun olarak hazırlanmıştır. Kişisel veri ihlalinden etkilenen kişiler makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa web sitesi üzerinden yayımlanarak bildirim yapılacaktır. Bildirimin içeriğinde yer verilecek asgari bilgiler aşağıda yer almaktadır. a) İhlalin ne zaman gerçekleştiği, b) Kişisel veri kategorileri bazında (kişisel veri / özel nitelikli kişisel veri ayrımı yapılarak) hangi kişisel verilerin ihlalden etkilendiği, c) Kişisel veri ihlalinin olası sonuçları, d) Veri ihlalinin olumsuz etkilerini azaltılması için alınan veya alınması önerilen tedbirler, e) İlgili kişilerin veri ihlali ile ilgili bilgi almalarını sağlayacak irtibat kişilerinin isim ve iletişim detayları ya da veri sorumlusunun web sayfasının tam adresi, çağrı merkezi vb. iletişim yolları.
3- ÖNLEM
Ege Seramik San. ve Tic. A.Ş.’de oluşabilecek zafiyetlerin giderilmesi ve ihlallerin tekrarının önlenmesi için alınacak tedbirler aşağıda yer almaktadır. 1. İhlal öncesi, bu tür ihlalleri engellemek için alınan tedbirlerin yeterliliğinin değerlendirilmesi. 2. İhlal sonrası, kişisel veri ihlallerinin etkilerini azaltmak ve tekrarını önlemek amacı ile teknik ve idari aksiyonların alınması. 3. Kişisel veri koruma ile ilgili çalışanlara periyodik eğitimlerin verilmesi.

6. Prosedürün Yayınlanması

İşbu prosedür elektronik ortamda (QDMS) yayımlanır ve www.egeseramik.com adresli web sayfasında kamuya açıklanır. Prosedür, Şirket’in web sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilir.

7. Prosedürün Güncellenmesi

Prosedür, yılda en az bir kere ve ihtiyaç durumunda gözden geçirilir, gerekli olan bölümler güncellenir.

Politika’ nın en güncel haline www.egeseramik.com adresli web sayfasından ulaşılabilir.

Detaylı Ürün Arama