KİŞİSEL VERİ VE GİZLİLİK YÖNETİM POLİTİKASI

BAŞAKŞEHİR BELEDİYE BAŞKANLIĞI

BİLGİ İŞLEM MÜDÜRLÜĞÜ

KİŞİSEL VERİ VE GİZLİLİK
YÖNETİM POLİTİKASI

ISO/IEC 27701:2019  •  ISO/IEC 27001:2022 ile bütünleşik

Belge Künyesi	Bilgi
Doküman No	BB.BGYS.PL.33
İlk Yayın Tarihi	18.05.2026
Revizyon Numarası	00
Revizyon Tarihi	— (ilk yayın)
Doküman Sahibi	Başakşehir Belediye Başkanlığı / Bilgi İşlem Müdürlüğü

 

Kurumsal politika • Yetkili yönetici onayıyla yürürlüğe girer.

 

 

DOKÜMAN REVİZYON GEÇMİŞİ

Tarih	Revizyon	Düzenleyen	Açıklama
Onay tarihi	00	Bilgi İşlem Müdürlüğü	KVYS kapsamı, işleme rolleri, temel gizlilik taahhütleri ve BGYS bağlantılarını içeren ilk politika yayını

 

İÇİNDEKİLER

1. Amaç

2. Kapsam ve sınırlar

3. Referanslar ve ilkeler

4. Politika ilkeleri ve kurumsal taahhütler

5. Yönetim, görev ve sorumluluklar

6. KVYS hedefleri, uygulanabilirlik ve kontrol yönetimi

7. İletişim, izleme ve gözden geçirme

8. İlgili dokümanlar

9. Yönetim ve onay

 

Doküman bütünlüğü: Bu politika BB.BGYS.PL.00 Bilgi Güvenliği Politikası ile birlikte uygulanır; ayrıntılı kontrol kararları BB.BGYS.UB.01 KVYS Uygulanabilirlik Beyanı'nda tutulur.

 

 

1. AMAÇ

Başakşehir Belediye Başkanlığı Bilgi İşlem Müdürlüğünün yürüttüğü kapsam içi faaliyetlerde işlenen kişisel verilerin hukuka uygun, güvenli, şeffaf ve hesap verebilir biçimde yönetilmesine yönelik üst yönetim taahhütlerini belirlemek; ISO/IEC 27701:2019 Kişisel Veri Yönetim Sistemi (KVYS) ile ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sisteminin (BGYS) ortak politika çerçevesini tamamlamaktır.

2. KAPSAM VE SINIRLAR

Onaylı KVYS kapsamı: “Bilgi İşlem Müdürlüğünün kapsam dahilindeki faaliyetleri sırasında işlenen kişisel verilere ilişkin gizlilik ve kişisel veri yönetimi; ilgili işleme rolleri süreç bazında tanımlanır.”

Politika; Bilgi İşlem Müdürlüğünün kapsamdaki sistem, uygulama, hizmet, bilgi varlığı, çalışan, yetkili kullanıcı ve dış hizmet sağlayıcı arayüzlerine uygulanır. Fiziksel ve organizasyonel sınırlar, hizmet/sistem bağımlılıkları ve süreç etkileşimleri BB.BGYS.PR.35 Entegre Kuruluş Bağlamı Prosedürü ile BB.BGYS.F.91–F.94 kayıtlarında gösterilir.

Belediye tüzel kişiliğinin kendi amaçları doğrultusunda yürüttüğü kişisel veri işleme faaliyetleri veri sorumlusu rolü çerçevesinde ele alınır. Bilgi İşlem Müdürlüğünün Belediye bünyesindeki diğer birimlere sunduğu teknik destek, tek başına ayrı bir veri işleyen rolü oluşturmaz. Başka bir bağımsız veri sorumlusu adına yürütülebilecek işleme faaliyetlerinin hukuki rolü ve kontrolleri ayrıca değerlendirilir.

3. REFERANSLAR VE İLKELER

ISO/IEC 27701:2019 (özellikle 5.3 ve 5.4, Ek-A ve Ek-B); ISO/IEC 27001:2022; 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil mevzuat; Belediye BGYS politikası ve iç düzenlemeleri; sözleşmeler, hizmet taahhütleri, envanter ve kayıt yönetimi esasları.

4. POLİTİKA İLKELERİ VE KURUMSAL TAAHHÜTLER

• Hukuka uygunluk ve amaç sınırlılığı: Kişisel veriler belirli, açık ve meşru amaçlarla; ilgili hukuki işleme şartlarına uygun şekilde işlenir.
• Doğruluk ve veri minimizasyonu: İşlenen veriler amaçla bağlantılı, sınırlı ve ölçülü tutulur; doğruluk ve güncellik ihtiyacı gözetilir.
• Şeffaflık ve ilgili kişi hakları: Kişisel verisi işlenen kişiler uygun yöntemlerle aydınlatılır; başvurular, talepler ve hak kullanım süreçleri koordine edilir.
• Gizlilik, bütünlük ve erişilebilirlik: Kişisel verilerin yetkisiz erişim, değişiklik, kayıp ve ifşaya karşı korunması için riskle orantılı idari ve teknik tedbirler uygulanır.
• Tasarım gereği ve varsayılan olarak gizlilik: Yeni hizmet ve sistemlerde gizlilik gereklilikleri tasarım, değişiklik ve kabul aşamalarında değerlendirilir; varsayılan yetkiler asgari gereksinime göre belirlenir.
• Saklama, imha ve güvenli aktarım: Kişisel veriler belirlenmiş süreler ve amaçlarla uyumlu saklanır; süre sonunda uygun usullerle silinir, yok edilir veya anonim hâle getirilir; aktarımlar hukuki ve güvenlik şartlarına tabi tutulur.
• Olay ve ihlal yönetimi: Kişisel veri güvenliği olayları gecikmeksizin ilgili sorumlulara bildirilir; değerlendirme, müdahale, kayıt ve gerekli makam/ilgili kişi bildirimleri mevzuata göre yürütülür.
• Tedarikçi ve veri işleyen yönetimi: Dış hizmet sağlayıcıların veri işleme ve güvenlik sorumlulukları rolüne uygun sözleşmeler, yetkiler, izleme ve kontrollerle yönetilir.
• Hesap verebilirlik: Veri akışları, işleme rolleri, risk değerlendirmeleri, kararlar ve alınan tedbirler uygun kayıtlarla izlenebilir tutulur.
• Farkındalık ve iyileştirme: Çalışanlar görevlerine uygun eğitim ve farkındalık çalışmalarıyla desteklenir; KVYS etkinliği iç tetkik, YGG, hedefler ve iyileştirme faaliyetleriyle geliştirilir.

5. YÖNETİM, GÖREV VE SORUMLULUKLAR

Üst yönetim, kişisel veri yönetimi politikası ve hedeflerinin kurumun stratejik yönüyle uyumunu, kaynak ihtiyacını, uygulanabilir yükümlülüklere uyumu ve sürekli iyileştirmeyi destekler. Bilgi İşlem Müdürü, KVYS'nin kapsam dahilindeki teknik süreçlere entegrasyonunu ve sorumlular arasında koordinasyonu sağlar.

KVYS sorumluları ve süreç sahipleri; işleme faaliyetlerinin kaydı, rol belirleme, erişim ve gizlilik tedbirlerinin uygulanması, olayların yönlendirilmesi ve performansın izlenmesinden görevleri ölçüsünde sorumludur. Hukuk/KVKK birimi hukuki işleme şartları, ilgili kişi hakları, aktarım ve sözleşme yükümlülüklerinin değerlendirilmesine katılır. Görev ve raporlama ilişkileri F.22 Yönetim Sistemleri Ekibi ve F.84 Yönetim Temsilcisi Atama Yazısı ile ilişkilendirilir.

6. KVYS HEDEFLERİ, UYGULANABİLİRLİK VE KONTROL YÖNETİMİ

KVYS için ölçülebilir hedefler belirlenir; sorumlular, izleme ölçütleri, kaynaklar ve değerlendirme sıklığı kurumsal hedef kayıtlarında gösterilir. Kişisel veri işleme riskleri, BGYS risk yönetimiyle bütünleşik olarak değerlendirilir.

ISO/IEC 27701:2019 Ek-A ve Ek-B kontrollerinin uygulanabilirliği, ilgili veri sorumlusu/veri işleyen rolleri, riskler ve yükümlülükler esas alınarak BB.BGYS.UB.01 KVYS Uygulanabilirlik Beyanı'nda kayıt altına alınır. Ek-B'ye ilişkin mevcut uygulanamazlık kararı rol ve kapsam gerekçesiyle bu beyanda izlenir; başka bağımsız veri sorumlusu adına işleme faaliyeti ortaya çıktığında karar yeniden değerlendirilir. ISO/IEC 27001:2022 güvenlik kontrolleri BB.BGYS.UB.00 BGYS Uygulanabilirlik Beyanı'yla ilişkilendirilir.

7. İLETİŞİM, İZLEME VE GÖZDEN GEÇİRME

Politika çalışanlara uygun kanallarla duyurulur ve ilgili taraflar için erişilebilirliği sağlanır. Politika yılda en az bir kez ve mevzuat, kapsam, veri işleme rolü, önemli sistem değişikliği veya güvenlik/gizlilik olayı sonrasında gözden geçirilir. KVYS hedefleri, başvurular, olaylar, kontrol sonuçları, iç tetkik ve YGG kayıtları iyileştirme girdisidir.

8. İLGİLİ DOKÜMANLAR

Doküman / Kayıt	Bağlantı
BB.BGYS.PL.00	Bilgi Güvenliği Politikası; ortak BGYS/KVYS taahhütleri
BB.BGYS.PR.35 ve BB.BGYS.F.91–F.94	Kuruluş bağlamı, kapsam, sınırlar ve süreç ilişkileri
BB.BGYS.UB.01 / BB.BGYS.UB.00	KVYS Ek-A/Ek-B ve BGYS uygulanabilirlik kararları
F.22 / F.84	Yönetim sistemleri ekibi; yönetim temsilcisi ve görevler
F.35 / F.21 / PR.19	Hedefler, YGG ve performans değerlendirmeleri
Kişisel veri envanteri, ilgili kişi başvuru, ihlal, saklama ve imha kayıtları	KVYS operasyonel uygulama kanıtları

 

9. YÖNETİM VE ONAY

Bu politika yetkili yönetici onayıyla yürürlüğe girer. Yürütülmesinden Bilgi İşlem Müdürlüğü ve görevli KVYS süreç sahipleri, kendi yetki ve sorumlulukları ölçüsünde sorumludur.

Hazırlayan / Gözden Geçiren	Yönetici Onayı
Ad Soyad / Unvan: İmza: Tarih:	Ad Soyad / Unvan: İmza: Tarih: