سياسة الاحتفاظ بالبيانات الشخصية وإتلافها

1. المقدمة

1.1 الغرض

تم إعداد سياسة حفظ البيانات الشخصية وإتلافها («السياسة») هذه من قبل UĞUR SAĞLIK HİZMETLERİ ANONİM ŞİRKETİ «مستشفى أكاديمي الخاص (ÖZEL AKADEMİ HASTANESİ)» (ويُشار إليها فيما يلي بـ «مستشفى أكاديمي (AKADEMİ HASTANESİ)» و/أو «الشركة») بصفتها المسؤول عن البيانات، وذلك بغرض تحديد الإجراءات والمبادئ المتعلقة بعمليات حفظ البيانات الشخصية وحذفها وإتلافها وإخفاء هويتها وفقاً لـ قانون حماية البيانات الشخصية رقم 6698 (KVKK) («القانون»)، وللتشريعات ذات الصلة، وفي مقدمتها اللائحة المتعلقة بحذف البيانات الشخصية أو إتلافها أو إخفاء هويتها («اللائحة») التي تشكل تشريعاً ثانوياً للقانون والتي نُشرت في الجريدة الرسمية بتاريخ 28 أكتوبر 2017 ودخلت حيز النفاذ، ولائحة معالجة البيانات الصحية الشخصية وحماية خصوصيتها، وكذلك بغرض إعلام أصحاب البيانات الذين تتم معالجة بياناتهم الشخصية من قبل مستشفى أكاديمي، والوفاء بالالتزامات المترتبة بموجب القانون والتشريعات ذات الصلة.

حدد مستشفى أكاديمي، انطلاقاً من مبادئ عمله الأساسية، كأولوية له معالجةَ جميع البيانات الشخصية العائدة لموظفيه والمرشحين للتوظيف والمتدربين ومسؤولي الموردين وموظفي الموردين والمساهمين/الشركاء من الأشخاص الطبيعيين بصورة مباشرة أو غير مباشرة والمشترين المحتملين للمنتجات والخدمات وجميع المرضى وذويهم ومرافقيهم وسائر الأطراف الثالثة، بما يتوافق مع دستور الجمهورية التركية والاتفاقيات الدولية وقانون حماية البيانات الشخصية رقم 6698 والمرسوم بقوة القانون رقم 663 بشأن تنظيم ومهام وزارة الصحة والمؤسسات التابعة لها ولائحة المستشفيات الخاصة وأنظمة وزارة الصحة وسائر التشريعات، وضمانَ ممارسة أصحاب البيانات لحقوقهم بشكل فعال.

تُنفَّذ الأعمال والإجراءات المتعلقة بحفظ البيانات الشخصية وحذفها وإتلافها وإخفاء هويتها والتخلص منها وفقاً لهذه السياسة التي أعدها مستشفى أكاديمي في هذا الاتجاه.

1.2 النطاق

تندرج ضمن نطاق هذه السياسة جميع البيانات الشخصية العائدة لموظفي مستشفى أكاديمي والمرشحين للتوظيف والمتدربين ومسؤولي الموردين وموظفي الموردين والمساهمين/الشركاء من الأشخاص الطبيعيين بصورة مباشرة أو غير مباشرة والمشترين المحتملين للمنتجات والخدمات وجميع المرضى وذويهم ومرافقيهم وسائر الأطراف الثالثة، وتُطبَّق هذه السياسة على جميع وسائط التسجيل التي تُعالَج فيها البيانات الشخصية المملوكة لمستشفى أكاديمي أو التي يديرها مستشفى أكاديمي، وعلى جميع الأنشطة المتعلقة بمعالجة البيانات الشخصية.

1.3 الاختصارات والتعاريف

2. توزيع المسؤوليات والمهام

يلتزم موظفو مستشفى أكاديمي بالامتثال للقواعد المحددة في هذه السياسة وبتقديم الدعم اللازم للوحدات المسؤولة عن معالجة البيانات الشخصية. ويتصرف موظفو الشركة الذين يعالجون البيانات الشخصية، أثناء تنفيذهم لأنشطة معالجة البيانات، وفقاً للمبادئ الأساسية وشروط معالجة البيانات الشخصية وشروط معالجة البيانات الشخصية ذات الطبيعة الخاصة.

وفي هذا الإطار، تم أدناه بيان المسؤولين المختارين من بين أعضاء لجنة حماية البيانات الشخصية، ووحداتهم، ومهامهم في عمليات حفظ البيانات الشخصية وإتلافها بشكل مفصل.

الجدول 1: توزيع المهام في عمليات الحفظ والإتلاف

يُبيَّن في الجدول 1 توزيع المسميات الوظيفية والوحدات وأوصاف المهام الخاصة بالمكلفين في عمليات حفظ البيانات الشخصية وإتلافها.

3. وسائط التسجيل

تُحفظ البيانات الشخصية من قبل مستشفى أكاديمي بشكل آمن ووفقاً للقانون في الأوساط المدرجة في الجدول 2.

الجدول 2: أوساط حفظ البيانات الشخصية

4. إيضاحات تتعلق بالحفظ والإتلاف

يتصرف مستشفى أكاديمي في حفظ البيانات الشخصية وإتلافها في إطار المبادئ المبينة أدناه.

4.1 إيضاحات تتعلق بالحفظ

نصت المادة 4 من القانون على وجوب أن تكون البيانات الشخصية مرتبطة بالغرض الذي تُعالَج من أجله ومحدودة ومتناسبة معه، وأن يتم الاحتفاظ بها للمدة المنصوص عليها في التشريعات ذات الصلة أو للمدة اللازمة للغرض الذي تُعالَج من أجله، فيما عددت المادتان 5 و6 شروط معالجة البيانات الشخصية.

وبناءً على ذلك، تُحفظ البيانات الشخصية المعالَجة في إطار أنشطتنا وفقاً للتشريعات ذات الصلة و/أو للمدة المتناسبة مع أغراض المعالجة لدينا. ويمكن مراجعة هذه المدد حسب الحاجة على فترات لا تقل عن ستة أشهر، ويتم الإعلان عنها لأصحاب البيانات عبر VERBİS.

4.1.1 الأسباب القانونية الموجبة للحفظ

يُحتفظ بالبيانات الشخصية التي يعالجها مستشفى أكاديمي وفقاً للتشريعات ذات الصلة في مجال نشاطه و/أو للمدة المتناسبة مع أغراض المعالجة لدينا. وفي هذا الإطار، سيتم الاحتفاظ بالبيانات الشخصية بموجب التشريعات المذكورة أدناه، دون أن يقتصر ذلك عليها، وبموجب أحكام التشريعات الأخرى النافذة أو التي ستدخل حيز النفاذ.

• قانون حماية البيانات الشخصية رقم 6698
• قانون الالتزامات التركي رقم 6098
• قانون العقوبات التركي رقم 5237
• القانون التجاري التركي رقم 6102
• قانون التأمينات الاجتماعية والتأمين الصحي العام رقم 5510
• قانون الخدمات الصحية رقم 3359
• قانون الصحة والسلامة المهنية رقم 6331
• قانون العمل رقم 4857
• اللائحة المتعلقة بالبيانات الصحية الشخصية
• لائحة معالجة البيانات الصحية الشخصية وحماية خصوصيتها
• لائحة المستشفيات الخاصة
• اللائحة المتعلقة بخدمات الأرشيف
• المرسوم بقوة القانون رقم 663 بشأن تنظيم ومهام وزارة الصحة والمؤسسات التابعة لها،
• قرارات مجلس حماية البيانات الشخصية (KVKK)
• وتُعالَج البيانات الشخصية في إطار التشريعات القانونية النافذة بموجب هذه القوانين وسائر الأنظمة الثانوية، وتُحفظ للمدد المنصوص عليها في القوانين ذات الصلة.

4.1.2 أغراض المعالجة الموجبة للحفظ

تُحفظ البيانات الشخصية من قبل مستشفى أكاديمي بشكل آمن في الأوساط المادية أو الإلكترونية، ضمن الحدود المنصوص عليها في القانون والتشريعات الأخرى ذات الصلة، ولا سيما لأغراض مواصلة الأنشطة التجارية، والوفاء بالالتزامات القانونية، وتخطيط شؤون الموظفين وإدارتها، وإدارة النزاعات القانونية وفي مقدمتها الدعاوى القضائية وإجراءات التنفيذ.

تُعالَج البيانات الشخصية للأغراض التالية:

• تنفيذ عمليات إدارة حالات الطوارئ
• تنفيذ عمليات أمن المعلومات
• تنفيذ عمليات اختيار وتعيين المرشحين للتوظيف / المتدربين / الطلاب
• تنفيذ عمليات طلبات المرشحين للتوظيف
• تنفيذ عمليات رضا الموظفين وولائهم
• الوفاء بالالتزامات الناشئة عن عقد العمل والتشريعات تجاه الموظفين
• تنفيذ عمليات المزايا والمنافع الإضافية للموظفين
• تنفيذ أنشطة التدقيق / الأخلاقيات
• تنفيذ أنشطة التدريب
• تنفيذ صلاحيات الوصول
• تنفيذ الأنشطة وفقاً للتشريعات
• تنفيذ الشؤون المالية والمحاسبية
• تنفيذ عمليات الولاء للشركة / المنتجات / الخدمات
• تنفيذ عمليات التكليف بالمهام
• متابعة الشؤون القانونية وتنفيذها
• تنفيذ أنشطة التدقيق الداخلي / التحقيق / جمع المعلومات
• تنفيذ أنشطة التواصل
• تخطيط عمليات الموارد البشرية
• تنفيذ / مراقبة أنشطة العمل
• تنفيذ أنشطة الصحة / السلامة المهنية
• تنفيذ أنشطة ضمان استمرارية العمل
• تنفيذ الأنشطة اللوجستية
• تنفيذ عمليات شراء السلع / الخدمات
• تنفيذ خدمات الدعم لما بعد بيع السلع / الخدمات
• تنفيذ عمليات بيع السلع / الخدمات
• تنفيذ عمليات إنتاج السلع / الخدمات وعملياتها التشغيلية
• تنفيذ عمليات إدارة علاقات العملاء
• تنفيذ الأنشطة الرامية إلى تحقيق رضا العملاء
• إدارة التنظيم والفعاليات
• تنفيذ أعمال التسويق والتحليل
• تنفيذ عمليات تقييم الأداء
• تنفيذ عمليات الإعلان / الحملات / الترويج
• تنفيذ عمليات إدارة المخاطر
• تنفيذ أنشطة الحفظ والأرشفة
• تنفيذ أنشطة المسؤولية الاجتماعية والمجتمع المدني
• تنفيذ عمليات العقود
• تنفيذ أنشطة الرعاية
• متابعة الطلبات / الشكاوى
• ضمان أمن الأموال المنقولة والموارد
• تنفيذ سياسة الأجور
• تنفيذ عمليات تسويق المنتجات / الخدمات
• ضمان أمن عمليات المسؤول عن البيانات
• تنفيذ أنشطة تطوير المواهب / المسار المهني
• تقديم المعلومات إلى الأشخاص والمؤسسات والهيئات المخولة
• إنشاء سجلات الزوار ومتابعتها

4.2 الأسباب الموجبة للإتلاف

فيما يخص البيانات الشخصية؛

• قيام المسؤول عن البيانات بدراسة طلب صاحب البيانات بحذف بياناته الشخصية أو إتلافها في إطار حقوقه القانونية والموافقة عليه،
• سحب صاحب البيانات لموافقته، في الحالات التي تتم فيها معالجة البيانات الشخصية استناداً إلى شرط الموافقة الصريحة فقط،
• تعديل أحكام التشريعات ذات الصلة التي تشكل أساساً لمعالجة البيانات الشخصية وحفظها وإتلافها أو إلغاؤها،
• زوال الغرض المشروع الذي يستوجب معالجة البيانات الشخصية أو حفظها،
• انقضاء المدة القصوى التي تستوجب حفظ البيانات الشخصية، وعدم وجود أي شرط يستوجب حفظ البيانات الشخصية لمدة أطول،
• تقديم شكوى إلى مجلس حماية البيانات الشخصية وقبول المجلس لهذا الطلب، في الحالات التي يرفض فيها المسؤول عن البيانات الطلبَ المقدم إليه من صاحب البيانات بحذف بياناته الشخصية أو إتلافها أو إخفاء هويتها، أو تُعتبر إجابته غير كافية، أو لا يرد خلال المدة المنصوص عليها في القانون؛ ففي هذه الحالات تُحذف البيانات الشخصية و/أو تُتلف و/أو تُخفى هويتها من قبل مستشفى أكاديمي.

معايير وصول العاملين الصحيين إلى البيانات الصحية للأشخاص

(1) لا يجوز للأشخاص المكلفين بتقديم الخدمات الصحية الوصول إلى البيانات الصحية لصاحب البيانات إلا في حدود ما تقتضيه الخدمة الصحية التي ستُقدَّم.

(2) (معدلة: الجريدة الرسمية 3/12/2025-33096) لا يجوز الوصول إلى البيانات الصحية للأشخاص، في حدود شروط المعالجة الواردة في الفقرة الثالثة من المادة 6 من القانون، إلا؛

a) من قبل طبيب الأسرة المسجل لديه الشخص، دون أي قيد زمني،

b) من قبل الطبيب الذي راجعه الشخص بغرض تلقي الخدمة الصحية؛ وذلك خلال الأيام التي تلقى فيها الخدمة الصحية، وحتى استكمال الإجراءات المرتبطة مباشرة بالخدمة الصحية المتلقاة بما في ذلك مدة الاستشارة أو فحص المتابعة،

c) من قبل الأطباء العاملين لدى مقدم الخدمة الصحية الذي راجعه الشخص بغرض تلقي الخدمة الصحية؛ وذلك خلال الأيام التي تلقى فيها الخدمة الصحية، وحتى استكمال الإجراءات المرتبطة مباشرة بالخدمة الصحية المتلقاة بما في ذلك مدة الاستشارة أو فحص المتابعة،

ç) من قبل الأطباء العاملين لدى مقدم الخدمة الصحية الذي أُدخل إليه المريض، حتى خروج المريض من مقدم الخدمة الصحية،

d) وبالنسبة للأشخاص الذين يتم إدخالهم عبر قسم الطوارئ، من قبل جميع الأطباء العاملين في المنشأة الصحية التي يقع فيها قسم الطوارئ الذي أُدخلوا عبره، وفي حدود الخدمة الصحية المعنية، حتى خروجهم.

(3) (معدلة: الجريدة الرسمية 3/12/2025-33096) يتم الوصول إلى البيانات الصحية للأشخاص الذين حددوا تفضيلات إعدادات الأمان عبر حساب e-Nabız في إطار إعدادات الأمان الخاصة بهم. ويُعلَم أصحاب البيانات بشكل مفصل بإعدادات الأمان ونتائجها. ولا تتحمل الوزارة المسؤولية عن أي خلل أو أضرار قد تحدث في تقديم الخدمة الصحية بسبب إعدادات الأمان وتعذر عرض البيانات الصحية السابقة. ولا تُطبَّق الجملة الأولى من هذه الفقرة في الحالات المحددة في البندين (ç) و(d) من الفقرة الثانية، وذلك في حدود شروط المعالجة الواردة في الفقرة الثالثة من المادة 6 من القانون.

(4) (فقرة أُلغيت بقرار الدائرة العاشرة لمجلس الدولة بتاريخ 17/10/2023 ورقم الأساس E.:2019/10544 ورقم القرار K.:2023/5655) (إعادة تنظيم: الجريدة الرسمية 3/12/2025-33096) يجوز الوصول إلى البيانات الصحية السابقة للأشخاص الذين لا يرغبون في الوصول إلى بياناتهم الصحية في الحالات الواردة في تفضيلات الأمان المتاحة، في حال مشاركة الرمز الذي سيُرسل إلى رقم الهاتف الذي صرّح به الشخص نفسه في ملفه الشخصي مع الطبيب، وقيام الطبيب بإدخاله في النظام.

(5) (معدلة: الجريدة الرسمية 3/12/2025-33096) حتى وإن قام الأشخاص بضبط إعدادات الأمان في e-Nabız وفقاً للفقرة الرابعة، ففي الحالات التي يتعذر عليهم فيها الحصول على الرمز الذي سيُرسل في نطاق الفقرة الرابعة بسبب حالات مثل التوقيف أو تنفيذ حكم بالسجن، لا يُجرى أي تحقق من إعدادات الأمان، ويجوز لطبيب الأسرة ولجميع الأطباء الذين فحصوا الشخص الوصول إلى بياناته الصحية، في حدود شروط المعالجة الواردة في الفقرة الثالثة من المادة 6 من القانون. وفي حال زوال هذه الحالات، يجوز للشخص تحديد تفضيلات إعدادات الأمان من جديد.

(6) تُحدِّد الوزارة البيانات الصحية الشخصية ذات مستوى الخصوصية الأعلى، والتي ينطوي اطلاع الآخرين عليها ومعرفتهم بها على خطر التأثير سلباً على الحياة الاجتماعية للأشخاص وصحتهم النفسية، ويجوز فرض قيود متناسبة على وصول العاملين الصحيين إلى هذه البيانات.

5. التدابير التقنية والإدارية

ترد أدناه، على سبيل المثال لا الحصر، التدابير التقنية والإدارية التي نتخذها بصفتنا مستشفى أكاديمي لحفظ البيانات الشخصية بشكل آمن ومنع معالجتها والوصول إليها بصورة غير مشروعة.

5.1 التدابير التقنية

• يتم ضمان أمن الشبكة وأمن التطبيقات.
• تُستخدم شبكة نظام مغلقة في عمليات نقل البيانات الشخصية عبر الشبكة.
• تُطبَّق إدارة المفاتيح.
• تُتخذ التدابير الأمنية في نطاق توريد أنظمة تكنولوجيا المعلومات وتطويرها وصيانتها.
• يتم الاحتفاظ بسجلات الوصول بشكل منتظم.
• تم إعداد سياسات مؤسسية بشأن الوصول وأمن المعلومات والاستخدام والحفظ والإتلاف، وبُدئ في تطبيقها.
• يُطبَّق تدبير حجب البيانات عند الحاجة.
• تُستخدم أنظمة محدَّثة لمكافحة الفيروسات.
• تُستخدم جدران الحماية.
• يتم نسخ البيانات الشخصية احتياطياً، ويُضمن كذلك أمن البيانات الشخصية المنسوخة احتياطياً.
• يُطبَّق نظام لإدارة حسابات المستخدمين والتحكم في الصلاحيات، وتتم متابعته.
• تُجرى عمليات تدقيق داخلية دورية و/أو عشوائية، ويُكلَّف الغير بإجرائها.
• يتم الاحتفاظ بسجلات النظام بطريقة لا تسمح بتدخل المستخدمين.
• إذا كانت البيانات الشخصية ذات الطبيعة الخاصة ستُرسل عبر البريد الإلكتروني، فإنها تُرسل حتماً بشكل مشفر وباستخدام البريد الإلكتروني المسجل (KEP) أو حساب البريد المؤسسي.
• تُستخدم مفاتيح تشفير آمنة / مفاتيح تشفيرية للبيانات الشخصية ذات الطبيعة الخاصة، وتُدار من قبل وحدات مختلفة.
• تُستخدم أنظمة كشف التسلل ومنعه.
• تُجرى اختبارات الاختراق.
• تم اتخاذ تدابير الأمن السيبراني، ويُتابَع تطبيقها باستمرار.
• يتم إجراء التشفير.
• تُنقل البيانات الشخصية ذات الطبيعة الخاصة المنقولة عبر وسائط الذاكرة المحمولة والأقراص المدمجة (CD) وأقراص DVD بعد تشفيرها.
• تُستخدم برمجيات منع فقدان البيانات.

5.2. التدابير الإدارية

• توجد لوائح تأديبية للموظفين تتضمن أحكاماً متعلقة بأمن البيانات.
• تُنفَّذ للموظفين أنشطة تدريب وتوعية بشأن أمن البيانات على فترات منتظمة.
• تم إنشاء مصفوفة صلاحيات للموظفين.
• تُبرَم تعهدات بالسرية.
• تُلغى الصلاحيات في هذا المجال للموظفين الذين تتغير مهامهم أو يتركون العمل.
• تتضمن العقود الموقَّعة أحكاماً متعلقة بأمن البيانات.
• تُتخذ تدابير أمنية إضافية للبيانات الشخصية المنقولة ورقياً، وتُرسل المستندات المعنية بصيغة وثيقة ذات درجة سرية.
• تم تحديد سياسات وإجراءات أمن البيانات الشخصية.
• يتم الإبلاغ عن مشكلات أمن البيانات الشخصية بسرعة.
• تتم متابعة أمن البيانات الشخصية.
• تُتخذ التدابير الأمنية اللازمة المتعلقة بالدخول إلى الأوساط المادية التي تحتوي على بيانات شخصية والخروج منها.
• يُضمن أمن الأوساط المادية التي تحتوي على بيانات شخصية ضد المخاطر الخارجية (الحريق، الفيضان وما إلى ذلك).
• يُضمن أمن الأوساط التي تحتوي على بيانات شخصية.
• يتم تقليل البيانات الشخصية قدر الإمكان.
• تم تحديد المخاطر والتهديدات القائمة.
• تم تحديد بروتوكولات وإجراءات تتعلق بأمن البيانات الشخصية ذات الطبيعة الخاصة، ويجري تطبيقها.
• إذا كانت البيانات الشخصية ذات الطبيعة الخاصة ستُرسل عبر البريد الإلكتروني، فإنها تُرسل حتماً بشكل مشفر وباستخدام البريد الإلكتروني المسجل (KEP) أو حساب البريد المؤسسي.
• تُجرى عمليات تدقيق على مقدمي الخدمات من معالجي البيانات بشأن أمن البيانات على فترات منتظمة.
• يتم ضمان وعي مقدمي الخدمات من معالجي البيانات بشأن أمن البيانات.

6. تقنيات إتلاف البيانات الشخصية

عند انتهاء المدة المنصوص عليها في التشريعات ذات الصلة أو مدة الحفظ اللازمة للغرض الذي تُعالَج من أجله، يقوم مستشفى أكاديمي بإتلاف البيانات الشخصية تلقائياً أو بناءً على طلب صاحب البيانات، وفقاً لأحكام التشريعات ذات الصلة، باستخدام التقنيات المبينة أدناه.

تم اعتماد أساليب الحذف والإتلاف وإخفاء الهوية، من بين أساليب الإتلاف الواردة في اللائحة، لإتلاف البيانات الشخصية الموجودة لدى مستشفى أكاديمي.

الجدول 3: إتلاف البيانات الشخصية

7. مدد الحفظ والإتلاف

تحتفظ شركتنا بالبيانات الشخصية التي تعالجها في نطاق أنشطتها طوال المدد المنصوص عليها في القوانين ومدد التقادم، وتكون مدد الحفظ بشكل عام؛

• مدد حفظ البيانات الشخصية وإتلافها على أساس كل بيان على حدة في «جرد معالجة البيانات الشخصية»
• وعلى أساس فئات البيانات في التسجيل لدى VERBİS،
• على النحو المبين في سياسة حماية البيانات الشخصية والخصوصية.

8. مدة الإتلاف الدوري

حدد مستشفى أكاديمي مدة الإتلاف الدوري بـ 6 أشهر.

9. نشر السياسة وحفظها

تُعَدّ السياسة في وسطين مختلفين، أحدهما موقَّع بخط اليد (ورقي مطبوع) والآخر إلكتروني. وتُنشر على موقعنا الإلكتروني [https://www.eregliakademihastanesi.com.tr]. وتحتفظ مديرية الموارد البشرية بالنسخة الورقية المطبوعة.

10. فترة تحديث السياسة

تُراجَع السياسة كلما دعت الحاجة، وتُحدَّث الأقسام اللازمة منها. ويُعاد نشر النسخ المحدَّثة.

11. نفاذ السياسة

يجوز لمستشفى أكاديمي إجراء التعديلات اللازمة قانوناً على هذه السياسة بالقدر الذي تقتضيه الأنشطة. ويدخل نص السياسة المعدَّل حيز النفاذ بنشره على الموقع [https://www.eregliakademihastanesi.com.tr]. كما سيقوم مستشفى أكاديمي بإخطار جميع فئات أصحاب البيانات بالتعديلات التي ستُجرى عبر البريد الإلكتروني.