Services de Consultation Externe

Services d'Imagerie

Services de Laboratoire

Check-up

PLAN D'INTERVENTION D'INTERMED EN CAS DE VIOLATION DE DONNÉES

PREMIÈRE PARTIE

Objectif, Champ d’application et Définitions

Objectif

Article 1 – Le but de ce Plan est de protéger les droits et libertés fondamentaux des personnes, en particulier le respect de la vie privée, et d'empêcher le traitement illicite des données à caractère personnel dans le cadre du traitement des données personnelles en tant qu'Intermed Sağlık Hizmetleri Anonim Şirketi et tous les autres affiliés, autres sociétés et centres de santé (« Intermed ») affiliés ainsi que de définir les rôles et les responsabilités et de réglementer les procédures et les principes relatifs à des questions de savoir à qui Intermed, en tant que responsable du traitement des données, doit faire rapport en cas de violation des données personnelles traitées afin de remplir ses obligations de prendre toutes les mesures techniques et administratives nécessaires pour assurer le niveau de sécurité approprié afin d'empêcher l'accès illicite aux données personnelles et d'assurer la protection des données personnelles et de déterminer qui est responsable de la notification à faire dans le cadre de la loi et de l'évaluation des conséquences possibles de la violation des données.

Portée

Article 2 – Le champ d'application de ce Plan comprend les employés chargés du traitement des données personnelles traitées physiquement ou électroniquement par Intermed.

Définitions

Article 3 – Dans le cadre de l'application du présent Plan, les termes suivants ont la signification indiquée ;

  • Consentement éclairé : Consentement sur un sujet spécifique, fondé sur des informations et exprimé en toute liberté.
  • Person concernée : Personne physique dont les données personnelles sont traitées,
  • Intermed : Intermed Sağlık Hizmetleri A.Ş., ainsi que Intermar Sağlık Hizmetleri A.Ş., Intermed Laboratuvar Hizmetleri Ltd. Şti., Intermet Sağlık Hizmetleri A.Ş., Ultra Görüntüleme Merkezi A.Ş., Unimed Anadolu Sağlık Hizm.Ve Tic. A.Ş., Unimed Sağlık Hizmetleri ve Tic. A.Ş., EWRS Tıbbi Cihazlar Ticaret Ltd. Şti et Affidea Sağlık Hizmetleri ve Tic.A.Ş.
  • Loi : Loi n° 6698 sur la Protection des Données Personnelles,
  • Donnée personnelle : Toute information concernant une personne physique identifiée ou identifiable.
  • Traitement des données personnelles : Toute opération effectuée sur des données personnelles, telles que la collecte, l'enregistrement, le stockage, la conservation, la modification, la réorganisation, la divulgation, le transfert, la réception, la mise à disposition, la classification ou la restriction de l'utilisation des données personnelles, que ce soit par des moyens entièrement ou partiellement automatisés ou par des moyens non automatisés, à condition qu'ils fassent partie d'un système de gestion des données,
  • g) Conseil : Conseil de la protection des données personnelles,
  • Données relatives à la race, à l'origine ethnique, aux opinions politiques, aux convictions philosophiques, à la religion, à la secte ou à d'autres croyances, à l'apparence, à l'appartenance à des associations, fondations ou syndicats, à la santé, à la vie sexuelle, aux condamnations pénales et aux mesures de sûreté, ainsi qu'aux données biométriques et génétiques (le terme « données personnelles » utilisé dans le reste de la présente convention inclut, le cas échéant, des données personnelles sensibles),
  • Plan : Plan d'intervention d'Intermed en cas de violation de données,
  • Violation de données: Acquisition illégale par des tiers de données personnelles traitées par le responsable du traitement,
  • Sous-traitant : Personne physique ou morale qui traite les données personnelles pour le compte du responsable du traitement des données, sur la base de l'autorisation accordée par ce dernier,
  • Système d'enregistrement des données : Système d'enregistrement dans lequel les données personnelles sont structurées et traitées selon certains critères,
  • Responsable du traitement : Personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles et qui est responsable de la mise en place et de la gestion du système d'enregistrement des données :

DEUXIÈME PARTIE

Violation de données

Violation de données

Article 4 – Il s'agit de l'acquisition illégale par des tiers de données personnelles traitées par Intermed, conformément au paragraphe 5 de l'article 12 de la loi.

En plus de la définition ci-dessus, toute destruction, perte, modification, divulgation non autorisée des données personnelles transmises, conservées ou traitées, ou tout accès accidentel à ces données résultant d'une violation de la sécurité sera également considérée comme une violation de données dans le cadre de ce Plan.

TROISIÈME PARTIE

BUTS, responsables et responsabilités

Objectifs

Article 5 – En cas de violation des données, les objectifs d'Intermed dans le cadre du Plan sont les suivants :

  • Enquêter sur l'incident qui a causé la violation de données en interne au sein de tous les services concernés (en coopération avec les forces de l'ordre et d'autres institutions et organisations publiques, le cas échéant),,
  • Déterminer la source de la violation de données,
  • Déterminer les catégories de données personnelles affectées par la violation de données,
  • Déterminer les effets actuels et potentiels que les parties affectées par la violation de données ont subis ou sont susceptibles de subir, et minimiser les dommages découlant de ces effets, le cas échéant,
  • Déterminer l'ampleur des effets sur l'organisation d'Intermed, des pertes commerciales, de la réduction des opérations, des pertes de réputation et/ou des dommages financiers résultant de la violation des données et s'assurer qu'ils sont minimisés conformément à la loi,
  • Identifier les groupes de personnes/parties affectées par la violation de données,
  • Déterminer le délai de récupération après la violation de données,,
  • En cas de cyberattaque, détecter les suivants ;
    • Si les systèmes d'information sont affectés par la cyberattaque, ,
    • L'élément de violation résultant de l'attaque,
    • Les effets de la cyberattaque sur l'organisation d'Intermed, et
    • Délai de récupération après la cyberattaque,
  • Déterminer les mesures prises pour éviter que la répétition de la violation et estimer le temps nécessaire pour les mettre en œuvre,
  • Notifier l’incident à l'origine de la violation de données ou la perte résultant de l’incident
    • au Conseil dans les 72 heures, conformément à la loi,
    • aux personnes concernées affectées par la violation de données, dans les plus brefs délais, par des méthodes appropriées,
    • aux employeurs, dans les plus brefs délais,
    • aux autres organisations ou institutions dans le pays, conformément aux obligations légales pertinentes, si nécessaire,
  • Notifier les autres autorités de protection des données ou institutions concernées situées à l'étranger dans les délais requis conformément aux obligations légales,
  • Organiser des audits internes après l’incident qui a conduit à la violation de données, organiser des activités de formation et assurer la communication interne afin de minimiser les éventuelles violations de données qui pourraient se produire à l'avenir; et
  • Enregistrer les informations relatives aux violations de données, leurs effets et les mesures prises, et les maintenir à disposition pour examen par le Conseil.

Dirigeants et responsabilités

Article 6 – En cas de violation des données, les départements responsables au sein d'Intermed conformément au présent Plan sont déterminés en fonction de la nature de l\’incident à l'origine de la violation des données ; cependant, dans tous les cas, au moins un représentant de chacun des département énumérés dans le tableau ci-dessous sera désigné. Les responsabilités des représentants sont également précisées dans le même tableau.

Département en charge Responsabilités en cas de violation de données
Responsable de la Protection des Données (DPO) 1. Investigate the incident that caused the Data Breach internally with all relevant departments (in cooperation with law enforcement and other public institutions and organizations, if necessary).
2. Determine the source of the Data Breach.
3. Determine the personal data categories affected by the Data Breach.
4. Determine the person groups/parties affected by the Data Breach.
5. Determine the current and potential impacts that the parties affected by the Data Breach are likely to experience and ensure that the damages arising from these impacts, if any, are minimized.
6. Determine the extent of the impacts, commercial losses, reduction in operations, reputational losses and/or financial damages on İntermed's organization as a result of the Data Breach and ensure that they are minimized in a legal manner.
7. Determine the time frame for recovery following the Data Breach.
8. Determine the steps taken to prevent the breach from recurring and calculate the estimated time it will take to complete them.
9. Report the incident that caused the Data Breach or the resulting loss to the Board within 72 hours in accordance with the Law.
10. Notify other data protection authorities or relevant institutions abroad within the timeframe in accordance with the relevant legal obligations.
11. Record information, effects and measures taken regarding data breaches and keep them ready for the Board's review.
12. Organize internal audits, organize training activities and ensure internal communication after the incident leading to the Data Breach in order to minimize possible Data Breaches in the future.
13. In the event that personal data held by the data processor is obtained by others through illegal means, ensure that the necessary notification is made to the Board if the data processor notifies the data controller without any delay.
14. Ensure that the plan is reviewed every 6 (six) months from the effective date.
Département informatique En cas de violation des données par une cyberattaque ou tout autre moyen électronique :
1. Déterminer si les systèmes d’information ont été affectés par la violation des données.
2. Identifier l’élément de violation résultant de la violation des données.
3. Déterminer les effets de la violation des données sur l’organisation d’Intermed.
4. Déterminer le temps nécessaire pour la récupération après la violation.
Département RH 1. Déterminer si la violation de données a été commise par un employé d'Intermed.
2. Déterminer si les employés d'Intermed sont affectés par la violation des données.
3. Déterminer l'élément de la violation qui s'est produit à la suite de la violation de données, les effets de la violation de données sur l'organisation d'Intermed et le délai de récupération après la violation de données.
4. Préparer des activités de formation et assurer la communication interne après l’incident qui a causé la violation de données.
5. Notifier l’incident à l'origine de la violation de données ou la perte résultant de l’incident aux employeurs, dans les plus brefs délais.
6. Réaliser un audit interne après l’incident qui a causé la violation de données.
7. Notifier l’incident à l'origine de la violation de données ou la perte résultant de l’incident aux personnes concernées affectées par la violation de données, dans les plus brefs délais, par des méthodes appropriées.
8. Notifier les autres autorités de protection des données ou institutions concernées situées à l'étranger dans les délais requis conformément aux obligations légales.
Tableau 1 : Responsables et leurs responsabilités dans le cadre du Plan d'intervention en cas de violation de données

QUATRIÈME PARTIE

Notification

Notification par le Responsable du Traitement

Article 6 – En cas de violation des données, les départements responsables au sein d'Intermed conformément au présent Plan sont déterminés en fonction de la nature de l\’incident à l'origine de la violation des données ; cependant, dans tous les cas, au moins un représentant de chacun des département énumérés dans le tableau ci-dessous sera désigné. Les responsabilités des représentants sont également précisées dans le même tableau.

  • Notifier l’Autorité sans délai et au plus tard dans les 72 heures suivant la connaissance de la violation des données,
  • Après avoir identifié les personnes affectées par la violation, notifier les personnes concernées dans un délai raisonnable, directement si leur adresse de contact est disponible, sinon par la publication sur le site web du responsable du traitement ou d’autres méthodes appropriées.
  • En cas de non-notification dans les 72 heures pour des raisons justifiées, expliquer les raisons du retard à l’Autorité avec la notification.
  • Utiliser le Formulaire de Notification de Violation de Données Personnelles disponible à l’adresse “https://ihlalbildirim.kvkk.gov.tr/” pour la notification à l’Autorité.
  • Lors de l’utilisation du “Formulaire de Notification de Violation de Données Personnelles” disponible à l’adresse https://ihlalbildirim.kvkk.gov.tr/ pour notifier l’Autorité, il est également nécessaire de lire le “Guide du Formulaire de Notification de Violation de Données Personnelles (Internet)” disponible au même endroit.
  • Lorsque la fourniture simultanée des informations figurant dans le formulaire n’est pas possible, ces informations doivent être fournies de manière progressive sans retard, et
  • Enregistrer les informations relatives aux violations de données, leurs effets et les mesures prises, et les maintenir à disposition pour examen par le Conseil.

Intermed exécutera toutes les procédures mentionnées ci-dessus concernant la notification conformément à l’article 5 du présent Plan et aux unités spécifiées en détail dans le tableau de cet article.

Principes de Notification à la Personne Concernée

Article 7 – Conformément à la décision du Conseil de protection des données personnelles en date du 18.09.2019 et portant le numéro 2019/271, la notification à faire aux personnes concernées affectées ou soupçonnées d'être affectées par la violation de données doit être faite dans un langage clair et simple et la notification doit comprendre au moins les éléments suivants :

  • La données personnelles affectées par la violation sur la base des catégories de données personnelles (en faisant une distinction entre les données personnelles et les catégories spéciales de données personnelles),
  • Les conséquences possibles de la violation de données personnelles,
  • Les mesures prises ou proposées pour atténuer les effets négatifs de la violation de données,
  • Les noms et coordonnées des personnes de contact fournissant des informations sur la violation des données, ou l'adresse complète du site web du responsable du traitement, du centre d'appels, etc. yolları

Notification par le Sous-traitant

Article 8 – En cas d'obtention illégale de données personnelles détenues par le sous-traitant, ce dernier doit notifier immédiatement Intermed, le responsable du traitement, sans aucun retard. Suite à cette notification de la part du sous-traitant, Intermed notifiera le Conseil en suivant la procédure prévue à l'article 6 du Plan.

Violation de Données à l’Étranger

Article 9 – Dans le cas où la violation de données est subie sous la responsabilité du responsable du traitement des données résidant à l'étranger, si les conséquences de cette violation affectent les personnes concernées résidant en Turquie et si les personnes concernées bénéficient des produits et services offerts en Turquie, ce responsable du traitement des données notifiera également le Conseil dans le cadre des principes spécifiés à l'article 6 du Plan.

CINQUIÈME PARTIE

Dispositions Diverses

Entrée en Vigueur

Article 10 – Ce Plan préparé par Intermed est valable à partir de la date d'entrée en vigueur conformément à la décision prise par l'organe de gestion.

Révision du Plan

Article 11 – Ce plan, qui est préparé et mis en vigueur, est révisé de manière périodique chaque année.

TABLEAU DE MISE À JOUR

Les modifications apportées à ce Plan sont présentées dans le tableau ci-dessous.

DATE DE MISE À JOUR/VERSION PORTÉE DES MISES À JOUR
8.2.2021 / 00 Publication initiale du Plan