Sağlık verisi, KVKK'da özel nitelikli kişisel veri sayılır ve normal kişisel verilere göre daha ağır koruma yükümlülüğüne tabidir. Bir fizyoterapi kliniği bu veriyi zaten topluyor: danışanın şikâyeti, değerlendirme kayıtları, sevk bilgisi. Bu rehber, kliniğin pratikte hangi başlıklara bakması gerektiğini özetler. Hukuki danışmanlık yerine geçmez.
Danışan verisini hangi amaçla ve hangi yolla işleyeceğine karar veren taraf kliniktir; bu nedenle klinik veri sorumlusudur. Kullandığınız yazılım sağlayıcısı ise bu veriyi klinik adına barındıran ve işleyen taraf, yani veri işleyendir.
Bu ayrım önemlidir: bir ihlal durumunda ilk muhatap kliniktir. Yazılım sağlayıcısıyla aranızda veri işleyen sözleşmesi bulunması ve sağlayıcının aldığı teknik tedbirleri belgelemesi beklenir.
Aydınlatma yükümlülüğü her durumda vardır: danışana verisinin hangi amaçla işlendiği, kimlere aktarılabileceği ve haklarının neler olduğu bildirilmelidir.
Açık rıza ise ayrı bir belgedir ve özel nitelikli veri için kural olarak aranır. Rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir; hizmet almanın ön koşulu haline getirilemez.
Pratikte klinikler bu ikisini tek forma sıkıştırma eğilimindedir. Ayrı tutmak hem daha güvenlidir hem de rızanın geri alınması durumunda aydınlatmanın geçerliliğini korur.
KVKK'nın beklediği idari tedbirlerin en pratik karşılığı, her çalışanın yalnızca işini yapmak için gereken veriye erişmesidir. Resepsiyonun klinik değerlendirme kayıtlarına, stajyerin finans ekranlarına erişmesi için bir gerekçe yoktur.
Rol bazlı yetkilendirme bu tedbirin uygulanmış halidir. Ayrıca kritik işlemlerin denetim kaydına alınması, bir sorun çıktığında kimin neye eriştiğini gösterir.
Veri, işlendiği amaç için gerekli süreden uzun tutulamaz. Ancak sağlık ve mali mevzuattan doğan saklama yükümlülükleri bu süreyi uzatabilir; örneğin finansal kayıtlar için ayrı bir saklama süresi söz konusudur.
Bu nedenle bir silme talebi geldiğinde 'her şeyi sil' yaklaşımı doğru değildir. Uygulanabilir yöntem, kişiyi tanımlayan alanların anonimleştirilmesi ve yasal saklama yükümlülüğü olan kayıtların kimliklendirilemez biçimde korunmasıdır.
FizyoDesk'te kalıcı silme bu şekilde çalışır: kişisel alanlar anonimleştirilir, finansal kayıtlar korunur, böylece geçmiş dönem raporları da bozulmaz.
Mevzuat 'uygun güvenlik düzeyi' der; pratikte klinikten beklenen birkaç somut şey vardır.
Kliniklerde veri sızıntısının en sık yolu yazılım değil, kontrolsüz kanallardır: danışan bilgisinin kişisel telefondan mesajla paylaşılması, dosyaların masada açık kalması, ortak kullanılan bir bilgisayarda oturumun kapatılmaması.
Yazılım tarafındaki tedbirler ancak bu kanallar kapatıldığında anlam kazanır.
Danışanın sağlık durumuna ilişkin kayıtlar — şikâyet, değerlendirme, sevk bilgisi — KVKK kapsamında özel nitelikli kişisel veridir ve daha ağır koruma yükümlülüğüne tabidir. Ad, telefon gibi iletişim bilgileri ise genel nitelikli kişisel veridir.
Talebi karşılamak zorundasınız, ancak yasal saklama yükümlülüğü bulunan kayıtlar için istisna vardır. Uygulanabilir yöntem, kişiyi tanımlayan alanların anonimleştirilmesi ve mali mevzuat gereği saklanması gereken kayıtların kimliklendirilemez biçimde korunmasıdır.
Verinin hangi amaçla işleneceğine karar veren taraf olarak klinik veri sorumlusudur. Yazılım sağlayıcısı, klinik adına veriyi barındıran veri işleyendir. Aranızda veri işleyen sözleşmesi bulunmalıdır.
Ayrı tutulması önerilir. Aydınlatma her durumda yapılması gereken bir bilgilendirmedir; açık rıza ise özgür iradeyle verilen ve geri alınabilen ayrı bir onaydır. Tek belgede birleştirildiğinde rızanın özgür iradeyle verildiğini göstermek zorlaşır.
Şifreli saklama, rol bazlı yetki ve denetim kaydı hazır gelir.
Ücretsiz Deneyin Fiyatları gör