Kliniklerde KVKK ve Hasta Verisi
Güncelleme: · 6 bölüm · 5 soru
Sağlık verisi, KVKK'da özel nitelikli kişisel veri sayılır ve normal kişisel verilere göre daha ağır koruma yükümlülüğüne tabidir. Bir fizyoterapi kliniği bu veriyi zaten topluyor: danışanın şikâyeti, değerlendirme kayıtları, sevk bilgisi. Bu rehber, kliniğin pratikte hangi başlıklara bakması gerektiğini özetler. Hukuki danışmanlık yerine geçmez.
Klinik veri sorumlusudur
Danışan verisini hangi amaçla ve hangi yolla işleyeceğine karar veren taraf kliniktir; bu nedenle klinik veri sorumlusudur. Kullandığınız yazılım sağlayıcısı ise bu veriyi klinik adına barındıran ve işleyen taraf, yani veri işleyendir.
Bu ayrım önemlidir: bir ihlal durumunda ilk muhatap kliniktir. Yazılım sağlayıcısıyla aranızda veri işleyen sözleşmesi bulunması ve sağlayıcının aldığı teknik tedbirleri belgelemesi beklenir.
Aydınlatma ve açık rıza aynı şey değil
Aydınlatma yükümlülüğü her durumda vardır: danışana verisinin hangi amaçla işlendiği, kimlere aktarılabileceği ve haklarının neler olduğu bildirilmelidir.
Açık rıza ise ayrı bir belgedir ve özel nitelikli veri için kural olarak aranır. Rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir; hizmet almanın ön koşulu haline getirilemez.
Pratikte klinikler bu ikisini tek forma sıkıştırma eğilimindedir. Ayrı tutmak hem daha güvenlidir hem de rızanın geri alınması durumunda aydınlatmanın geçerliliğini korur.
Erişimi görev gerekliliğiyle sınırlayın
KVKK'nın beklediği idari tedbirlerin en pratik karşılığı, her çalışanın yalnızca işini yapmak için gereken veriye erişmesidir. Resepsiyonun klinik değerlendirme kayıtlarına, stajyerin finans ekranlarına erişmesi için bir gerekçe yoktur.
Rol bazlı yetkilendirme bu tedbirin uygulanmış halidir. Ayrıca kritik işlemlerin denetim kaydına alınması, bir sorun çıktığında kimin neye eriştiğini gösterir.
Saklama süresi ve silme talebi
Veri, işlendiği amaç için gerekli süreden uzun tutulamaz. Ancak sağlık ve mali mevzuattan doğan saklama yükümlülükleri bu süreyi uzatabilir; örneğin finansal kayıtlar için ayrı bir saklama süresi söz konusudur.
Bu nedenle bir silme talebi geldiğinde 'her şeyi sil' yaklaşımı doğru değildir. Uygulanabilir yöntem, kişiyi tanımlayan alanların anonimleştirilmesi ve yasal saklama yükümlülüğü olan kayıtların kimliklendirilemez biçimde korunmasıdır.
FizyoDesk'te kalıcı silme bu şekilde çalışır: kişisel alanlar anonimleştirilir, finansal kayıtlar korunur, böylece geçmiş dönem raporları da bozulmaz.
Teknik tedbirlerin somut karşılığı
Mevzuat 'uygun güvenlik düzeyi' der; pratikte klinikten beklenen birkaç somut şey vardır.
- Verinin şifreli bağlantı üzerinden iletilmesi
- Kişisel verilerin veritabanında şifreli saklanması
- Yönetici hesapları için iki adımlı doğrulama
- Rol bazlı erişim sınırlaması
- Kritik işlemlerin denetim kaydına alınması
- Başarısız giriş denemelerinin izlenmesi
- Düzenli yedekleme
Kağıt ve WhatsApp sorunu
Kliniklerde veri sızıntısının en sık yolu yazılım değil, kontrolsüz kanallardır: danışan bilgisinin kişisel telefondan mesajla paylaşılması, dosyaların masada açık kalması, ortak kullanılan bir bilgisayarda oturumun kapatılmaması.
Yazılım tarafındaki tedbirler ancak bu kanallar kapatıldığında anlam kazanır.
Sık sorulan sorular
Danışan bilgilerini WhatsApp'tan paylaşmak KVKK'ya uygun mu?
Sağlık verisi özel nitelikli kişisel veridir. Tanı, rapor ya da görüntü gibi bilgilerin kişisel telefonlarda ve mesajlaşma gruplarında dolaşması kontrolsüz paylaşım riski doğurur. Bu bilgilerin erişimi yetkiyle sınırlı, şifreli bir sistemde tutulması daha güvenlidir.
Fizyoterapi kliniğinde tutulan veriler özel nitelikli veri midir?
Danışanın sağlık durumuna ilişkin kayıtlar (şikâyet, değerlendirme, sevk bilgisi) KVKK kapsamında özel nitelikli kişisel veridir ve daha ağır koruma yükümlülüğüne tabidir. Ad, telefon gibi iletişim bilgileri ise genel nitelikli kişisel veridir.
Danışan verilerinin silinmesini isterse ne yapmalıyım?
Talebi karşılamak zorundasınız, ancak yasal saklama yükümlülüğü bulunan kayıtlar için istisna vardır. Uygulanabilir yöntem, kişiyi tanımlayan alanların anonimleştirilmesi ve mali mevzuat gereği saklanması gereken kayıtların kimliklendirilemez biçimde korunmasıdır.
Klinik mi yoksa yazılım firması mı veri sorumlusudur?
Verinin hangi amaçla işleneceğine karar veren taraf olarak klinik veri sorumlusudur. Yazılım sağlayıcısı, klinik adına veriyi barındıran veri işleyendir. Aranızda veri işleyen sözleşmesi bulunmalıdır.
Aydınlatma metni ile açık rıza metni aynı belge olabilir mi?
Ayrı tutulması önerilir. Aydınlatma her durumda yapılması gereken bir bilgilendirmedir; açık rıza ise özgür iradeyle verilen ve geri alınabilen ayrı bir onaydır. Tek belgede birleştirildiğinde rızanın özgür iradeyle verildiğini göstermek zorlaşır.
KVKK tedbirleri kurulu bir sistemle başlayın
Şifreli saklama, rol bazlı yetki ve denetim kaydı hazır gelir.