KVKK ve Hasta Verileri: Klinikler İçin Rehber
Kısa not: Bu yazı genel bilgilendirme amacı taşır ve hukuki danışmanlık değildir. Kliniğinize özel yükümlülükler için KVKK alanında uzman bir hukukçuya danışmanızı öneririz.
Bir kliniğe gelen hasta yalnızca adını ve telefon numarasını paylaşmaz. Şikâyetini, geçmiş tedavilerini, kullandığı ilaçları, bazen fotoğraflarını ve tahlil sonuçlarını da paylaşır. Bu bilgiler hastanın en mahrem verileri arasındadır ve kliniğe duyulan güvenin temelini oluşturur.
Günlük pratikte ise bu veriler çoğu zaman dağınık yerlerde durur: resepsiyondaki bir Excel dosyası, asistanın kişisel telefonundaki WhatsApp yazışmaları, ortak bir e-posta kutusu. Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından hasta verilerinin neden özel bir dikkat gerektirdiğini, kliniklerin en sık karşılaştığı risk alanlarını ve bir CRM kullanırken nelere dikkat edilmesi gerektiğini sade bir dille ele alıyoruz.
Sağlık Verisi Neden “Özel Nitelikli” Veridir?
KVKK, kişisel verileri iki gruba ayırır: genel kişisel veriler ve özel nitelikli kişisel veriler. Kanunun 6. maddesi; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler, biyometrik ve genetik veriler ile birlikte sağlık ve cinsel hayata ilişkin verileri de özel nitelikli kişisel veri olarak sayar.
Sade bir dille söylemek gerekirse: bu veriler, yanlış ellere geçtiğinde kişinin ayrımcılığa uğramasına ya da ciddi zarar görmesine yol açabilecek bilgilerdir. Bu yüzden kanun, bu verilerin işlenmesini genel kişisel verilere göre daha sıkı şartlara bağlar ve veriyi işleyenlerden ek güvenlik önlemleri almasını bekler.
Bir klinik açısından bunun anlamı şudur: hastanın şikâyeti, tanısı, tedavi planı, tahlil sonuçları, tedavi öncesi ve sonrası fotoğrafları gibi bilgiler sıradan iletişim bilgisi gibi ele alınamaz. Bu bilgilerin nerede tutulduğu, kimin erişebildiği ve hangi amaçla kullanıldığı ayrıca düşünülmelidir.
Kanunun 6. maddesi 2024 yılında yapılan değişiklikle güncellenmiştir. Güncel metne göre sağlık verileri; açık rızanın yanı sıra, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından da işlenebilir. Bu şartların kliniğinizdeki her bir sürece nasıl uygulandığı ise hukuki değerlendirme gerektiren bir konudur.
Tedavi Amaçlı İşleme ve Pazarlama Amaçlı Kullanım Aynı Şey Değil
Kliniklerde en sık gözden kaçan ayrım budur. Bir hastanın verisini tedavisini yürütmek için işlemek ile aynı veriyi bir kampanya duyurusu göndermek için kullanmak, hukuken farklı değerlendirilir.
Örneğin bir hastanın kontrol randevusunu hatırlatmak tedavi sürecinin bir parçası olarak görülebilir. Ancak aynı hastaya “yeni estetik paketimiz başladı” mesajı göndermek ticari bir iletişimdir. Ticari elektronik iletiler için ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İleti Yönetim Sistemi (İYS) kuralları devreye girer; bu tür mesajlar için genellikle alıcının önceden onay vermiş olması beklenir.
Pratikte dikkat edilmesi gerekenler:
- Aydınlatma ve onayı ayırın. Hastayı veri işleme hakkında bilgilendirmek (aydınlatma) ile ondan açık rıza almak ayrı şeylerdir. Aydınlatma metni, rıza metniyle karıştırılmamalıdır.
- Rızayı hizmete şart koşmayın. Pazarlama iletişimine onay vermeyen bir hastanın tedavi hizmetinden yararlanması engellenmemelidir.
- Onayları kayıt altına alın. Hangi hastanın hangi tarihte, hangi kanal için ve hangi metinle onay verdiği sonradan gösterilebilmelidir.
- Geri çekmeyi kolaylaştırın. Onay veren kişi bunu kolayca geri alabilmeli, bu talep de sisteme hızla yansımalıdır.
CRM, bu noktada pratik bir kolaylık sağlar: onay durumunu hasta kartında bir alan olarak tutmak ve mesaj listelerini bu alana göre filtrelemek, yanlışlıkla onay vermemiş birine kampanya mesajı gönderilmesi riskini azaltır.
Kişisel WhatsApp Hesaplarında Hasta Verisi Tutmanın Riskleri
WhatsApp, hasta adaylarının en çok tercih ettiği iletişim kanallarından biridir. Sorun kanalın kendisinde değil, nasıl kullanıldığındadır. Hasta yazışmalarının çalışanların kişisel telefonlarında ve kişisel hesaplarında yürütülmesi birçok risk doğurur:
- Kontrol kaybı: Çalışan işten ayrıldığında yazışmalar, fotoğraflar ve belgeler onun telefonunda kalır.
- Erişim sınırı yok: Telefonu eline alan herkes hastanın paylaştığı tıbbi bilgileri görebilir.
- Yedekleme belirsizliği: Yazışmalar ve medya dosyaları kişisel bulut hesaplarına otomatik yedeklenebilir; bu da verinin klinik dışında, kontrol edilemeyen bir yere kopyalanması anlamına gelir.
- Silme ve hak talepleri: Bir hasta verilerinin silinmesini istediğinde, kişisel telefonlara dağılmış verileri bulup silmek neredeyse imkânsız hâle gelir.
- İz kaydı yok: Hangi bilginin kime, ne zaman iletildiğini sonradan göstermek zorlaşır.
Daha güvenli bir yapı için hasta iletişiminin kurumsal bir hesap üzerinden, yetkilendirilmiş kişilerce ve kayıt altında yürütülmesi önerilir. Farklı kanallardan gelen talepleri tek bir panelde toplamanın pratik yönlerini WhatsApp, Form ve Reklam Taleplerini Tek Panelden Yönetmek yazımızda anlattık.
CRM’de Rol Bazlı Erişim: Herkes Her Bilgiyi Görmemeli
KVKK’nın 12. maddesi, veri sorumlularından kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri almasını ister. Bu tedbirlerin en temel olanlarından biri, “ihtiyaç kadar erişim” ilkesidir.
Bir klinikte bu ilke şöyle uygulanabilir:
| Rol | Görmesi Gerekenler | Görmesi Gerekmeyenler |
|---|---|---|
| Resepsiyon | İletişim bilgisi, randevu saati | Ayrıntılı tıbbi notlar, fotoğraflar |
| Hasta danışmanı | Talep detayı, ilgilendiği tedavi, görüşme notları | Diğer danışmanların hastalarına ait tıbbi belgeler (gerekmiyorsa) |
| Hekim | Ön değerlendirme için paylaşılan belgeler | Pazarlama kampanya verileri |
| Yönetim | Toplu raporlar, dönüşüm ve memnuniyet eğilimi | Tek tek hastaların tıbbi ayrıntıları |
Bu tablo bir örnektir; her klinik kendi yapısına göre uyarlamalıdır. Önemli olan, yetkilerin kişiye göre değil role göre tanımlanması, işten ayrılan çalışanın erişiminin aynı gün kapatılması ve kimin hangi kayda baktığının izlenebilmesidir.
Teknik tarafta da şifreli bağlantı, güçlü parola ve mümkünse iki adımlı doğrulama, düzenli yedekleme gibi önlemler temel beklentiler arasında yer alır. Kurul, özel nitelikli kişisel veriler için alınması gereken yeterli önlemlere ilişkin ayrıca bir karar da yayımlamıştır; bu kararın kliniğinizdeki süreçlere nasıl uygulanacağını hukuk danışmanınızla birlikte değerlendirmeniz yararlı olur.
Yurt Dışından Gelen Hastalar: KVKK ve GDPR Birlikte Düşünülmeli
Yurt dışından hasta kabul eden klinikler için tablo biraz daha karmaşıktır. Kliniğiniz Türkiye’de faaliyet gösterdiği için KVKK’ya tabidir. Bununla birlikte, Avrupa Birliği’nde yaşayan kişilere yönelik hizmet sunuyor ya da onları hedefleyen reklamlar yapıyorsanız, bazı durumlarda AB Genel Veri Koruma Tüzüğü (GDPR) de gündeme gelebilir. GDPR de sağlık verisini özel kategorideki veriler arasında sayar.
Dikkat edilmesi gereken bir diğer konu, verinin yurt dışına aktarılmasıdır. KVKK’nın 9. maddesi kişisel verilerin yurt dışına aktarılmasını ayrı şartlara bağlar ve bu madde de 2024’te güncellenmiştir. Hasta verisinin yurt dışındaki bir aracı kuruma, iş ortağına ya da yurt dışında barındırılan bir yazılıma aktarılması bu kapsamda değerlendirilebilir. Bu nedenle kullandığınız her yazılımın (CRM dâhil) verileri nerede barındırdığını sağlayıcısından yazılı olarak öğrenmeniz ve durumu hukuk danışmanınızla birlikte değerlendirmeniz önemlidir.
Yabancı hastalara sunulan aydınlatma metinlerinin hastanın anlayabileceği bir dilde hazırlanması da güven açısından küçük ama değerli bir adımdır. Yurt dışından gelen hastalarla iletişimin genel çerçevesi için Hasta İletişimi CRM ile Nasıl Profesyonelleştirilir? yazımıza göz atabilirsiniz.
KVKK Uyumlu CRM Seçerken Sorulacak Sorular
“KVKK uyumlu CRM” ifadesi sıkça kullanılır; ancak hiçbir yazılım tek başına bir kliniği KVKK’ya uyumlu hâle getiremez. Uyum, yazılımın sunduğu imkânlar ile kliniğin süreçlerinin ve kurallarının birlikte doğru kurgulanmasıyla sağlanır. Yine de bir CRM değerlendirirken sağlayıcıya şu soruları sormak işinizi kolaylaştırır:
- Rol ve yetki tanımları ne kadar ayrıntılı yapılabiliyor?
- Kullanıcıların hangi kayıtlarda ne işlem yaptığı izlenebiliyor mu?
- Bağlantılar şifreli mi, veriler düzenli olarak yedekleniyor mu?
- Veriler hangi ülkede, hangi altyapıda barındırılıyor?
- Bir hastanın verilerini silme, düzeltme veya dışa aktarma talepleri sistemde nasıl karşılanıyor?
- Pazarlama onayı gibi bilgiler hasta kartında ayrı bir alan olarak tutulabiliyor mu?
- Sözleşmede veri işleyen olarak sağlayıcının yükümlülükleri açıkça tanımlanmış mı?
Genel seçim ölçütlerinin tamamını Klinikler İçin CRM Seçimi: 6 Kriter yazımızda bulabilirsiniz.
Klinikler İçin KVKK Kontrol Listesi
Aşağıdaki liste kapsamlı bir uyum programının yerini tutmaz; ancak nereden başlayacağınızı görmenize yardımcı olur:
- Hasta verilerinin hangi sistemlerde, dosyalarda ve cihazlarda tutulduğunu listeledik.
- Hastalara verdiğimiz aydınlatma metnini güncel mevzuata göre gözden geçirdik.
- Açık rıza gerektiren süreçleri belirledik ve rıza metinlerini aydınlatma metninden ayırdık.
- Pazarlama iletişimi için alınan onayları kayıt altına alıyoruz.
- Hasta iletişimini kişisel hesaplardan kurumsal hesaplara taşıdık.
- Rol bazlı erişim yetkilerini tanımladık; işten ayrılan çalışanların erişimini hemen kapatıyoruz.
- Kullandığımız yazılımların verileri nerede barındırdığını öğrendik.
- Hastaların bilgi, düzeltme ve silme taleplerine (KVKK md. 11 ve 13) nasıl yanıt vereceğimizi belirledik.
- Saklama sürelerini ve süresi dolan verilerin nasıl silineceğini tanımladık.
- Ekibe hasta verisinin korunması konusunda kısa ve düzenli eğitim veriyoruz.
- Olası bir veri ihlalinde kimin ne yapacağını önceden belirledik.
- VERBİS kayıt yükümlülüğümüz olup olmadığını kontrol ettik.
Önemli Not: Bu Yazı Hukuki Danışmanlık Değildir
Bu yazıdaki bilgiler, KVKK’nın genel çerçevesini kliniklerin günlük işleyişi açısından anlaşılır kılmak amacıyla hazırlanmıştır ve hukuki danışmanlık niteliği taşımaz. Mevzuat ve Kişisel Verileri Koruma Kurulu kararları zaman içinde değişebilir; ayrıca sağlık alanına özgü başka düzenlemeler de uygulanabilir. Kliniğinizin özel durumuna ilişkin kararları, KVKK alanında uzman bir hukukçunun görüşünü alarak vermenizi öneririz.
Sık Sorulan Sorular
Hastanın Telefon Numarası Hangi Tür Veridir?
Telefon numarası tek başına genel bir kişisel veridir. Ancak bir kliniğin kayıtlarında, hastanın hangi tedavi için başvurduğu bilgisiyle birlikte tutulduğunda, bu kayıt bütünü sağlık bilgisi içerebilir. Bu nedenle hasta kayıtlarının tamamına özenle yaklaşmak en doğrusudur.
Hastalarla WhatsApp Üzerinden Nasıl Yazışılmalı?
KVKK açısından belirleyici olan, kullanılan kanaldan çok verinin nasıl işlendiği ve korunduğudur. Kişisel hesaplar yerine kurumsal hesapların kullanılması, erişimin sınırlandırılması ve yazışmaların kayıt altında tutulması riskleri azaltır.
Randevu Hatırlatma Mesajları İçin Onay Konusu Nasıl Değerlendirilir?
Bu, mesajın içeriğine ve amacına göre değişebilir. Yalnızca mevcut randevuyu hatırlatan bir mesaj ile kampanya içeren bir mesaj farklı değerlendirilir. Kliniğinizin mesaj şablonlarını hukuk danışmanınızla birlikte gözden geçirmeniz önerilir.
KVKK Uyumlu CRM Kullanmak Neden Tek Başına Yetmez?
Çünkü yazılım; yetkilendirme, kayıt tutma, şifreleme ve yedekleme gibi araçlar sunar. Ancak aydınlatma, rıza, saklama süreleri ve ekip içi kurallar kliniğin kendi sorumluluğundadır.
Hasta Verilerini Ne Kadar Süre Saklayabiliriz?
KVKK, verilerin işlendikleri amaç için gerekli olan süre kadar ve ilgili mevzuatın öngördüğü süreler boyunca saklanmasını ister. Sağlık kayıtları için başka düzenlemelerde özel süreler bulunabileceğinden, saklama politikanızı hukuk danışmanınızla birlikte belirlemeniz gerekir.
Hasta verilerini dağınık dosyalar ve kişisel telefonlar yerine yetkilendirilmiş, kayıt altında bir yapıda yönetmek istiyorsanız Duende Health CRM için demo talep edebilirsiniz.