Klinikte KVKK’ya uyum için önce kliniğin veri sorumlusu olduğunu kabul edin, ardından beş temel işi düzene sokun: hastayı aydınlatın, açık rızanın gerçekten gerektiği durumları ayırın, VERBİS yükümlülüğünüzü kontrol edin, hasta kayıtlarına erişimi yetkiyle sınırlayın ve bir veri ihlali ya da hasta başvurusu geldiğinde ne yapacağınızı önceden yazın. Bunların çoğu bir kez kurulur, sonra günlük alışkanlığa dönüşür.
Bu yazı, muayenehane ve klinik sahipleri için genel bir çerçeve ve kontrol listesi sunar. Kendi durumunuza özgü sorular için bir hukuk danışmanıyla konuşmanız en doğrusudur.
Klinikte kim neyden sorumludur?
KVKK’da kişisel veriyi işleme amacını ve yolunu belirleyen kişi veri sorumlusudur. Klinikte bu, kliniğin kendisi ya da muayenehanenin sahibi olan hekimdir. Hasta takip programını sağlayan şirket ise sizin adınıza veri işleyen konumundadır.
Bu ayrımın pratik bir sonucu vardır: program ne kadar güvenli olursa olsun, hastayı aydınlatmak, başvurulara cevap vermek ve çalışanların erişimini düzenlemek sizin işinizdir. Program sağlayıcısıyla aranızdaki görev paylaşımı bir veri işleme sözleşmesiyle yazılı hâle getirilir.
Sağlık verisi neden ayrı bir başlıktır?
Sağlık bilgisi, KVKK’da özel nitelikli kişisel veri olarak ayrıca korunur. Kanun, sağlık verisinin sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla açık rıza aranmadan işlenebileceğini düzenler.
Bu, her şeyin rızasız yapılabileceği anlamına gelmez. Tedavi dışı amaçlar için, örneğin hastanın öncesi ve sonrası fotoğrafını sosyal medyada paylaşmak ya da verisini başka bir amaçla kullanmak için ayrı ve özgür iradeye dayalı açık rıza gerekir. Açık rıza, hizmet almanın şartı yapılmamalıdır.
KVKK kontrol listesi
Aşağıdaki maddeleri sırayla gözden geçirin ve her birinin yanına "var", "eksik" ya da "bilmiyorum" yazın.
- Aydınlatma metni: Hastanın verisi ilk alındığında hangi verinin, hangi amaçla, kime aktarıldığını ve haklarını anlatan bir metin sunuluyor mu? Online randevu sayfası kullanıyorsanız orada da bu metne bağlantı olmalı. Yayımlanmış bir aydınlatma metninin nasıl göründüğüne Clinigim’in kendi aydınlatma metninden örnek olarak bakabilirsiniz.
- Açık rıza: Rıza gereken durumlar tedaviden ayrı, ayrı bir onayla mı alınıyor? Onay metni kısa ve anlaşılır mı?
- VERBİS: Kliniğiniz Veri Sorumluları Sicili’ne kayıt yükümlüsü mü? Muafiyet ölçütlerinden biri, kişisel veri işlemenin işin esas parçası olmamasıdır; sağlık hizmeti veren işletmeler bu yüzden durumlarını dikkatle değerlendirmelidir.
- Erişim yetkileri: Herkes yalnız işi için gereken kaydı görüyor mu? Sekreterin klinik notlara, stajyerin kasa raporuna erişmesi gerekmez.
- Teknik tedbirler: Güçlü parola, iki adımlı doğrulama, güncel cihazlar, şifreli yedek ve erişim kaydı var mı?
- Çalışanlar: Çalışanlar gizlilik taahhüdü imzaladı mı, temel bir bilgilendirme aldı mı? İşten ayrılan kişinin erişimi aynı gün kapatılıyor mu?
- Saklama ve imha: Hangi kaydı ne kadar süre tutacağınız ve süresi dolanı nasıl yok edeceğiniz yazılı mı? Süreler sağlık ve vergi mevzuatına göre değişir; danışmanınızla belirleyin.
- Başvurular: Bir hasta verisini sorduğunda kim cevap verecek? Başvurulara en geç 30 gün içinde yanıt verilmesi gerekir.
- Veri ihlali: Bir cihaz çalınırsa ya da yetkisiz erişim olursa ne yapılacağı belli mi? İhlal, öğrenildikten sonra en geç 72 saat içinde Kurul’a bildirilmelidir.
- Hizmet sağlayıcılar: Program, muhasebe ve mesajlaşma sağlayıcılarıyla veri işleme sözleşmeniz var mı? Veri yurt dışında saklanıyorsa aktarımın hangi yolla yapıldığı yazılı mı?
Günlük işte KVKK nasıl görünür?
Uyumun büyük kısmı belgelerde değil, gündelik alışkanlıklarda yaşanır. Birkaç örnek:
- Hasta adları ve randevuları bekleme salonundan görünen bir ekranda açık kalmamalı.
- Randevu ve borç hatırlatmalarında tanı ya da tedavi adı yazılmamalı; mesaj yalnızca hastanın kendi numarasına gitmeli. Ayrıntılar randevu hatırlatma yazısında.
- Hasta fotoğrafları ve raporları kişisel telefonlarda, mesajlaşma gruplarında dolaşmamalı.
- Yazdırılan belgeler masada bırakılmamalı, artık gerekmeyenler imha edilmeli.
- Ortak bilgisayarda her kişi kendi hesabıyla çalışmalı; parola paylaşılmamalı.
Program seçerken sorulacak KVKK soruları
Bir hasta takip programı seçerken verinin nerede saklandığını, yedeklerin nerede durduğunu, kimin neyi gördüğünü ve işlemlerin kayıt altına alınıp alınmadığını sorun. Sağlayıcının bir veri işleme sözleşmesi ve alt işleyen listesi yayımlayıp yayımlamadığına bakın. Program seçiminin diğer sorularını hasta takip programı nasıl seçilir yazısında topladık.
Clinigim bu işlerin hangisinde yardımcı olur?
Clinigim’de her klinik yalnızca kendi verisini görür. Hekim, sekreter, asistan ve yönetici ayrı yetkilerle eklenir; işlemler kayıt altına alınır ve girişte iki adımlı doğrulama kullanılabilir. Serbest metin klinik notları şifreli saklanır. Hastaya yüklenen dosyaların her biri için kimin görüntülediği ya da indirdiği erişim geçmişinde görünür; hızlı notlar kişiye özeldir, başkası göremez.
Clinigim Türkiye’de geliştirilir ve işletilir; veritabanı Türkiye’deki bir veri merkezinde, hasta dosyaları ve şifreli yedekler AB’deki veri merkezlerinde tutulur. Ayrıntılar güvenlik sayfasında, sizinle aramızdaki görev paylaşımı veri işleme sözleşmesinde, Clinigim’in kendi veri sorumlusu olarak yayımladığı metinler ise KVKK sayfasında yer alır. Clinigim’in randevu sayfaları, kliniğiniz adına hazırlanmış bir aydınlatma metnine bağlanır.
Neyi yapmadığını da söyleyelim: Clinigim sizin yerinize VERBİS kaydı yapmaz, kliniğinizin aydınlatma metnini ve saklama politikasını yazmaz. Bunlar veri sorumlusu olarak kliniğin işidir.
Sık sorulan sorular
Muayenehane için KVKK aydınlatma metni zorunlu mu?
Evet. Hastadan kişisel veri alan her veri sorumlusu, veriyi alırken hastayı aydınlatmakla yükümlüdür. Metin hangi verinin, hangi amaçla ve hangi hukuki sebeple işlendiğini, kimlere aktarılabileceğini ve hastanın haklarını anlatmalıdır. Hasta kayıt formunda, kliniğin görünür bir yerinde ve online randevu sayfasında bu metne ulaşılabilmesi en pratik yoldur.
Tedavi için hastadan açık rıza almak gerekir mi?
KVKK, sağlık verisinin sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla açık rıza aranmadan işlenebileceğini düzenler. Tedavi dışı amaçlar için durum farklıdır: öncesi ve sonrası fotoğrafını paylaşmak ya da veriyi pazarlamada kullanmak gibi işler için ayrı ve özgür iradeyle verilmiş açık rıza gerekir.
Klinik VERBİS’e kayıt olmak zorunda mı?
Kayıt yükümlülüğü çalışan sayısı, yıllık mali bilanço ve kişisel veri işlemenin işin esas parçası olup olmadığına göre belirlenir. Sağlık hizmeti veren işletmelerde hasta verisi işlemek çoğu zaman işin kendisidir; bu yüzden muafiyet kapsamında olup olmadığınızı dikkatle değerlendirin. Kesin karar için güncel Kurul kararlarını ve hukuk danışmanınızı esas alın.
Veri ihlali olursa ne yapmalıyım?
Önce ihlali durdurun: kaybolan cihazın oturumlarını kapatın, parolaları değiştirin, yetkisiz erişimi engelleyin. Ardından neyin, kimin verisinin ve ne zaman etkilendiğini yazın. İhlal, öğrenildikten sonra en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirilmeli, etkilenen kişilere de makul sürede haber verilmelidir.