Sağlık Verisi Nasıl Saklanmalı? Klinikler İçin Pratik KVKK Rehberi
KVKK m.5 ve m.6 kapsamında sağlık verisi nasıl işlenir, açık rıza nasıl alınır, ihlal halinde 72 saatlik bildirim nasıl yapılır — kliniklere pratik rehber.
Sağlık verisi, KVKK çerçevesinde özel nitelikli veri kategorisindedir. Bu yazıda klinikler için bilmeniz gereken yasal çerçeveyi, pratik kontrol listesini ve veri ihlali halinde atmanız gereken adımları derledik.
Sağlık verisi neden özel nitelikli sayılır?
KVKK m.6 kapsamında sağlık ve cinsel hayata ilişkin veriler özel nitelikli kişisel veri olarak ayrı bir koruma rejimine tabidir. Açık rıza olmadan işlenmesi çok daha dar bir çerçevede mümkündür.
Pratikte: hasta dosyası, anamnez, alerji, ilaç geçmişi, tahlil sonucu, görüntü (röntgen, MR, USG), tedavi planı — hepsi özel nitelikli veridir. Klinik olarak bu verileri işlemenizin hukuki dayanağı çoğunlukla sır saklama yükümlülüğü altındaki hekim tarafından, sağlık hizmetinin yürütülmesi amacıyla işlenmesidir (m.6/3).
Klinik ve yazılım sağlayıcı: kim ne yapar?
Bulut yazılım kullandığınız anda iki taraf devreye girer:
- Veri sorumlusu (kliniğiniz): Verinin ne amaçla, hangi yöntemle işleneceğini belirler.
- Veri işleyen (xklinik): Sorumlu adına, sözleşme çerçevesinde veriyi saklar ve işler.
İki taraf arasındaki ilişki yazılı Veri İşleyen Sözleşmesi (DPA) ile düzenlenmelidir. xklinik tüm müşterileriyle bu sözleşmeyi imzalar.
Pratik kontrol listesi
- Resepsiyonda görünür bir Aydınlatma Metni bulundurun.
- İlk başvuruda Açık Rıza Metni imzalatın (pazarlama ve foto kullanımı opsiyonel onaylar ayrı).
- Çalışanlarınız için gizlilik taahhüdü imzalatın.
- Bilgi sistemine erişim için RBAC + 2FA kullanın.
- Yedekleri şifreli ve Türkiye'de saklayın.
- VBYS uyumlu periyodik imha politikası kurun (6 ayda bir).
- Veri ihlali halinde 72 saat içinde KVK Kurulu'na bildirim yapın.
Açık rıza tuzakları
Açık rızanın geçerli olabilmesi için üç şart kümülatif olarak sağlanmalıdır:
- Belirli bir konuya ilişkin olması
- Bilgilendirmeye dayanması
- Özgür iradeyle açıklanması
Tedavi alabilmek için pazarlama iletisi onayı zorunludur türünde bir dayatma geçersiz bir açık rızadır. Pazarlama opsiyonel olmalı, default kapalı bırakılmalı, istendiği zaman çekilebilmeli.
İhlal anında ne yapılır?
- İhlali sınırlayın, ilgili erişimi durdurun.
- İç hukuk müşaviri veya KVKK temsilcinizi bilgilendirin.
- 72 saat içinde KVK Kurulu'na bildirim yapın.
- Etkilenen veri sahiplerini en uygun yöntemle haberdar edin.
- Olay sonrası kök neden analizi yapın ve önlemi güncelleyin.
Özet
Sağlık verisi koruması bir uyum projesi değil, kliniğinizin günlük operasyonunun parçasıdır. Doğru altyapı + doğru süreç + iyi belgeleme = sürdürülebilir uyum.