Klinikler İçin KVKK ve Sağlık Verileri Uyum Rehberi

Kişisel Verilerin Korunması Kanunu (6698 sayılı Kanun, kısaca KVKK), sağlık verisini özel nitelikli kişisel veri olarak sınıflandırır. Bir klinik için bunun anlamı basittir: hasta dosyası, tetkik sonucu, tanı, hatta randevu kaydı, olağan müşteri verisinden daha sıkı kurallara tabidir. Bu yazı, klinik yöneticileri ve hekimler için KVKK'nın sağlık verisine ilişkin temel kavramlarını ve günlük işleyişe yansımalarını özetler. Hukuki görüş niteliği taşımaz; kendi kuruluşunuza özel uygulama için sağlık hukuku danışmanınıza ve Kişisel Verileri Koruma Kurumu'nun yayımladığı rehber ve kararlara başvurmalısınız.

Sağlık verisi neden özel?

Kanun, sağlık verisini diğer kişisel verilerden ayırır; çünkü ifşa edildiğinde kişi için kalıcı ve ağır sonuçlar doğurabilir. Genel kural, özel nitelikli kişisel verinin işlenmesinin ilgili kişinin açık rızasına bağlı olmasıdır. Kanun sağlık verisi için ayrıca bir istisna tanır: sağlık ve cinsel hayata ilişkin veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından, ilgili kişinin açık rızası aranmaksızın işlenebilir.

Bu istisna sık yanlış anlaşılır. Muayene ve tedavi kapsamındaki işleme için her zaman açık rıza almak gerekmeyebilir; ancak bu, kliniğin sağlık verisiyle istediğini yapabileceği anlamına gelmez. Pazarlama, ürün tanıtımı, kampanya iletisi ya da tedavi dışı amaçlarla kullanım, istisnanın dışındadır ve ayrıca değerlendirilmelidir.

Üç ayrı kayıt: aydınlatma, açık rıza, klinik onam

Kliniklerde en sık görülen karışıklık, üç farklı belgenin tek bir imzaya sığdırılmasıdır. Oysa bunlar farklı hukuki işlevlere sahiptir:

Tablo
Kayıt	İşlevi	Ne zaman
Aydınlatma	Veri sorumlusunun kim olduğu, verinin hangi amaçla, hangi hukuki sebeple işlendiği, kimlere aktarılabileceği, nasıl toplandığı ve hakların bildirilmesi	Veri toplanırken, her durumda
Açık rıza	Belirli bir konuya özgü, bilgilendirmeye dayalı ve özgür iradeyle verilen onay	Yalnızca gerçekten rıza gerektiren işlemler için
Klinik bilgilendirilmiş onam	Tıbbi bir işlem ya da tedavi için, işleme özgü bilgilendirme sonrası alınan onay	Müdahale öncesi

Kişisel Verileri Koruma Kurulu'nun 2026 yılında yayımladığı ilke kararına ilişkin kamuoyu duyurusu, aydınlatma metni ile açık rıza metinlerinin ayrı ayrı düzenlenmesi gerektiğini vurgular. Duyuruya KVKK sitesinden(yeni sekmede açılır) ulaşabilirsiniz. Pratik sonuç şudur: tek bir "Okudum, kabul ediyorum" kutusuyla hem aydınlatma hem açık rıza hem pazarlama izni alınamaz.

Hasta05Bitiş

Geri çekme

Hasta rızasını geri çekerse yeni veri işleme durur; etkilenen işlemler ekranda görünür. Mevzuata göre tutulması gereken geçmiş kayıtlar silinmez.

Süreç burada tamamlanır.

5 / 11

Geri çekme etkisi

Fotoğraf paylaşımıYeni işleme dururEtkilendi

Ekrandaki ad, saat ve kayıtlar örnek olarak hazırlanmıştır.

Bir ürün tarafında bu üç kaydın ayrı tutulması şu anlama gelir: aydınlatma gösterildiğinde sürüm ve zaman kaydedilir; açık rıza yalnızca gereken işlem için ve ayrı bir eylemle alınır, geri çekilebilir; klinik onam işleme özgü metinle, imzalayanın ve temsil ilişkisinin kaydıyla saklanır. Rıza geri çekildiğinde yeni işleme durur; mevzuat gereği saklanması gereken geçmiş kayıt ise sessizce silinmez.

Erişim kontrolü: kim neyi görür?

Sağlık verisinin korunmasında en etkili önlem, erişimi sınırlamaktır. Kanun, veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Pratikte:

Rol bazlı erişim: Resepsiyon randevuyu görür, muayene notunu görmez. Muhasebe tahsilatı görür, tanıyı görmez. Hekim kendi hastalarının kaydını görür.
Bakım ilişkisi: Hekimin, bakım vermediği hastanın dosyasını açması normal akışta engellenir. Acil durum için gerekçeli, süreli ve ayrıca kaydedilen bir istisna yolu bulunabilir.
Şube ve kurum sınırı: Bir şubenin çalışanı, üyesi olmadığı şubenin kaydını göremez.
Denetim izi: Kim, hangi kaydı, ne zaman açtı sorusunun cevabı değiştirilemez bir kayıtta durur.
Ayrılan çalışanın erişimi: İşten çıkışta erişim tek adımda kapanır.

Rol ve yetki yapısı roller ve yetki sayfasında, güvenlik yaklaşımının genel çerçevesi güvenlik sayfasında anlatılıyor.

Verinin yeri ve aktarım

Sağlık verisinin yurt dışına aktarımı Kanun'un ilgili hükümlerine tabidir ve bu hükümler son yıllarda değişmiştir; güncel koşulları kontrol etmek gerekir. Pratik bir ilke: üretim sağlık verisini Türkiye'de tutan ve sağlık verisine dokunabilecek alt hizmet sağlayıcıları açıkça listeleyen bir yazılım sağlayıcısı, bu başlıktaki riski baştan küçültür. HekimBis'te üretim sağlık verisi Türkiye'de tutulur ve sağlık verisine değmeyen alt işleyenler bile ayrı bir veri akışı ve risk kararı olmadan sisteme bağlanmaz.

Ayrıca, hasta mesajlarının içinde sağlık bilgisi göndermemek de bir aktarım önlemidir. SMS ya da mesajlaşma hizmetinin üçüncü taraf bir altyapıdan geçtiği düşünülürse, mesajın "sonucunuz hazır, güvenli bağlantı" gibi genel bir içerik taşıması, verinin hiç dışarı çıkmaması anlamına gelir.

Veri sahibinin talepleri

Kanun, ilgili kişiye (hastaya) bir dizi hak tanır: verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını öğrenme, düzeltme isteme, mevzuatın izin verdiği hâllerde silinmesini veya yok edilmesini isteme gibi. Başvuruya kural olarak otuz gün içinde cevap verilmelidir. Klinik açısından kritik nokta, bu taleplerin karşılanabilmesi için verinin nerede olduğunu bilmek ve talebi bir kayıtla yönetmektir.

Sağlık verisinde silme talebi, bilinen bir gerilim taşır: hasta silinmesini ister, ama mevzuat belirli kayıtların belli süre saklanmasını zorunlu kılar. Böyle bir durumda doğru yanıt, hukuken saklanması gereken kayıt ile saklanması gerekmeyen kaydı ayırmak ve gerekçeyi hastaya açıklamaktır. Yazılımda bu ayrım için, veri sınıfı başına tanımlı ve sürümlü bir saklama politikası bulunmalıdır; imzalı klinik kayıtlar sert silinmez, süre sonunda yalnızca onaylı arşiv ya da imha politikası işler. Veri yaşam döngüsünün bu yönü, HekimBis'te sözleşmeye de yansıtılan bir ilkedir.

Veri ihlali: ne zaman, kime bildirilir?

Kanun, kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi durumunda veri sorumlusunun bunu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini ister. Kurul kararına göre Kurul'a bildirim, ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde yapılmalıdır. Bu nedenle bir klinik, ihlal anında ne yapacağını önceden bilmelidir: kim karar verir, kim bildirir, hangi kayıt delil olarak saklanır?

Hazırlık için üç adım yeterlidir: bir olay yönetimi sorumlusu belirlemek, ihlal şüphesinde izlenecek adımları yazılı hâle getirmek ve yazılım sağlayıcısının ihlali size ne kadar sürede bildireceğini sözleşmede netleştirmek. Sağlayıcınızın denetim izi ve olay kayıtları, ihlalin kapsamını belirlemede en önemli kanıttır.

Yazılım sağlayıcısı ile veri sorumlusu arasındaki sorumluluk

Bulut tabanlı bir klinik yazılımı kullanıldığında, klinik veri sorumlusudur; yazılım sağlayıcısı ise çoğu durumda veri işleyen konumundadır. Veri işleyen, yalnızca veri sorumlusunun talimatı doğrultusunda işlem yapar. Bu ilişki yazılı bir sözleşmeyle (veri işleme sözleşmesi) düzenlenmelidir. Sözleşmede en azından şunlar bulunmalıdır: işlemenin konusu ve süresi, işlenen veri türleri, güvenlik tedbirleri, alt işleyenlerin kullanımı ve bildirimi, ihlal bildirim süresi, veri sahibi taleplerinde yardım ve sözleşme sonunda verinin iadesi ya da imhası.

Burada sık düşülen hata, sorumluluğun tamamının yazılım sağlayıcısına devredilebileceği varsayımıdır. Veri sorumlusu olarak klinik, sağlayıcıyı seçerken özen göstermek, çalışanlarına yetki vermek ve eğitmek, aydınlatmayı yapmak ve talepleri yanıtlamakla yükümlüdür. Sağlayıcı yalnızca teknik ve idari tedbirleri sağlar ve talimat dışı işlem yapmaz. HekimBis'in sözleşme metinleri bu çerçevede veri işleme sözleşmesi başlığı altında ve yasal sayfalarda yayımlanır.

Çalışan eğitimi: en zayıf halka çoğu zaman insandır

Teknik önlemler ne kadar güçlü olursa olsun, ihlallerin önemli bir kısmı insan kaynaklıdır: yanlış kişiye gönderilen belge, ekranda açık bırakılan hasta dosyası, çalışanlar arasında paylaşılan parola, hasta bilgisinin kişisel telefondaki mesajlaşma uygulamasıyla paylaşılması. Basit bir eğitim programı bu riskleri belirgin biçimde azaltır:

Yeni çalışana ilk haftada, rolüne uygun kısa bir KVKK ve gizlilik eğitimi verilmesi
Ortak parola kullanımının yasaklanması; herkesin kendi hesabıyla çalışması
Ekran kilidi ve oturum kapatma alışkanlığı
Hasta bilgisinin yalnızca kurumsal kanallardan paylaşılması
Yılda bir tekrar eğitimi ve kısa bir farkındalık denetimi

Eğitimin katılım kaydı tutulması da, denetimde "gerekli idari tedbirler alınmıştı" demenin somut kanıtıdır.

Veri sorumluları siciline kayıt (VERBİS)

Belirli eşiklerin üzerindeki veri sorumluları Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğüne tabi olabilir. Kuruluşunuzun bu yükümlülüğe girip girmediğini ve hangi bilgilerin sicile girilmesi gerektiğini Kurum'un güncel duyurularından ve danışmanınızdan doğrulayın. Yazılımın sağladığı veri envanteri bilgisi, bu kaydı hazırlarken yardımcı olur.

Klinikte uygulanabilir 12 maddelik liste

Aydınlatma metni ayrı bir metin olarak hastaya gösteriliyor mu, sürüm ve zaman kaydı tutuluyor mu?
Açık rıza yalnızca gerçekten gereken işlemler için ve ayrı bir eylemle mi alınıyor?
Ticari ileti izni hizmet kaydına zorunlu ya da önceden işaretli bağlanmıyor mu?
Klinik onam, işleme özgü metinle mi alınıyor?
Roller ve bakım ilişkisi tanımlı mı, resepsiyon klinik notu görüyor mu?
Hasta dosyasına her erişim denetim izine yazılıyor mu?
Ayrılan çalışanın erişimi kapatılıyor mu?
Mesajların içinde sağlık bilgisi yok mu?
Veri nerede tutuluyor, alt hizmet sağlayıcılar kimler?
Veri sahibi talepleri için bir başvuru yolu ve sorumlu var mı?
İhlal halinde izlenecek yazılı prosedür var mı?
Saklama ve imha politikası veri sınıfına göre tanımlı mı?

Sonuç

KVKK uyumu bir ayar değil, bir akıştır: veri toplanırken aydınlatma, gereken işlemde ayrı açık rıza, işleme özgü klinik onam, rol bazlı erişim, denetim izi, talep yönetimi ve ihlal hazırlığı. Yazılım bu akışı destekleyebilir, ama sorumluluk veri sorumlusu olarak kliniktedir. Konuya ürün tarafından bakmak için KVKK uyumlu hasta takip sayfasını, aydınlatma ve onam kayıtlarının nasıl tutulduğunu görmek için formlar, onamlar ve belgeler özelliğini inceleyin.