Kliniklerde en sık duyulan cümle şudur: "Hastaya bir KVKK formu imzalatıyoruz, tamam." Oysa tek bir formun içine aydınlatma, açık rıza, ticari ileti izni ve fotoğraf kullanımını birlikte koymak, hem hastanın özgür iradesini zayıflatır hem de kuruluşu korumaz. 2024'te yürürlüğe giren değişiklikle sağlık verisinin hangi durumda açık rıza gerektirdiği daha açık hâle geldi. Bu yazıda kuralı sade bir dille ve klinik günlüğüne çevirerek anlatıyoruz.
Sağlık verisi neden "özel nitelikli"?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 6/1, sağlık verilerini; ırk, din, biyometrik ve genetik veriler gibi özel nitelikli kişisel veriler arasında sayar. Bu verilerin ifşası kişi için ayrımcılık ya da mağduriyet doğurabileceği için kanun, hem işleme şartlarını hem de alınacak güvenlik önlemlerini sıkı tutar. Klinikte özel nitelikli veri yalnız muayene notundan ibaret değildir: tanı, tahlil sonucu, röntgen, kullanılan ilaçlar, alerji bilgisi, tedavi öncesi ve sonrası fotoğraflar, hatta "hangi hizmeti aldığı" bilgisi de sağlık verisidir.
2024 değişikliği: md. 6 artık ne diyor?
12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanunla KVKK md. 6 yeniden yazıldı; değişiklik 1 Haziran 2024'te yürürlüğe girdi. Eski metinde sağlık verisi, açık rıza olmadan yalnız "kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri" amacıyla ve sır saklama yükümlülüğü altındaki kişilerce işlenebiliyordu. Yeni metin özel nitelikli verilerin tümü için tek bir liste kurdu: açık rıza ya da md. 6/3'te sayılan hâllerden biri.
Klinikler açısından en önemli bent şudur: kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin ve finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurum ve kuruluşlarca işlenmesi zorunlu olan veriler için açık rıza aranmaz. Diğer bentler arasında kanunda açıkça öngörülme, fiilî imkânsızlık nedeniyle rızasını açıklayamayan kişinin hayatının korunması, ilgili kişinin alenileştirdiği veri ve bir hakkın tesisi, kullanılması ya da korunması için zorunluluk bulunur.
Bu pratikte ne anlama geliyor?
- Hekimin muayene notunu yazması, tanı koyması, tedavi planı hazırlaması ve tedaviyi uygulaması için ayrıca açık rıza almak çoğu durumda gerekmez; işleme md. 6/3 kapsamındadır.
- "Zorunlu olan" ifadesi önemlidir: tedaviyle ilgisi olmayan veri toplamak (örneğin her hastadan gereksiz ayrıntı istemek) bu bendin kapsamına girmez.
- Sır saklama yükümlülüğü yalnız hekim için değil, kanunen ya da sözleşmeyle bu yükümlülük altındaki tüm personel için düşünülmelidir. Personel sözleşmelerinde gizlilik maddesi bulunmalıdır.
- Bazı kuruluşlar, ihtiyatlı davranıp tedavi için de açık rıza almayı tercih eder. Bu yasak değildir, ancak hasta rızayı geri alırsa tedavi kaydının ne olacağı baştan düşünülmelidir: tıbbi kayıtların saklama yükümlülüğü rızadan bağımsızdır.
Aydınlatma ile açık rıza aynı şey değil
Aydınlatma (KVKK md. 10) her durumda yapılması gereken bir bilgilendirmedir: veri sorumlusunun kimliği, hangi amaçla işlendiği, kimlere aktarıldığı, toplama yöntemi ve hukuki sebebi, ilgili kişinin hakları. Hastanın "onaylaması" gerekmez; bilgilendirildiğinin ispatlanabilmesi yeterlidir.
Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onaydır (md. 3/1-a). Üç unsur birlikte aranır: belirli olması, bilgilendirmeye dayanması, özgür irade. Bu yüzden:
- Aydınlatma metni ile açık rıza metni ayrı belgeler ya da en azından ayrı onay kutuları olmalıdır.
- Açık rıza, hizmetin ön şartı yapılmamalıdır. "Kampanya mesajlarına izin vermezseniz randevu veremeyiz" demek özgür iradeyi ortadan kaldırır.
- Genel ve belirsiz rıza ("tüm verilerimin her amaçla işlenmesine izin veriyorum") geçerli sayılmaz.
- Rıza her zaman geri alınabilir; geri alma ileriye etkilidir. Kim, ne zaman, hangi metne rıza verdi ve ne zaman geri aldı, sonradan ispatlanabilmelidir.
Ayrı rıza gereken üç tipik durum
1. Pazarlama ve kampanya iletişimi
Tedavi amacıyla toplanan telefon numarasına kampanya mesajı göndermek farklı bir amaçtır. Burada iki ayrı rejim üst üste biner: KVKK açısından verinin pazarlama amacıyla işlenmesi ve 6563 sayılı Kanun açısından ticari elektronik ileti onayı. İkincisi İleti Yönetim Sistemi (İYS) üzerinden yürür. Ayrıntısını İYS ve hasta SMS'i yazısında anlattık.
2. Fotoğraf ve görüntü kullanımı
Tedavi öncesi ve sonrası fotoğrafın hasta dosyasında tutulması tedavinin parçası olabilir. Aynı fotoğrafın sosyal medyada, web sitesinde ya da bir sunumda kullanılması ise tamamen ayrı bir amaçtır ve ayrı, belirli bir açık rıza ister. Yüzün tanınmayacak hâle getirilmesi riski azaltır ama çoğu zaman tek başına yeterli değildir. Ayrıca sağlık kuruluşlarının tanıtım ve reklamına ilişkin meslek kuralları da ayrıca değerlendirilmelidir.
3. Yurt dışına aktarım
KVKK md. 9 da 7499 sayılı Kanunla değişti. Artık yurt dışı aktarımın temel yolu yeterlilik kararı ya da yeterlilik kararı yoksa uygun güvencelerdir (bağlayıcı şirket kuralları, Kurul'un ilan ettiği standart sözleşme, taahhütname). Standart sözleşme imzalanması hâlinde Kurum'a belirli süre içinde bildirim yapılması gerekir. Açık rıza ise bu yolların hiçbiri yoksa, istisnai ve düzenli olmayan aktarımlar için başvurulabilecek hâller arasında yer alır. Sağlık turizminde hastanın kendi ülkesindeki hekime ya da sigortasına bilgi gönderilmesi, yabancı aracı kurumla dosya paylaşılması ve yurt dışında barındırılan araçların (bulut e-posta, mesajlaşma) kullanılması bu başlığa girer. Hangi yolun uygun olduğu somut aktarıma göre değerlendirilmelidir.
Yeterli önlemler: Kurul'un 2018/10 sayılı kararı
KVKK md. 6/4 uyarınca özel nitelikli veri işlenirken Kurul'un belirlediği yeterli önlemler alınmalıdır. Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı bu önlemleri sayar. Öne çıkanlar:
- Özel nitelikli veri için ayrı, sistematik ve yönetilebilir bir politika ve prosedür.
- Bu verilere erişen çalışanlara düzenli eğitim ve gizlilik sözleşmesi; yetkilerin görev tanımına göre sınırlandırılması ve görev değişince geri alınması.
- Elektronik ortamda verilerin kriptografik yöntemlerle saklanması, anahtarların güvenli ve farklı ortamlarda tutulması.
- Veriler üzerinde gerçekleştirilen tüm hareketlerin güvenli olarak kayıt altına alınması (erişim kaydı).
- Güvenlik güncellemelerinin izlenmesi, düzenli güvenlik testleri; uzaktan erişimde en az iki kademeli kimlik doğrulama.
- Verilerin e-posta ile aktarılması gerekiyorsa şifreli olarak ya da KEP hesabıyla; taşınabilir ortamda şifreli aktarım.
Klinik pratiğinde en çok atlanan madde erişim kaydıdır. "Bu hastanın dosyasını kim, ne zaman açtı?" sorusuna cevap veremeyen bir kuruluş, bir şikâyet ya da ihlal bildiriminde zor durumda kalır.
Saklama süreleri
Tıbbi kayıtların ne kadar saklanacağı KVKK'dan değil, sağlık mevzuatından doğar. Kişisel Sağlık Verileri Hakkında Yönetmelik ve Sağlık Bakanlığı'nın arşiv düzenlemeleri bu konuda başvurulacak temel metinlerdir; özel kuruluşlar için uygulanan süreler kuruluş türüne ve kayıt türüne göre farklılaşabilir. Kesin süreler kuruluşunuzun türüne göre güncel mevzuattan doğrulanmalıdır. Önemli olan, saklama ve imha politikanızın yazılı olması; süresi dolan kayıtların düzenli imha periyodunda silinmesi, yok edilmesi ya da anonimleştirilmesi; silme talebi gelen hastaya saklama yükümlülüğünün açıkça anlatılmasıdır.
VERBİS kaydı
Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğünde Kurul, çalışan sayısı ve mali bilanço eşiklerine göre muafiyetler tanımıştır. Ancak ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları için eşik muafiyeti uygulanmaz; sağlık kuruluşlarının büyük kısmı bu nedenle kayıt yükümlüsüdür. Serbest çalışan hekimler gibi bazı gruplar için ayrıca karar bulunmaktadır. Kuruluşunuzun durumu güncel Kurul kararlarından doğrulanmalıdır.
Kliniğiniz için kısa kontrol listesi
- Aydınlatma metni güncel mi, sürüm tarihi belli mi, hastaya hangi sürümün gösterildiği kayıtlı mı?
- Ticari ileti izni, fotoğraf kullanımı ve yurt dışı aktarım ayrı ayrı mı soruluyor, önceden işaretli kutu var mı?
- Rızanın verilmesi ve geri alınması değiştirilemez biçimde kayıt altında mı?
- Hasta dosyasına kimin baktığı izlenebiliyor mu?
- Kimlik numarası gibi hassas alanlar şifreli mi, yalnız yetkiliye mi açılıyor?
- Personelin yetkileri görev tanımına göre sınırlı mı, ayrılan personelin erişimi kapatılıyor mu?
- Saklama ve imha politikası yazılı mı, VERBİS kaydı güncel mi?
Klinikra bunu nasıl destekler?
Klinikra'da her rıza türü (aydınlatma, sağlık verisi açık rızası, yurt dışı aktarım, fotoğraf kullanımı, SMS/WhatsApp/e-posta/arama izinleri) rıza defterine ayrı satır olarak yazılır; verme ve geri alma değiştirilemez, metin sürümü ve özeti saklanır. Hasta kartı, klinik not, dosya açma, kimlik numarası görüntüleme, yazdırma ve dışa aktarma erişim kaydına düşer; kartta "Kim baktı" sekmesi vardır. Kimlik numarası şifreli tutulur, yalnız yetkili kişiye açılır. Sağlık verisi açık rızasının zorunlu olup olmayacağına kuruluş karar verir. Ayrıntılar KVKK özelliklerinde; kendi aydınlatma metnimiz burada.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — md. 3, 6, 9, 10, 11 (RG 7/4/2016-29677)
- 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun — RG 12/3/2024-32487 (KVKK md. 6 ve 9 değişikliği, yürürlük 1/6/2024)
- Kişisel Verileri Koruma Kurulu'nun 31/01/2018 tarihli ve 2018/10 sayılı Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler kararı
- Kişisel Sağlık Verileri Hakkında Yönetmelik — RG 21/6/2019-30808
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — RG 10/7/2024-32598
- Veri Sorumluları Siciline kayıt yükümlülüğüne ilişkin Kurul kararları (güncel muafiyetler için kvkk.gov.tr)
Hukuki danışmanlık değildir. Bu yazı genel bilgilendirme amaçlıdır ve yayın tarihindeki mevzuat metinlerine dayanır. Mevzuat değişebilir; "doğrulanmalı" diye işaretlenen noktalar ve somut durumunuz için resmî metne ve bir hukukçuya başvurun.