Diyetisyenler için KVKK rehberi: açık rıza, sağlık verisi ve güvenlik

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Mevzuat ve Kurul kararları değişebilir; kliniğinize özel metinler için bir avukata danışın ve Kişisel Verileri Koruma Kurumu kaynaklarını kontrol edin.

Diyetisyen neden özellikle dikkat etmeli?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), sağlık verilerini “özel nitelikli kişisel veri” sayar. Danışanın kilosu, ölçümleri, hastalıkları, kullandığı ilaçlar ve tahlilleri bu kapsamda değerlendirilir. Yani tuttuğunuz kayıtların önemli bölümü, kanunun en sıkı koruduğu veri grubundadır.

Aydınlatma ve açık rıza aynı şey değildir

• Aydınlatma (md. 10): Danışana hangi veriyi, hangi amaçla işlediğinizi, kimlere aktarabileceğinizi ve haklarını anlatırsınız. Bilgilendirme yaparsınız, onay istemezsiniz.
• Açık rıza (md. 3 ve 6): Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Genel ve her şeyi kapsayan bir ifade yeterli sayılmaz.

İkisini ayrı metinler halinde hazırlamak, hem anlaşılır olur hem de sonradan ispatı kolaylaştırır.

Açık rıza hâlâ gerekli mi?

1 Haziran 2024'te yürürlüğe giren değişiklikle kanunun 6. maddesindeki işleme şartları genişletildi; sağlık verileri için de belirli amaçlarla ve sır saklama yükümlülüğü altındaki kişilerce işlemeye imkân tanındı. Bunun sizin faaliyetinize nasıl uygulanacağı hukuki bir değerlendirme gerektirir. Uygulamada birçok klinik, kayıt tutmaya başlamadan önce yazılı açık rıza almayı en anlaşılır ve ispatı kolay yol olarak görmektedir.

Pratik kontrol listesi

1. İlk görüşmeden önce aydınlatma metnini verin; açık rıza metnini ayrı imzalatın.
2. Rızanın alındığı tarihi kaydedin ve belgeyi saklayın.
3. Yalnızca hizmet için gereken veriyi toplayın.
4. Sekreter ve diğer çalışanların erişimini ihtiyaçla sınırlayın; sağlık notlarını yalnızca ilgili uzman görsün.
5. Parolaları paylaşmayın, bilgisayar ve telefonda ekran kilidi kullanın.
6. Kullandığınız programın veya bulut hizmetinin sunucu yerini öğrenin; yurt dışındaysa aydınlatma metninizde belirtin ve aktarım şartlarını değerlendirin (md. 9).
7. Danışanın bilgi, düzeltme ve silme gibi taleplerine (md. 11) nasıl cevap vereceğinizi belirleyin.
8. Saklama süresini belirleyin; süresi dolan kayıtları usulüne uygun imha edin.
9. Veri ihlali yaşarsanız Kurul'a bildirim yükümlülüğünüz olduğunu unutmayın (md. 12); ne yapacağınızı önceden planlayın.
10. VERBİS kaydı gerekip gerekmediğini güncel Kurul kararına göre kontrol edin. Kayıttan muaf olsanız bile aydınlatma ve güvenlik yükümlülükleri devam eder.

WhatsApp ve Excel'de sık yapılan hatalar

• Tahlil sonucunu, kilo bilgisini veya hastalık bilgisini gereksiz yere mesajla göndermek.
• Danışanların önce/sonra fotoğraflarını izin almadan paylaşmak.
• Danışan bilgilerini parolasız bir Excel dosyasında veya kişisel e-postada tutmak.
• Klinik telefonunu çalışanlar arasında kilitsiz kullanmak.

Program kullanmak KVKK'yı çözer mi?

Tek başına çözmez; veri sorumlusu olarak yükümlülükler sizde kalır. İyi bir program ise işi kolaylaştırır. KlinikHesap danışan takibinde açık rıza işaretlenmeden danışan kaydedilemez ve rıza tarihi tutulur, sağlık notları şifreli saklanır ve sekreter tarafından görülemez, kritik işlemler kayıt altına alınır. KlinikHesap'ın kendi uygulamaları için KVKK aydınlatma metnimize bakabilirsiniz.