Bir terapi merkezinde her gün çok sayıda kişisel veri el değiştirir. Danışan kayıt formu, değerlendirme notları, seans kayıtları, aileyle yapılan yazışmalar ve ödeme bilgileri bunların yalnızca bir kısmıdır. Bu verilerin önemli bir bölümü Kişisel Verilerin Korunması Kanunu'na (KVKK) göre sağlık verisi sayılır ve daha sıkı kurallara bağlıdır.
Bu yazıda bir ergoterapi, fizyoterapi, dil ve konuşma terapisi ya da özel eğitim merkezinin günlük işleyişinde sağlık verilerini nasıl ele alabileceğini anlatıyoruz. Amacımız korkutmak değil, düzenli bir başlangıç yapmanıza yardım etmek.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Merkezinize özel yükümlülükler için bir KVKK uzmanına veya hukukçuya danışmanızı ve Kişisel Verileri Koruma Kurumu'nun güncel duyurularını takip etmenizi öneririz.
Sağlık verisi neden "özel nitelikli" kabul edilir?
6698 sayılı KVKK, bazı veri türlerini özel nitelikli kişisel veri olarak ayırır. Sağlık verileri bu grubun içindedir. Bu verilerin yetkisiz kişilerin eline geçmesi, kişi için ayrımcılık ya da ciddi mağduriyet riski taşıdığı için kanun bunların işlenmesini daha sınırlı şartlara bağlar ve daha güçlü güvenlik önlemleri bekler.
Kanunun ilgili maddesi 2024 yılında değiştirilmiş ve özel nitelikli verilerin hangi şartlarda işlenebileceği yeniden düzenlenmiştir. Bu nedenle birkaç yıl önce hazırlanmış aydınlatma metinlerinin ve iç prosedürlerin güncel metne göre gözden geçirilmesi iyi olur.
Terapi merkezinde hangi bilgiler sağlık verisidir?
Günlük işte karşılaştığınız verileri üç gruba ayırmak işinizi kolaylaştırır:
Sağlık verisi olarak ele alınması gerekenler
- Değerlendirme sonuçları ve raporlar,
- Seans notları, gelişim özetleri, ev programları,
- Danışanın getirdiği hekim raporları, sağlık kurulu raporları,
- Tanı, ilaç kullanımı ya da sağlık geçmişine dair her türlü bilgi,
- Hangi terapiyi, hangi sıklıkla aldığı bilgisi.
Kimlik ve iletişim verileri
- Danışanın ve velinin adı, soyadı, doğum tarihi,
- Telefon numarası, adres, e-posta.
Finansal ve operasyonel veriler
- Paket bilgisi, ödeme ve tahsilat kayıtları,
- Seans saatleri, iptal ve gelmeme kayıtları.
Dikkat edilmesi gereken nokta şudur: Bir terapi merkezinin takvimindeki "Ayşe Y. - Dil ve Konuşma - Salı 10:00" satırı bile, kişinin bir terapi hizmeti aldığını gösterdiği için hassas bir bilgidir. Takvime kimin eriştiği bu yüzden önemlidir.
Açık rıza, aydınlatma ve onam: hangisi ne zaman?
Merkezlerde en sık karışan üç kavram vardır:
- Aydınlatma metni: Kişiyi verilerinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiği ve kimlere aktarılabileceği konusunda bilgilendirir. Kanun gereği bir bilgilendirme yükümlülüğüdür.
- Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Özel nitelikli verilerin işlenme şartlarından biridir, ama tek şart değildir.
- Aydınlatılmış onam: Uygulanacak terapi hakkında bilgilendirilip uygulamaya izin verilmesidir. Konusu kişisel veri değil, yapılacak hizmettir.
Bu üç belgeyi tek kâğıtta birleştirmek yerine ayrı hazırlamak, hem danışanın anlamasını hem de belgenin amacını korur. Onam formu için aydınlatılmış onam formu rehberimize ve yazdırılabilir şablonlara bakabilirsiniz.
Hangi işlem için açık rızaya, hangisi için başka bir hukuki sebebe dayandığınızı bir uzmanla netleştirmeniz en doğrusudur. Örneğin kampanya ve tanıtım mesajları ile seans hatırlatmaları farklı amaçlardır; bunları aynı onay kutusunda toplamamak iyi bir alışkanlıktır.
Kim neye erişmeli?
KVKK'nın beklediği temel ilkelerden biri, verinin yalnızca işi için gerekli olan kişiler tarafından görülmesidir. Terapi merkezinde bunu pratikte şöyle düşünebilirsiniz:
- Merkez yöneticisi: Genel takvim, finans ve personel bilgileri.
- Terapist: Kendi danışanlarının seansları ve notları.
- Sekreter veya ön büro: Randevu ve iletişim bilgileri, gerekiyorsa ödeme durumu. Seans notlarına erişim çoğu zaman gerekmez.
Kişisel Verileri Koruma Kurulu'nun özel nitelikli verilere ilişkin yayımladığı yeterli önlemler kararında da yetki matrisi oluşturulması, erişim yetkilerinin düzenli kontrol edilmesi, görevi değişen ya da ayrılan personelin yetkilerinin hemen kaldırılması ve işlem kayıtlarının güvenli tutulması gibi önlemler yer alır.
Günlük işte uygulanabilecek kontrol listesi
- Ortak hesap kullanmayın. Her personelin kendi kullanıcı adı ve şifresi olsun.
- Kişisel telefon gruplarını sınırlayın. Seans notlarını ve raporları mesaj gruplarında paylaşmak yerine kayıt sistemine ekleyin.
- Kâğıt dosyaları kilitli tutun. İmzalı formlar ve raporlar yetkisiz kişilerin ulaşamayacağı bir yerde saklansın.
- Ayrılan personelin erişimini aynı gün kapatın.
- Aydınlatma metninizi güncelleyin. Kayıt sırasında veliye ya da danışana verin ve verdiğinizi kayıt altına alın.
- Ekran ve cihaz güvenliği. Ön bürodaki bilgisayar ekranı bekleme salonundan görünmesin, cihazlar ekran kilidiyle korunsun.
- Bir ihlal olursa ne yapacağınızı önceden belirleyin. Veri ihlali durumunda Kurul'a ve ilgili kişilere bildirim yükümlülüğü vardır. Kimin, ne zaman, nasıl bildirim yapacağını önceden yazın.
- Başvurulara cevap verin. Danışan ya da veli verileri hakkında bilgi istediğinde kanunda belirtilen süre içinde yanıt verilmesi gerekir.
Danışan kayıt formunda nelere dikkat edilmeli?
Kayıt formu, sağlık verisinin merkeze girdiği ilk noktadır. Formda yalnızca işiniz için gerekli bilgileri isteyin. "Belki lazım olur" diye toplanan her bilgi, korunması gereken bir yük demektir. Formun yanında aydınlatma metnini vermek ve gerekiyorsa açık rızayı ayrı bir bölümde almak düzeni korur. Örnek alanlar için danışan kayıt formu yazımıza göz atabilirsiniz.
Yazılım ne yapar, ne yapmaz?
Bir merkez yönetim yazılımı KVKK uyumunu tek başına sağlamaz. Uyum; merkezin aydınlatma metni, iç prosedürleri, personel eğitimi ve teknik altyapının birlikte çalışmasıyla oluşur. Yazılımın katkısı, düzenli kayıt tutmayı ve erişimi sınırlamayı kolaylaştırmaktır.
Anaduyu MYS'de yönetici ve terapist ayrı rollerle çalışır ve her kullanıcının gördüğü ekranlar rolüne göre belirlenir. Danışan bilgileri, seans notları ve paket kayıtları dağınık dosyalar ve mesaj grupları yerine tek bir kayıtta durur. Bağlantı 256-bit SSL ile korunur, veriler KVKK kapsamında işlenir; ayrıntılar gizlilik metnimizde yer alır.
Yazılım seçerken sağlayıcıya şu soruları sormanızı öneririz: Veriler nerede barındırılıyor? Kullanıcı rolleri nasıl ayarlanıyor? Hesap kapatıldığında veriler ne oluyor? Bu sorular, HBYS ile terapi merkezi yazılımı arasındaki farkı anlattığımız HBYS nedir yazısında da işimize yarıyor.
Sıkça sorulan sorular
Seans hatırlatma mesajı göndermek için açık rıza gerekir mi?
Bu, mesajın amacına ve dayandığınız hukuki sebebe bağlıdır. Hatırlatma ile tanıtım mesajını ayrı değerlendirmeniz ve kendi durumunuzu bir uzmanla netleştirmeniz önerilir.
Seans notları ne kadar süre saklanmalı?
Saklama süresi kurum türüne ve ilgili mevzuata göre değişir. Merkezinizin bir saklama ve imha politikası olması, bu süreyi yazılı hale getirmenizi sağlar.
Veli, çocuğunun kayıtlarını isteyebilir mi?
KVKK ilgili kişiye verileri hakkında bilgi talep etme hakkı tanır. Çocuk danışanlarda bu hak kural olarak kanuni temsilci aracılığıyla kullanılır. Talebi yazılı alıp kayıt altına almak iyi bir uygulamadır.
Danışan kayıtlarınızı tek yerde, düzenli tutun
Anaduyu MYS ile danışan, seans ve not kayıtlarınızı rol bazlı erişimle tek panelde toplayabilirsiniz. Ücretsiz Başlangıç paketiyle denemek için App Store'dan indirin.