Klinikte hangi veri kişiseldir?
Veteriner kliniği gün boyu kayıt üretir: hasta künyesi, muayene notu, aşı kaydı, randevu, tahsilat, reçete. Bu kayıtların hepsi kişisel veri değildir ve bu ayrımı doğru kurmak, KVKK uyumunun ilk adımıdır.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgidir. Hayvana ilişkin sağlık verisi bu tanıma girmez. Kedi ya da köpek bir gerçek kişi değildir; dolayısıyla hastanın tanısı, laboratuvar sonucu ya da ameliyat notu KVKK md. 6 anlamında özel nitelikli kişisel veri de değildir.
Kişisel veri olan, hasta sahibine ait bilgidir: adı, telefonu, adresi, kimlik numarası, ödeme geçmişi. Buna bir de ara bir kategori eklenir.
⚠ Mikroçip numarası ve pet pasaportu numarası dolaylı kişisel veridir. Bu numaralar hayvanı tanımlar, ama kayıt sistemlerinde sahibine bağlıdır ve sahibine ulaşmayı sağlar. Bizim tercihimiz bu numaraları kimlik numarasıyla aynı özende korumaktır. e-Reçete sisteminde pet hayvanları için hayvan sahibinin T.C. kimlik numarası kullanılması da aynı özeni gerektirir; reçete tarafını Veteriner tıbbi ürün kaydı ve reçete yükümlülüğü yazısında anlatıyoruz.
Bir nokta daha: insana ait sağlık verisi özel nitelikli kişisel veridir. Klinik normalde bunu toplamaz ve toplamamalıdır. Toplanmayan veri, korunması gerekmeyen veridir; en ucuz güvenlik önlemi budur.
Veri sorumlusu kim: klinik mi, yazılım sağlayıcısı mı?
Bu soru genellikle bir sorun çıktığında sorulur ve o an geç kalınmış olur. Ayrım şudur:
- Müşteri ve hasta kaydını klinik girer, amacını klinik belirler. O kayıtlarda veri sorumlusu kliniktir; yazılım sağlayıcısı, kliniğin talimatıyla veri işleyen taraftır.
- Kliniğin kendi künyesi, evrakları, tahsilatı ve hakedişi söz konusu olduğunda ise veri sorumlusu yazılım ve ödeme hizmeti sağlayıcısıdır.
Biz VetPOS'ta bu ayrımı yasal metinlerimizde açıkça beyan ediyoruz. Kliniğe düşen tarafı kimse kliniğin yerine üstlenemez: aydınlatma yükümlülüğü, ilgili kişi başvurularının cevaplanması, saklama ve imha politikası kliniğindir.
Pratik sonucu şudur: yazılım sağlayıcınızla aranızda veri işleyen sıfatını ve sınırlarını yazan bir sözleşme olmalıdır. "Zaten biliyoruz" cümlesi denetimde bir belge değildir.
Aydınlatma, açık rıza ve karıştırılan şey
Kliniklerde en sık görülen hata, her şeyi tek bir "açık rıza" metnine bağlamaktır. Oysa kişisel veri işlemenin birden çok hukuki şartı vardır ve açık rıza bunlardan yalnızca biridir.
Bir örnekle netleşir. Hasta sahibinin adının ve kimlik bilgisinin mali belgede yer alması bir rıza işi değildir; hukuki yükümlülüğün yerine getirilmesi şartına dayanır (KVKK md. 5/2-ç). Buna karşılık aynı kişiye kampanya mesajı göndermek hukuki yükümlülük değildir ve ayrı bir dayanak ister.
İkisini tek metinde birleştirdiğinizde iki sorun birden doğar. Birincisi, rıza geri alındığında mali kaydı silmeniz gerektiği izlenimi oluşur ki bu yanlıştır. İkincisi, zorunlu bir işlemi rızaya bağlamak rızayı özgür iradeye dayalı olmaktan çıkarır.
🔴 İki saklama süresi vardır ve birbirine karıştırılmaz
Bu yazının en önemli bölümü burasıdır. Veteriner kliniğinde iki farklı saklama rejimi aynı anda işler.
Mali kayıtlar. Vergi hukuku beş yıl saklama ister (VUK md. 253); ticaret hukuku on yıl (TTK md. 82). Pratikte bağlayıcı olan uzun olanıdır, yani on yıl. e-belgeler için saklama elektronik ortamda, mali mühür veya e-imzayı içerecek şekilde yapılır; kâğıda basarak saklamak bu yükümlülüğü karşılamaz. Bu süre boyunca silme talebi reddedilebilir, çünkü işleme hukuki yükümlülüğe dayanır.
Hasta, CRM ve pazarlama verisi. Buradaki süre mali sürenin kopyası değildir. Bir hasta sahibinin pazarlama izninin, iletişim tercihinin ya da hatırlatma kaydının on yıl saklanması için hukuki bir dayanak yoktur. Faturadaki ad ve kimlik bilgisi on yıl kalırken, aynı kişinin pazarlama kaydının on yıl kalması gerekmez ve kalmamalıdır.
⚠ Bu iki süreyi tek bir "müşteri kaydı" ömrüne bağlayan sistem, ikisinden birinde mutlaka hatalıdır. Ya mali kaydı erken siler ya da kişisel veriyi gereğinden uzun tutar.
Doğru kurgu, saklama süresini veri kategorisi bazında belirlemek ve silme işlerinin mali satıra dokunmamasını teknik olarak garanti etmektir. Mali kaydın neden silinmeyip ters kayıtla düzeltildiğini Cari hesap ve alacak takibi yazısında anlatıyoruz; aynı ilke burada da geçerlidir.
Periyodik imha: silmek de bir yükümlülüktür
Saklamak kadar silmek de zorunludur. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (RG 28.10.2017-30224), saklama süresi dolan verilerin resen silinmesini, yok edilmesini veya anonim hâle getirilmesini düzenler ve bunu periyodik imha olarak adlandırır.
Yönetmeliğin klinikler açısından iki pratik sonucu var:
- İmhanın bir takvimi olmalıdır. "Gerektiğinde bakarız" bir süreç değildir. Periyodik imha süresi belirlenir ve o aralıkla çalıştırılır.
- İmha işlemleri kayda geçer ve bu kayıtlar en az üç yıl saklanır. Yani sildiğinizi kanıtlayabilmeniz gerekir. Silinen veriyi değil, silme işleminin kendisini kaydedersiniz.
Anonimleştirme burada işe yarayan bir araçtır. Klinik istatistiği tutmak için hasta sahibinin kimliğine ihtiyacınız yoktur; tür, yaş aralığı ve işlem türü yeter. Kimliği çıkarılmış veri KVKK kapsamı dışına çıkar ve süresiz tutulabilir.
İlgili kişi başvuruları: "silemeyiz" doğru cevap değil
Hasta sahibi verisinin silinmesini istediğinde refleks olarak verilen iki cevap da yanlıştır. "Hepsini sildik" yanlıştır, çünkü mali kayıt silinemez. "Hiçbir şey silemeyiz, yasa gereği on yıl tutuyoruz" da yanlıştır, çünkü bu süre yalnızca mali kaydı kapsar.
Doğru cevap ayrıştırılmış cevaptır: hangi veri hangi dayanakla saklanıyor, hangisi siliniyor. Bunu verebilmek için önceden bir veri envanteri hazırlamış olmanız gerekir. Envanter, denetim için değil, bu soruya on dakikada cevap verebilmek için tutulur.
Veri ihlali hâlinde de bildirim yükümlülüğü vardır: veri sorumlusu, işlenen verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde durumu en kısa sürede ilgilisine ve Kurul'a bildirir (KVKK md. 12/5). Bildirim usulü ve süresine ilişkin güncel Kurul kararlarını takip etmenizi öneririz.
Klinikte işe yarayan teknik önlemler
KVKK uyumu bir metin işi değildir; ekranda ve yetkide karşılığı olmalıdır.
- Rol bazlı erişim. Resepsiyon personelinin bakiye ve iletişim bilgisi görmesi gerekebilir; muayene notunun tamamını görmesi gerekmeyebilir. Yetkiyi ekran düzeyinde tanımlayın.
- Ekrandaki veriyi azaltın. Liste ekranında kimlik numarası göstermeyin. Gerekmediği yerde görünmeyen veri, sızmayan veridir.
- İşlem izi tutun. Kimin hangi kaydı ne zaman açtığı ve değiştirdiği kayıt altında olsun.
- Dışa aktarımı kontrol edin. Excel çıktısı en sık unutulan sızıntı yoludur; kimin çıktı alabildiğini sınırlayın.
- Personel değişiminde yetki kapatın. Ayrılan personelin hesabı aynı gün kapanmalıdır.
- Veriyi klinik dışına taşımayın. Hasta listesinin kişisel telefonda WhatsApp üzerinden dolaşması, en yaygın ve en görünmez ihlaldir.
Hatırlatma ve pazarlama ayrı bir dünyadır
Aşı ve parazit hatırlatması klinik açıdan değerlidir, ancak izin rejimi KVKK'dan ibaret değildir. Ticari elektronik iletiler için 6563 sayılı Kanun'un getirdiği ayrı bir onay rejimi vardır ve İleti Yönetim Sistemi bu rejimin parçasıdır. Konuyu tek başına ele aldığımız yazı: Aşı ve parazit hatırlatmalarıyla hasta bağlılığı.
Ayrıca hatırlatma metnine indirim ya da kampanya eklemek, meslek mevzuatındaki reklam sınırlarına da takılabilir. O sınırları Klinik için dijital görünürlük yazısında topladık.
Kısa kontrol listesi
- Aydınlatma metniniz kliniğin gerçekten işlediği verileri anlatıyor mu?
- Tutmadığınız bir veriyi "tutuyoruz", tuttuğunuz bir veriyi "tutmuyoruz" diye beyan ediyor musunuz? İkincisi birincisinden kötüdür.
- Yazılım sağlayıcınızla veri işleyen sözleşmesi var mı?
- Saklama süreleri veri kategorisi bazında yazılı mı?
- Periyodik imha çalışıyor mu, imha kayıtları tutuluyor mu?
- Silme talebine ayrıştırılmış cevap verebiliyor musunuz?
Kliniğinizde bu yapının nasıl kurulduğunu merak ediyorsanız Sık sorulan sorular sayfamıza bakabilir ya da bizimle iletişime geçebilirsiniz.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. KVKK uygulaması Kurul kararlarıyla şekillenmektedir; kliniğinizin envanteri, saklama politikası ve aydınlatma metinleri için hukuk danışmanınıza başvurun.