KVKK Açık Rıza ve Aydınlatma Metni: Sağlık Uzmanı Örneği

Sahada en sık gördüğüm karışıklık şu: pratisyen, danışanına tek bir kâğıt imzalatıyor, altına 'KVKK onayı' yazıyor ve işini bitmiş sayıyor. Oysa burada iki ayrı şey var ve birbirinin yerine geçmiyorlar.

Aydınlatma metni, bir bilgilendirmedir. Danışanınızın verisini işlemeden önce ona 'ben kimim, hangi verini, neden işliyorum, kime veriyorum, ne kadar saklıyorum, hangi haklara sahipsin' diye anlatma yükümlülüğünüz. Bu, KVKK'nın 10. maddesinde düzenlenmiş ve neredeyse her durumda geçerli; danışan isteyse de istemese de siz bu bilgilendirmeyi yapmak zorundasınız. Yani aydınlatma bir 'izin isteme' değil, bir 'haber verme' eylemidir.

Açık rıza ise bambaşka. Bu, danışanın 'evet, verimi bu amaçla işleyebilirsin' diyen özgür ve bilgilendirilmiş onayı. Sağlık verisi söz konusu olduğunda bu onay çoğu durumda ayrıca gündeme gelir, çünkü sağlık verisi kanunun 'özel nitelikli' saydığı, daha yüksek korumalı bir veri türü.

Kabaca şöyle düşünün: aydınlatma metni sizin danışana verdiğiniz bir açıklamadır, tek yönlüdür. Açık rıza ise danışanın size geri verdiği bir cevaptır. Birini yaptım diye diğerini yapmış saymazsınız. İkisini tek bir satırda birleştirip 'okudum, onaylıyorum' demek, çoğu zaman ne aydınlatmayı düzgün yapar ne de rızayı geçerli kılar.

Bir diyetisyenin danışan dosyasını düşünün: kilo, boy, kan değerleri, kullanılan ilaçlar, kronik hastalıklar. Bir psikoloğun seans notları, bir fizyoterapistin yaralanma ve tanı kayıtları da aynı şekilde kişinin sağlığına dair son derece mahrem bilgiler taşır. Kanun bu tür veriyi ayrı bir kategoriye koyuyor.

KVKK'nın 6. maddesi sağlık verisini 'özel nitelikli kişisel veri' olarak tanımlar. Bunun pratikteki anlamı şu: sıradan bir veriyi (ad, telefon gibi) işlerken elinizin altındaki hukuki dayanaklar daha geniştir; ama sağlık verisinde çıta yükselir. Bu veriyi işlemek için ya kanunun saydığı işleme koşullarından birine dayanmanız ya da kişinin açık rızasını almanız gerekir.

İşin özünde mantıklı bir yan var. Birinin telefon numarasının sızması can sıkıcıdır; ama birinin psikiyatrik tanısının, gebelik durumunun ya da bir bağımlılık geçmişinin sızması hayatını değiştirebilir. Kanun bu farkı görüyor ve sizden daha fazla özen bekliyor. Sağlık pratisyeni olarak zaten mesleğinizin doğası gereği bu veriyle çalışıyorsunuz, dolayısıyla bu yüksek çıta sizin için istisna değil, kural.

Şunu da netleştireyim: eğer psikiyatristseniz, reçete ve tıbbi kayıtları kendi hekimlik sisteminiz içinde tutarsınız. Randevu ve danışan iletişimi için kullandığınız araçlar tıbbi kaydın kendisi değildir; o ayrım aklınızda net dursun, çünkü tıbbi kaydın saklanması ve korunması ayrı bir sorumluluk alanıdır.

Aydınlatma metni uzun ve süslü olmak zorunda değil; net olmak zorunda. Danışan okuduğunda kafasında soru işareti kalmamalı. İşte bir sağlık pratisyeninin aydınlatma metninde bulunması gereken başlıklar, sahadaki karşılıklarıyla:

Açık rızanın geçerli sayılması için üç niteliği taşıması beklenir ve bu üçünü aklınızda tutmak, çoğu hatayı baştan önler.

Serbest olmalı. Danışan 'evet' demek zorunda hissetmemeli. Hizmeti almanın tek yolu her türlü veri işlemeye peşinen razı olmaksa, o rıza gerçekten serbest değildir. Örneğin randevu almak için zorunlu olmayan bir pazarlama iletişimine onay vermeyi şart koşarsanız, bu serbest rıza olmaz.

Bilgilendirilmiş olmalı. Danışan neye onay verdiğini bilmeli. Bu yüzden açık rıza, aydınlatma metninden beslenir: önce anlatırsınız (aydınlatma), sonra 'bunu anladım ve onaylıyorum' dersiniz (rıza). Aydınlatma yapılmadan alınan bir 'onay' havada kalır.

Belirli olmalı. Rıza bir amaca bağlı olmalı. 'Her türlü işleme razıyım' gibi sınırsız, açık uçlu bir onay yerine, hangi verinin hangi amaçla işleneceğine dair belirli bir onay alınır. Danışanınıza sağlık verisini randevu ve takip için işlemeye onay verdiriyorsanız, metin tam da bunu söylemeli; başka amaçları içine sıkıştırmayın.

Burada güncel bir ayrıntı önemli: KVKK'nın özel nitelikli veriyi düzenleyen 6. maddesi 2024'te değişti (7499 sayılı Kanun, 1 Haziran 2024'te yürürlüğe girdi) ve işleme koşulları yeniden düzenlendi. Bu düzenlemeyle birlikte, sır saklama yükümlülüğü altındaki sağlık profesyonellerinin teşhis, tedavi ve bakım hizmetleri amacıyla sağlık verisini bazı durumlarda açık rıza almadan işleyebileceği bir dayanak var. Yani mesleğinizin doğrudan tedavi/hizmet kısmı için her adımda ayrı bir açık rıza şart olmayabilir.

Ama bu istisna tedavi ve hizmet amacıyla sınırlı. Randevu hatırlatması, danışan ilişkileri yönetimi ya da pazarlama iletişimi gibi tedavi dışı amaçlar için açık rıza yine ayrıca gerekebilir. Bu sınırın tam olarak nerede çizildiği sizin çalışma biçiminize bağlı; net cevabı bir avukatla ve kvkk.gov.tr'nin güncel metniyle teyit edin. Emin değilseniz güvenli yol, açık rızayı düzgün almaktır. Ayrıca rıza geri alınabilir bir şeydir; danışan sonradan 'rızamı geri çekiyorum' diyebilir, siz de buna göre davranmak durumundasınız.

Aşağıda kopyalayıp kendi bilgilerinizle doldurabileceğiniz kısa bir örnek var. Köşeli parantezli yerleri kendi pratiğinize göre değiştirin. Bunu bir başlangıç taslağı olarak görün, son hâli değil; alanınıza ve çalışma biçiminize göre bir avukatla gözden geçirmeniz gerekir.

AYDINLATMA METNİ (örnek):

"[Uzman Adı / Muayenehane Unvanı] olarak, size sunduğum hizmet kapsamında bazı kişisel verilerinizi işliyorum. İşlediğim veriler: ad-soyad, iletişim bilgileriniz, randevu bilgileriniz ve sağlığınıza ilişkin olarak [ör. ön değerlendirme formunda paylaştığınız bilgiler, seans/görüşme notları] verileridir. Bu verileri; randevunuzu oluşturmak, size hizmet sunmak, sizi takip etmek ve yasal yükümlülüklerimi yerine getirmek amacıyla işliyorum. Verileriniz [üçüncü kişilerle paylaşılmamaktadır / yalnızca hizmetin yürütülmesi için kullandığım altyapı sağlayıcılarıyla, hizmetin gerektirdiği ölçüde paylaşılmaktadır]. Verileriniz [saklama süresi] boyunca saklanır, sürenin sonunda silinir ya da anonim hâle getirilir. 6698 sayılı Kanun'un 11. maddesi kapsamındaki haklarınızı kullanmak için [iletişim e-postası / adres] üzerinden bana başvurabilirsiniz."

AÇIK RIZA METNİ (örnek):

"Yukarıdaki aydınlatma metnini okudum ve anladım. Sağlığıma ilişkin özel nitelikli kişisel verilerimin, [Uzman Adı] tarafından yukarıda belirtilen amaçlarla işlenmesine açık rıza veriyorum. Bu rızamı dilediğim zaman geri alabileceğimi biliyorum." (Tarih: [Tarih], Ad-soyad ve imza: [Ad-soyad])

İki metnin ayrı durmasına dikkat edin; örnekte bilerek tek bir 'onay' cümlesine sıkıştırmadım.

Diyelim ki bir yıl sonra bir soru geldi: bu danışan sağlık verisinin işlenmesine onay vermiş miydi, ne zaman, hangi metne? İspat yükü sizde olduğunda bu ciddi bir sorun. Islak imzalı kâğıtlar kaybolur, tarih atılmaz, hangi metnin geçerli olduğu karışır. Bu yüzden onayı kaydederken 'ne zaman ve hangi metne' bilgisini birlikte tutmak gerekir.

Uzman Takvimi'nin ön değerlendirme ve karşılama formlarını burada bir örnek olarak kullanabilirim: danışan formu doldururken verdiği sağlık verisi onayı, ne zaman verildiği bilgisiyle birlikte kaydedilir. Yani 'şu tarihte, bu onaya evet dedi' bilgisi randevu öncesinde kayıt altına alınmış olur.

Bunu bir ürün reklamı olarak değil, bir çalışma disiplini olarak okuyun: hangi aracı kullanırsanız kullanın, sağlık verisi onayını tarihiyle ve gösterilen metniyle birlikte saklayabildiğiniz bir düzen kurun. Onayın alındığı anı yakalamak, sonradan yeniden kurgulamaya çalışmaktan çok daha sağlam.

Sahada tekrar tekrar gördüğüm birkaç hata var; çoğu iyi niyetle ama yanlış bir sadeleştirmeyle ortaya çıkıyor.

Buraya kadar okuduysanız, elinizde çoğu jenerik şablon sitesinin verdiğinden daha sağlam bir çerçeve var. Ama bu yine de bir başlangıç, bitmiş bir metin değil.

Açık olayım: bu yazı hukuki tavsiye değildir. Ben size bir çerçeve ve uyarlayabileceğiniz bir taslak veriyorum; sizin pratiğinize bağlayıcı biçimde uyacak metni bir avukatla birlikte oluşturmanız gerekir. Sağlık verisi işlediğiniz için çıta zaten yüksek, dolayısıyla bu adımı atlamayın.

Bağlayıcı ve güncel bilgi için doğrudan kaynağa gidin: Kişisel Verileri Koruma Kurumu'nun resmî sitesi kvkk.gov.tr, kanun metnini, rehberleri ve VERBİS'e (Veri Sorumluları Sicili) ilişkin yükümlülükleri barındırır. Belirli bir durumda VERBİS'e kayıt gerekip gerekmediği gibi konularda güncel kriterleri oradan ve avukatınızdan teyit edin; ben burada size somut madde numaralarını (6, 10, 11) verdim ama sizin durumunuzun ayrıntısı için o kaynaklar esastır.

Bu düzeni bir kez kurduğunuzda, hem danışanınıza karşı dürüst olursunuz hem de ileride sorulacak sorulara hazır.