Sağlık Uzmanı KVKK Rehberi: Danışan Verisi Nasıl Korunur

Bir psikoloğun seans notu, bir fizyoterapistin tedavi kaydı, bir diyetisyenin beslenme ve tahlil sonucu farklı meslek pratiklerinden gelse de KVKK'nın gözünde aynı kefede durur: sağlık verisi. Danışanınızın ya da hastanızın size anlattığı, ölçtüğü ya da paylaştığı her şey, adı soyadından çok daha hassas bir kategoriye girer ve kanun bu kategoriyi sıradan kişisel veriden ayrı tutar. Bu yazı da tam bu ortak noktadan yola çıkıyor: hangi meslekten olursanız olun aynı beş adımı izleyerek uyumunuzu kurabilirsiniz.

6698 sayılı Kişisel Verilerin Korunması Kanunu (7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete), sağlık durumuna dair bilgileri 6. maddesinde özel nitelikli kişisel veri olarak tanımlar ve bu verinin işlenmesi için çok daha dar bir kapı bırakır: açık rıza olmadan ya da kanunun açıkça izin verdiği bir dayanak olmadan bu veriyi tutamaz, işleyemez, başkasıyla paylaşamazsınız. Meslek hangisi olursa olsun bu kural aynı şekilde işler. Sıradan bir iletişim bilgisini işlemekle sağlık verisini işlemek arasındaki fark, tam da burada; birinde esneklik payınız var, diğerinde yok.

Ama hassasiyetin rengi meslekten mesleğe değişir. Bir psikolog için mesele terapi mahremiyeti; seans notunda ruh hâli, geçmiş travmalar, bazen bir tanı yer alır ve bu bilgiler danışanın en özel anlatısını taşır. Bir fizyoterapist için mesele çok seanslı bir tedavi geçmişi; ağrı lokasyonu, hareket ölçümü, ilerleme notları zaman içinde birikir ve hastanın bedenine dair ayrıntılı bir kayıt oluşturur. Bir diyetisyen için mesele danışanın beslenme alışkanlığı, beden ölçümleri ve tahlil sonuçları; bunlar kişinin fizyolojik durumunu doğrudan açıklar. Üçü de aynı hukuki çatının altında durur ama her biri kendi risk noktasını iyi tanımalı. Bu farkları görmezden gelip hepsini aynı jenerik cümleye sıkıştırmak, hem danışanı yeterince bilgilendirmiyor hem de sizi bir denetimde zor duruma düşürüyor; danışanınıza hangi verinizi neden tuttuğunuzu kendi mesleğinizin diliyle anlatabilmeniz, kanunun beklediği somutluğa daha yakın bir yaklaşım.

KVKK uyumu soyut bir ilke değil, sırayla atılabilecek somut adımlardır. Karmaşık görünmesinin nedeni genelde adımların dağınık kalması; toparlandığında iş bir haftalık bir kurulum meselesine döner. Aşağıdaki beş adım, hangi meslekten olursanız olun aynı sırayla işler.

Bu beş adımı tek seferde mükemmelleştirmeniz gerekmez; sırayla tamamlamak, dağınık haldeki rıza kağıtlarını, notları ve arşivi tek bir mantığa oturtur. İlerleyen bölümlerde her adımı ayrı ayrı açıyoruz.

Bir kez kurulduktan sonra bu düzenin bakımı da kolaylaşır. Yeni bir danışan geldiğinde zaten hazır olan aydınlatma metnini ve rıza akışını tekrar tekrar kullanırsınız, her seferinde sıfırdan bir belge hazırlamak zorunda kalmazsınız; asıl emek ilk kurulumda, sonrası rutine döner.

Açık rıza çoğu uzmanın kafasında bir yerde imza alınıyor kadar soyut duruyor. Oysa işin özü zamanlamada. Sağlık verisine dair rıza, danışanın ya da hastanın o veriyi paylaşmaya başlamasından önce alınmalı; yani ilk görüşmede kayıt tutmaya başlamadan rızanın elinizde olması gerekir. Görüşmenin ortasında ya da sonunda imzalatılan bir kağıt, önce rıza sonra veri mantığını tersine çevirdiği için zayıf kalır.

İyi bir rıza metni üç soruya net cevap verir: neyi, ne için, ne kadar süre. Hangi verileri (seans notu, tedavi ölçümü, tahlil sonucu, fotoğraf) topladığınızı, bunları hangi amaçla işlediğinizi ve ne kadar saklayacağınızı anlaşılır bir dille anlatır. Danışan bunu okuyup ne onayladığını gerçekten kavramalı; küçük puntolu, hukuk diliyle dolu bir metin bu amaca hizmet etmez. Tek bir genel rıza cümlesine sığdırmak yerine, hangi veri için ne onayladığını danışanın kendi gözüyle görebileceği ayrıştırılmış bir liste sunmak hem daha sağlam hem daha dürüst bir yaklaşımdır.

Gözden kaçan bir ayrıntı da rızanın ne zaman alındığını gösteren zaman kaydı. Kağıda imza olarak aldıysanız tarihli olmalı; dijital ortamda aldıysanız onayın hangi an verildiğini sistem kendisi tutmalı. Bu zaman damgası, ileride rıza var mıydı, ne zaman alındı sorusunun tek somut cevabıdır. Pratikte bunu en temiz çözen yol, danışanın ilk görüşmeye gelmeden önce ön değerlendirme formunu dijital olarak doldurduğu ve sağlık verisine dair onayın tam o anda, tarihiyle birlikte kaydedildiği bir akıştır; böylece rıza ne zaman alındı sorusunun cevabı sistemde kendiliğinden durur, ayrıca dosya arasından kağıt aramanız gerekmez.

İki belge sık karıştırılıyor. Aydınlatma metni danışanı bilgilendirmek içindir: kim olarak hangi veriyi neden işlediğinizi, ne kadar sakladığınızı, danışanın haklarını anlatır. Tek taraflıdır, imza gerektirmez, sadece haberdar eder. Danışan bu metni okumasa bile yükümlülüğünüzü yerine getirmiş sayılırsınız; önemli olan metni erişilebilir kılmanızdır.

Açık rıza metni ise danışanın evet, verimin bu şekilde işlenmesini kabul ediyorum dediği onaydır. Biri bilgilendirir, diğeri izin alır; ikisi farklı işler görür ve bir uzmanın masasında ikisi de bulunmalı. Fotoğraf, ses kaydı ya da üçüncü bir yazılımla paylaşım gibi ek işlemler için ayrı ve bağımsız bir rıza almak da aynı mantığın parçasıdır.

Bu ayrımı net tutmanın pratik faydası şu: bir danışan itiraz ettiğinde ya da bir denetimde soru geldiğinde, hangi belgenin hangi işi gördüğünü karıştırmadan gösterebilirsiniz. Aydınlatma metnini danışanla ilk temasta paylaşmak, açık rıza metnini ise imzalı ya da dijital onaylı ayrı bir kayıt olarak saklamak en sağlam yöntemdir.

Bir denetimde sorulabilecek en sıradan soru şu: bu kaydı neden hâlâ tutuyorsunuz? Cevabı tek bir süreyle vermek mümkün değil çünkü masanızda tek tip kayıt yok. Kabaca iki yığın var: mevzuatın tutmanızı zorunlu kıldığı kayıtlar (randevu ve işlem defterleri, resmi kayıtlar) ve mesleki notlarınız (seans notu, tedavi ilerleme notu, danışan geçmişi). Birincisi için mevzuat uzun süreler öngörebilir; ikincisi mesleki standart ve hizmetin gereğiyle şekillenir. Psikolog için protokol ya da kayıt defteri zorunlu tarafta, terapötik seans notu mesleki tarafta durur; fizyoterapist için randevu ve işlem kaydı zorunlu tarafta, tedavi ilerleme notu mesleki tarafta yer alır; diyetisyen için danışan başvuru kaydı zorunlu tarafta, beslenme günlüğü ve ölçüm notları mesleki tarafta bulunur.

Bu ikisini aynı kovaya koymak en sık yapılan hata. Zorunlu kaydı erkenden silmek de, mesleki notu sonsuza kadar tutmak da risk taşır. Doğru yaklaşım her kayıt türü için bir süre belirleyip bunu yazılı bir politikaya geçirmek; hangi belgeyi neden ne kadar tuttuğunuzu bilmiyorsanız bir denetimde de açıklayamazsınız. Bu politikayı bir kez yazıp çekmeceye kaldırmak yeterli değil; danışan sayınız ya da hizmet türünüz değiştiğinde gözden geçirmeniz gerekir.

Süre dolduğunda iş kendiliğinden bitmez, bir eylem gerektirir. İmha, verinin geri döndürülemez biçimde yok edilmesi ya da kimsenin erişemeyeceği hale getirilmesidir. Kağıt dosyayı çöpe atmak değil, okunamaz hale getirip yok etmek; dijital kaydı geri dönüşüm kutusuna taşımak değil, kalıcı olarak silmektir. Yedeklerin de bu imha işleminin kapsamında olduğunu unutmayın; ana dosyayı silip bir yedekte bırakmak, işi yarım bırakmak demektir. Kendi mesleğinize dair kesin saklama sürelerini bir hukukçuyla ya da KVKK Kurumu kaynaklarıyla teyit etmeniz en doğrusu; süreler hizmetin niteliğine göre değişebiliyor.

KVKK sadece rıza al demiyor, aldığınız veriyi güvenli tut da diyor. Bu, çoğu kişinin sandığından daha somut bir şey. Danışan notlarınız düz metin halinde, herhangi birinin açıp okuyabileceği bir dosyada duruyorsa, kapıyı kilitlemeden değerli evrakı masada bırakmış gibisiniz. Asıl mesele veriyi şifreli tutmak: dosya yanlış ellere geçse bile içeriğin okunamaması. Bir dizüstü bilgisayarın çalınması ya da yanlış kişiye gönderilen bir dosya, güvenli saklamanın neden soyut bir ilke değil, günlük bir alışkanlık olması gerektiğini gösterir.

Pratikte en yaygın riskli alışkanlıklar şunlar: notları Excel dosyasında tutmak kolay görünür ama korumasızdır; masaüstündeki bir klasörde tutmak, bilgisayar kaybolursa tüm geçmiş onunla gider; mesajlaşma uygulamaları üzerinden danışan bilgisi paylaşıp orada bırakmak, o yazışmalar telefonun yedeğinde ve kontrolünüz dışında bir sürü yerde durur. Bu üç alışkanlığın ortak noktası, veri üzerindeki kontrolü kaybetmeniz: dosyanın kimin elinde olduğunu, kaç kopyasının dolaştığını bilemezsiniz. Doğru kurulumda veri, erişimin sınırlı ve içeriğin şifreli tutulduğu bir yerde durmalı; hangi kaydın ne zaman görüntülendiği izlenebilir kalmalı. Uzman Takvimi'nde danışan notları ve ön değerlendirme cevapları bu şekilde, güçlü şifreleme ile saklanır.

Burada sınırı da net çizmek gerekir: Uzman Takvimi randevu planlama ve hafif danışan takibi için kurulmuş bir araçtır; tanı, reçete ya da klinik kayıt tutmaz, bunlar tamamen sizin mesleki alanınızda ve kontrolünüzde kalır. Sistem randevunuzu, ön değerlendirme notlarınızı ve danışan iletişiminizi düzenli tutar; asıl mesleki kararı ve kaydı siz yönetirsiniz. Hangi aracı seçerseniz seçin sorulacak soru aynı: hassas veri şifreleniyor mu, erişim sınırlı mı?

Veri Sorumluları Sicil Bilgi Sistemi, yani VERBİS, kişisel veri işleyen veri sorumlularının belli koşullarda kaydolması gereken resmi bir sicildir. Kurulun 2025 yılında aldığı bir kararla, çalışan sayısı 10'un altında ve yıllık mali bilançosu 10 milyon TL'nin altında kalan bireysel uzmanlar (psikolog, fizyoterapist, diyetisyen fark etmez) VERBİS kaydından muaf tutulabiliyor; iki eşiğin aynı anda sağlanması gerekiyor. Tek başına çalışan, çalışanı olmayan çoğu uzman bu tanıma girer.

Ama bu muafiyet yalnızca VERBİS kaydını kapsıyor. Aydınlatma yükümlülüğü, açık rıza alma, güvenli saklama ve danışan taleplerine yanıt verme gibi temel yükümlülükler muafiyetten etkilenmiyor. Kendi durumunuzun eşikleri karşılayıp karşılamadığını KVKK Kurumu'nun güncel açıklamalarından ya da bir hukukçudan teyit etmeniz en sağlıklısı; bu yazı operasyonel bir rehberdir, hukuki danışmanlık yerine geçmez, bağlayıcı durumlarda kvkk.gov.tr kaynağına ya da bir hukukçuya danışın.

Bu istisna küçük ölçekli, tek başına çalışan uzmanlar için işlemleri hafifletir; ama gözden kaçırılmaması gereken bir nokta var. Eşiklerden biri aşılırsa, örneğin bir asistan işe alıp çalışan sayınız artarsa, VERBİS kaydı yükümlülüğü yeniden doğar. Bu yüzden eşiklerinizi yılda bir gözden geçirmek makul bir alışkanlıktır.