Psikiyatrist İçin KVKK Rehberi: Hasta Verisi ve Açık Rıza

Tablo tanıdıktır. Yeni hasta ilk kez gelir, sekreter önüne bir kâğıt koyar, 'şurayı da imzalayalım, KVKK' der. Hasta okumadan imzalar. Dosya açılır, imzalı kâğıt dosyanın en altına konur ve herkes kendini güvende hisseder. O kâğıt bir daha da açılmaz.

Bu refleksin sorunu, işe yaramaması değil. Sorun, meseleyi çoğu zaman ters yerinden tutması. KVKK'da açık rıza, akla ilk gelenin aksine, bir başlangıç noktası değil. Kanun önce verinin rıza olmadan işlenip işlenemeyeceğini sorar; ancak hiçbir işleme şartı yoksa rızaya başvurulur. Yani açık rıza bir ilk adım değil, son çaredir.

Bunun pratik sonucu şaşırtıcı gelebilir: elinizde zaten başka bir işleme şartı varken hastadan ayrıca açık rıza almak, sizi daha güvenli tarafa geçirmez. Tam tersini yapar. Kurul'un yerleşik yaklaşımına göre, Kanun'da sayılan diğer şartlardan birine dayanılarak işlenebilecek bir veri için ayrıca açık rıza alınması, ilgili kişinin yanıltılması ve veri sorumlusu tarafından hakkın kötüye kullanılması sayılıyor. Çünkü rıza, geri alınabilen bir şeydir. Hastaya 'istersen bu izni geri çekebilirsin' izlenimi verip, aslında geri çekse de işlemeye devam edeceğiniz bir veriyi rızaya bağlamak, ona yanlış bir kontrol duygusu satmak demek.

Psikiyatride bu ayrım daha da önemli, çünkü hekimin elinde çoğu meslektaşının farkında olmadığı güçlü bir dayanak var.

6698 sayılı Kanun'un 6. maddesi, sağlık verisini özel nitelikli kişisel veri sayar. Kural nettir: özel nitelikli veri, ilgilinin açık rızası olmadan işlenemez. Çoğu KVKK yazısı burada durur ve okuru 'öyleyse rıza alın' sonucuna götürür. Oysa madde orada bitmiyor.

Aynı maddenin devamında, açık rıza aranmaksızın işlemeye izin veren hâller sayılıyor. Bunlardan biri doğrudan sizin durumunuzu tarif ediyor: kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler tarafından yapılan işleme.

Bir psikiyatrist bu tanımın tam ortasındadır. Hekimsiniz, sır saklama yükümlülüğü altındasınız ve teşhisi, seans notunu, ilaç ve tedavi geçmişini tedavi amacıyla işliyorsunuz. Bu veriler için hastanızdan açık rıza almanız kural olarak gerekmiyor. Zaten almamanız gerekiyor, çünkü dayanağınız rıza değil, tedavi.

Burada bir parantez açmakta fayda var. Bu dayanak hekime özgü bir ayrıcalık değil; ölçüt, sır saklama yükümlülüğü altında olmak ve amacın tedavi olması. Ancak hekimin konumu bu ölçüt bakımından en tartışmasız olanıdır. Aynı soruyu tedavi zincirinin dışındaki bir meslek için yanıtlamak her zaman bu kadar kolay değildir.

Bir not daha: 6. madde 2024'te baştan yazıldı. 7499 sayılı Kanun'la yapılan değişiklik 1 Haziran 2024'te yürürlüğe girdi. Bu değişiklikle sağlık verisinin diğer özel nitelikli verilerden ayrı duran rejimi kaldırıldı ve işleme şartları tek bir genişletilmiş listede toplandı. Tedavi istisnası bu yeni düzende de yerinde duruyor. 2024 öncesinde yazılmış bir metni bugün olduğu gibi kullanıyorsanız, dayanak gösterdiği fıkra numarası artık tutmuyor olabilir.

Hasta dosyanız tek bir klasör gibi görünür ama hukuken tek parça değildir. İçindeki verilerin bir kısmı özel nitelikli, bir kısmı değil ve ikisi farklı maddelere tabi.

Hastanın adı, telefonu, e-postası ve randevu saati sıradan kişisel veridir; 5. maddeye tabidir. Teşhisi, seans notu ve ilaç geçmişi ise özel nitelikli veridir; 6. maddeye tabidir. Bu ayrımı bir kez netleştirdiğinizde, 'neye rıza gerekir' sorusu bulanık bir endişe olmaktan çıkıp cevaplanabilir bir soruya dönüşür.

Ayrımın asıl işe yaradığı yer şurası: rıza gerektiren şey genelde tedavi verisi değil, tedaviyle ilgisi olmayan işlemelerdir. Hastaya bülten yollamak, kampanya duyurmak, ondan yorum ya da referans istemek. Bunların hiçbiri tedavi değildir, dolayısıyla tedavi istisnasının arkasına saklanamazsınız. Muayenehanelerin gerçekten rıza alması gereken yer burasıdır ve çoğu tam burada rıza almaz.

Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı, sahadaki en yaygın kâğıt hatasını doğrudan hedef alıyor: aydınlatma metniyle açık rıza metninin tek bir belgede eritilmesi.

Karara göre bu iki metnin farklı başlıklar altında, ayrı ayrı düzenlenmesi gerekiyor. Aynı sayfada yer alacaklarsa alt alta gelecek ve her biri için ayrı beyan alınacak şekilde kurgulanmaları isteniyor. Yani altında tek bir imza olan, başlığında 'KVKK onay formu' yazan o birleşik kâğıt, artık savunulabilir bir belge değil.

Kararın ikinci yarısı bu yazının ilk bölümünü doğruluyor: işleme faaliyeti açık rıza dışındaki bir şarta dayanıyorsa yalnızca aydınlatma yükümlülüğü yerine getirilmeli, ilgili kişiye ayrıca açık rıza metni sunulmamalı.

Bunu psikiyatri muayenehanesine çevirelim. Masanızda olması gereken asıl belge, hastaya kim olduğunuzu, hangi verisini hangi amaçla işlediğinizi, kime aktardığınızı, ne kadar sakladığınızı ve haklarını anlatan bir aydınlatma metnidir. Bu her hâlükârda zorunludur. Açık rıza metni ise ayrı bir kâğıttır, herkese verilmez ve yalnızca tedavi dışına çıkan işlemeler için istenir. Çoğu hastanız için ikinci kâğıda hiç ihtiyacınız olmayacak.

Bu, psikiyatride teorik bir soru değil. Boşanma, velayet ve ceza dosyalarında hasta kayıtları istenir ve talep genellikle hiç beklemediğiniz bir anda gelir.

Kurul'un 2023/1578 sayılı kararı tam bu durumu konu alıyor. Bir üniversite tıp merkezi, bir hastanın psikiyatri tedavi dosyasını, içindeki psikoterapi notlarıyla birlikte, boşanma davasına bakan aile mahkemesine gönderiyor. Belgeler mahkemenin dijital sistemine yükleniyor ve mahkeme personeli ile karşı tarafın erişimine açılıyor. Hasta, hayatının en mahrem bilgisinin ortalığa saçıldığı gerekçesiyle şikâyetçi oluyor.

Kurul ihlal bulmuyor. Gerekçe iki ayaklı: mahkemenin üçüncü kişilerden belge isteme yetkisi Hukuk Muhakemeleri Kanunu'ndan geliyor ve belgeyi gönderen kurumun buna uyma zorunluluğu var. Belgenin mahkemeye ulaştıktan sonraki akıbeti ise Kanun'un 28. maddesindeki yargı istisnası kapsamında kalıyor ve gönderen kurumun sorumluluğunda sayılmıyor.

Buradan çıkan sonuç rahatlatıcı değil ama nettir. Mahkeme talebini KVKK'ya dayanarak reddedemezsiniz; reddetmek sizi korumaz. Yapabilecekleriniz daha mütevazıdır ve hepsi talebin gelmesinden önce yapılmış olmalıdır.

Veri minimizasyonu, KVKK metinlerinde soğuk bir ilke gibi durur: yalnızca amaç için gerekli olanı işleyin. Yukarıdaki mahkeme senaryosu bu ilkeyi birden somutlaştırıyor.

Psikiyatri notu doğası gereği hassastır, ama her not aynı ölçüde hassas olmak zorunda değildir. Tedavi için gerekli olan klinik gözlem ile, hastanın seans sırasında anlattığı ve tedaviyle doğrudan ilgisi olmayan üçüncü kişilere dair ayrıntılar aynı şey değildir. İkincisi dosyaya girdiği anda, artık sizin koruyamadığınız bir yola çıkmış olur.

Pratik ölçüt şu olabilir: bu cümle tedaviye hizmet ediyor mu, yoksa sadece hatırlamak istediğim bir ayrıntı mı? İkinciyse dosyada işi yok. Bu, özensiz not tutmak anlamına gelmiyor. Aksine, ne yazdığına karar vermiş olmak anlamına geliyor.

VERBİS konusunda internetteki bilginin önemli bir kısmı artık eski. Yıllarca tekrarlanan cümle şuydu: ana faaliyeti sağlık verisi işlemek olan muayenehaneler, büyüklüğü ne olursa olsun istisnasız VERBİS'e kaydolmak zorundadır. Bu cümle bir dönem doğruydu.

Kurul'un 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararı bu ölçütü değiştirdi. Yeni düzenlemeye göre, ana faaliyet konusu özel nitelikli kişisel veri işleme olsa dahi, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olan veri sorumluları sicile kayıt yükümlülüğünden muaf tutulabiliyor. İki eşiğin birlikte sağlanması gerekiyor; biri yeterli değil.

Tek başına ya da bir iki kişilik bir ekiple çalışan bir psikiyatrist tipik olarak bu eşiğin altındadır. Yani muhtemelen VERBİS kaydınız gerekmiyor.

Buradan çıkarılacak yanlış sonuç şudur: 'öyleyse KVKK beni bağlamıyor.' Bağlıyor. Muafiyet yalnızca sicile kayıt ve bildirim yükümlülüğüne ilişkin. Aydınlatma yükümlülüğünüz, güvenlik tedbirleri alma yükümlülüğünüz, hastanın başvurusuna cevap verme yükümlülüğünüz ve ihlal bildirimi yükümlülüğünüz aynen devam ediyor. Kayıt olmamak, sorumlu olmamak değil.

6. madde, özel nitelikli veri işlenirken Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşuyor. Kurul bu önlemleri özel nitelikli verilerin işlenmesine ilişkin ilke kararında ayrıntılandırmış durumda: konuya özgü ayrı bir politika, veriye kimin erişebileceğini tanımlayan bir yetki düzeni, aktarım ve saklamada şifreleme, erişim kayıtlarının tutulması, ortam güvenliği ve personel için eğitim ile gizlilik taahhüdü.

Bunu muayenehane ölçeğine indirdiğinizde soru listesi kısalıyor. Hasta verisi nerede duruyor? Kimin erişimi var? Sekreterinizin gördüğü ekranla sizin gördüğünüz ekran aynı mı, aynı olmalı mı? Kayıtlar şifreli mi tutuluyor, yoksa masaüstündeki bir klasörde mi? Ayrılan bir çalışanın erişimi gerçekten kapatıldı mı, yoksa şifre hâlâ ortak mı?

Bir de ihlal ihtimali var. Veri bir şekilde yetkisiz kişilerin eline geçerse, bunu öğrendiğinizden itibaren gecikmeksizin ve makul sürede Kurul'a bildirmeniz gerekiyor; Kurul bu süreyi 72 saat olarak uyguluyor. Bu, olmadan önce kime ne soracağınızı bilmeniz gereken türden bir yükümlülük.

Hasta dosyasının 20 yıl saklanacağı, KVKK yazılarında en çok tekrarlanan rakamdır. Rakamın kendisi uydurma değil, ama kaynağı çoğu yazının ima ettiği yer değil. Bu süre yataklı tedavi kurumlarına ve özel hastanelere ilişkin düzenlemelerden geliyor; adli vakalara dair kayıtlar için öngörülmüş bir arşivleme yükümlülüğü.

Ayakta hasta gören bir muayenehane hekimi için aynı netlikte, doğrudan bir süre hükmüne işaret etmek o kadar kolay değil. Bu yüzden '20 yıl' cümlesini bir muayenehaneye olduğu gibi taşımak, doğru görünen ama dayanağı kaymış bir aktarım oluyor.

Doğru soru 'kaç yıl' değil. Doğru soru şu: bu veriyi neden hâlâ tutuyorum ve bunu neyle gerekçelendiriyorum? Saklama sürenizi işleme amacınıza ve karşılaşabileceğiniz hukuki taleplerin zamanaşımı sürelerine dayandırıp, bu gerekçeyi saklama ve imha politikanıza yazmanız gerekiyor. Somut bir süre belirlemek için hukuk danışmanınızla konuşun; bu, internetten kopyalanacak bir rakam değil.

Politikanın asıl zor kısmı süreyi yazmak değil, süre dolduğunda gerçekten silmek. Silinmeyen veri zamanla birikir ve bir gün mutlaka birinin sorduğu ya da sızdığı bir yığına dönüşür. Hiç tutulmayan verinin ihlali olmaz.

Buraya kadarki her şey, aslında birkaç somut karara indirgenebilir. Masanızda ayrı bir aydınlatma metni bulunsun ve hastaya gerçekten verilsin. Açık rıza metnini yalnızca tedavi dışına çıkan işlemeler için, ayrı bir kâğıt olarak isteyin. Notunuzu üçüncü bir gözün okuyabileceğini bilerek yazın. Verinin nerede durduğunu ve kimin gördüğünü bilin. Saklama sürenizi gerekçesiyle yazın ve süresi geleni silin.

Kullandığınız dijital araçların bu kararlarda payı var. Randevuların, hasta iletişiminin ve ön değerlendirme yanıtlarının nerede tutulduğu, kimin erişebildiği, şifreli saklanıp saklanmadığı ve hastaya ne zaman hangi bilgilendirmenin yapıldığının kayda geçip geçmediği doğrudan sizin uyum tablonuza yazılıyor. Uzman Takvimi'nde randevu akışı, ön değerlendirme formları ve hafif danışan yönetimi bu çerçeveyi gözeterek kurgulandı: kayıtlar şifreli tutulur, hastanın hangi bilgilendirmeye ne zaman onay verdiği zaman bilgisiyle birlikte kaydedilir ve hatırlatmalar e-posta üzerinden gider. Ön değerlendirme formları PROFESYONEL ve üzeri planlarda yer alıyor.

Sınırı da açıkça söylemek gerekiyor, çünkü bu sınır sizi korur. Uzman Takvimi bir hasta kayıt sistemi ya da tıbbî kayıt yazılımı değildir; e-reçete yazmaz, Medula ve SGK süreçlerine bağlanmaz. Reçeteyi hekim kendi araçlarıyla yazar, tıbbî kayıt tarafı hekimin kendi sorumluluğunda kalır. Uzman Takvimi randevu, hatırlatma, ön değerlendirme ve hafif danışan yönetimi katmanında durur. Bu ayrım bilinçlidir: tedaviye dair kararların ve kayıtların hekimde kalması, hem hukuken hem etik olarak doğru yerdir.

Son bir hatırlatma. Bu yazı, madde numaralarını ve Kurul kararlarını doğru aktarmak üzere yazıldı, ama hukuki görüş değil. Bağlayıcı metin ve size özel değerlendirme için kvkk.gov.tr'deki güncel kaynaklara ve bir avukata başvurun. Özellikle saklama süreleri ve VERBİS eşikleri gibi başlıklarda mevzuat son iki yılda birden fazla kez değişti; bir sonraki değişikliği de aynı yerden takip edeceksiniz.