Fizyoterapi kliniği KVKK'ya göre veri sorumlusu mudur?

Kısa cevap: evet. Hasta adı, telefonu, doğum tarihi ve tedavi kaydı tutan bir fizyoterapi kliniği, 6698 sayılı Kişisel Verilerin Korunması Kanunu anlamında veri sorumlusudur. Bu, kliniğin kaç kişi çalıştırdığına, kâğıt mı yazılım mı kullandığına ya da yazılımı kimden aldığına bağlı değil.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.

Veri sorumlusu ne demek?

Kanun iki rol tanımlıyor:

• Veri sorumlusu, kişisel verinin neden ve nasıl işleneceğine karar veren taraf. Hastayı kabul eden, dosyasını açan, hangi bilgiyi ne kadar süre saklayacağına karar veren klinik bu tanıma giriyor.
• Veri işleyen, bu kararlar doğrultusunda veriyi sorumlu adına işleyen taraf. Kullandığınız klinik yazılımı, muhasebe programı, mesaj gönderim servisi ve sunucu sağlayıcısı burada.

Bu ayrımın pratik sonucu şu: yükümlülüklerin muhatabı kliniktir. Bir hasta verisi talebi geldiğinde, bir ihlal yaşandığında ya da bir denetim olduğunda karşı taraf yazılım firmasını değil kliniği arıyor.

Fizyoterapi verisi neden özel?

Kanun sağlık verisini özel nitelikli kişisel veri sayıyor. Fizyoterapi kliniğinde tutulan neredeyse her şey bu tanıma giriyor:

• Teşhis ve tedavi notları
• Ölçüm kayıtları (Cobb açısı, eklem hareket açıklığı, ağrı skoru)
• Postür fotoğrafları
• Değerlendirme ölçeği yanıtları
• Bazı durumlarda randevu kaydının kendisi bile, çünkü hangi hizmeti aldığını gösteriyor

Özel nitelikli veri, sıradan kişisel veriden daha sıkı korumaya tabi: işlenmesi için daha dar bir hukuki dayanak listesi var ve güvenlik önlemleri konusunda Kurul'un ayrıca belirlediği tedbirler geçerli.

Bu, günlük işte şu anlama geliyor: postür fotoğrafını WhatsApp grubunda paylaşmak, hasta listesini kişisel e-postaya göndermek ya da ölçüm dosyasını korumasız bir dizüstünde tutmak, sıradan bir dikkatsizlik değil.

VERBİS kaydı gerekli mi?

VERBİS, veri sorumlularının kaydolduğu sicil. Kayıt yükümlülüğü herkese değil; Kurul yıllık çalışan sayısı ve mali bilanço büyüklüğüne göre eşikler belirlemiş durumda ve bu eşikler zaman içinde güncelleniyor.

Ancak ana faaliyeti özel nitelikli veri işlemek olan veri sorumluları için eşik uygulanmıyor. Bir fizyoterapi kliniğinin ana faaliyeti sağlık hizmeti sunmak, yani ana faaliyeti sağlık verisi işlemek. Bu yüzden birçok klinik, küçük olsa bile kayıt yükümlülüğü kapsamına giriyor.

Güncel eşikleri ve istisnaları Kurumun kendi duyurularından teyit edin; bu konudaki rakamlar değişiyor.

Klinikte hangi adımlar atılmalı?

Sırayla ve fazla teorileştirmeden:

1. Ne tuttuğunuzu yazın

Hangi veriyi, neden, hangi hukuki dayanakla ve ne kadar süre tuttuğunuzu listeleyin. Bu liste hem VERBİS kaydının hem de aydınlatma metninin hammaddesi. Elinizde yoksa, geri kalan her adım tahmine dayanıyor.

2. Aydınlatma metnini hazırlayın ve gerçekten sunun

Hasta, verisinin işlendiğini işleme başlamadan önce öğrenmeli. Metni hazırlayıp klasöre koymak yetmiyor; hastanın onu gördüğünü gösterebilmeniz gerekiyor.

3. Açık rızayı ayrı tutun

Aydınlatma ile açık rıza iki ayrı şey ve karıştırmak sık yapılan bir hata. Aydınlatma bir bilgilendirme yükümlülüğü, açık rıza ise bazı işlemler için gereken izin. İkisini tek bir kâğıtta birleştirip tek imza almak, rızayı sakatlayabilir. Aralarındaki farkı ayrıntılı anlattığımız yazı burada.

4. Erişimi sınırlayın

Klinikte herkes her hastanın her verisini görmemeli. Resepsiyonun tedavi notuna, stajyerin tahsilat kaydına erişmesi için bir sebep yok. Kullandığınız yazılım rol ayrımı yapamıyorsa bu, teknik bir eksiklik değil bir uyum eksikliği.

5. Veri işleyenlerinizi yazılı hâle getirin

Yazılım sağlayıcınız, sunucu firmanız, mesaj gönderim servisiniz ve muhasebeciniz veri işleyen konumunda. Her biriyle yazılı bir sözleşme olmalı ve hangi verinin nerede tutulduğu belli olmalı. Verinin yurt dışına aktarıldığı durumlar ayrıca ele alınmalı.

6. Talepleri karşılayacak bir yolunuz olsun

Hasta; verisine erişmek, düzeltilmesini ya da silinmesini istemek hakkına sahip. Bu taleplere kanunda belirtilen süre içinde cevap vermeniz gerekiyor. "Kim cevap verecek ve nereden bakacak" sorusunun cevabı talep gelmeden önce belli olmalı.

Yazılım seçerken sorulacak sorular

Bir klinik yazılımı KVKK uyumunuzu sizin yerinize sağlayamaz, ama zorlaştırabilir ya da kolaylaştırabilir. Şunları sorun:

• Kullanıcı rolleri ayrılıyor mu, kim neyi görüyor?
• Hasta onam kayıtları sistemde tutuluyor mu, yoksa kâğıtta mı kalıyor?
• Bir hastanın verisini silme talebi geldiğinde ne oluyor?
• Verinin tamamını dışa aktarabiliyor musunuz?
• Veri nerede barındırılıyor, yurt dışına aktarım var mı?
• Kim ne zaman hangi kaydı açtı, iz kaydı tutuluyor mu?

Son madde çoğu zaman atlanıyor ama bir ihlal şüphesinde cevabı olan tek şey o.

Özet

• Hasta kaydı tutan fizyoterapi kliniği veri sorumlusudur; yazılım firması veri işleyendir.
• Fizyoterapide tutulan verinin çoğu özel nitelikli, yani daha sıkı korumaya tabi.
• Ana faaliyeti özel nitelikli veri işlemek olanlarda VERBİS eşiği uygulanmıyor; güncel durumu Kurumdan teyit edin.
• Aydınlatma ile açık rızayı ayırın, erişimi sınırlayın, veri işleyenlerinizi sözleşmeye bağlayın.
• Yazılım uyumu sağlamaz ama rol ayrımı, onam kaydı ve iz kaydı ile taşınabilir kılar.