Klinikte KVKK sorumluluğu kimde olmalı?

KVKK yükümlülükleri klinikte sık sık "herkesin işi" olarak kalıyor ve herkesin işi olan şey kimsenin işi olmuyor.

Bu yazı, sorumluluğun nasıl dağıtılacağı üzerine.

Veri sorumlusu kim?

Veri sorumlusu, kliniğin kendisi. Tüzel kişilik varsa şirket, yoksa işletme sahibi.

Bir kişi değil, bir kurum. Yükümlülükler kuruma ait ve bir çalışana devredilerek ortadan kalkmıyor.

Bu ayrım önemli çünkü "biz bir danışmana verdik" ya da "resepsiyon ilgileniyor" cümleleri sorumluluğu ortadan kaldırmıyor.

İrtibat kişisi kim?

VERBİS'e kayıtlı veri sorumluları bir irtibat kişisi bildiriyor.

Bilinmesi gereken: irtibat kişisi, veri sorumlusunun sorumluluğunu üstlenen kişi değil. Görevi, Kurum ile ve ilgili kişilerle iletişimi yürütmek.

Kimin olabileceği ve şartları mevzuatla düzenli; bir hukukçuyla netleştirin.

Mesul müdürle karıştırmayın

Sağlık kuruluşlarında mesul müdür, sağlık mevzuatından doğan bir görev ve KVKK irtibat kişisiyle aynı şey değil. Aynı kişi olabilir ama görevleri farklı çerçevelerden geliyor.

Görevler nasıl dağıtılır?

Küçük bir klinikte bile bu dağılımın yazılı olması işi kolaylaştırıyor:

Bu tabloyu bir sayfaya döküp ekibe verin. Kimin ne yapacağı belli olduğunda, yapılmayan bir iş de görünür oluyor.

Resepsiyonun rolü en kritik

Günlük KVKK uygulamasının büyük kısmı resepsiyonda geçiyor:

• Aydınlatma metni gerçekten sunuluyor mu?
• Onam formları imzalatılıyor ve kayda geçiyor mu?
• Hasta bilgisi bekleyenlerin duyacağı yerde konuşuluyor mu?
• Ekran bekleyenlere dönük mü?
• Bilgisayardan kalkarken ekran kilitleniyor mu?
• Telefonla arayan bir yakına hasta bilgisi veriliyor mu?

Son madde sık yaşanıyor: "eşiyim, randevusunu öğrenmek istiyorum" diyen birine bilgi vermek, hastanın onayı olmadan yapılmaması gereken bir şey. Resepsiyonun ne diyeceği önceden kararlaştırılmalı.

Çalışan eğitimi

Yılda bir kez, bir saatlik bir oturum çoğu klinik için yeterli. İçerik:

• KVKK neden var, klinik neden kapsamda
• Sağlık verisinin özel niteliği ne demek
• Günlük hayatta ne yapılır, ne yapılmaz
• İhlal örnekleri ve ne yapılacağı
• Bir hasta talebi geldiğinde ne yapılacak

Eğitimin yapıldığını kayda geçirin: tarih, katılanlar, içerik. Bu, alınan idari tedbirlerin bir parçası.

İşe yeni başlayanlara aynı eğitim ilk hafta verilmeli.

Yazılı olması gerekenler

Klinikte bir klasörde ya da bir dijital dosyada bulunması gerekenler:

• Veri envanteri
• Aydınlatma metni (güncel sürüm ve önceki sürümler)
• Açık rıza metni
• Saklama ve imha politikası
• Alt işleyen sözleşmeleri
• İhlal müdahale planı
• Görev dağılımı
• Eğitim kayıtları
• İlgili kişi başvuruları ve verilen cevaplar
• Periyodik imha kayıtları

Bu klasörün varlığı, bir denetimde ya da şikâyette anlatabilmenin tek yolu.

Dışarıdan destek

KVKK uyumu için danışmanlık almak yaygın ve makul. Ama bilinmesi gereken iki şey:

1. Sorumluluk devredilmiyor. Danışman metinleri hazırlıyor; uygulamayı klinik yapıyor.

2. Hazır metin yetmiyor. İnternetten alınan ya da başka bir klinikten kopyalanan bir aydınlatma metni, sizin gerçekte işlediğiniz veriyi anlatmıyor. Metin envanterinizden çıkmalı.

Yılda bir kez gözden geçirme

Yıl sonu değerlendirmenizin bir parçası olarak:

• Metinler güncel mi?
• Yeni bir yazılım ya da hizmet eklendi mi, sözleşmesi var mı?
• VERBİS kaydı gerçeği yansıtıyor mu?
• Erişim yetkileri doğru mu, ayrılanların hesapları kapalı mı?
• Periyodik imha yapıldı mı?
• Eğitim verildi mi?

Altı soru, yılda bir saat.

Özet

• Veri sorumlusu kliniğin kendisi; bir çalışana devredilerek ortadan kalkmıyor.
• İrtibat kişisi iletişimi yürütür, sorumluluğu üstlenmez.
• Görev dağılımını yazılı yapın; herkesin işi olan şey kimsenin işi olmuyor.
• Günlük uygulamanın çoğu resepsiyonda; sınırları önceden kararlaştırın.
• Yılda bir saatlik eğitim yeterli, ama kayda geçirilmeli.
• Danışmanlık sorumluluğu devretmiyor; hazır metin envanterinizi anlatmıyor.

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.