# Klinikte KVKK sorumluluğu kimde olmalı?

> Veri sorumlusu kliniğin kendisi, yani tüzel kişilik ya da işletme sahibi. Ama günlük işi yürütecek bir kişinin belirlenmiş olması gerekiyor; belirlenmediğinde sorumluluk herkese dağılıyor ve pratikte kimse yapmıyor.

Kaynak: https://solvitaklinik.com/blog/klinikte-kvkk-sorumlulugu-kimde
Yayımlayan: Sol Víta
Kategori: KVKK ve mevzuat
Yayın: 2026-09-25

KVKK yükümlülükleri klinikte sık sık "herkesin işi" olarak kalıyor ve herkesin işi olan şey kimsenin işi olmuyor.

Bu yazı, sorumluluğun nasıl dağıtılacağı üzerine.

## Veri sorumlusu kim?

**Veri sorumlusu, kliniğin kendisi.** Tüzel kişilik varsa şirket, yoksa işletme sahibi.

Bir kişi değil, bir kurum. Yükümlülükler kuruma ait ve bir çalışana devredilerek ortadan kalkmıyor.

Bu ayrım önemli çünkü "biz bir danışmana verdik" ya da "resepsiyon ilgileniyor" cümleleri sorumluluğu ortadan kaldırmıyor.

## İrtibat kişisi kim?

VERBİS'e kayıtlı veri sorumluları bir **irtibat kişisi** bildiriyor.

Bilinmesi gereken: irtibat kişisi, veri sorumlusunun sorumluluğunu üstlenen kişi değil. Görevi, Kurum ile ve ilgili kişilerle iletişimi yürütmek.

Kimin olabileceği ve şartları mevzuatla düzenli; bir hukukçuyla netleştirin.

## Mesul müdürle karıştırmayın

Sağlık kuruluşlarında mesul müdür, sağlık mevzuatından doğan bir görev ve KVKK irtibat kişisiyle aynı şey değil. Aynı kişi olabilir ama görevleri farklı çerçevelerden geliyor.

## Görevler nasıl dağıtılır?

Küçük bir klinikte bile bu dağılımın yazılı olması işi kolaylaştırıyor:

| Görev | Kim |
|---|---|
| Aydınlatma metninin sunulması ve onamların alınması | Resepsiyon |
| Onam belgelerinin kayda geçirilmesi | Resepsiyon |
| İlgili kişi başvurularının alınması | Resepsiyon |
| Başvurunun değerlendirilmesi ve cevaplanması | İrtibat kişisi / yönetim |
| Erişim yetkilerinin tanımlanması | Yönetim |
| Ayrılan çalışanın erişiminin kapatılması | Yönetim |
| Periyodik imha | Yönetim |
| Alt işleyen sözleşmeleri | Yönetim / hukuk desteği |
| İhlal durumunda ilk müdahale | Planda belirlenen kişi |
| Çalışan eğitimi | Yönetim |
| Metinlerin güncel tutulması | Yönetim / hukuk desteği |

Bu tabloyu bir sayfaya döküp ekibe verin. Kimin ne yapacağı belli olduğunda, yapılmayan bir iş de görünür oluyor.

## Resepsiyonun rolü en kritik

Günlük KVKK uygulamasının büyük kısmı resepsiyonda geçiyor:

- Aydınlatma metni gerçekten sunuluyor mu?
- Onam formları imzalatılıyor ve kayda geçiyor mu?
- Hasta bilgisi bekleyenlerin duyacağı yerde konuşuluyor mu?
- Ekran bekleyenlere dönük mü?
- Bilgisayardan kalkarken ekran kilitleniyor mu?
- Telefonla arayan bir yakına hasta bilgisi veriliyor mu?

Son madde sık yaşanıyor: "eşiyim, randevusunu öğrenmek istiyorum" diyen birine bilgi vermek, hastanın onayı olmadan yapılmaması gereken bir şey. Resepsiyonun ne diyeceği önceden kararlaştırılmalı.

## Çalışan eğitimi

Yılda bir kez, bir saatlik bir oturum çoğu klinik için yeterli. İçerik:

- KVKK neden var, klinik neden kapsamda
- Sağlık verisinin özel niteliği ne demek
- Günlük hayatta ne yapılır, ne yapılmaz
- İhlal örnekleri ve ne yapılacağı
- Bir hasta talebi geldiğinde ne yapılacak

Eğitimin yapıldığını **kayda geçirin**: tarih, katılanlar, içerik. Bu, alınan idari tedbirlerin bir parçası.

İşe yeni başlayanlara aynı eğitim ilk hafta verilmeli.

## Yazılı olması gerekenler

Klinikte bir klasörde ya da bir dijital dosyada bulunması gerekenler:

- Veri envanteri
- Aydınlatma metni (güncel sürüm ve önceki sürümler)
- Açık rıza metni
- Saklama ve imha politikası
- Alt işleyen sözleşmeleri
- İhlal müdahale planı
- Görev dağılımı
- Eğitim kayıtları
- İlgili kişi başvuruları ve verilen cevaplar
- Periyodik imha kayıtları

Bu klasörün varlığı, bir denetimde ya da şikâyette anlatabilmenin tek yolu.

## Dışarıdan destek

KVKK uyumu için danışmanlık almak yaygın ve makul. Ama bilinmesi gereken iki şey:

**1. Sorumluluk devredilmiyor.** Danışman metinleri hazırlıyor; uygulamayı klinik yapıyor.

**2. Hazır metin yetmiyor.** İnternetten alınan ya da başka bir klinikten kopyalanan bir aydınlatma metni, sizin gerçekte işlediğiniz veriyi anlatmıyor. Metin envanterinizden çıkmalı.

## Yılda bir kez gözden geçirme

Yıl sonu değerlendirmenizin bir parçası olarak:

- Metinler güncel mi?
- Yeni bir yazılım ya da hizmet eklendi mi, sözleşmesi var mı?
- VERBİS kaydı gerçeği yansıtıyor mu?
- Erişim yetkileri doğru mu, ayrılanların hesapları kapalı mı?
- Periyodik imha yapıldı mı?
- Eğitim verildi mi?

Altı soru, yılda bir saat.

## Özet

- **Veri sorumlusu kliniğin kendisi**; bir çalışana devredilerek ortadan kalkmıyor.
- İrtibat kişisi iletişimi yürütür, sorumluluğu üstlenmez.
- Görev dağılımını **yazılı** yapın; herkesin işi olan şey kimsenin işi olmuyor.
- Günlük uygulamanın çoğu resepsiyonda; sınırları önceden kararlaştırın.
- Yılda bir saatlik eğitim yeterli, ama **kayda geçirilmeli**.
- Danışmanlık sorumluluğu devretmiyor; hazır metin envanterinizi anlatmıyor.

---

*Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.*