VERBİS kaydı klinik için adım adım

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının kaydolduğu resmî sicil. Kişisel Verileri Koruma Kurumu tarafından yönetiliyor.

Klinik kaydolmak zorunda mı?

Kayıt yükümlülüğü herkese değil. Kurul, yıllık çalışan sayısı ve mali bilanço büyüklüğüne göre eşikler belirlemiş durumda ve bu eşiklerin altında kalan bazı veri sorumluları istisna kapsamında.

Ancak kritik bir ayrım var: ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları için eşik uygulanmıyor.

Bir fizyoterapi kliniğinin ana faaliyeti sağlık hizmeti sunmak, yani ana faaliyeti sağlık verisi işlemek. Bu nedenle birçok klinik, küçük olsa bile kayıt yükümlülüğü kapsamına giriyor.

Kesin cevabı Kurumun güncel duyurularından ve gerekirse bir hukukçudan alın. Eşikler ve istisnalar dönemsel olarak güncelleniyor; bu yazıya rakam yazmıyoruz çünkü yazıldığı anda eskimeye başlıyor.

Kayıttan önce yapılması gerekenler

VERBİS ekranını açıp doldurmaya çalışmak yanlış başlangıç. Sistem sizden zaten hazır olması gereken bilgileri istiyor.

1. Veri envanteri

Kliniğin tuttuğu her veri kategorisi için şu soruların cevabı:

• Hangi veri? (kimlik, iletişim, sağlık, görsel, finansal)
• Kimin verisi? (hasta, çalışan, hasta yakını, tedarikçi)
• Neden işleniyor? (tedavi, randevu, tahsilat, yasal yükümlülük)
• Hukuki dayanak ne?
• Kime aktarılıyor? (yazılım sağlayıcısı, muhasebe, sigorta, kamu kurumu)
• Ne kadar süre saklanıyor?
• Alınan güvenlik tedbirleri neler?

Bu envanter, VERBİS kaydının da aydınlatma metninin de hammaddesi. Elinizde yoksa geri kalan her adım tahmine dayanıyor.

Envanteri çıkarmanın pratik yolu: kliniğin bir hastayla temas ettiği her noktayı sırayla yazmak. Telefonla randevu, kayıt açma, anamnez, ölçüm, fotoğraf, seans notu, tahsilat, hatırlatma mesajı, arşiv.

2. Saklama ve imha politikası

VERBİS'e kayıtlı veri sorumlularının bir kişisel veri saklama ve imha politikası hazırlaması bekleniyor. Bu belge, hangi verinin ne kadar süre tutulacağını ve sürenin sonunda ne yapılacağını yazıyor.

Ayrıntısı için: Klinikte veri saklama süreleri ne olmalı?

3. İrtibat kişisi belirleme

Kurumla ve ilgili kişilerle iletişimi yürütecek kişi. Kimin olabileceği ve sorumluluğunun ne olduğu için: Klinikte KVKK sorumluluğu kimde?

Kayıt sırasında girilenler

Sistemde temel olarak şunlar bildiriliyor:

• Veri sorumlusunun kimlik ve iletişim bilgileri
• İrtibat kişisi
• İşlenen kişisel veri kategorileri
• Veri konusu kişi grupları
• İşleme amaçları
• Aktarılan alıcı grupları
• Yurt dışına aktarım varsa ülkeler
• Azami saklama süreleri
• Alınan idari ve teknik tedbirler

Yurt dışına aktarım maddesi kliniklerde sık atlanıyor ama gerçek: bulut tabanlı bir yazılım, yurt dışında barındırılan bir e-posta servisi ya da mesaj gönderim altyapısı kullanıyorsanız aktarım olabiliyor. Kullandığınız hizmetlerin sunucularının nerede olduğunu sağlayıcınıza sorun.

Kayıt bitince iş bitmiyor

VERBİS kaydı bir kerelik işlem değil. Değişiklik olduğunda güncellenmesi gerekiyor:

• Yeni bir yazılım ya da hizmet sağlayıcıya geçtiğinizde
• İrtibat kişisi değiştiğinde
• Yeni bir veri kategorisi işlemeye başladığınızda
• Saklama süreleriniz değiştiğinde

Güncellenmeyen bir kayıt, gerçeği yansıtmayan bir beyan hâline geliyor.

Sık yapılan hatalar

Envanteri atlayıp doğrudan forma girmek. Sonuç, gerçeği yansıtmayan bir kayıt oluyor.

Alt işleyenleri saymamak. Yazılım, muhasebe, barındırma, mesaj gönderimi, yedekleme, tıbbi atık firması. Hepsi veri işleyen konumunda olabiliyor.

Kâğıt kayıtları unutmak. KVKK yalnız dijital veriyi kapsamıyor. Dolapta duran hasta dosyaları da envantere giriyor.

Çalışan verilerini unutmak. Özlük dosyaları, sağlık raporları, işe giriş belgeleri de kişisel veri.

"Bize denetim gelmez" varsayımı. Kurul, şikâyet üzerine de resen de inceleme yapabiliyor. Bir hastanın şikâyeti yeterli.

Yükümlülük yerine getirilmezse

Kanunda idari para cezaları öngörülüyor ve tutarları her yıl yeniden değerleme oranıyla güncelleniyor. Güncel tutarları Kurumun duyurularından takip edin.

Ama asıl risk ceza değil: bir veri ihlali yaşandığında, envanteri ve tedbirleri olmayan bir klinik ne olduğunu bile anlatamıyor.

Özet

• Ana faaliyeti özel nitelikli veri işlemek olanlarda eşik uygulanmıyor; fizyoterapi kliniği büyük ihtimalle kapsamda.
• Kesin durumu Kurumun güncel duyurularından teyit edin.
• Kayıttan önce veri envanteri ve saklama-imha politikası hazır olmalı.
• Kâğıt kayıtlar ve çalışan verileri de envantere girer.
• Yurt dışına aktarım maddesini atlamayın; sağlayıcınıza sunucu konumunu sorun.
• Kayıt bir kerelik değil; değişiklikte güncellenmesi gerekiyor.

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.