Klinikte veri saklama süreleri ne olmalı?

KVKK'nın temel ilkelerinden biri şu: kişisel veri, işlendiği amaç için gerekli olan süreden fazla tutulmaz.

Ama bu tek başına bir süre vermiyor. Çünkü aynı anda başka mevzuat, bazı kayıtların belirli süre saklanmasını zorunlu kılıyor: sağlık kayıtları, mali belgeler, özlük dosyaları.

Doğru süre bu ikisinin kesişiminde.

Süre nasıl belirlenir?

Her veri kategorisi için üç soru:

1. Bu veriyi neden tutuyorum? Amaç ne?

2. Amacım ne zaman ortadan kalkıyor? Tedavi bittiğinde mi, hasta ayrıldığında mı, hiç mi?

3. Beni bunu saklamaya zorlayan bir mevzuat var mı? Sağlık mevzuatı, vergi mevzuatı, iş mevzuatı, zamanaşımı süreleri.

Üçüncü sorunun cevabı genelde belirleyici oluyor. Bir kaydı silmek isteseniz bile, saklama yükümlülüğünüz varsa silemiyorsunuz.

Bu yazıda süre tablosu vermiyoruz ve bu bilinçli: süreler mevzuata bağlı, mevzuat değişiyor ve yanlış bir süre yazmak, bir kliniği ya erken imhaya ya da gereksiz saklamaya yöneltir. Kendi tablonuzu bir hukukçu ve mali müşavirinizle birlikte çıkarın.

Hangi kategoriler ayrı ayrı ele alınmalı?

Tek bir süre bütün veriye uymuyor. Klinikte ayrılması gerekenler:

Son üç satır kliniklerde en çok unutulanlar.

Saklama ve imha politikası

VERBİS'e kayıtlı veri sorumlularının bir kişisel veri saklama ve imha politikası hazırlaması bekleniyor. Bu belge şunları yazıyor:

• Hangi veri, ne kadar süre saklanacak
• Sürenin sonunda ne yapılacak (silme, yok etme, anonim hale getirme)
• İmha işlemini kim yapacak
• Periyodik imha ne sıklıkta yürütülecek

Belge bir formalite gibi görünüyor ama pratik bir işi var: imha kararının kişiye bağlı olmaktan çıkması. Politikası olmayan bir klinikte hiçbir veri hiç silinmiyor.

Üç farklı imha yöntemi

Mevzuat üç kavramı ayırıyor:

Silme. Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi.

Yok etme. Verinin hiç kimse tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi. Fiziksel ortamda kâğıt imha makinesi, dijital ortamda kalıcı silme.

Anonim hale getirme. Verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Üçüncüsü klinikler için değerli: hastanın kimliği silinirken ölçüm verilerinin istatistik amacıyla korunması mümkün olabiliyor. Ama anonimleştirmenin gerçekten geri döndürülemez olması gerekiyor; "adı sildik" demek anonimleştirme değil.

Periyodik imha

Saklama süresi dolan verilerin düzenli aralıklarla imha edilmesi bekleniyor. Bu, mevzuatta belirlenen azami bir aralıkla yürütülüyor ve politikanızda yazılı olması gerekiyor.

Pratik kurulum:

1. Takvime tekrarlayan bir hatırlatma koyun
2. O tarihte süresi dolan kayıtları listeleyin
3. Silinemeyecek olanları (devam eden yükümlülük, hukuki uyuşmazlık) ayırın
4. Kalanları imha edin
5. İşlemi kayda geçirin: ne, ne zaman, kim tarafından

Beşinci madde atlanıyor ama bir denetimde tek kanıtınız o kayıt.

Yedekleri unutmayın

Kliniklerin en sık gözden kaçırdığı nokta.

Bir hastanın verisini sistemden sildiniz. Peki:

• Altı aylık yedeklerde duruyor mu?
• Dışa aktarılmış bir Excel dosyasında var mı?
• Bir çalışanın e-postasında ek olarak duruyor mu?
• Muhasebeye gönderilen dosyada geçiyor mu?

Silme talebini gerçekten karşılamak için bunların da ele alınması gerekiyor. Yedeklerde silmenin teknik olarak zor olduğu durumlarda, yedeğin kendi saklama süresinin sonunda imha edilmesi ve bu süre boyunca erişimin kısıtlanması bir yaklaşım olabiliyor; nasıl yapılacağını sağlayıcınızla ve bir hukukçuyla netleştirin.

Kâğıt arşiv

KVKK dijital veriyle sınırlı değil. Dolapta duran hasta dosyaları da aynı kurallara tabi:

• Kilitli dolapta olmalı
• Kimin erişebileceği belli olmalı
• Saklama süresi sonunda imha edilmeli
• İmha, okunamayacak biçimde yapılmalı (çöpe atılan bir dosya imha sayılmıyor)

Özet

• Doğru süre, KVKK ilkesi ile saklama yükümlülüklerinin kesişiminde.
• Süreleri veri kategorisi bazında ve bir hukukçuyla birlikte belirleyin.
• Saklama ve imha politikası olmayan klinikte hiçbir veri silinmiyor.
• Silme, yok etme ve anonim hale getirme farklı kavramlar.
• Periyodik imhayı takvime bağlayın ve işlemi kayda geçirin.
• Yedekleri ve kâğıt arşivi unutmayın.

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.