Özel Klinik ve Poliklinikler İçin KVKK Kontrol Listesi

Kapıdan Faturaya Bir Hastanın Verisi

Özel bir poliklinikte bir hastanın verisi, kapıdan girdiği anda işlenmeye başlar: randevu sistemi, kimlik kontrolü, bekleme salonundaki kamera, muayene notları, laboratuvara giden numune, sonuç raporu ve fatura. Hastanelerden farklı olarak kliniklerde bu süreçlerin çoğu küçük bir ekip tarafından, çoğu zaman aynı bilgisayarlar ve aynı ortak hesaplar üzerinden yürütülür. Klinik KVKK uyum çalışmasının zorluğu da buradan gelir.

Bu rehber, özel klinik ve poliklinik yöneticileri ile bilgi işlem ve hasta hakları sorumluları için hazırlandı. Her süreçte kontrol edilmesi gerekenleri sırayla ele alıyor ve yazının sonunda indirilebilir bir kontrol listesi sunuyor.

Hasta kabul ve randevu

Sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesinde sayılan özel nitelikli kişisel verilerdendir. Tıbbi teşhis, tedavi ve bakım hizmetleri amacıyla, sır saklama yükümlülüğü altındaki kişilerce işlenmesi Kanun'da ayrı bir şart olarak düzenlenmiştir; bu nedenle tedavi için hastadan ayrıca açık rıza alınması gerekmez. Ancak aydınlatma yükümlülüğü her durumda devam eder.

Hasta kabul ve randevu aşamasında kontrol edilecek başlıca noktalar:

Banko ve kayıt masası: Kişisel Sağlık Verileri Hakkında Yönetmelik, banko, gişe ve masa gibi bölümlerde yakın konumda hizmet alanların birbirinin verilerini duymasını ve görmesini engelleyecek fiziki, teknik ve idari tedbirlerin alınmasını ister. Bekleme çizgisi, ekran açısı ve sesli şikâyet sorgulamasının yapılmaması bu kapsamdadır.

Aydınlatma metni: Kayıt sırasında sunulmalı, randevu sistemi ve internet sitesinde de erişilebilir olmalıdır. Aydınlatma ile açık rıza aynı belgede birleştirilmemelidir.

Randevu hatırlatmaları: SMS ve mesajlarda tanı veya bölüm bilgisi gibi sağlık verisi yer almamalı; yalnız tarih, saat ve klinik adı yeterlidir.

Kimlik bilgisi: Kimlik belgesinin fotokopisinin alınması yerine sistem üzerinden doğrulama tercih edilmelidir.

Pazarlama izinleri: Kampanya ve check-up duyuruları için ticari ileti onayı tedavi sürecinden ayrı, işaretsiz bir seçenek olarak alınmalıdır.

Tıbbi kayıt ve görüntüleme

Muayene notları, epikriz, reçete, radyoloji görüntüleri ve hasta fotoğrafları kliniğin en hassas veri setidir. Yönetmelik, sağlık hizmeti sunumunda görevli kişilerin hastanın verilerine ancak verilecek sağlık hizmetinin gereğiyle sınırlı olarak erişebileceğini açıkça düzenler. Uygulamada bu ilke şöyle karşılık bulur:

Kişisel kullanıcı hesabı: Ortak hesap kullanılmamalıdır. Kurul'un 21.09.2021 tarihli ve 2021/962 sayılı karar özetinde, bir hekimin yetkisiyle açılan oturum üzerinden sekreterin e-Nabız kayıtlarına eriştiği bir olay incelenmiştir.

Rol bazlı yetki: Kurul, 06.08.2021 tarihli ve 2021/761 sayılı karar özetinde tüm personelin tüm hasta dosyalarını görebilmesini ölçülülük ilkesine aykırı bulmuş ve yetki matrisi oluşturulmasını istemiştir.

Loglama: Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı, özel nitelikli veriler üzerindeki tüm hareketlerin loglanmasını ister; görüntüleme işlemleri de bu kapsamda değerlendirilmelidir.

Basılı sonuçlar: Yönetmelik, tahlil ve tetkik sonuçları gibi basılı materyalde kısmi kimliksizleştirme veya maskeleme tedbirlerinin uygulanmasını ister.

Önce-sonra fotoğrafları: Estetik ve diş kliniklerinde tedavi kaydı için çekilen fotoğrafların tanıtım amacıyla kullanılması ayrı bir işleme amacıdır ve ayrı açık rıza gerektirir.

Hasta kayıtlarına erişimin nasıl izleneceğini hasta kayıtlarına yetkisiz erişim yazımızda alarm kurallarıyla birlikte ele aldık.

Laboratuvar ve dış hizmet

Klinikler laboratuvar, görüntüleme, bilgi işlem, hasta yönetim yazılımı, bulut yedekleme ve çağrı merkezi gibi hizmetleri çoğunlukla dışarıdan alır. Her hizmet sağlayıcı için ilk soru rolün belirlenmesidir: Kendi tıbbi işlemi bakımından bağımsız bir sağlık kuruluşu olan referans laboratuvar, çoğu durumda ayrı bir veri sorumlusu olarak değerlendirilir; kliniğin talimatıyla çalışan yazılım ve bulut sağlayıcısı ise veri işleyendir. Rol, sözleşmedeki başlığa göre değil fiilî ilişkiye göre belirlenir.

Dış hizmetlerde kontrol edilecek noktalar:

Sözleşme: Veri işleyenlerle yapılan sözleşmede güvenlik tedbirleri, gizlilik yükümlülüğü, alt işleyen kullanımı ve sözleşme sonunda verinin iadesi ya da silinmesi yer almalıdır.

Aktarım kanalı: 2018/10 sayılı karar, özel nitelikli verilerin e-postayla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresi veya Kayıtlı Elektronik Posta (KEP) hesabıyla aktarılmasını öngörür. Kişisel mesajlaşma uygulamalarıyla sonuç ya da görüntü gönderimi bu ölçütü karşılamaz.

Yanlış alıcı riski: Kurul'un 22.06.2022 tarihli ve 2022/594 sayılı karar özetinde, bir sağlık kuruluşunun işyerinde yaptırılan test sonuçlarını kişilerin açık rızası olmadan işyerindeki üçüncü bir kişinin e-posta adresine göndermesi ihlal olarak değerlendirilmiştir. Sonuçlar yalnız hastaya veya mevzuatın yetkilendirdiği kişiye iletilmelidir.

Yurt dışı: Yazılım veya yedekleme sunucuları yurt dışındaysa aktarım KVKK'nın 9. maddesine dayanmalıdır. Yabancı hastalar söz konusu olduğunda sağlık turizmi kvkk yazımızdaki ek yükümlülükler de dikkate alınmalıdır.

Çalışan ve hekim verisi

Kliniklerde hasta verisine odaklanılırken çalışan verisi çoğu zaman ikinci planda kalır. Oysa hekim, hemşire ve idari personelin özlük dosyaları; diploma, uzmanlık belgesi, sağlık raporu, adli sicil kaydı ve aşı bilgileri gibi hassas veriler içerir. Kontrol edilmesi gerekenler:

Ayrı aydınlatma: Çalışanlar ve sözleşmeli hekimler için hasta aydınlatma metninden ayrı bir metin hazırlanmalıdır.

Sağlık raporları: İşe giriş ve periyodik muayene raporları iş sağlığı birimi veya işyeri hekiminde tutulmalı, özlük dosyasında yalnız “çalışmaya elverişli” sonucu yer almalıdır.

Hekimin kendi hasta kaydı: Kurumda çalışan biri hasta olarak başvurduğunda kaydına tedavi ekibi dışından erişim ayrıca izlenmelidir.

Gizlilik taahhüdü: 2018/10 sayılı karar, özel nitelikli veriye erişen çalışanlarla gizlilik sözleşmesi yapılmasını, düzenli eğitim verilmesini ve görev değişikliğinde yetkilerin derhal kaldırılmasını öngörür.

Tanıtım görselleri: Hekim ve çalışan fotoğraflarının internet sitesi ve sosyal medyada kullanımı için çalışanın onayı alınmalı, ayrılışta görseller güncellenmelidir.

Kamera ve bekleme salonu

Kişisel Verileri Koruma Kurumu'nun 08.06.2026 tarihli iş yerlerinde güvenlik kamerası kullanımına ilişkin kamuoyu duyurusu, kameraların amacının baştan belirlenmesini, tuvalet, soyunma odası, ibadet ve dinlenme alanları gibi mahremiyet alanlarına kamera konulmamasını, ses kaydının ancak zorunluluk hâlinde değerlendirilmesini, kayıtlar için otomatik silme mekanizması kurulmasını ve erişimin yetki matrisiyle sınırlanmasını vurgular.

Klinik ortamına uyarlandığında:

Muayene ve tedavi odaları: Güvenlik kamerası bulunmamalıdır; hasta mahremiyeti bu alanlarda en üst düzeydedir.

Bekleme salonu: Kamera kullanılıyorsa ekran ve kayıt, hastaların hangi bölüme yönlendirildiğini gösteren tabelaları ya da kayıt bankosundaki ekranları okunur biçimde kaydetmemelidir.

Bilgilendirme: Girişte katmanlı aydınlatma yapılmalı; uyarı levhası ayrıntılı metne yönlendirmelidir.

Saklama ve erişim: Kayıtların saklama süresi amaca göre belirlenip otomatik olarak silinmeli, izleme ekranı bekleme alanındaki herkesin göreceği yerde bulunmamalıdır.

Kamera uygulamalarının genel çerçevesi için güvenlik kamerası ve KVKK yazımıza bakabilirsiniz.

Kontrol listesi (indirilebilir)

Aşağıdaki listeyi klinik yöneticisi, mesul müdür, bilgi işlem ve hasta kabul sorumlusuyla birlikte doldurun. “Hayır” ya da “kısmen” yanıtı verilen her satır öncelikli bir aksiyondur. Bu liste kvkkrehberi.com tarafından hazırlanmış bir çalışma aracıdır; resmî bir denetim ölçütü değildir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Uyum çalışması için seçenekler

Kontrol listesinin sonucu, hangi yolun uygun olduğunu da gösterir: Kapsamlı bir proje gerektiğinde Standart KVKK Uyum Paketi envanter, metinler, politikalar ve eğitimi tek bir çalışma altında toplar. Uyum sürecinin genel adımlarını KVKK danışmanlığı sayfamızda da inceleyebilirsiniz.

Sonuç ve sonraki adım

Klinik KVKK uyum çalışması, sağlık verisinin özel nitelikli olduğu bilgisiyle başlar ve beş süreçte somutlaşır: kabul, tıbbi kayıt, dış hizmetler, çalışan verisi ve kamera. Kliniklerde en sık görülen eksikler; ortak kullanıcı hesapları, görüntülemenin loglanmaması, sonuçların kişisel mesajlaşma uygulamalarıyla gönderilmesi ve muayene alanına yakın kameralardır.

Önerilen ilk adım, kontrol listesini bu hafta içinde ilgili sorumlularla doldurmak ve “hayır” yanıtı verilen satırları sorumlu ve tarih atayarak bir eylem planına dönüştürmektir. Sağlık sektörüne özgü diğer riskler için sağlık verilerinde KVKK riski yazımıza, sektör çözümlerimiz için sağlık sektörü KVKK sayfamıza bakabilirsiniz.

Sık Sorulan Sorular