Klinikler WhatsApp'ta hasta verisini nasıl yönetmeli? KVKK için pratik rehber
Hasta yazışmaları personelin telefonunda dolaşıyorsa risk büyük. Aydınlatma, açık rıza, saklama ve silme için kliniğin yapması gerekenler.
Çoğu klinikte hasta yazışması kişisel WhatsApp hesaplarında duruyor: röntgen fotoğrafı asistanın telefonunda, tedavi planı hekimin telefonunda, fiyat teklifi bir grupta. Personel ayrılınca yazışmalar da onunla gidiyor. Bu hem işi zorlaştırıyor hem de KVKK açısından ciddi risk.
Sağlık verisi özel nitelikli veridir
KVKK'da sağlık bilgisi "özel nitelikli kişisel veri" sayılır. Bu ne demek?
- Hastanın tedavi bilgisi, röntgeni, fotoğrafı yalnızca açık rızayla işlenebilir.
- Bu verilere erişen personel sınırlı olmalı; kimin ne zaman eriştiği kayıt altında tutulmalı.
- Veri kişisel telefonlarda, herkese açık gruplarda dolaşmamalı.
Kliniğin yapması gereken altı şey
- Aydınlatma metni. Hastaya verisinin neden, nasıl ve nerede işlendiğini söyleyen kısa bir metin; web sitesinde ve klinikte hazır dursun.
- Açık rıza kaydı. Tıbbi bilgi ve fotoğraf için rıza alındığını tarih ve yöntemle kaydedin. "Telefonda sözlü onay verdi" bile bir kayıttır, hiç kayıt olmamasından iyidir.
- Yurt dışına aktarım. Instagram ve WhatsApp mesajları Meta'nın sunucularından geçer; yazılımınız Avrupa'da barındırılıyorsa bu da aktarımdır. Aydınlatma metninde belirtin, rızayı buna göre alın.
- Ticari mesaj için İYS. Kampanya ve indirim mesajı ticari elektronik iletidir; İYS onayı olmayan hastaya gönderemezsiniz. Randevu hatırlatması bu kapsamda değildir.
- Silme talebi. Hasta "verilerimi silin" derse 30 gün içinde cevap verin. Yasal saklama süreniz varsa reddedebilirsiniz ama gerekçesiyle ve yazılı olarak.
- Personel çıkışı. Ayrılan personelin erişimini aynı gün kapatın; kişisel telefondaki yazışmaları geri alamazsınız, o yüzden yazışma en baştan kişisel telefonda olmamalı.
Yazılım seçerken sorulacak sorular
| Soru | Neden önemli |
|---|---|
| Her kliniğin verisi ayrı mı tutuluyor? | Başka bir kliniğin kullanıcısı sizin verinize teknik olarak erişememeli. |
| Sunucular nerede? | Aydınlatma metninde yazacaksınız. |
| Erişim günlüğü var mı? | Kim hangi hasta kartını açtı, göstermeniz gerekebilir. |
| Silme ve veri paketi indirme var mı? | Hasta talebinde 30 günü aşmamak için. |
| Sözleşmede veri işleyen kim? | Klinik veri sorumlusu, yazılım şirketi veri işleyen olmalı; yazılı olsun. |
Monostron'da nasıl?
Monostron'da veriler Avrupa Birliği'nde (Frankfurt) tutulur ve her kayıt veritabanı seviyesinde ait olduğu kliniğe kilitlidir; aydınlatma metni şablonu, rıza kayıtları, erişim günlüğü, veri paketi indirme ve anonimleştirerek silme panelde hazırdır. Hasta "IPTAL" yazınca mesaj listesinden kendiliğinden düşer. Güvenlik özeti sayfasında ayrıntılar var.
Bu yazı hukuki danışmanlık değildir; kliniğinizin durumu için bir KVKK uzmanına danışın.