Evde sağlık hizmetlerinde KVKK uyumu, hasta ve yakınlarına ait kişisel verilerin ve özellikle özel nitelikli kişisel veri sayılan sağlık verilerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na uygun biçimde toplanması, işlenmesi, saklanması ve korunmasıdır. Evde sağlıkta veri yalnız kurumun binasında değil, sahadaki telefonlarda, araçlarda ve hasta evlerinde de dolaşır. Bu yüzden KVKK uyumu, yazılım ayarlarının yanında saha alışkanlıklarını da kapsamalıdır.
Bu yazı genel bir bilgilendirmedir; kurumunuzun özel durumu için kişisel verilerin korunması alanında uzman bir hukuk danışmanıyla çalışmanızı öneririz.
Sağlık verisi neden özel nitelikli kişisel veridir?
KVKK, bazı veri türlerini ifşa edildiklerinde kişinin ayrımcılığa uğramasına ya da ağır mağduriyet yaşamasına yol açabilecekleri için özel nitelikli kişisel veri olarak ayrıca korur. Sağlık verileri bu grubun içindedir. Evde sağlık hizmetinde neredeyse her kayıt bu kapsama girer: tanılar, ilaçlar, vital bulgular, yara fotoğrafları, bağımlılık durumu, hatta hastanın evde sağlık hizmeti aldığı bilgisinin kendisi.
Özel nitelikli verilerin işlenme şartları genel kişisel verilere göre daha sıkıdır ve bu veriler için Kişisel Verileri Koruma Kurulunun belirlediği yeterli önlemlerin alınması beklenir. İşleme şartlarına ilişkin kanun hükümleri zaman içinde güncellenebildiği için uygulamanızı güncel metne ve Kurul kararlarına göre gözden geçirmeniz gerekir.
Evde sağlık kurumunda veriler kimin sorumluluğundadır?
Hizmeti sunan kurum, hasta verilerinin hangi amaçla ve hangi yöntemle işleneceğini belirlediği için genellikle veri sorumlusu konumundadır. Kurumun kullandığı bulut yazılımın sağlayıcısı ise veriyi kurum adına işleyen veri işleyen olarak değerlendirilebilir. Bu ayrım önemlidir: veri işleyen ile yapılan sözleşmede verinin hangi amaçla işleneceği, güvenlik tedbirleri ve sözleşme sonunda verinin akıbeti açıkça düzenlenmelidir.
Aydınlatma yükümlülüğü evde nasıl yerine getirilir?
Veri sorumlusu, veriyi toplarken kişiyi bilgilendirmekle yükümlüdür. Aydınlatma metninde genel olarak şu sorular yanıtlanır: veri sorumlusu kimdir, veriler hangi amaçla işlenir, kimlere aktarılabilir, hangi yöntemle ve hangi hukuki sebeple toplanır, kişinin hakları nelerdir? Evde sağlıkta Bakanlık sistemlerine yapılan bildirimler ve aile hekimliğiyle paylaşım gibi aktarımların da metinde anlaşılır biçimde yer alması gerekir.
Aydınlatma, tıbbi işleme verilen onamdan farklıdır. İki belgenin aynı oturumda alınması pratik olsa da ayrı tutulmaları gerekir; bu ayrımı aydınlatılmış onam yazımızda tablo ile açıkladık.
Evde sağlığa özgü KVKK riskleri nelerdir?
| Risk | Örnek | Önlem |
|---|---|---|
| Kişisel mesajlaşma uygulamaları | Yara fotoğrafının ekip grubunda paylaşılması | Fotoğraf ve notların yalnız kurum yazılımına kaydedilmesi |
| Kayıp cihaz | Saha telefonunun araçta unutulması | Ekran kilidi, oturum süresi, iki aşamalı doğrulama |
| Kâğıt evrak | Formların araçta ya da evde unutulması | Dijital imza ve hızlı tarama, kâğıdın kısa sürede arşive alınması |
| Gereğinden geniş erişim | Saha personelinin tüm hastaları görebilmesi | Rol bazlı yetki, yalnız atanmış ziyaretlere erişim |
| Ev ortamında ifşa | Komşuların yanında tanının konuşulması | Bilgilendirmenin hasta ve yetkili yakınla sınırlanması |
| Ticari ileti | İzinsiz kampanya SMS'i | İYS üzerinden izin kontrolü |
Hangi teknik ve idari tedbirler alınmalı?
Teknik tedbirler
- Erişim kontrolü: Her kullanıcının yalnız görevinin gerektirdiği veriye erişmesi.
- Güçlü kimlik doğrulama: Şifreye ek olarak iki aşamalı doğrulama.
- Şifreleme: Verilerin iletimde ve hassas bilgilerin saklamada şifrelenmesi.
- Denetim kaydı: Kim hangi kayda ne zaman eriştiğinin ve neyi değiştirdiğinin izlenebilmesi.
- Yedekleme: Veri kaybına karşı düzenli ve doğrulanmış yedek.
İdari tedbirler
- Kişisel veri işleme envanterinin hazırlanması ve güncel tutulması.
- Saklama ve imha politikasının belirlenmesi.
- Personele düzenli KVKK eğitimi verilmesi ve gizlilik taahhütnamesi alınması.
- Veri işleyenlerle sözleşme yapılması.
- Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünün kapsamınıza girip girmediğinin değerlendirilmesi.
- Veri ihlali durumunda izlenecek adımların önceden yazılı hâle getirilmesi.
Teknik tedbirlerin ayrıntısını sağlık yazılımında veri güvenliği yazımızda, personel eğitimlerinin planlanmasını hizmet içi eğitim yazımızda ele aldık.
Hasta yakınıyla ne kadar bilgi paylaşılabilir?
Evde sağlıkta hasta yakını bakımın doğal bir parçasıdır, ancak her yakının her bilgiye erişme hakkı yoktur. Paylaşımın kapsamı hastanın iradesine, yasal temsil durumuna ve paylaşılan bilginin bakım için gerekliliğine göre belirlenmelidir. Hastanın kimi bilgilendirilmeye yetkilendirdiğini kayıt altına almak ve dijital araçlarla paylaşılan bilgiyi kurumun kontrol edebilmesi, bu dengeyi kurmayı kolaylaştırır.
Veri ihlali yaşanırsa ne yapılmalı?
Kayıp bir saha telefonu, yanlış kişiye gönderilen bir mesaj ya da yetkisiz bir erişim şüphesi veri ihlali olabilir. Böyle bir durumda paniğe kapılmadan önceden belirlenmiş adımları izlemek gerekir:
- Olayı fark eden personel durumu derhâl sorumlu kişiye bildirir.
- Etkilenen hesap ya da cihaz için erişim kapatılır, şifreler değiştirilir.
- Denetim kaydı incelenerek hangi verilere erişildiği belirlenir.
- Olayın Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirilmesi gerekip gerekmediği, Kurulun güncel düzenlemeleri çerçevesinde hukuk danışmanıyla değerlendirilir.
- Olayın nedeni ve alınan önlemler yazılı olarak kayda geçirilir.
Bu adımların önceden yazılı olması, olay anında kimin ne yapacağı konusundaki belirsizliği ortadan kaldırır.
Veriler ne kadar süre saklanmalı?
KVKK, verilerin işlendikleri amaç için gerekli olan süre kadar ya da ilgili mevzuatta öngörülen süre boyunca saklanmasını ister. Sağlık kayıtları için sağlık mevzuatındaki saklama süreleri belirleyicidir; 2026 yönetmeliği kapsamındaki kurumlarda arşivlemenin Devlet Arşiv Hizmetleri Yönetmeliği'ne uygun yapılması da öngörülür. Süre dolduğunda verinin silinmesi, yok edilmesi ya da anonim hâle getirilmesi saklama ve imha politikasında tanımlanmalıdır.
selfESYS KVKK uyumunu nasıl destekler?
Yazılım tek başına KVKK uyumu sağlamaz, ancak tedbirlerin uygulanmasını kolaylaştırır. selfESYS'te:
- Hasta kaydında KVKK onayı alanı bulunur; onam ve evrak kontrol listesindeki KVKK kalemi tamamlandığında bu alan otomatik işaretlenir.
- Rol ve menü bazlı yetki uygulanır; saha personeli yalnız kendine atanmış ziyaretleri görür.
- Giriş iki aşamalı doğrulama (MFA) ile korunabilir; işlemler HMAC imzalı denetim kaydına yazılır.
- Ziyaret fotoğrafları ve gözlem notları kişisel telefon galerisi yerine hasta kaydına eklenir.
- Hasta yakını uygulamasında ücret bilgisi gösterilmez; gözlem notu, fotoğraf, ilaç ve bakiye gibi bilgilerin paylaşılıp paylaşılmayacağı firma ayarıyla belirlenir.
- Ticari iletiler için İYS entegrasyonu ile izin kontrolü yapılır.
Modüllerin tamamını özellikler sayfasında inceleyebilirsiniz.
Özet
- Evde sağlıkta işlenen sağlık verileri KVKK'da özel nitelikli kişisel veri olarak daha sıkı korunur.
- Hizmeti sunan kurum genellikle veri sorumlusu, yazılım sağlayıcısı veri işleyendir.
- Saha riskleri; kişisel mesajlaşma, kayıp cihaz, kâğıt evrak ve geniş erişimdir.
- Teknik tedbirler (yetki, MFA, şifreleme, denetim kaydı, yedek) idari tedbirlerle (envanter, politika, eğitim, sözleşme) birlikte uygulanmalıdır.
- Hasta yakınıyla paylaşım, hastanın iradesi ve bakım ihtiyacıyla sınırlı olmalıdır.
KVKK tedbirlerini destekleyen bir evde sağlık yazılımını görmek için demo talep edin.