Diyetisyen KVKK rehberi: Danışan sağlık verisi nasıl işlenir ve korunur?

Diyetisyen için hangi bilgiler sağlık verisidir?

Kişisel Sağlık Verileri Hakkında Yönetmelik m.4 kişisel sağlık verisini, kimliği belirli ya da belirlenebilir bir kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgiler olarak tanımlar. Bu tanım çok geniştir ve bir diyetisyenin dosyasındaki bilgilerin büyük kısmını kapsar.

Pratik kural şudur: danışan dosyanızdaki bilgileri bir bütün olarak sağlık verisi gibi koruyun. Ayrıştırmaya çalışmak hem zahmetlidir hem de hata riskini artırır.

Diyetisyen sağlık verisini hangi hukuki sebeple işler?

6698 sayılı Kişisel Verilerin Korunması Kanunu m.6, değişik üçüncü fıkrasında özel nitelikli kişisel veriyi işlemeyi yasaklar ve istisnaları sayar. Diyetisyen pratiğini en çok ilgilendirenler şunlardır:

• İlgili kişinin açık rızasının olması.
• Kanunlarda açıkça öngörülmesi.
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması.

Son bent, sağlık hizmeti sunanlar için akla ilk gelen dayanaktır. Diyetisyen 1219 sayılı Tababet ve Şuabatı San'atlarının Tarzı İcrasına Dair Kanun (ek m.13) ile tanımlanmış bir sağlık meslek mensubudur; ancak bu bendin sizin hizmetinizin her parçasına uygulanıp uygulanamayacağı, hizmetin niteliğine ve sır saklama yükümlülüğünün kapsamına göre hukuki bir değerlendirme gerektirir. Bu değerlendirmeyi bir hukukçuyla birlikte yapmanızı öneririz. Hangi bende dayanırsanız dayanın, aynı maddenin dördüncü fıkrası özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulunca belirlenen yeterli önlemlerin alınmasını şart koşar.

Açık rıza ne zaman ve nasıl alınır?

Kanun m.3 açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bu tanımdan üç pratik sonuç çıkar. Birincisi, rıza genel ve belirsiz olamaz; neye rıza verildiği açıkça yazılmalıdır. İkincisi, rızadan önce aydınlatma yapılmalıdır. Üçüncüsü, rıza başka metinlerin içine gömülmemeli, danışanın ayrı ve bilinçli bir onayı olmalıdır. Danışan verilerini tanıtım, araştırma ya da hizmet dışı bir amaçla kullanmak istiyorsanız bunun için ayrıca açık rıza gerekeceğini varsayın.

Aydınlatma metni: danışana ne söylemelisiniz?

6698 sayılı Kişisel Verilerin Korunması Kanunu m.10, kişisel veriler elde edilirken veri sorumlusunun kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını bildirmeyi zorunlu kılar. Kişisel Sağlık Verileri Hakkında Yönetmelik m.5 de aydınlatma yükümlülüğünde Kanunun bu maddesine ve Kurumun aydınlatma tebliğine uyulacağını hatırlatır. Diyetisyen için iyi bir aydınlatma metni şu soruları sade bir dille cevaplar:

• Veri sorumlusu kim: siz mi, çalıştığınız kurum mu, ortak muayenehane mi?
• Hangi bilgileri topluyorsunuz: kimlik ve iletişim, sağlık öyküsü, ölçümler, tahliller, beslenme kayıtları.
• Bu bilgileri ne için kullanıyorsunuz: beslenme programı hazırlamak, takibi yürütmek, yasal kayıt yükümlülüklerini yerine getirmek.
• Bilgileri kimlere aktarabilirsiniz: danışanın onayıyla yönlendiren hekim, yasal olarak bilgi isteyebilecek kurumlar, hizmet aldığınız yazılım ve barındırma sağlayıcıları.
• Bilgileri nasıl topluyorsunuz: yüz yüze görüşme, form, e-posta, online görüşme.
• Hangi hukuki sebebe dayanıyorsunuz ve danışanın hakları nelerdir.

Aydınlatma metninin genel hazırlık adımlarını aydınlatma metni nasıl hazırlanır yazımızda, iletişim formları özelinde aydınlatma ve açık rıza ayrımını iletişim formunda KVKK yazımızda anlatıyoruz.

Sağlık verisini ne kadar ve nasıl saklamalısınız?

Kanun m.4, kişisel verilerin ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. Aynı maddedeki diğer ilkeler de saklamayı doğrudan etkiler: veriler doğru ve gerektiğinde güncel olmalı, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Yani ihtiyaç duymadığınız bilgiyi baştan sormamak, sakladığınız veriyi de amacı sona erdiğinde imha etmek gerekir.

Kendi muayenehanesini açmış diyetisyenler için Sağlık Meslek Mensuplarının Serbest Meslek İcrası Hakkında Yönetmelik m.18 ayrı bir kayıt düzeni öngörür: birime başvuranlara ait veriler ve hekim tarafından oluşturulan reçete veya tedavi planı elektronik ortamda kaydedilir ve bu kayıt ile arşivleme için Bakanlığın kayıt tescil sisteminde kayıtlı bir sağlık bilgi yönetim sistemi kullanılması zorunludur. Sunulan tüm hizmetler kayıt altına alınır ve muhafaza edilir; danışanın talebiyle kayıtlar kendisiyle ya da kanuni temsilcisiyle paylaşılır. Kayıtların değiştirilmesini, silinmesini ve gizliliğin ihlalini önlemek için gerekli idari ve teknik tedbirleri almaktan da sağlık meslek mensubu sorumludur. Aynı yönetmeliğin m.12 hükmü, başvuranların kayıtlarının kişisel verilerin korunmasına yönelik mevzuata uygun tutulmasını meslek mensubunun görevleri arasında sayar.

Saklama süresinin somut olarak ne olacağı, kaydın türüne ve tabi olduğunuz mevzuata göre değişir. Bu yazıda süre vermiyoruz; kendi kayıtlarınız için bir saklama ve imha politikasını hukukçunuzla birlikte belirleyin ve il sağlık müdürlüğünün güncel uygulamasını sorun.

İmha nasıl yapılır?

Kanun m.7, işlenmesini gerektiren sebepler ortadan kalktığında kişisel verilerin resen ya da ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hale getirilmesini ister. Kişisel Sağlık Verileri Hakkında Yönetmelik m.14 de sağlık verilerinin imhasında Kanunun bu maddesine ve silme, yok etme ve anonim hale getirmeye ilişkin yönetmeliğe uyulacağını belirtir. Kâğıt dosyaları kim olduğu anlaşılamayacak şekilde yok etmek, dijital kayıtları yedekler dahil tüm kopyalarıyla silmek ve bunu belgelemek iyi bir uygulamadır.

Hangi güvenlik tedbirlerini almalısınız?

Kanun m.12 veri sorumlusunu, verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin eden her türlü teknik ve idari tedbiri almakla yükümlü tutar. Kişisel Sağlık Verileri Hakkında Yönetmelik m.18 bu tedbirlerde Kurumun hazırladığı Kişisel Veri Güvenliği Rehberinin esas alınacağını, m.20 ise özel nitelikli veriler için Kurulun belirlediği yeterli önlemlere uyulacağını söyler. Bir diyetisyen muayenehanesi ya da online pratiği için temel tedbirler şunlardır:

Fiziki ortam

• Danışan dosyalarını kilitli dolapta tutun; masada, bekleme alanında ya da görüşme odasında açıkta bırakmayın.
• Görüşme sırasında konuşmaların bekleyen kişilerce duyulmasını önleyin. Kişisel Sağlık Verileri Hakkında Yönetmelik m.5, sağlık hizmeti sunucularının banko, gişe ve masa gibi bölümlerde yakın konumdakilerin birbirinin verilerini duymasını ve görmesini engelleyecek tedbirler almasını ister.
• Basılı materyallerde gerekli olduğunda kısmi kimliksizleştirme veya maskeleme uygulayın; yönetmelik tahlil ve tetkik sonuçları gibi basılı materyaller için bu tedbiri öngörür.

Dijital ortam

• Danışan verilerini kişisel e-posta kutunuzda, mesajlaşma uygulamalarında ve telefon galerinizde biriktirmeyin; tek ve erişimi sınırlı bir sistemde toplayın.
• Güçlü parola ve mümkünse çok adımlı doğrulama kullanın; cihazlarınızı kilitli tutun.
• Asistan ya da sekreter çalıştırıyorsanız herkese yalnızca işinin gerektirdiği kadar erişim verin. Kişisel Sağlık Verileri Hakkında Yönetmelik m.6, sağlık hizmetinde görevli kişilerin verilere ancak verilecek hizmetin gereğiyle sınırlı olarak erişebileceği ilkesini koyar.
• Düzenli yedek alın ve yedeklerin de aynı özenle korunduğundan emin olun.
• Erişim kayıtlarını tutabilen sistemleri tercih edin; kim, hangi dosyaya ne zaman baktı sorusuna cevap verebilin.

İdari tedbirler

• Çalışanlarınızla gizlilik taahhüdü imzalayın ve onları kişisel veri konusunda bilgilendirin.
• Bir veri envanteri çıkarın: hangi veriyi, nerede, ne amaçla ve kimlerin erişimiyle tuttuğunuzu yazın.
• Saklama ve imha politikanızı yazılı hale getirin.
• Danışan başvurularını nasıl karşılayacağınızı önceden belirleyin.

Yazılım, bulut ve dış hizmet sağlayıcılarla çalışmak

Danışan kayıtlarını bir yazılımda, bulut depolamada ya da bir online görüşme aracında tutuyorsanız, Kanun m.3 tanımlarına göre amaçları ve araçları siz belirlediğiniz için genellikle veri sorumlusu sizsiniz; verileri sizin adınıza işleyen sağlayıcı ise veri işleyendir. Kanun m.12, verilerin sizin adınıza başka biri tarafından işlenmesi halinde güvenlik tedbirlerinin alınmasından bu kişiyle birlikte müştereken sorumlu olduğunuzu söyler. Sağlayıcıdan veri işleme koşullarını yazılı olarak isteyin, verilerin nerede tutulduğunu sorun ve ayrıldığınızda verilerinizi alıp alamayacağınızı öğrenin.

Verilerin yurt dışındaki sunucularda tutulması ya da yurt dışına aktarılması ayrı kurallara tabidir; Kişisel Sağlık Verileri Hakkında Yönetmelik m.15, sağlık verilerinin yurt içi aktarımında Kanunun m.8, yurt dışı aktarımında m.9 hükmüne uyulacağını belirtir. Hangi şartın sizin durumunuza uyacağı hukuki bir değerlendirme gerektirir. Muayenehanesi olan diyetisyenler için yukarıda anlattığımız kayıt tescil şartı da yazılım seçiminde belirleyicidir; kullanmayı düşündüğünüz sistemin Bakanlığın kayıt tescil sisteminde kayıtlı olup olmadığını sağlayıcıya sorun. Bu soruları diyetisyenler için hazırladığımız yazılım dahil her araç için sormanızı öneririz.

Danışanın hakları ve başvurulara cevap

Kanun m.11 herkese veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış verilerin düzeltilmesini, kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan kişilere bildirilmesini isteme, yalnızca otomatik sistemlerle yapılan analiz sonucunda aleyhine çıkan sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararının giderilmesini talep etme haklarını tanır. Kişisel Sağlık Verileri Hakkında Yönetmelik m.5 de bu hakların kullanılmasını ve başvurularda Kurumun başvuru tebliğine uyulmasını hatırlatır.

Pratikte danışanınız size "dosyamın bir kopyasını istiyorum" ya da "verilerimi silin" dediğinde ne yapacağınızı önceden bilmelisiniz: başvuruyu kayda alın, kimliği doğrulayın, yasal saklama yükümlülüğü olan kayıtlarla silinebilecek kayıtları ayırın ve gerekçeli cevap verin. Cevap süresi ve usulü için Kanunun ilgili maddesine ve Kurumun tebliğine bakın.

Veri ihlali olursa ne yapmalısınız?

Kanun m.12, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Kişisel Sağlık Verileri Hakkında Yönetmelik m.18 de bu bildirimde Kanun hükümlerinin ve Kurulun düzenleyici işlemlerinin esas alınacağını söyler. Bir dizüstü bilgisayarın çalınması, yanlış kişiye gönderilen bir e-posta ya da ele geçirilen bir hesap ihlal olabilir. Önceden bir müdahale planı hazırlayın: olayı nasıl fark edeceğinizi, kimi arayacağınızı, hangi kayıtları tutacağınızı ve danışanlarınızı nasıl bilgilendireceğinizi yazın.

Veri Sorumluları Siciline kayıt gerekir mi?

Kanun m.16 kişisel veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını ister; ancak işlenen verinin niteliği, sayısı, kanundan kaynaklanması ya da üçüncü kişilere aktarılması gibi objektif kriterlere göre Kurul bu zorunluluğa istisna getirebilir. Sağlık verisi işleyen bir diyetisyenin bu istisnalardan yararlanıp yararlanamayacağı Kurulun güncel kararlarına bağlıdır. Bu konuyu Kurumun güncel duyurularından ve bir hukukçudan teyit edin.

Danışan görselleri ve tanıtım

Danışan fotoğraflarını tanıtımda kullanmak hem kişisel veri hem de tanıtım mevzuatını ilgilendirir. Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik m.6, tanıtım faaliyetlerinin kişisel verilerin korunması mevzuatına ve Kişisel Sağlık Verileri Hakkında Yönetmeliğe uygun yürütülmesini, m.7 ise danışan görselleri için yazılı ya da elektronik açık rıza ve önceden gösterme gibi şartları öngörür. Ayrıntıları diyetisyen reklam ve tanıtım kuralları rehberinde bulabilirsiniz. E-posta bülteni ya da SMS ile tanıtım düşünüyorsanız İYS rehberimize bakın.

Sık yapılan hatalar

• Tahlil sonuçlarını ve danışan fotoğraflarını mesajlaşma uygulamalarında ve telefon galerisinde biriktirmek.
• Tek bir genel metinle hem aydınlatma yapıp hem açık rıza almaya çalışmak.
• İhtiyaç duyulmayan bilgileri anamnez formuna "belki lazım olur" diye eklemek.
• Asistanın ya da muhasebecinin tüm danışan dosyalarına erişebilmesi.
• Bulut hizmetinin ya da yazılımın veriyi nerede ve nasıl tuttuğunu hiç sormamak.
• Saklama ve imha politikası olmadan her şeyi süresiz saklamak.
• Danışan bilgilerini vaka paylaşımı adıyla, kimliği anlaşılabilir biçimde sosyal medyada ya da meslektaş gruplarında paylaşmak.
• Bir ihlal yaşandığında ne yapılacağını önceden belirlememek.

Sık Sorulan Sorular

Diyetisyen danışandan açık rıza almak zorunda mı?

Her durumda değil. Kanun m.6 açık rızayı sağlık verisini işlemenin şartlarından biri olarak sayar, ama tek şart değildir; sır saklama yükümlülüğü altındaki kişilerce sağlık hizmeti amacıyla işleme gibi başka şartlar da vardır. Hangisine dayanacağınızı bir hukukçuyla belirleyin. Aydınlatma ise her durumda zorunludur.

Diyetisyen danışan bilgilerini ne kadar saklamalı?

Kanun, verilerin mevzuatta öngörülen ya da amaç için gerekli süre kadar saklanmasını ister. Muayenehaneler için ayrıca kayıt ve arşiv yükümlülükleri vardır. Somut süreyi kayıt türüne göre hukukçunuzla ve il sağlık müdürlüğüyle belirleyin.

Danışan verileri bulutta tutulabilir mi?

Tutulabilir, ancak sağlayıcı sizin adınıza veri işleyen konumunda olur ve güvenlikten onunla birlikte sorumlu olursunuz. Verilerin yurt dışında tutulması aktarım kurallarına tabidir. Muayenehaneniz varsa Bakanlığın kayıt tescil sisteminde kayıtlı bir sağlık bilgi yönetim sistemi kullanma zorunluluğunu da dikkate alın.

Danışan dosyasının kopyasını isterse vermek zorunda mıyım?

Kanun m.11 danışana kendisiyle ilgili işlenen veriler hakkında bilgi isteme hakkı tanır; muayenehaneler için de kayıtların danışanın talebiyle kendisi ya da kanuni temsilcisiyle paylaşılacağı düzenlenmiştir. Başvuruyu kimlik doğrulayarak karşılayın ve cevabınızı kayıt altına alın.

Online görüşmede KVKK için nelere dikkat etmeliyim?

Görüşmeyi danışanın bilgisi olmadan kaydetmeyin, görüşme bağlantılarını yalnızca danışanla paylaşın, ekranda başka danışanların bilgilerini açık bırakmayın ve görüşme sırasında paylaşılan belgeleri dağınık kanallarda bırakmayıp danışan dosyasına aktarın. Kullandığınız aracın veri işleme koşullarını okuyun.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Online diyetisyenlik nasıl yapılır? · Diyetisyen danışan takibi · Diyetisyen reklam ve tanıtım kuralları · Online koçlukta KVKK ve sağlık verisi · Web sitesi KVKK kontrol listesi · Aydınlatma metni