Terapistler İçin KVKK Uyumluluğu: Danışan Notlarınızı Yasal Olarak Nasıl Saklarsınız?

Bir seans biter. Geriye birkaç satır not kalır. Ama o birkaç satırda kişinin en kırılgan anları durur: korkuları, ilişkileri, bazen bir hukuk dosyasına konu olabilecek cümleler. İşte bu yüzden danışan notu, bir terapistin ürettiği en hassas şeydir. Onu korumak yalnızca vicdan meselesi mi? Değil. Yasa da aynı şeyi istiyor.

Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), sağlık verisini "özel nitelikli kişisel veri" sayar. Bu kategori için kurallar daha sıkı. Yanlış saklama, gereksiz paylaşım, zayıf şifreleme… Her biri idari para cezasına kapı aralayabilir.

Gelin bu yazıda bağımsız çalışan terapistler ve küçük klinikler için KVKK uyumunun tam olarak ne demek olduğunu konuşalım. Neyin kastedildiğini, pratikte en çok hangi hataların yapıldığını, uyumu adım adım nasıl kuracağınızı ve yazılım seçerken nelere bakmanız gerektiğini sırayla ele alacağız.

KVKK Uyumluluğu Terapistler İçin Ne Anlama Gelir?

Burada çok yaygın bir yanlış anlama var: uyumu bir kez form doldurup bitirilen bir iş sanmak. Değil. Açık rıza, aydınlatma, güvenli saklama, erişim kaydı, veri imhası, ihlal bildirimi. Hepsi birbirini tutan halkalar. Biri eksik kalınca da zincir kopar.

Sağlık Verisi Neden "Özel Nitelikli" Sayılır?

KVKK'nın 6. maddesi bazı verileri diğerlerinden ayırır. Sağlık bilgisi, cinsel hayata dair veriler, din, etnik köken, siyasi görüş. Bunlar özel kategoride.

Bu verileri işlemek için kural gayet net: danışanın açık rızası şart. Yani kişi hangi verisinin, neden, ne kadar süreyle, kimlerle paylaşılarak işleneceğini gerçekten anlamış olmalı. Sitenin altındaki "kabul ediyorum" kutucuğu bunu karşılamaz.

Peki bir terapistte ne var? Seans notu, ön görüşme formu, ödeme bilgisi, hatta sadece randevu tarihleri. Hepsi bu kapsamda. Kulağa abartı gibi mi geliyor? Bir düşünün. "Elif Hanım her salı 09:40'ta bir psikoloğa gidiyor" bilgisi bile yanlış ele geçtiğinde, Elif Hanım'ın sağlığı hakkında bir çıkarıma dönüşür. Sıradan bir müşteri listesini korumakla bunu korumak aynı şey değil. Çok daha kritik.

Bu kapsamı biraz daha somutlaştırmak, danışan verisini Excel'de tutmanın risklerine yakından bakınca daha kolay oluyor.

Veri Sorumlusu Kimdir? Siz misiniz?

KVKK'da "veri sorumlusu" kavramı işin kilidi. Veri sorumlusu, verinin neden ve nasıl işleneceğine karar veren taraftır.

Bağımsız çalışıyorsanız cevap kısa: evet, o sizsiniz. Yıllık cironuz ya da çalışan sayınız belli eşikleri aşıyorsa VERBİS'e (Veri Sorumluları Sicili) kayıt yükümlülüğünüz de doğar.

Bir kliniğe bağlıysanız durum değişir. Orada veri sorumlusu klinik olur, siz "veri işleyen" konumundasınızdır. Ama notları kendi telefonunuzda tutuyor, kliniğe söylemeden ayrı bir uygulama kullanıyorsanız işte o zaman iş karışır. Sorumluluk ikiye bölünür, sınırları bulanıklaşır.

Bir randevu programı kullandığınızda ise yazılım sağlayıcısı sizin veri işleyeniniz olur. Bu durumda sağlayıcıyla bir Veri İşleme Sözleşmesi (DPA) imzalamak, uyumu tamamlamada önemli bir halkadır.

Terapistlerin KVKK'da En Sık Yaptığı Hatalar

Bunları tek tek yazmakta fayda var, çünkü çoğu iyi niyetli terapistin başına geliyor. Kötü niyetten değil; alışkanlıktan.

WhatsApp'tan rıza istemek. Danışandan gelen "okudum, onaylıyorum" mesajı KVKK açısından geçerli bir açık rıza değildir. Yazılı, tarihli, kimliği doğrulanabilir bir belge gerekir.

Danışanı telefon rehberine kaydetmek. "Ayşe – terapi danışanı" diye bir kayıt bile başlı başına risktir. Telefonun bir kez yanlış elde kalması yeter.

Şifresiz e-postayla not göndermek. Süpervizöre, bir meslektaşa ya da sigortaya korumasız e-postayla not iletmek, en sık görülen sızıntı yollarından biri.

Tek cihazda, yedeksiz çalışmak. Cihaz bozulur, veriler gider. Ama dikkat: yedeğin kendisi de şifreli ve uyumlu bir ortamda durmalı. Masaüstüne atılan bir zip dosyası çözüm değil.

Danışan Notları KVKK Uyumlu Olarak Nasıl Saklanır?

Aşağısı, bağımsız bir terapistin ya da küçük bir kliniğin uyum için izleyebileceği pratik bir yol. Sırayla gidince göründüğü kadar karmaşık değil, gerçekten.

Önce açık rıza metni. Danışana hangi verisinin, hangi amaçla, ne kadar süreyle işleneceğini sade dille anlatan bir metin. İnternetten kopyalanmış şablon değil; sizin pratiğinize göre yazılmış olanı işe yarar.

Aydınlatma metnini ayrı tutun. KVKK'da açık rıza ve aydınlatma iki ayrı yükümlülüktür. Aydınlatma, rıza almasanız bile danışanı bilgilendirme borcunuzdur. İkisini tek belgeye sıkıştırmayın.

Verileri şifreleyerek saklayın. Excel, Word, telefon notu. Hiçbiri yeterli değil. AES-256 gibi güçlü bir standartla, uçtan uca şifreli bir sistem gerekir.

Erişim kaydını tutun. Hangi notu, ne zaman, kim açtı? Bir denetimde bu kayıt istenebilir. Sistemin arka planda bunu tutması sizi yorar mı? Hayır. Ama tutmuyorsa, işte o zaman sorun.

Saklama süresini belirleyin. Sağlık verisi için süreler vardır; uygulamada genellikle son seanstan itibaren 10 yıl esas alınır. Süresi dolan veri usulünce imha edilmeli. Sonsuza kadar saklamak da başlı başına bir risk.

Bir ihlal planınız olsun. Sızıntı yaşanırsa 72 saat içinde KVKK Kurumuna bildirim yapmanız gerekir. Planı olay anında düşünmek mi? İşte o geç kalmaktır. Baştan hazır olsun.

Üçüncü taraflarla DPA imzalayın. Randevu programı, bulut yedek, e-posta hizmeti. Danışan verisine değen her hizmetle Veri İşleme Sözleşmesi olmalı.

Veriyi AB ya da Türkiye'de tutun. ABD sunucularına aktarım ek izin ve sözleşme ister. Pratikte en rahatı, veriyi AB içinde tutmak.

Yılda bir gözden geçirin. Mevzuat ve Kurul kararları değişiyor. Yılda bir uyum kontrolü çok iyi bir alışkanlık. Takvime bir gün koyun, yeter.

Bu düzen kurulduktan sonra, ön görüşme formunu dijital ve güvenli hazırlamak da aynı sistemin bir parçası haline gelir; kâğıt form dolabında dosya biriktirmezsiniz.

KVKK Açısından Yazılım Seçerken Nelere Bakmalı?

Bir randevu ya da klinik yönetim yazılımına bakarken şu sorulara net cevap isteyin. "Bakarız", "yakında ekleyeceğiz" gibi cevaplar geliyorsa, orada durun.

Veriler nerede duruyor? AB ya da Türkiye dışı bir konum riskli demektir.

Uçtan uca şifreleme var mı, hangi standart? AES-256 kabul edilebilir alt sınırdır.

İstersem Veri İşleme Sözleşmesi imzalanıyor mu? Cevap "hayır" ise doğruca alternatife bakın.

Verilerim yapay zeka eğitiminde kullanılıyor mu? Sözleşmede açık bir madde olmalı. Bu konu kafanızı kurcalıyorsa, yapay zekanın terapide ne kadar güvenli olduğunu ayrıca ele aldık.

Aboneliği bitirirsem verilerimi dışa aktarıp sistemden tamamen silebilir miyim? KVKK'nın "unutulma hakkı" ilkesi sizin için de geçerli olmalı.

KVKK Uyumlu Çalışmanın Terapiste Faydası Ne?

İlk bakışta uyum, sırtınıza binen fazladan bir bürokrasi gibi görünür. Ama doğru araçla bir kez kurulduğunda arka planda kendiliğinden işler. Getirisi de gayet somut.

Ceza riski büyük ölçüde ortadan kalkar; özel nitelikli veride cezalar yüksektir, uyum bu tehlikeyi baştan kaldırır. Danışan güveni artar. Kişiye "verileriniz benim sorumluluğumda ve gerçekten korunuyor" diyebilmek, terapötik ilişkinin o sessiz zeminidir. İdari kaos azalır; dağınık defter ve dosya yerine şifreli tek bir sistem kalır. Bir de denetime hazır olursunuz. Erişim kaydı ve saklama süreleri tanımlıysa, olası bir denetim de kâbusa dönüşmez.

Calemio ile KVKK Uyumunu Nasıl Sağlarsınız?

Calemio, terapistlerin danışan verisini yasaya uygun ve güvenli yönetmesi için tasarlandı. Veriler uçtan uca şifrelenir, AB veri merkezlerinde tutulur; sistem KVKK ve GDPR uyumu için denetlendi. Talep eden her uzmanla Veri İşleme Sözleşmesi imzalanır, erişim kayıtları tutulur, verilerinizi dilediğinizde dışa aktarıp silebilirsiniz.

Böylece açık rıza, güvenli saklama, erişim kaydı ve DPA gibi yükümlülükler tek bir yerde toplanır. Uyumu her sabah yeniden düşünmek zorunda da kalmazsınız. Randevu, danışan kaydı ve notu aynı çatı altında toplayan bir psikolog randevu programının ne işe yaradığını merak ediyorsanız oradan da başlayabilir, ya da doğrudan ücretsiz denemeyle deneyebilirsiniz.

Terapistler İçin KVKK Uyum Kontrol Listesi

Kendi pratiğinizi gözden geçirirken bu kısa listeyi bir başlangıç noktası olarak kullanabilirsiniz:

• Danışana özel bir açık rıza metni hazırlandı.
• Aydınlatma metni ayrı bir belge olarak duruyor.
• Danışan notları AES-256 gibi güçlü bir standartla şifreli tutuluyor.
• Notlara kimin, ne zaman eriştiği kayıt altına alınıyor.
• Her veri türü için bir saklama süresi belirlendi ve süresi dolan veri imha ediliyor.
• Bir veri ihlali durumunda izlenecek 72 saatlik bildirim planı hazır.
• Danışan verisine değen her hizmetle DPA imzalandı.
• Veriler AB ya da Türkiye'de tutuluyor.

Sık Sorulan Sorular

Terapistler için KVKK uyumluluğu zorunlu mu?

Evet. Danışan verisi sağlık verisi olduğu için KVKK kapsamında özel nitelikli kişisel veridir ve bağımsız çalışan terapist de veri sorumlusudur. Açık rıza, güvenli saklama ve gerektiğinde imha gibi yükümlülükler yasaldır; uymamak yüksek idari para cezalarına yol açabilir.

Danışan notlarını Excel veya telefon notunda saklamak KVKK'ya uygun mu?

Hayır. Şifrelenmemiş Excel, Word veya telefon notu KVKK'nın özel nitelikli veri için öngördüğü güvenlik önlemlerini karşılamaz. Notlar AES-256 gibi güçlü bir standartla şifrelenmeli, erişim kaydı tutulmalı ve yalnızca yetkili kişiye açık olmalıdır.

Danışandan açık rızayı WhatsApp üzerinden almak geçerli midir?

WhatsApp'tan gelen 'okudum onaylıyorum' mesajı geçerli bir açık rıza sayılmaz. Açık rıza; hangi verinin, hangi amaçla ve ne kadar süreyle işleneceğini açıkça belirten, yazılı, tarihli ve kimliği doğrulanabilir bir belgeyle alınmalıdır. Ayrıca açık rıza ile aydınlatma metni birbirinden farklı iki yükümlülüktür.

Danışan notları ne kadar süre saklanmalı?

Sağlık verileri için belirli saklama süreleri vardır; uygulamada genellikle son seansın üzerinden 10 yıl esas alınır. Süresi dolan veriler usulüne uygun şekilde imha edilmelidir. Sınırsız süreyle saklamak da KVKK açısından risk oluşturur.

Randevu programı kullanırken KVKK açısından nelere dikkat etmeliyim?

Verilerin AB veya Türkiye'de tutulduğundan, uçtan uca şifrelendiğinden ve talep halinde Veri İşleme Sözleşmesi (DPA) imzalandığından emin olun. Ayrıca verilerinizin yapay zeka eğitiminde kullanılıp kullanılmadığını ve abonelik bitince verileri dışa aktarıp silebildiğinizi sözleşmede netleştirin.

Veri ihlali yaşarsam ne yapmalıyım?

Bir veri sızıntısı fark ettiğinizde 72 saat içinde KVKK Kurumuna bildirimde bulunmanız gerekir. Bu süreci önceden planlamamış olmak ek ceza nedeni olabilir; bu yüzden bir ihlal bildirim planını uyum çalışmanızın parçası olarak baştan hazırlamak önemlidir.