KVKK Açısından Hasta Çağrı ve Personel Verileri
Kısaca
Hasta çağrı sistemleri oda, çağrı zamanı, çağrı türü ve personel performansı gibi kişisel veriler işler; çağrı kategorileri sağlıkla ilgili bilgi içerebildiği için özel nitelikli veri olarak değerlendirilebilir. KVKK açısından kurum veri sorumlusudur; yazılım sağlayıcı ise genellikle veri işleyen konumundadır ve verilerin amaçla sınırlı, ölçülü işlenmesi esastır.
Dijital bir hemşire çağrı sistemine geçiş konuşulurken bilgi işlem ve hukuk birimlerinden gelen ilk sorulardan biri KVKK olur: Sistem hangi verileri topluyor, kim erişiyor, nerede saklanıyor ve bunun hukuki dayanağı ne? Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel kavramlarını hasta çağrı ve personel verileri özelinde genel hatlarıyla ele alıyoruz.
Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Kurumunuzdaki veri işleme faaliyetlerinin değerlendirilmesi için kurumunuzun hukuk birimine veya KVKK danışmanına başvurmanızı öneririz. Mevzuat ve Kişisel Verileri Koruma Kurulu kararları zaman içinde değişebilir; güncel metinler esas alınmalıdır.
Hasta çağrı sistemi hangi kişisel verileri işler?
Bir çağrı sistemi ilk bakışta "sadece bildirim gönderen" bir araç gibi görünse de kişisel veri üretir. Tipik bir sistemde işlenen veriler iki gruba ayrılır:
| Veri grubu | Örnekler | Not |
|---|---|---|
| Hasta ile ilgili | Oda, çağrı zamanı, çağrı kategorisi, (HBYS entegrasyonunda) hasta adı ve protokol numarası | Çağrı kategorisi sağlık durumuna işaret edebilir |
| Personel ile ilgili | Ad, rol, vardiya durumu, kabul/varış/çözüm süreleri, görev kayıtları, fotoğraf kanıtı | Performans değerlendirmesinde kullanılabilir |
| Teknik | Giriş kayıtları, işlem geçmişi, cihaz bildirim belirteçleri | Güvenlik ve denetim amacıyla tutulur |
"Ağrı kesici talebi" veya "pansuman kontrolü" gibi bir çağrı kategorisi, bir kişiyle ilişkilendirilebildiğinde sağlık durumu hakkında bilgi verebilir. Bu nedenle çağrı verilerini, KVKK'nın özel nitelikli kişisel veri olarak saydığı sağlık verisi kapsamında değerlendirmek ve buna uygun önlemler almak ihtiyatlı bir yaklaşımdır.
Veri sorumlusu kim, veri işleyen kim?
KVKK iki temel rol tanımlar:
- Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi veya kurumdur. Hastanenin veya bakım kurumunun kendisi, çağrı sistemini hangi amaçla ve nasıl kullanacağına karar verdiği için veri sorumlusudur.
- Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi veya kurumdur. Bulut tabanlı bir yazılım sağlayıcı, sözleşmenin kapsamına bağlı olarak genellikle bu konumdadır.
Bu ayrımın pratik sonucu şudur: Aydınlatma yükümlülüğü, hukuki sebebin belirlenmesi ve ilgili kişi başvurularının yanıtlanması gibi temel sorumluluklar kurumdadır. Sağlayıcı ile kurum arasındaki ilişki, veri güvenliği yükümlülüklerini de kapsayan bir sözleşmeyle düzenlenmelidir. Yurt dışında barındırılan hizmetlerde ayrıca yurt dışına aktarım kuralları gündeme gelir; bu konuyu sağlayıcıyla açıkça konuşun.
Açık rıza mı, başka bir hukuki sebep mi?
Sık yapılan hatalardan biri, her veri işleme faaliyeti için açık rıza alınması gerektiğini düşünmektir. KVKK, kişisel verilerin işlenmesi için açık rızanın yanı sıra kanunda sayılan başka hukuki sebepler de öngörür. Genel kişisel veriler için bunlara örnek olarak bir sözleşmenin ifası, veri sorumlusunun hukuki yükümlülüğü ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat sayılabilir.
Sağlık verileri gibi özel nitelikli veriler için şartlar daha sıkıdır. 2024 yılında yapılan değişiklikle özel nitelikli verilerin işlenme şartları yeniden düzenlenmiş; açık rızanın yanında, örneğin tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca işleme gibi hâller sayılmıştır. Hangi faaliyetin hangi şarta dayanacağı kurumun hukuk değerlendirmesine bağlıdır.
Personel verileri açısından ise iş ilişkisinin yürütülmesi çoğu faaliyet için temel çerçeveyi oluşturur. Açık rızanın, işçi ile işveren arasındaki güç dengesizliği nedeniyle "özgür irade" şartını taşımakta zorlanabileceği de göz önünde bulundurulmalıdır.
Veri minimizasyonu çağrı sisteminde nasıl uygulanır?
KVKK'nın genel ilkelerinden biri, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Bir çağrı sisteminde bu ilke şöyle somutlaşabilir:
- Hastadan hesap istemeyin. SelfAsist'te hasta çağrıyı oda QR kodundan, uygulama indirmeden ve kayıt olmadan yapar. Çağrı odaya bağlanır; hastanın telefon numarası veya e-postası istenmez.
- HBYS'den yalnızca gerekeni alın. Yatış olayında odaya hasta adı ve protokol numarası yazılır; tanı, tedavi veya ilaç bilgisi aktarılmaz.
- Not alanlarını disipline edin. Çağrı tamamlanırken yazılan notlarda gereksiz sağlık bilgisi yer almamasını personel eğitimine dahil edin.
- Fotoğrafta kişi olmasın. Fotoğraf kanıtı işin sonucunu belgelemelidir; hasta, refakatçi veya ekran görüntüsü kareye girmemelidir.
- Ortak ekranları düşünün. Banko ve TV ekranlarının ziyaretçilere dönük olmamasını sağlayın.
Erişim ve güvenlik tedbirleri nelerdir?
KVKK, veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Bir çağrı sisteminde değerlendirilmesi gereken başlıca teknik tedbirler ve SelfAsist'teki karşılıkları:
- Rol bazlı erişim: Kurum yöneticisi, sorumlu hemşire, hemşire, hasta bakım, temizlik ve teknik personel rolleri farklı yetkilere sahiptir.
- Kurum izolasyonu: Çok kurumlu yapıda her kurum yalnızca kendi verisini görür.
- Kimlik doğrulama: Mobil API JWT ile korunur, giriş denemeleri sınırlandırılır.
- İzlenebilirlik: İşlemler, sonradan değiştirilemeyen hash zincirli denetim kaydında tutulur.
İdari tarafta ise personel ayrıldığında hesabın kapatılması, yetkilerin düzenli gözden geçirilmesi ve saklama sürelerinin kurum politikasında tanımlanması kurumun sorumluluğundadır. Değiştirilemez kaydın bu süreçteki rolünü denetim kaydı yazımızda anlattık.
Saklama süreleri ve ilgili kişi hakları nasıl ele alınmalı?
KVKK, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. Çağrı kayıtları için tek bir doğru süre yoktur; kalite çalışmaları, denetim hazırlığı ve olası uyuşmazlıklar gibi ihtiyaçlar ile veri minimizasyonu ilkesi arasında kurumun kendi dengesini kurması gerekir. Bu dengenin kurumun kişisel veri saklama ve imha politikasına yazılması, kararların kişilere değil belgeye dayanmasını sağlar.
Hastalar ve personel, ilgili kişi olarak verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme ve kanunda sayılan diğer haklarını kullanma imkânına sahiptir. Bu başvurular veri sorumlusu olan kuruma yapılır. Çağrı sistemindeki kayıtların aranabilir olması, böyle bir başvuruya yanıt hazırlarken ilgili verilerin bulunmasını kolaylaştırır. Aydınlatma metinlerinde dijital çağrı sisteminin de anılması, hasta ve personelin baştan bilgilendirilmesi açısından iyi bir uygulamadır.
Personel performans verileri nasıl kullanılmalı?
Kabul ve varış süreleri gibi göstergeler süreç iyileştirme için değerlidir; ancak kişisel veridir ve kullanım amacı personele açıkça anlatılmalıdır. Verinin hangi amaçla toplandığını aydınlatma metnine yazmak, raporlara erişimi yöneticilerle sınırlamak ve verileri bağlamından koparmadan (örneğin o vardiyadaki iş yükünü dikkate alarak) yorumlamak hem hukuki hem de etik açıdan sağlıklı bir zemin oluşturur. Bu konuda hemşire performans raporu yazımız da fikir verebilir.
Kurumunuzun KVKK değerlendirmesine destek olacak teknik bilgiler için demo talep edin; sistemin hangi verileri nasıl işlediğini hukuk ve bilgi işlem ekiplerinizle birlikte gözden geçirelim.
Sık sorulan sorular
Hasta çağrı verileri sağlık verisi sayılır mı?
Çağrı kategorisi bir kişiyle ilişkilendirilebildiğinde sağlık durumu hakkında bilgi verebilir. Bu nedenle özel nitelikli veri kapsamında değerlendirip buna uygun önlem almak ihtiyatlı bir yaklaşımdır.
Çağrı sistemi kullanan hastanede veri sorumlusu kimdir?
Kişisel verilerin işleme amaç ve vasıtalarını belirleyen kurum veri sorumlusudur. Yazılım sağlayıcı sözleşmeye bağlı olarak genellikle veri işleyen konumundadır.
Her işlem için açık rıza almak gerekir mi?
KVKK açık rızanın yanında başka hukuki sebepler de öngörür. Hangi faaliyetin hangi sebebe dayanacağı kurumun hukuk değerlendirmesiyle belirlenmelidir.
Hasta çağrı için kişisel bilgi vermek zorunda mı?
Hayır. SelfAsist'te hasta çağrıyı oda QR kodundan, uygulama indirmeden ve kayıt olmadan yapar; çağrı odaya bağlanır.