Hasta Mesajları KVKK'ya Uygun Nasıl Saklanır?
Hasta mesajlarının KVKK'ya uygun saklanması, sağlık verisinin özel nitelikli kişisel veri kapsamında korunmasını gerektirir. İlk adım, hasta ile iletişime geçmeden önce açık bir aydınlatma metni sunmak ve açık rıza almaktır. Mesajlar saklanırken teknik güvenlik önlemleri devreye girer: veritabanında şifreleme, erişim loglarının tutulması, yetkilendirme sistemleri ve düzenli yedekleme. Saklama süresi, işlenme amacı sona erdiğinde ya da yasal zorunluluk bittiğinde mesajların silinmesini öngörür. Hasta dilediğinde verilerinin silinmesini talep edebilir ve bu talep en geç otuz gün içinde yerine getirilmelidir. Yapay zekâ asistanı üzerinden gelen mesajlar da aynı kurallara tabidir; bu nedenle hangi platformda saklanırsa saklansın teknik ve idari tedbirler eksiksiz uygulanmalıdır.
Aydınlatma ve Rıza Mekanizması
Hasta ile ilk temas anında, kişisel verilerin hangi amaçla işleneceği, ne kadar süre saklanacağı ve kimlere aktarılabileceği açık biçimde belirtilmelidir. Bu bilgi genellikle web sitesinde aydınlatma metni ya da gizlilik politikası başlığı altında yayımlanır.
Sağlık verileri özel nitelikli olduğundan, zımni rıza yeterli değildir. Hasta, mesaj göndermeden önce onay kutusu işaretlemeli ya da dijital formda açık rızasını beyan etmelidir. Rıza kayıtları, tarih damgası ve IP adresi ile birlikte saklanarak denetim süreçlerinde ibraz edilebilir hale getirilir.
Yapay zekâ asistanı üzerinden gelen mesajlarda da aynı süreç işler. Sohbet başlamadan önce kullanıcıya aydınlatma yapılmalı ve rıza alınmalıdır. Bu adım atlanırsa tüm işlem hukuki dayanak kaybeder.
Teknik Güvenlik Önlemleri
Mesajlar veritabanına kaydedilirken hem iletim hem de depolama aşamasında şifreleme uygulanmalıdır. TLS protokolü ile iletilen veriler, sunucuda AES standardında şifrelenmiş sütunlarda saklanarak yetkisiz erişime karşı korunur.
Erişim kontrolü, rollere dayalı yetkilendirme sistemiyle sağlanır. Sadece mesajı işlemesi gereken personel ilgili kayda ulaşabilir ve her erişim log kaydına alınır. Log kayıtları, kim, ne zaman, hangi veriyi görüntüledi ya da değiştirdi sorularını cevaplayacak detayda tutulmalıdır.
Yedekleme, veri kaybına karşı günlük ya da haftalık periyotlarla yapılır. Yedekler de aynı şifreleme standardında saklanır ve farklı bir fiziksel ortamda tutularak felaket kurtarma planına dahil edilir.
Saklama Süresi ve Silme
KVKK, verilerin amacı ortadan kalktığında ya da yasal saklama süresi dolduğunda silinmesini zorunlu kılar. Sağlık turizminde mesaj, hastanın tedavi süreci tamamlandıktan sonra muhasebe ve hukuki belgelendirme için belirli bir süre daha saklanabilir. Bu süre genellikle on yıl civarındadır ve vergi mevzuatıyla örtüşür.
Hasta, herhangi bir anda verilerinin silinmesini talep edebilir. Bu durumda acente, talebi değerlendirir ve yasal saklama zorunluluğu yoksa otuz gün içinde mesajları siler. Silme işlemi geri döndürülemez biçimde yapılmalı, yedeklerden de aynı kayıtlar temizlenmelidir.
Yapay zekâ asistanı kullanılıyorsa, sohbet loglarının da aynı saklama ve silme politikasına tabi olduğu unutulmamalıdır. Asistan sağlayıcısıyla yapılan sözleşmede, veri sahibinin silme talebi durumunda alt işleyenin de aynı işlemi gerçekleştireceği madde olarak yer almalıdır.
Alt İşleyen ve Veri Aktarımı
Mesajlar, CRM yazılımı, bulut depolama ya da asistan platformu gibi üçüncü taraf hizmetlerde saklanabilir. Bu durumda her hizmet sağlayıcı veri işleyen sıfatı kazanır ve acenteyle yazılı sözleşme yapılmalıdır. Sözleşmede, işleyenin veriyi sadece belirtilen amaçla kullanacağı, güvenlik önlemlerini alacağı ve veri ihlali durumunda acil bildirim yapacağı hükme bağlanır.
Yurt dışına veri aktarımı söz konusuysa, KVKK'nın yurt dışı aktarım şartları incelenmelidir. Hedef ülkenin yeterli koruma seviyesine sahip olması ya da standart sözleşme hükümleri ile güvence sağlanması gerekir. Avrupa Birliği ülkeleri genel olarak yeterli kabul edilirken, diğer bölgeler için ek belgelendirme aranabilir.
Denetim ve Veri İhlali Yönetimi
Düzenli denetim, hem iç kontrol hem de bağımsız denetçi tarafından gerçekleştirilmelidir. Erişim logları, şifreleme testleri ve yetkilendirme matrisi yılda en az bir kez gözden geçirilir. Denetim raporları, eksiklikleri ortaya koyar ve aksiyonların takip edilmesini sağlar.
Veri ihlali durumunda, kişisel verilerin yetkisiz kişilerce elde edildiği anlaşılırsa kırk sekiz saat içinde Kişisel Verileri Koruma Kurumu'na bildirim yapılmalıdır. İhlalden etkilenen hastalar da makul sürede bilgilendirilmeli ve alınacak önlemler paylaşılmalıdır.
Veri güvenliği sadece teknik değil, aynı zamanda organizasyonel bir meseledir. Personel eğitimi, şifre politikası, fiziksel güvenlik ve yedekleme testleri bir bütün olarak planlanmalı ve sürekli iyileştirilmelidir.
Sık sorulanlar
Hastadan alınan rıza sonradan iptal edilebilir mi?
Hasta istediği zaman rızasını geri çekebilir. Bu durumda işleme dayanak ortadan kalkar ve yasal zorunluluk yoksa veriler silinmelidir. Geri çekme talebi yazılı ya da elektronik ortamda kabul edilir ve otuz gün içinde sonuçlandırılır.
Mesajlar ne kadar süre saklanabilir?
Saklama süresi, işlenme amacıyla sınırlıdır. Tedavi süreci bittikten sonra muhasebe ve hukuki zorunluluk için ek süre tanınabilir. Genel uygulama, vergi mevzuatına paralel olarak on yıl civarındadır. Bu süre sonunda mesajlar silinmelidir.
Bulut depolama kullanmak KVKK'ya uygun mu?
Bulut hizmeti sağlayıcısıyla veri işleme sözleşmesi yapıldığı ve teknik güvenlik önlemleri alındığı sürece uygundur. Sağlayıcı, şifreleme, erişim kontrolü ve yedekleme taahhütlerini yerine getirmelidir. Yurt dışı sunucu kullanılıyorsa yeterli koruma seviyesi aranır.
Veri ihlali durumunda ne yapmalıyım?
İhlal tespit edildiğinde kırk sekiz saat içinde Kişisel Verileri Koruma Kurumu'na bildirim yapılır. Etkilenen hastalar bilgilendirilir, ihlal kaynağı kapatılır ve güvenlik önlemleri güncellenir. İhlalin kapsamı ve alınan aksiyonlar raporlanmalıdır.
Yapay zekâ asistanı mesajları işlerken ek önlem gerekir mi?
Asistan üzerinden gelen mesajlar da aynı KVKK kurallarına tabidir. Aydınlatma ve rıza mekanizması sohbet başlamadan devreye girer. Asistan sağlayıcısıyla yapılan sözleşmede veri güvenliği, saklama süresi ve silme süreçleri net biçimde düzenlenmelidir.