Sağlık Web Sitelerinde KVKK ve Gizlilik: Aydınlatma Metni, Çerezler ve Formlar

Bir klinik ya da doktor web sitesi, ziyaretçinin fark etmediği anlarda bile kişisel veri işler: iletişim formu, randevu talebi, çerezler, gömülü harita, analitik araçları ve sunucu kayıtları. Sağlık bağlamında bu verilerin bir kısmı özel nitelikli kişisel veri sayılır ve daha sıkı kurallara tabidir. KVKK uyumu için yapılması gerekenler özetle şunlardır: hangi veriyi nereden topladığınızı bilmek, aydınlatma yükümlülüğünü yerine getirmek, gerektiğinde açık rıza almak, yalnızca gerekli veriyi istemek, veriyi güvenli saklamak ve bunları yazılı bir gizlilik düzeniyle anlatmak. Bu yazıda her adımı web sitesi özelinde açıklıyoruz.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kişisel Verileri Koruma Kurumu’nun kararları ve rehberleri güncellenir; aydınlatma metinlerinizi ve veri işleme düzeninizi hukukçunuzla doğrulayın.

Sağlık verisi neden farklı?

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verileri iki düzeyde ele alır. Ad, telefon ve e-posta gibi veriler kişisel veridir; sağlık, cinsel hayat, din, etnik köken gibi veriler ise özel nitelikli kişisel veridir. Özel nitelikli verinin işlenmesi daha sıkı şartlara bağlıdır, daha yüksek güvenlik tedbirleri gerektirir ve ihlalinde yaptırımlar daha ağırdır.

Bir sağlık web sitesinde sağlık verisi beklenmedik yerlerde ortaya çıkar. İletişim formunun mesaj alanına yazılan “iki haftadır diş ağrım var” cümlesi sağlık verisidir. Randevu sisteminde seçilen “kaygı terapisi” hizmeti, danışanın psikolojik durumuna dair bilgi taşır. Bir psikoloğun sitesine yapılan randevu talebi, tek başına, kişinin psikolojik destek aradığını gösterir. Bu nedenle sağlık sitelerinde veri minimizasyonu ve güvenlik, genel sitelere göre daha önemlidir.

Kanunda 2024 yılında yapılan değişiklikle özel nitelikli verilerin işlenme şartları yeniden düzenlenmiş; açık rızanın yanında kanunda sayılan başka hukuki sebepler de tanımlanmıştır. Hangi sebebe dayandığınızı belirlemek, aydınlatma metninin temelidir ve hukukçuyla yapılması gereken bir iştir.

Web siteniz hangi verileri topluyor?

İlk adım envanterdir. Tipik bir klinik sitesinde veri kaynakları:

Bu envanter çıkarıldığında çoğu klinik, farkında olmadan topladığı verinin bir kısmını hiç kullanmadığını görür. İlk kazanım genellikle eksiltmektir: gereksiz form alanları, kullanılmayan analitik araçları ve çerez bırakan gömülü içerikler.

Aydınlatma yükümlülüğü ve aydınlatma metni

Kanun, veri sorumlusuna, veriyi toplarken ilgili kişiyi bilgilendirme yükümlülüğü getirir. Kişisel Verileri Koruma Kurumu’nun bu konuda yayımladığı tebliğe göre aydınlatma metni en azından şunları içermelidir:

• Veri sorumlusunun ve varsa temsilcisinin kimliği: kliniğin ya da hekimin adı ve iletişim bilgisi.
• Verilerin hangi amaçla işleneceği: randevu oluşturma, iletişim, yasal yükümlülükler.
• Verilerin kimlere ve hangi amaçla aktarılabileceği: barındırma sağlayıcısı, muhasebe, yasal merciler.
• Toplama yöntemi ve hukuki sebebi: web formu, randevu sistemi; sözleşme, yasal yükümlülük, açık rıza.
• İlgili kişinin kanundan doğan hakları ve bu hakları nasıl kullanacağı.

Aydınlatma metni veriyi toplamadan önce, toplandığı yerde sunulmalıdır: formun hemen yanında, randevu adımında, çerez bildiriminde. Sitenin dibindeki bir bağlantıda saklı durması yeterli değildir. Metin sade bir dille, kliniğinizin gerçek düzenini anlatacak biçimde yazılmalı; başka siteden kopyalanmış, gerçekle uyuşmayan metinlerden kaçınılmalıdır.

Açık rıza ne zaman gerekir?

Açık rıza, kanunda sayılan hukuki sebeplerden yalnızca biridir ve her durumda gerekmez. Randevu oluşturmak için gereken ad ve telefon, hizmetin verilmesi için zorunlu olduğundan genellikle sözleşme ilişkisine dayanır. Buna karşılık:

• Bülten ve pazarlama iletileri için açık rıza gerekir; ayrıca ticari elektronik ileti kurallarına tabidir.
• Analitik ve pazarlama çerezleri için açık rıza gerekir.
• Sağlık verisi söz konusuysa, dayandığınız hukuki sebebi hukukçuyla netleştirmeniz gerekir.

Açık rıza serbest iradeyle, belirli bir konuda ve bilgilendirmeye dayanarak verilmelidir. Önceden işaretlenmiş kutular, “siteyi kullanarak kabul etmiş sayılırsınız” ifadeleri ve hizmeti rızaya şart koşmak geçerli rıza üretmez. Rızanın geri alınabilmesi de sağlanmalıdır.

Çerezler

Kişisel Verileri Koruma Kurumu’nun çerez uygulamaları rehberine göre çerezler iki grupta ele alınır:

• Zorunlu çerezler: Sitenin çalışması için gerekli olanlar; oturum, güvenlik, dil tercihi. Rıza gerekmez, ancak aydınlatma kapsamında belirtilmelidir.
• Diğer çerezler: Analitik, pazarlama, kişiselleştirme ve üçüncü taraf çerezleri. Açık rıza gerekir; rıza alınmadan çalıştırılmamalıdır.

Pratik sonuç şudur: Siteniz ne kadar az çerez kullanırsa, rıza ve bildirim yükü o kadar azalır. Cidal Studio sitelerinde ziyaret sayacı çerez kullanmaz ve kişisel veri toplamaz; yalnızca günlük toplam ziyaret sayısı tutulur. Bu sayede klinik, ziyaretçi eğilimini görürken analitik çerezleri için rıza mekanizması kurmak zorunda kalmaz. Gömülü harita ve video gibi üçüncü taraf içerikler eklenecekse çerez bıraktıkları göz önünde bulundurulmalı ve bildirime dahil edilmelidir.

Formlarda veri minimizasyonu

Kanunun temel ilkelerinden biri, verinin amaçla bağlantılı, sınırlı ve ölçülü işlenmesidir. Web formları için bu ilke şu anlama gelir:

• Yalnızca gerekli alanları isteyin: ad ve telefon çoğu zaman yeterlidir. Doğum tarihi, kimlik numarası ve adres ilk temas için gereksizdir.
• Mesaj alanının yanına “Lütfen sağlık bilgilerinizi bu alana yazmayın; ayrıntıları görüşmede konuşacağız” uyarısı ekleyin.
• Randevu sisteminde hizmet seçimini mümkün olduğunca genel tutun ve bu bilginin neden alındığını açıklayın.
• Form verilerini kimin göreceğini ve ne kadar saklanacağını belirleyin; süre dolunca silin.

WhatsApp ve üçüncü taraf araçlar

WhatsApp, Instagram mesajları, dış randevu platformları ve analitik araçları verinin üçüncü taraf sistemlerden ve çoğu zaman yurt dışındaki sunuculardan geçmesi anlamına gelir. Yurt dışına aktarım kanunda ayrı kurallara bağlıdır. İlk temas için bu kanalları kullanmak yaygındır; ancak hasta kayıtlarını, raporları ve tedavi bilgilerini bu kanallarda biriktirmemek, aydınlatma metninde kanalları belirtmek ve mümkün olduğunda veriyi kendi kontrolünüzdeki sistemde tutmak gerekir. Siteye gömülü bir randevu sistemi bu açıdan dış platformlardan ayrılır; konuyu Online randevu sistemi neden gerekli? yazısında ele aldık.

VERBİS kaydı

Veri Sorumluları Sicili, belirli ölçütleri karşılayan veri sorumluları için zorunludur. Kurul kararlarına göre ana faaliyeti sağlık verisi gibi özel nitelikli kişisel veri işlemek olan veri sorumluları, çalışan sayısı ve bilanço eşiğinden bağımsız olarak kayıt yükümlülüğü kapsamında değerlendirilmiştir. Kliniğinizin ve muayenehanenizin durumunu Kurumun güncel duyurularından ve hukukçunuzdan doğrulayın; web sitesi bu yükümlülüğün yalnızca bir parçasıdır.

Güvenlik tedbirleri

Kanun, veri sorumlusuna uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Web sitesi için asgari tedbirler:

• SSL sertifikası: Formlar ve randevu verileri şifreli bağlantıdan iletilmeli.
• Güçlü ve düzenli değiştirilen panel şifreleri; şifre değiştirme imkânı panelde olmalı.
• Erişimin yalnızca gerekli kişilerle sınırlanması.
• Düzenli yedek ve yedeğin güvenli saklanması.
• Güncel yazılım ve güvenilir bir barındırma ortamı.
• Form ve randevu verilerinin saklama süresinin belirlenmesi ve süre sonunda silinmesi.

Cidal Studio sitelerinde SSL, kendi sunucumuzda barındırma, panelden şifre değiştirme ve yedek indirme hazır gelir; saklama süreleri ve erişim düzeni ise klinikle birlikte belirlenir.

Uyum için kontrol listesi

• Sitenin topladığı tüm verilerin envanteri çıkarıldı mı?
• Her formun ve randevu adımının yanında aydınlatma metni var mı?
• Aydınlatma metni kliniğin gerçek düzenini yansıtıyor mu?
• Bülten ve analitik çerezleri için geçerli açık rıza mekanizması var mı?
• Zorunlu olmayan çerezler rıza alınmadan çalışıyor mu?
• Form alanları gerekli olanla sınırlı mı?
• Veriler SSL ile iletiliyor ve güvenli saklanıyor mu?
• Saklama süreleri belirlendi mi?
• Üçüncü taraf araçlar ve yurt dışına aktarım aydınlatma metninde belirtildi mi?
• VERBİS yükümlülüğü değerlendirildi mi?

Özetle

Sağlık web siteleri, kişisel verinin en hassas türünü işler; bu nedenle KVKK uyumu bir dipnot değil, tasarımın parçasıdır. Hangi veriyi nereden topladığınızı bilin, aydınlatma metnini veriyi toplarken ve gerçek düzeninizi anlatarak sunun, gerektiğinde geçerli açık rıza alın, yalnızca gerekli veriyi isteyin, çerezleri ve üçüncü taraf araçları azaltın ve veriyi güvenli saklayın. Tanıtım tarafındaki yükümlülükler için Sağlık tanıtım yönetmeliği ve web siteniz yazımıza, sitenin bütünü için Sağlık profesyonelleri için web sitesi rehberine bakabilirsiniz.

Bu yazı hukuki danışmanlık değildir; aydınlatma metinlerinizi ve veri işleme düzeninizi hukukçunuzla doğrulayın. Çerezsiz sayaç, SSL ve kendi sunucumuzda barındırma ile hazırlanan koleksiyonlarımızı koleksiyon sayfasında inceleyebilir, sitenizin veri düzenini konuşmak için bize yazabilirsiniz.