Diyetisyenler için KVKK: danışan sağlık verisi nasıl işlenir?

1. Sağlık verisi özel nitelikli kişisel veridir

KVKK'nın 6. maddesi, kişilerin sağlığına ilişkin verileri özel nitelikli kişisel veri olarak tanımlar. Danışanın hastalıkları, kullandığı ilaçlar, alerjileri, laboratuvar sonuçları ve vücut ölçümleri bu kapsamdadır. Ad, telefon ve e-posta gibi iletişim bilgileri de kişisel veridir.

Özel nitelikli verilerin işlenmesi kural olarak yasaktır; ancak kanunda sayılan şartlardan biri varsa ve Kişisel Verileri Koruma Kurulu'nun belirlediği yeterli önlemler alınmışsa mümkündür.

Yalnızca işiniz için gerekli olan veriyi toplayın. Kullanmayacağınız bir bilgiyi kaydetmek, korumanız gereken veriyi artırır.

2. Sağlık verisi hangi şartlarla işlenebilir?

2 Mart 2024 tarihli 7499 sayılı Kanun ile değişen 6. maddenin 3. fıkrasına göre özel nitelikli veriler; ilgili kişinin açık rızası varsa, kanunlarda açıkça öngörülmüşse ya da sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurumlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla gerekliyse işlenebilir; maddede başka şartlar da sayılır.

Hangi şartın sizin pratiğiniz için geçerli olduğu bir hukuki değerlendirme konusudur. Uygulamada birçok diyetisyen, açık rızayı ayrıca alıp kaydetmeyi tercih eder.

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Hizmet almayı rıza şartına bağlamamaya ve rızanın geri çekilebileceğini belirtmeye dikkat edin.

3. Aydınlatma yükümlülüğü

KVKK'nın 10. maddesine göre veriyi elde ederken danışanı şu konularda bilgilendirmeniz gerekir: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ve danışanın 11. maddede sayılan hakları.

Aydınlatma, açık rızadan ayrı bir yükümlülüktür: açık rıza almanız gerekmese bile aydınlatma yapmanız gerekir. İki metni birbirine karıştırmamak ve ayrı sunmak iyi bir uygulamadır.

Aydınlatmayı hangi tarihte ve hangi yolla yaptığınızı saklayın; bir başvuruda bunu gösterebilmeniz gerekir.

4. Bulut yazılımı ve yurt dışına aktarım

Danışan verilerini tuttuğunuz yazılımın sunucuları veya kullandığı hizmet sağlayıcılar yurt dışındaysa bu bir yurt dışına aktarımdır. 2024'te değişen 9. maddeye göre aktarım; yeterlilik kararı bulunan bir ülkeye yapılabilir, yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri sağlanmalıdır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir.

Açık rızaya dayalı yurt dışı aktarımı ise artık yalnızca arızi, yani düzenli olmayan aktarımlar için öngörülmüştür.

Kullandığınız yazılıma verilerin nerede tutulduğunu, hangi hizmet sağlayıcılara aktarıldığını ve hangi güvencenin kullanıldığını sorun.

5. Veri güvenliği ve ihlal bildirimi

Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verileri korumak için gerekli teknik ve idari tedbirleri almakla yükümlüdür (md. 12). Verileri sizin adınıza işleyen bir yazılım şirketi varsa bu tedbirlerden onunla birlikte sorumlusunuz.

Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde durum en kısa sürede ilgili kişiye ve Kurula bildirilir.

Güçlü parola, iki adımlı doğrulama ve cihazınızda ekran kilidi, küçük bir pratik için de en etkili ilk önlemlerdir.

6. Danışanın hakları ve saklama süresi

Danışan; verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini veya silinmesini isteme ve verilerin aktarıldığı üçüncü kişileri bilme gibi haklara sahiptir (md. 11). İşlenmesini gerektiren sebepler ortadan kalktığında veriler silinir, yok edilir veya anonim hâle getirilir (md. 7).

Danışanla çalışmanız bittiğinde verilerin ne kadar süre saklanacağını ve nasıl silineceğini önceden belirleyin.

Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünüz ve varsa istisnalar için Kişisel Verileri Koruma Kurumu'nun güncel kararlarını kontrol edin.

Foodlex bu konuda ne sağlar?

Foodlex'te danışanın açık rızası tarih ve IP adresiyle kaydedilir. Sağlık durumu, ilaçlar, alerjiler, e-posta ve telefon veritabanında şifreli saklanır; sunucular Amsterdam'dadır (AB). Her danışanın verileri dışa aktarılabilir ve hesabınızda iki adımlı doğrulama kullanabilirsiniz. Foodlex'in hangi hizmet sağlayıcılarla çalıştığı ve aktarım bilgileri KVKK aydınlatma metninde yer alır.

Yazılım, yükümlülüklerinizi yerine getirmenize yardımcı olur; veri sorumlusu olarak yükümlülükler sizde kalır.

Sık sorulan sorular