Özel Ambulans ve Evde Sağlık Firmaları İçin KVKK: Hasta Verisi Nasıl Korunur?

Neden ambulans firmaları için ayrı bir yazı?

Bir özel ambulans ya da evde sağlık firması günde onlarca hastanın adını, adresini, tanısını ve kimlik bilgisini işler. Bunlar 6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre özel nitelikli kişisel veridir; işlenmesi için daha sıkı şartlar ve daha ağır yaptırımlar vardır.

Sahadaki gerçek şudur: vaka bilgileri WhatsApp gruplarında paylaşılır, hasta listesi kişisel bilgisayarlardaki Excel dosyalarındadır, ambulans formları fotoğraflanıp telefonlarda kalır. Bu düzen KVKK'nın veri güvenliği yükümlülüğüyle bağdaşmaz ve bir şikâyette firmanın savunması yoktur.

Bu yazı hukuki görüş değildir; firmaların sahada yaptığı yaygın hataları ve pratik önlemleri anlatır. Uyum çalışması için KVKK danışmanı ile ilerleyin; güncel mevzuat için kvkk.gov.tr.

Hangi verileri işliyorsunuz?

Önce envanter çıkarın. Tipik bir ambulans firmasında işlenen veriler:

Envanter, VERBİS kaydının ve aydınlatma metninin temelidir; "ne topluyoruz, neden, ne kadar süre saklıyoruz" sorularının cevabıdır.

Aydınlatma yükümlülüğü

Hastaya ya da yakınına, verilerinin hangi amaçla işlendiği bildirilmelidir. Pratikte:

• Vaka formunun arkasına ya da ayrı bir sayfaya aydınlatma metni eklenir.
• Nakil sırasında imza alınıyorsa aydınlatma aynı anda yapılır.
• Web sitesinde ve mobil uygulamada aydınlatma metni yayınlanır.
• Kurumla (hastane) yapılan sözleşmede hangi tarafın aydınlatma yaptığı yazılır.

Acil durumda aydınlatma yapılamamışsa sonradan yapılır; kanun hayati tehlike hâlinde açık rıza aramaz ama aydınlatma yükümlülüğünü kaldırmaz.

WhatsApp sorunu

Ambulans firmalarında vaka bildirimi için WhatsApp grubu kullanmak neredeyse standarttır: "Kadıköy'den Çapa'ya, 67 yaşında erkek, KOAH, yatak 12." Bu mesaj:

• Kişisel telefonlarda süresiz kalır.
• Gruptan ayrılan personelin telefonunda da kalır.
• Yedekleme ile yurt dışı sunucuya gider.
• Kimin ne zaman okuduğu kayıt altında değildir.

Çözüm, vaka bilgisinin rol bazlı erişimli bir sistemde tutulması ve ekibe yalnızca kendi vakasının gösterilmesidir. WhatsApp'ı bilgi taşımak için değil, "yeni vaka atandı, sisteme bakın" demek için kullanın.

Yazılım seçerken sorulacak sorular

Vaka yazılımı sizin adınıza veri işler; sağlayıcıya sormanız gerekenler:

1. Veri nerede tutuluyor? Sunucu konumu ve yedekleme yeri.
2. Firma verileri birbirinden izole mi? Aynı sistemi kullanan başka bir firma sizin verinizi görebilir mi?
3. Erişim rol bazlı mı? Paramedik yalnızca kendi vakasını, operatör tüm vakaları, yönetici raporları görüyor mu?
4. Denetim izi var mı? Kim, ne zaman, hangi kaydı gördü ya da değiştirdi?
5. Silme talebini nasıl karşılıyor? Hasta verisinin silinmesi istendiğinde ne oluyor?
6. Veri işleme sözleşmesi imzalanıyor mu?

Vakasis'te her firmanın verisi ayrı tutulur (kiracı izolasyonu), erişim rol bazlıdır, vaka ve personel kayıtlarındaki her değişiklik kim/ne zaman bilgisiyle saklanır. Ayrıntılar Özellikler sayfasında; aydınlatma metnimiz KVKK sayfasında.

Saklama ve imha

Sağlık kayıtları için mevzuatta saklama süreleri vardır; vaka formlarını yıllarca saklamanız gerekir. KVKK bunu yasaklamaz, "gereğinden uzun tutmayı" yasaklar. Pratik düzen:

• Saklama süresini politikada yazın (örneğin vaka kayıtları 10 yıl, aday personel başvuruları 1 yıl).
• Süresi dolan kayıtları periyodik olarak imha edin ve imha tutanağı tutun.
• Kâğıt formları kilitli arşivde, dijital kayıtları erişimi kısıtlı sistemde tutun.

Personel verisi

Hasta verisine odaklanırken personel verisi unutulur. Sağlık raporları, psikoteknik belgeleri, adli sicil kayıtları ve araç GPS verisi de kişisel veridir. Personele işe girişte aydınlatma yapılmalı, GPS takibinin amacı (araç güvenliği, vaka koordinasyonu) açıkça yazılmalıdır.

Uyum kontrol listesi

• [ ] Veri envanteri çıkarıldı
• [ ] VERBİS kaydı yapıldı (yükümlülük danışmanla teyit edildi)
• [ ] Hasta aydınlatma metni vaka formuna eklendi
• [ ] Personel aydınlatma metni özlük dosyasına eklendi
• [ ] Kurum sözleşmelerine veri paylaşımı maddesi eklendi
• [ ] Vaka bilgisi WhatsApp'tan sisteme taşındı
• [ ] Yazılım sağlayıcısıyla veri işleme sözleşmesi imzalandı
• [ ] Saklama ve imha politikası yazıldı
• [ ] Personele yılda bir KVKK eğitimi verildi

Bu yazı bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Uyum çalışmanızı KVKK alanında çalışan bir danışmanla yürütün.