Görüntülü görüşmelerde KVKK: Terapistler için kontrol listesi

Görüntülü görüşmelerde KVKK uyumu, yalnızca üzerinde “KVKK uyumlu” yazan bir araç seçmek değildir. Terapistin veya kurumun hangi veriyi neden işlediği, platformun bu veriye nasıl temas ettiği, kimlerin erişebildiği ve verinin ne zaman silindiği birlikte değerlendirilir.

Online terapi ve danışmanlık görüşmelerinde konuşmanın içeriği sağlık verisi niteliği taşıyabilir. Sağlık verileri, 6698 sayılı Kanun kapsamında özel nitelikli kişisel veri olarak daha sıkı korunur. Bu nedenle teknik güvenlik kadar aydınlatma, uygun işleme şartı, veri minimizasyonu ve günlük çalışma düzeni de önemlidir.

Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık değildir. Mesleki statünüz, sunduğunuz hizmet ve gerçek veri akışınız için bir KVKK uzmanından veya avukattan görüş alın. Görüşme Yap sağlık hizmeti değil, görüşme altyapısı sunar.

Kısa cevap: Görüntülü görüşmede nelere dikkat edilmeli?

Bir online görüşme sürecini şu sekiz başlıkla kontrol edin:

1. İşlenen verileri görüşme öncesi, sırası ve sonrası için haritalayın.
2. Veri sorumlusu ve veri işleyen rollerini gerçek veri akışına göre belirleyin.
3. Aydınlatmayı, açık rızayı ve mesleki bilgilendirilmiş onamı birbirine karıştırmayın.
4. Sağlık verisi için geçerli işleme şartını belirleyin ve yeterli önlemleri alın.
5. Kayıt ve otomatik transkripsiyonu varsayılan olarak kapalı tutun; gerekiyorsa ayrı değerlendirin.
6. Sunucu, alt işleyen ve yurt dışı aktarım mekanizmasını belgeleyin.
7. Erişim, cihaz, bağlantı, saklama, silme ve yedekleme kurallarını yazılı hâle getirin.
8. Platformun beyanını yeterli görmeyin; sözleşme ve teknik belgelerle doğrulayın.

Önce veri haritasını çıkarın

“Seans kaydı almıyorum” demek, hiç veri işlenmediği anlamına gelmez. Bir online görüşmede aşağıdaki veriler farklı sistemlere dağılabilir:

• Ad, soyad ve iletişim bilgileri
• Randevu tarihi ve görüşme bağlantısı
• IP adresi, cihaz ve oturum kayıtları
• Görüşme sırasında aktarılan ses, görüntü ve mesajlar
• Terapistin tuttuğu seans notları
• Ödeme, fatura ve destek kayıtları
• E-posta, SMS veya mesajlaşma bildirimleri
• Yedekler, hata kayıtları ve güvenlik logları

Akışı üç aşamada yazın: görüşmeden önce hangi veri toplanıyor, görüşme sırasında hangi sistemlerden geçiyor, görüşme bittikten sonra nerede kalıyor? Her veri için amaç, hukuki sebep, erişen kişi, saklama süresi ve silme yöntemini not edin. İhtiyaç duyulmayan alanı hiç toplamamak, sonradan korumaya çalışmaktan daha güvenlidir.

Veri sorumlusu ve veri işleyen nasıl belirlenir?

Verinin hangi amaçla ve hangi yöntemle işleneceğine karar veren taraf veri sorumlusu, onun talimatıyla veri işleyen hizmet sağlayıcı ise veri işleyen olabilir. Bağımsız çalışan bir uzman çoğu durumda danışan verileri bakımından veri sorumlusu konumunda olabilir; ancak bu rol unvana göre otomatik belirlenmez. Klinik, pazar yeri, sekreterya, ödeme ve görüntülü görüşme sağlayıcısının gerçek karar yetkileri ayrı ayrı incelenmelidir.

Platformdan veya kurumunuzdan şu konuları açıklayan belgeler isteyin:

• Hangi veri kategorileri hangi amaçla işleniyor?
• Hizmet sağlayıcı yalnızca talimatla mı hareket ediyor?
• Veriler ve yedekleri hangi ülkelerde tutuluyor?
• Alt işleyenler kimler ve neye erişiyor?
• Bir ihlal olduğunda bildirim akışı nasıl işliyor?
• Sözleşme sona erdiğinde veriler nasıl iade ediliyor veya siliniyor?

Rol dağılımını sözleşmeye yazmak önemlidir; fakat sözleşmedeki etiketin gerçek işleyişle de uyuşması gerekir.

Sağlık verisi için doğru işleme şartını belirleyin

Ruh hâli, tanı, ilaç kullanımı, travma öyküsü ve terapi notları sağlık verisi olabilir. Hatta bazı bağlamlarda kişinin belirli bir sağlık hizmetinden yararlandığını gösteren randevu bilgisi de hassas sonuçlar doğurabilir.

2024'te değişen KVKK 6. madde, özel nitelikli kişisel veriler için birden fazla işleme şartı düzenler. Bu nedenle “sağlık verisi her zaman açık rızayla işlenir” veya “sağlık hizmeti verildiği için her şey işlenebilir” şeklindeki iki genelleme de güvenli değildir. Uygun şart; hizmetin niteliğine, uzmanın mesleki statüsüne, sır saklama yükümlülüğüne ve işleme amacına göre belirlenmelidir.

KVKK Kurumunun özel nitelikli kişisel veriler rehberi güncel işleme şartlarını açıklar. Ayrıca özel nitelikli veriler işlenirken Kurulun belirlediği yeterli önlemler alınmalıdır. 2018/10 sayılı Kurul kararı; ayrı politika ve prosedür, yetki kontrolü, erişim kayıtları, şifreleme ve güvenli aktarım gibi tedbirleri sıralar.

Aydınlatma, açık rıza ve bilgilendirilmiş onam aynı şey değildir

Aydınlatma, kişisel verinin kim tarafından, hangi amaç ve hukuki sebeple işlendiğini; kimlere aktarılabileceğini, nasıl toplandığını ve ilgili kişinin haklarını anlatır. İşleme açık rızaya dayanmasa bile aydınlatma yükümlülüğü devam eder.

Açık rıza, yalnızca uygulanabilir hukuki şartın açık rıza olduğu faaliyetler için; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen beyandır. Her faaliyeti tek ve zorunlu bir kutuya bağlamak geçerli rıza sorunları doğurabilir.

Bilgilendirilmiş onam ise online çalışmanın sınırları, acil durum planı, ücret, iptal, kayıt ve iletişim kuralları gibi mesleki ve klinik konuları kapsar. KVKK aydınlatmasının yerine geçmez.

Aydınlatma Yükümlülüğü Tebliği, aydınlatmanın kişisel veri elde edilirken yapılmasını ve amaç ile hukuki sebebin açıkça belirtilmesini ister. Pratiğiniz için hazırladığınız metni, ürün sağlayıcısının kendi aydınlatma metniyle karıştırmayın: biri danışanınızla kurduğunuz veri ilişkisini, diğeri sağlayıcının kendi işleme faaliyetlerini açıklar.

Kayıt ve otomatik transkripsiyon nasıl yönetilmeli?

En sade başlangıç kuralı şudur: Gerekli değilse kaydetmeyin. Ses veya görüntü kaydı yeni bir veri kopyası, yeni erişim yetkileri ve yeni saklama riskleri yaratır.

Kayıt gerçekten gerekiyorsa şu soruların yazılı cevabı olmalıdır:

• Kayıt hangi belirli amaçla alınacak?
• İşleme şartı nedir ve danışana nasıl anlatılacak?
• Kimler erişebilecek?
• Nerede ve ne kadar süre tutulacak?
• Yedeklerden ne zaman silinecek?
• Danışanın talebi veya rızasını geri alması durumunda süreç nasıl işleyecek?

Otomatik transkripsiyon ve yapay zekâ özeti, yalnızca kolaylaştırıcı bir özellik değildir. Sesin veya metnin başka bir sağlayıcıya gönderilmesine, model eğitimi için kullanılmasına ya da farklı bir ülkede saklanmasına yol açabilir. Özelliği açmadan önce sağlayıcıyı, veri konumunu, saklama süresini ve kullanım amacını ayrıca doğrulayın.

Yurt dışı sunucu kullanılıyorsa ne yapılmalı?

Sunucunun, yedeğin veya alt işleyenin yurt dışında olması KVKK 9. madde kapsamında aktarım değerlendirmesi gerektirebilir. 1 Haziran 2024'te yürürlüğe giren yeni sistemde yalnızca “açık rıza aldım” yaklaşımı yeterli bir genel çözüm değildir.

Aktarımda sırasıyla yeterlilik kararı, uygun güvenceler ve kanunda sınırlı biçimde düzenlenen arızi hâller değerlendirilir. Standart sözleşmeler uygun güvence yöntemlerinden biridir; imzalandıktan sonra Kuruma bildirim yükümlülüğü de bulunur. Ayrıntılar için Kurumun Yurt Dışına Aktarım Rehberini ve güncel standart sözleşme duyurusunu kullanın.

Sağlayıcıya “Veriler bulutta mı?” yerine şu soruyu sorun:

Görüntü, ses, mesaj, oturum kaydı, destek verisi ve yedekler hangi ülkelerde, hangi tüzel kişiler tarafından ve hangi aktarım mekanizmasıyla işleniyor?

Teknik ve idari önlemler için pratik liste

Hesap ve cihaz güvenliği

• Her hesap için benzersiz, güçlü parola kullanın.
• Mümkünse iki adımlı doğrulamayı açın.
• Bilgisayar ve telefonu güncel tutun; disk kilidi ve ekran kilidi kullanın.
• Ortak cihazda danışan dosyası veya açık oturum bırakmayın.

Görüşme bağlantısı ve ortam

• Her danışan veya seans için erişimi sınırlandırılmış bağlantı kullanın.
• Bekleme alanını ve katılımcı kontrolünü etkinleştirin.
• Bağlantıyı herkese açık takvim veya sosyal medya sayfasında paylaşmayın.
• Kulaklık kullanın; ekranda başka danışanların adlarını veya bildirimlerini göstermeyin.

Erişim ve kayıt yönetimi

• Sekreter, terapist ve yönetici rollerini ayırın.
• Randevu yöneten kişinin seans notlarını görmesini engelleyin.
• Kritik erişimleri ve değişiklikleri izlenebilir hâle getirin.
• Yetkileri ekip değiştiğinde hemen güncelleyin.

Saklama ve silme

• Her veri kategorisi için gerekçeli bir saklama süresi belirleyin.
• Süre dolduğunda silme, yok etme veya anonimleştirme yöntemini tanımlayın.
• Silinen verinin yedeklerden ne zaman çıkacağını sağlayıcıyla doğrulayın.
• Danışanın erişim, düzeltme veya silme başvurusunu kimin yöneteceğini belirleyin.

VERBİS yükümlülüğünü de güncel Kurul kararları ve gerçek faaliyetiniz üzerinden ayrıca kontrol edin. Sicil kaydından istisna olmak, KVKK'nın diğer yükümlülüklerinden muaf olmak anlamına gelmez.

Platform seçerken sorulacak 12 soru

1. Ses ve görüntü kaydediliyor mu?
2. İletişim uçtan uca mı, yoksa yalnızca aktarım sırasında mı şifreleniyor?
3. Şifreleme iddiası teknik belgede açıklanıyor mu?
4. Görüşme, randevu, log ve destek verileri ayrı ayrı nerede tutuluyor?
5. Alt işleyen listesi yayımlanıyor mu?
6. Veri işleme koşulları ve tarafların rolleri sözleşmede açık mı?
7. Yurt dışı aktarımı varsa hangi mekanizma kullanılıyor?
8. Terapist, sekreter ve yönetici erişimleri ayrılabiliyor mu?
9. Kayıt ve transkripsiyon varsayılan olarak kapalı mı?
10. Hesap kapanınca veriler ve yedekler ne zaman siliniyor?
11. Güvenlik olayı yaşandığında müşteriye ne kadar sürede bilgi veriliyor?
12. Danışan uygulama kurmadan, kendine ait güvenli bağlantıyla katılabiliyor mu?

Uçtan uca şifreleme ile aktarım şifrelemesi arasındaki fark için teknik açıklamamıza, farklı ürün türlerini değerlendirmek için platform seçim rehberimize bakabilirsiniz.

Görüşme Yap'ın mevcut kapsamı

Görüşme Yap, tarayıcı üzerinden görüntülü görüşme ve terapist kontrollü EMDR akışı sunar. Seans sesini, görüntüsünü ve mesajlaşma içeriğini kaydetmediğini belirtir. Self-servis online randevu ve otomatik hatırlatma bugün aktif ürün özellikleri arasında değildir.

Bu özellikler tek başına terapistin veya kurumun KVKK uyumunu garanti etmez. Aydınlatma, uygun hukuki sebep, erişim yönetimi, saklama politikası ve kullanılan diğer araçların veri akışı ayrıca yönetilmelidir. Platformun güncel teknik kapsamını KVKK odaklı seçim sayfasında inceleyebilir, kurumsal gereksinimleriniz için iletişim sayfasından belge talep edebilirsiniz.

Sık sorulan sorular

Seansları kaydetmemek KVKK uyumu için yeterli mi?

Hayır. Kayıt almamak riski azaltır; ancak randevu, iletişim, IP, oturum, ödeme, not ve destek verileri yine işlenebilir. Bütün veri akışı değerlendirilmelidir.

Açık rıza alırsam her veriyi işleyebilir miyim?

Hayır. Açık rıza, KVKK'nın genel ilkelerini ortadan kaldırmaz. İşleme belirli, gerekli ve ölçülü olmalı; yalnızca amaç için gereken veri toplanmalıdır. Ayrıca somut faaliyet başka bir işleme şartına dayanıyorsa açık rızayı zorunlu hizmet koşulu hâline getirmek doğru olmayabilir.

Yurt dışındaki bir platformu kullanmak yasak mı?

Tek başına yasak değildir. Ancak aktarımın KVKK 9. maddesindeki şartlardan birine dayanması, gerekli belgelerin hazırlanması ve sağlık verisinin niteliğine uygun güvenlik önlemlerinin alınması gerekir.

Uçtan uca şifreleme tek başına yeterli mi?

Hayır. Uçtan uca şifreleme görüşme içeriğini koruyan önemli bir katmandır; fakat hesap güvenliği, veri konumu, oturum kayıtları, erişim yetkileri, saklama ve silme süreçlerinin yerini tutmaz.

Hazır bir platformun aydınlatma metnini kendi danışanlarıma verebilir miyim?

Sağlayıcının metni, sağlayıcının kendi veri işleme faaliyetlerini açıklar. Terapistin veya kurumun danışan verileri için yürüttüğü faaliyetler farklı olabilir. Kendi veri haritanıza uygun aydınlatmayı ayrıca hazırlayın.

Son kontrol

Görüntülü görüşmelerde KVKK uyumu bir rozet değil, sürdürülen bir çalışma düzenidir. Veri haritasını çıkarın; rolleri ve hukuki sebepleri belirleyin; kayıt ile transkripsiyonu gereklilik testinden geçirin; aktarım, erişim ve silme süreçlerini belgeleyin. Ardından bu düzeni platform veya ekip değiştiğinde yeniden gözden geçirin.

En güvenli sistem, yalnızca güçlü şifreleme kullanan değil; neyi neden işlediğini açıklayabilen, gereksiz veriyi toplamayan ve silme zamanı geldiğinde bunu gerçekten uygulayabilen sistemdir.