"Online terapi güvenli mi?" sorusu duruyorken sade görünür ama aslında üç ayrı soruyu birden taşır. Terapistin kafasında "güvenlik" denince akla önce şifreleme gelir; danışan tarafında soru çoğunlukla "kayıt mı tutuluyor?" şeklinde sorulur; hukuki tarafta ise KVKK çerçevesi devreye girer.
Kısa cevap: Online terapi, uygun klinik koşullar, açık bir veri işleme çerçevesi ve doğru yapılandırılmış teknoloji birlikte olduğunda güvenli biçimde yürütülebilir. Hiçbir platform tek başına klinik uygunluğu veya hukuki uyumu garanti etmez.
Bu üç boyut birbirini tamamlar. Sadece şifreleme yeterli değildir; sadece hukuki uyum da değildir. Terapötik temasın güvenli kalması için üçünün de aynı anda işlemesi gerekir. Bu yazıda her bir katmanı ayrı ayrı açtık, yaygın yanılgılara değindik ve seans öncesi taranabilecek pratik bir kontrol listesi paylaştık.
Teknik güvenlik — şifreleme ve veri minimizasyonu
Teknik güvenlik bu üçlünün en somut katmanıdır. Ölçülebilir; cihaz, ağ ve yazılım üzerinde gözlenebilir.
Bir online terapi seansının teknik açıdan güvenli sayılabilmesi için şu özellikler bir arada bulunmalıdır:
- Uçtan uca şifreleme: Danışan ile terapist arasındaki ses ve görüntünün, akışın ortasındaki sunucu tarafından bile okunamaması.
- Veri minimizasyonu: Seans için gerekmeyen hiçbir verinin toplanmaması.
- Erişim kontrolü: Sadece yetkili kullanıcının seansa girebilmesi; bekleme odası ve kimlik doğrulama.
- Açık güvenlik dokümantasyonu: Sağlayıcının ne yaptığını ve neyi yapmadığını yazılı olarak açıklaması.
Uçtan uca şifrelemenin nasıl çalıştığını detaylı şekilde başka bir dokümanda ele aldık. Burada vurgulanması gereken şu: "şifreli iletim" ile "uçtan uca şifreleme" aynı şey değildir. Birincisi yalnızca veri ağda yolculuk ederken korur; sunucuya ulaştığında şifre açılır. İkincisi, sunucunun bile veriyi açamadığı modelidir. Terapide farkı yaratan da bu kategoridir.
Şifrelemenin yokluğu açık bir risktir; varlığı ise tek başına bir güvence değildir.
Aynı şekilde, bir araç şifreli olsa bile gereksiz metadata topluyorsa (kim kiminle, ne zaman, ne kadar konuştu) hassas veri yine açığa çıkar. Bu yüzden veri minimizasyonu şifreleme kadar kritiktir. Bir platformun "tüm verileri güvende" demesi yetmez; hangi veriyi neden topladığını ve neyin tutulmadığını da göstermesi gerekir.
Türkiye Kişisel Verileri Koruma Kurulu, psikolojik sağlık verisini "özel nitelikli kişisel veri" olarak sınıflandırır — yani genel kişisel veriden daha yüksek bir koruma seviyesi gerektirir. Bu sınıflandırma teknik tedbirlerin de daha sıkı olmasını zorunlu kılar.
Hukuki güvenlik — KVKK çerçevesi
Teknik korumalar yerinde olsa bile, hukuki çerçeve doğru kurulmadığında güvenlik eksik kalır. Türkiye'de bu çerçevenin temeli KVKK'dır ve psikolojik sağlık verisi mevzuatın "özel nitelikli kişisel veri" kategorisinde yer alır.
Veri sorumlusu kim?
Tek başına çalışan bir terapist, danışan verilerinin hangi amaçla ve nasıl işleneceğine kendisi karar veriyorsa veri sorumlusu rolünde olabilir. Bir kurum adına çalışılıyorsa roller sözleşme ve fiilî veri akışına göre ayrıca değerlendirilir; bu rol yalnızca kurum büyüklüğünden çıkarılamaz.
Veri sorumlusu olarak terapistin temel yükümlülükleri:
- İşlenen veriyi sınırlı tutmak
- Veriyi nereden, neden ve ne kadar süre tuttuğunu belgelemek
- Güvenlik ihlallerine karşı teknik ve idari tedbirler almak
- Danışanın erişim, düzeltme veya silme taleplerini geçerli saklama yükümlülükleriyle birlikte değerlendirip zamanında yanıtlamak
Platform sağlayıcının veri işleyen veya başka bir rolde olup olmadığı sunduğu hizmete ve veriyi kendi amaçları için kullanıp kullanmadığına göre belirlenir. Taraflar arasındaki sözleşme, fiilî veri akışıyla uyumlu olmalı ve sorumluluk sınırlarını açıkça göstermelidir.
Aydınlatma yükümlülüğü
KVKK, veri sorumlusunun danışanı; kimliği, işleme amaçları, aktarım tarafları, toplama yöntemi, hukuki sebep ve ilgili kişi hakları konusunda veri elde edilirken bilgilendirmesini ister. Bu, “aydınlatma yükümlülüğü”dür ve bir defa imzalanan bir formdan ibaret değildir; danışanın görebileceği ve anlayabileceği bir anlatım olmalıdır.
KVKK Kurumunun resmî açıklaması, aydınlatmanın işleme açık rızaya dayansa da dayanmasa da devam ettiğini belirtir. Açık rıza gerekiyorsa rıza talebi, aydınlatmanın yerine geçmemeli ve iki süreç birbirine karıştırılmamalıdır. Aydınlatma metni örneğimiz bu ayrımı koruyarak yapılandırılmıştır.
Kayıt, üçüncü taraf paylaşımı ve veri saklama süreleri gibi konular KVKK uyumlu video görüşme rehberinde daha pratik bir çerçevede ele alındı.
Klinik güvenlik — gizlilik fiziksel ortamdan da gelir
Güvenliğin üçüncü katmanı çoğunlukla atlanır: klinik güvenlik. Şifreleme ve KVKK bütünüyle yerinde olsa bile, danışanın seans sırasındaki fiziksel ortamı, terapistin kontrolünde olmayan bir risk yüzeyidir.
Online seansta klinik güvenliğin bozulduğu yaygın durumlar:
- Danışan açık alanda ya da başkalarının olduğu bir odada bağlanıyor
- Mikrofon başka bir konuşmayı taşıyor
- Ekran paylaşıldığında bildirimler görünüyor
- Cihaz başka biriyle paylaşılıyor; tarayıcı geçmişi açıkta kalıyor
- Aile üyeleri arasında ortak hesaplar üzerinden seansa bağlanılıyor
Bu noktada terapistin görevi, danışanı seans öncesinde kısaca yönlendirmektir. "Kapısı kapalı bir yerde olabilir misiniz?" sorusu, en güçlü güvenlik tedbiridir. Aynı şekilde "kulaklık kullanabilir misiniz?" sorusu mikrofon kaynaklı sızıntıların çoğunu önler.
Klinik güvenlik bir kez sorulup geçilen bir konu değildir. Düzenli danışanlarda zamanla ortam değişebilir — yeni bir ev, yeni bir ev arkadaşı, ofiste alınan bir seans. Terapist için faydalı bir alışkanlık, ilk birkaç dakikada "Bugün rahatlıkla konuşabileceğin bir yerde misin?" sorusunu pratiğin parçasına dönüştürmektir.
EMDR gibi yüksek odak gerektiren seanslarda klinik güvenlik daha da kritik olur; bu konuyu EMDR güvenlik dokümanında ayrıca ele aldık.
Yaygın yanılgılar
Online terapi güvenliğini tartışırken iki yanılgı sık sık geri döner. İkisini de açıkça adlandırmak gerekir.
"WhatsApp uçtan uca şifreli, sorun yok"
WhatsApp görüşme ve mesaj içeriği için uçtan uca şifreleme sunduğunu belirtir. Ancak güvenlik tek başına şifreleme değildir:
- Hizmet sağlayıcının veri akışı, alt işleyenleri ve yurt dışı aktarım mekanizması ayrıca değerlendirilir
- Yedekleme koruması kullanılan ayara ve sürüme bağlı olabilir; varsayım yerine güncel teknik belge kontrol edilir
- Profil resmi, mesaj önizlemeleri ve son görülme bilgileri başka bir metadata katmanı oluşturur
- Klinik tarafta terapist kontrol hissini koruyamaz — bildirimler, başka sohbetler, profil bilgileri seansa sızar
Kısa lojistik iletişimde kullanılsa bile bu kanal aydınlatma, saklama ve cihaz güvenliği politikasına dahil edilmelidir. Seans için uygunluk ise yalnızca “uçtan uca şifreli” etiketinden çıkarılamaz.
"Kayıt almıyorsam KVKK beni bağlamaz"
Bu en sık tekrarlanan yanılgıdır. KVKK kapsamı "kayıt" ile sınırlı değildir. Danışanın adını, telefon numarasını, e-postasını, seans tarihini bir not defterine bile yazsanız, kişisel veri işliyorsunuzdur.
Dolayısıyla "kayıt yok" politikası iyi bir tercihtir; ama tek başına KVKK uyumu sağlamaz. Veri tanımı geniştir: bir takvim girdisi, bir SMS hatırlatma, bir randevu onay e-postası, hepsi kişisel veri sayılır ve hepsinin bir saklama politikası olması beklenir. KVKK uyumlu altyapımızda bu ayrımı temel aldık.
Terapistin pratik kontrol listesi
Online terapinin güvenli yürütülebilmesi için her seans öncesi ve seans sonrası gözden geçirilebilecek pratik bir liste:
- Kullanılan platform uçtan uca şifreli mi?
- Sağlayıcı veri işleyen sözleşmesi sunuyor mu?
- Aydınlatma metnim güncel ve açık rıza metninden ayrı mı?
- Veri aktarımının hukuki sebebini ve varsa yurt dışı aktarım mekanizmasını belgeledim mi?
- Hangi verileri ne kadar süre tuttuğum yazılı mı?
- Danışan ortam güvenliğini biliyor mu — kapı, mikrofon, ekran?
- Kayıt yoksa bu yazılı bir politika olarak duruyor mu?
- "Verilerimi silin" talebi geldiğinde işleyeceğim adımlar belirli mi?
Bu sekiz soruya net cevap verebiliyorsan online terapi pratiğinin üç katmanındaki temel boşlukları görünür hâle getirmiş olursun. Yine de bu liste hukuki danışmanlık veya klinik süpervizyonun yerini tutmaz.
Online terapi güvenli mi sorusuna verilecek en sağlam yanıt, "evet, eğer şifreleme, KVKK ve klinik koşullar birlikte ele alınıyorsa" olur. Tek katmanlı bir güvenlik söylemi, danışan açısından da güven kurmaz. Pratiğini bu üç katmanla birlikte düşünmek istiyorsan KVKK uyumlu altyapımızı inceleyebilirsin.