Diş Kliniğinde KVKK Uyumu: 2026 İçin Pratik Rehber

KVKK (Kişisel Verilerin Korunması Kanunu) 2016'dan beri yürürlükte ama Kurum'un denetim sıklığı son iki yılda belirgin şekilde arttı. Diş klinikleri ise yoğun kişisel ve sağlık verisi işleyen yapılar olarak risk altında. Bu yazıda 2026 itibarıyla bir diş kliniğinin KVKK uyumu için yapması gereken minimum pratik adımları paylaşıyoruz.

1. Veri Envanteri

Klinikte hangi verileri, hangi amaçla, ne kadar süreyle, kimlerle paylaşıp işlediğinizi yazılı şekilde belgelemelisiniz. Tipik kalemler:

Kimlik bilgileri (TCKN, ad, soyad, doğum tarihi)
İletişim (telefon, e-posta, adres)
Sağlık verisi (anamnez, tedavi geçmişi, radyolojik görüntüler)
Finansal (ödeme bilgileri, fatura)
Görsel veri (klinik içi fotoğraf, pano kayıtları)

Her veri tipi için işleme amacı, hukuki dayanak (sözleşme, açık rıza, kanuni yükümlülük), saklama süresi ve imha yöntemi tanımlanmalı.

2. Aydınlatma Metni

Hasta ilk geldiğinde KVKK aydınlatma metnini sunmak yasal zorunluluk. Metin asgari olarak şunları içermeli:

Veri sorumlusu kimliği
Hangi verilerin, hangi amaçla işleneceği
Verilerin kimlerle paylaşılacağı (laboratuvar, bulut yedekleme servisi, vb.)
Saklama süresi
Hastanın KVKK 11. madde hakları (silme, düzeltme, itiraz)

Şablon hazır bir aydınlatma metnini bekleme alanında masada — ayrıca dijital olarak hasta kartında — tutmak iki açıdan koruyucu: hem fiziksel kaybolma riskini ortadan kaldırır, hem denetimde kanıt sağlar.

3. Açık Rıza Ayrımı

Aydınlatma ile açık rıza farklı kavramlar. Tedavi için zorunlu olan veri işleme sözleşmenin ifası hukuki dayanağıyla rıza gerektirmeden yapılabilir. Ancak şu durumlar ayrı açık rıza ister:

Pazarlama amaçlı SMS/e-posta gönderimi (ticari ileti)
Hastanın görsel verisinin (öncesi/sonrası fotoğraf) sosyal medyada paylaşılması
Sağlık verisinin tedavi amacı dışında akademik çalışma için işlenmesi

Açık rıza özgür iradeye dayalı, açıklanmış ve belirli bir konuya yönelik olmalı. "Genel onay kutusu" geçersiz sayılır.

4. Veri Saklama ve İmha Politikası

Sağlık mevzuatı diş hekimliğinde tedavi kayıtlarını 20 yıl saklamayı zorunlu kılar. Ancak bu sürenin sonunda (veya hasta KVKK 11/d-e maddesi kapsamında silme talep ederse) verileri gerçekten silmek gerekir. Yedek dosyalardan, eski sürücülerden, yazılım dışı dökümlerden de.

Politikanız şunları belgelemeli:

Periyodik imha takvimi (örn. her yılın Aralık ayı)
İmha yöntemi (yazılım üzerinden silme, fiziksel disk parçalama)
İmha tutanakları

5. Personel Eğitimi

KVKK uyumu sadece yöneticinin değil, kliniği işleten herkesin sorumluluğu. Resepsiyon, hemşire, asistan, hekim — hepsinin temel eğitimi alıp imza sirküleri tutmalı. Eğitim içeriği yıllık güncellenir.

6. Yazılım Tarafı

Hasta verisini tutan klinik yönetim yazılımının da KVKK uyumlu olması şart. Aramanız gereken özellikler:

Şifreleme (at-rest ve transit)
Klinik bazlı izolasyon (multi-tenant SaaS'larda her kliniğin verisi başka klinikten ayrı tutulmalı)
Rol bazlı erişim kontrolü (resepsiyonist tedavi notunu görmemeli)
Audit log (kim, ne zaman, hangi veriye erişti)
Veri silme akışı (hasta KVKK 11 talebi gelince teknik olarak silebilmeniz gerekir)

NetKlinik bu özellikleri mimari düzeyde sağlar; detaylar için güvenlik sayfamıza bakabilirsiniz.

7. Veri İşleme Sözleşmesi (DPA)

Eğer veri işlemeyi bir üçüncü tarafa (bulut yazılım sağlayıcı, yedekleme servisi) bırakıyorsanız, onlarla veri işleyen sözleşmesi (DPA) imzalamalısınız. Bu sözleşme tarafların sorumluluklarını netleştirir. NetKlinik kullanan klinikler için hazır DPA şablonumuz var.

Özet kontrol listesi

Veri envanteri yazılı
Aydınlatma metni hazırlandı, dijital + fiziksel sunuluyor
Açık rıza formları kategorize edildi
Saklama / imha politikası dökümante
Personel KVKK eğitimi alındı
Yazılım altyapısı şifreleme + audit + role kontrolü destekliyor
DPA imzalandı (üçüncü taraflarla)

Sonraki yazımızda hasta aydınlatma metninin diş kliniğine özel şablonu üzerinde durum analizi yapacağız.