Hastaneden Ayrılan Doktor Eski Hastaları Arayabilir mi? KVKK 2022/923
Kısa ve net cevap: Hastanede çalışırken sağlık hizmeti ilişkisi kapsamında erişilen hasta telefon numarası, hekimin hastaneden ayrılmasından sonra kişisel veya yeni işyeri tanıtımı amacıyla serbestçe kullanılamaz. Kişisel Verileri Koruma Kurulunun 2022/923 sayılı kararında, sağlık kuruluşundaki çalışma ilişkisi sona erdikten sonra hasta iletişim bilgilerinin kullanılması ve hasta ile doğrudan iletişim kurulması kişisel verilerin amaçla sınırlı işlenmesi, veri güvenliği ve veri sorumluluğu bakımından değerlendirilmiştir. Hastanenin tedavi ve hasta takibi için hukuka uygun şekilde tuttuğu iletişim verisine görev gereği erişmiş olmak, bu veriyi çalışanın veya hekimin kendi bağımsız amacı için kullanma yetkisi vermez. Yeni kullanım için 6698 sayılı Kanun m.4 ve m.5; sağlık verisiyle bağlantı kuruluyorsa m.6; erişim ve yetki yönetimi bakımından m.12 ayrıca uygulanır.
KVKK 2022/923 Kararının Hukuki Önemi
Sağlık kuruluşlarında hekimler ve sağlık çalışanları görevlerini yerine getirirken çok sayıda hasta verisine erişir. Bu erişim, kişisel bir hak değil görev kapsamında tanımlanmış kurumsal yetkidir. Hasta iletişim bilgisinin görülmesi, tedavi notlarına ulaşılması veya randevu sisteminin kullanılması; sağlık hizmetinin yürütülmesi amacıyla sınırlıdır.
2022/923 sayılı Kurul kararı, çalışma veya hizmet ilişkisi sona erdiğinde bu yetkinin devam etmediğini gösteren önemli örneklerden biridir. Eski çalışan, görev sırasında öğrendiği veya sistemden elde ettiği hasta iletişim bilgisini yeni işyerini duyurmak, hastayı kendisine yönlendirmek veya kişisel iletişim kurmak için kullanamaz.
Bu tür olaylarda iki farklı sorumluluk alanı ortaya çıkar. Birincisi, veriyi kendi bağımsız amacı için kullanan eski çalışanın işleme faaliyeti; ikincisi ise hastanenin çalışanların veri erişimini nasıl yönettiği, verinin kopyalanmasını önleyip önlemediği ve işten ayrılışta erişimleri kapatıp kapatmadığıdır.
Kurul yaklaşımı, sağlık kuruluşlarında “çalışan bizim personelimizdi, gördüğü numarayı sonradan ne yaptığı bizi ilgilendirmez” anlayışının güvenli olmadığını ortaya koyar. Veri sorumlusu m.12 kapsamında organizasyonel tedbirleri önceden kurmalıdır.
Hasta Telefon Numarası Kişisel Veri midir?
Evet. Gerçek kişiyle ilişkilendirilen telefon numarası 6698 sayılı Kanun m.3 anlamında kişisel veridir. Numaranın hasta dosyası, randevu kaydı veya belirli tıbbi branş bilgisiyle birlikte tutulması, sağlık durumuna ilişkin ek çıkarımlar doğurabilir.
Telefon numarasının yalnız “iletişim verisi” olması, onu serbestçe kullanılabilir hâle getirmez. Numaranın görüntülenmesi, dışa aktarılması, kişisel telefona kaydedilmesi, WhatsApp mesajı gönderilmesi veya başka bir klinik sistemine aktarılması kişisel veri işleme faaliyetidir.
Hasta, sağlık kuruluşuna telefonunu randevu, tetkik sonucu, tedavi takibi veya acil iletişim için vermiş olabilir. Bu amaçların hiçbiri hekimin ileride başka bir işyerine geçtiğinde hastayı ticari veya kişisel amaçla aramasına otomatik olarak izin vermez.
Özellikle telefon numarası belirli bir tedavi veya branş bilgisiyle birlikte kullanılıyorsa sağlık verisi bağlantısı daha da belirginleşir. Bu nedenle veri seti yalnız “telefon listesi” gibi görülmemelidir.
Hekime Hasta Verisine Erişim Yetkisi Neden Verilir?
Hekim, görevi gereği hastanın tıbbi geçmişine, iletişim bilgilerine ve tedavi kayıtlarına erişebilir. Bu erişimin hukuki amacı hastanın teşhis, tedavi, bakım ve takip hizmetlerinin yürütülmesidir.
Yetkilendirme kişiye değil role bağlı olmalıdır. Bir hekim belirli klinikte çalıştığı için belirli hasta grubuna erişiyorsa, başka bölümdeki veya kendisiyle hiç ilgisi olmayan hastaların bütün kayıtlarını görmemelidir. Asgari yetki ilkesi m.12 kapsamındaki temel güvenlik tedbirlerindendir.
Görev amacı ortadan kalktığında erişim yetkisinin de sona ermesi gerekir. İşten ayrılan hekimin hastane bilgi yönetim sistemindeki hesabı aktif kalmamalı; VPN, e-posta, bulut depolama ve ortak klasör yetkileri aynı gün kapatılmalıdır.
Veri sorumlusu ayrıca görev sırasında toplu hasta listesi indirme, USB’ye aktarma veya kişisel e-postaya gönderme gibi davranışları teknik olarak sınırlandırmalıdır. Aksi hâlde işten ayrılışta hesabı kapatmak geç kalmış bir tedbir olabilir.
Hekim Hastaneden Ayrıldığında Hasta Verisi Kullanımı Ne Olur?
Çalışma ilişkisinin sona ermesi, görev amacıyla verilen erişim yetkisinin de sona ermesini gerektirir. Hekim kendi hasta notlarını mesleki hafızasında taşıyabilir; ancak kurumsal veri tabanındaki kişisel verileri kopyalayıp yeni işyerine götürmek farklı bir hukuki işlemdir.
Hasta numarasının daha önce hekim tarafından görülmüş veya kaydedilmiş olması yeni kullanımın hukuka uygun olduğu anlamına gelmez. KVKK m.4/2-c ve m.4/2-ç uyarınca veri belirli, açık ve meşru amaçla; amaçla bağlantılı, sınırlı ve ölçülü işlenmelidir.
Hastanın hekimle kişisel bir iletişim ilişkisi kurmuş olması da her durumda ticari kullanım izni değildir. Kişisel telefon üzerinden tıbbi bilgi paylaşılması ayrıca sağlık verisi güvenliği ve sır saklama yükümlülüğü doğurur.
Yeni işyerine geçiş sonrası hastaları topluca arama veya mesaj gönderme faaliyeti, iş ilişkisi dönemindeki sağlık hizmeti amacından ayrılan yeni bir amaçtır ve kendi hukuki dayanağını gerektirir.
Eski Hekim Bağımsız Veri Sorumlusu Hâline Gelebilir mi?
Bir kişi, elde ettiği kişisel veriyi kendi adına ve kendi belirlediği amaçla işlemeye başlarsa veri sorumlusu niteliği gündeme gelebilir. Hekim hastaneden ayrıldıktan sonra eski hasta listesini kendi yeni kliniği için kullanıyor, arama zamanını ve içeriğini kendisi belirliyorsa bu faaliyetin amaç ve vasıtalarını bağımsız olarak belirliyor olabilir.
Bu durumda “veriyi bana eski hastane verdi” veya “orada çalışırken öğrendim” savunması yeni işlemenin hukuki sebebi yerine geçmez. Hekim kendi işleme faaliyetinin m.5 veya m.6 şartını göstermek zorundadır.
Ayrıca sır saklama ve meslek etiği yükümlülükleri KVKK’dan bağımsız olarak devam eder. Hasta verisinin kişisel çıkar için kullanılması yalnız veri koruma değil mesleki sorumluluk bakımından da değerlendirme konusu olabilir.
Somut olayda tarafların veri sorumlusu/veri işleyen veya çalışan ilişkisi fiili duruma göre belirlenir. Unvan tek başına belirleyici değildir.
KVKK m.5 Bakımından Yeni Kullanım İçin Hangi Dayanak Gerekir?
Telefon numarasının yeni işyeri tanıtımı veya kişisel iletişim amacıyla kullanılması için 6698 sayılı Kanun m.5’teki işleme şartlarından birinin bulunması gerekir. Hastanede tedavi için mevcut olan sözleşme/hizmet veya hukuki yükümlülük dayanağı, eski hekimin yeni ticari amacı için otomatik olarak devam etmez.
Meşru menfaat m.5/2-f de sınırsız bir pazarlama yetkisi değildir. Veri sorumlusunun meşru menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında denge kurulmalı; kişinin makul beklentisi dikkate alınmalıdır.
Hasta, hastaneye telefonunu sağlık hizmeti almak için verdiğinde bu numaranın yıllar sonra ayrılan doktor tarafından reklam amacıyla kullanılmasını makul olarak beklemeyebilir. Bu beklenti, amaç değişikliğinin hukuka uygunluk analizinde önemlidir.
Açık rızaya dayanılacaksa rızanın belirli, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Geçmişte genel hasta kabul formuna atılan imza, belirsiz gelecekteki yeni işyeri reklamını otomatik kapsamaz.
Hasta Listesi Sağlık Verisi İçeriyorsa Ne Değişir?
Hasta telefon numarası belirli doktor, klinik veya tedavi bilgisiyle birlikte tutuluyorsa kişinin sağlık durumu hakkında çıkarım yapılabilir. Bu durumda m.6 kapsamındaki özel nitelikli kişisel veri hükümleri gündeme gelebilir.
Örneğin yalnız onkoloji bölümünde tedavi gören kişilerin listesi, isim ve telefon dışında açık teşhis yazmasa dahi sağlık durumu hakkında güçlü çıkarım yaratabilir. Benzer durum psikiyatri, tüp bebek, HIV, genetik hastalık veya belirli cerrahi alanlarında daha hassastır.
Bu veri setinin yeni kliniğe aktarılması, hem hukuki sebep hem yurt içi aktarım hem de güvenlik bakımından daha sıkı değerlendirilmelidir. Dosyanın kişisel e-postaya gönderilmesi veya telefonda tutulması m.12 riskini de artırır.
Sağlık verisinin reklam amacıyla kullanımı hakkında KVKK 2023/787 kararına ilişkin yazımızı inceleyebilirsiniz.
Hastanenin KVKK m.12 Kapsamındaki Yükümlülüğü
KVKK m.12 veri sorumlusuna kişisel verilere hukuka aykırı erişimi ve hukuka aykırı işlemeyi önlemek için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Çalışan kaynaklı veri sızıntısı da bu kapsamın içindedir.
Hastane rol bazlı yetkilendirme yapmalı, toplu dışa aktarmayı sınırlandırmalı, erişimleri loglamalı ve olağan dışı sorguları izlemelidir. Hekimin kısa sürede yüzlerce hasta kaydını görüntülemesi veya indirmesi alarm üretmelidir.
İşten ayrılış prosedüründe HBYS, e-posta, VPN, bulut, ortak klasör, uzaktan masaüstü ve fiziksel erişim kartları aynı süreçte kapatılmalıdır. Ayrılan personele zimmetli cihazlardaki kurumsal veriler güvenli şekilde silinmeli veya teslim alınmalıdır.
Personel sözleşmelerinde gizlilik ve amaç dışı kullanım yasağı bulunmalı; çalışanlara düzenli KVKK eğitimi verilmelidir. Ancak sözleşmeye hüküm koymak teknik tedbirlerin yerine geçmez.
Yeni Klinik Tanıtımı İçin Hastalara Mesaj Gönderilebilir mi?
Eski hastalara yeni işyeri adresi, kampanya veya hizmet tanıtımı içeren SMS/WhatsApp göndermek yalnız KVKK bakımından değil 6563 sayılı Kanun ve ticari elektronik ileti kuralları bakımından da değerlendirilir.
Hastane döneminde verilmiş iletişim izni, başka bir veri sorumlusu olan yeni klinik veya bağımsız hekim adına otomatik olarak kullanılamaz. Onayın kime, hangi amaçla ve hangi kanal için verildiği belirleyicidir.
WhatsApp kullanılması da hukuki sonucu değiştirmez. Telefon numarasının uygulamaya yüklenmesi ve mesaj gönderilmesi veri işlemedir. Platformun yurt dışı altyapısı varsa aktarım hükümleri ayrıca gündeme gelir.
İzinsiz ticari ileti kuralları hakkında 6563 sayılı Kanun rehberimizi inceleyebilirsiniz.
Eski Doktordan Mesaj Alan Hasta Hangi Delilleri Saklamalı?
Mesajın ekran görüntüsü, gönderen telefon numarası, tarih-saat, mesaj içeriği ve yeni klinik/işyeri bilgisi saklanmalıdır. Mesajda hastalığa veya geçmiş tedaviye atıf varsa bu bölüm ayrıca önem taşır.
Hasta veri sorumlusuna m.13 kapsamında başvurarak telefon numarasının hangi kaynaktan elde edildiğini, hangi hukuki sebeple işlendiğini, kimlere aktarıldığını ve silme/yok etme şartlarının oluşup oluşmadığını sorabilir.
Eski hastane nezdinde de erişim loglarının incelenmesi, verinin dışa aktarılıp aktarılmadığının araştırılması ve olayın m.12/5 kapsamında veri ihlali niteliği taşıyıp taşımadığının değerlendirilmesi talep edilebilir.
Şikâyetin Kurula taşınması hâlinde m.14’teki süreler gözetilmelidir. Ticari ileti yönünden ayrıca ilgili idari şikâyet mekanizmaları gündeme gelebilir.
Hastaneler İçin İşten Ayrılma Kontrol Listesi
1. Erişim kapatma: Ayrılık tarihi belli olur olmaz bütün dijital ve fiziksel hesaplar merkezi listeden kapatılmalıdır.
2. Toplu erişim kontrolü: Ayrılıktan önceki dönemde olağan dışı hasta sorguları ve dışa aktarmalar gözden geçirilmelidir.
3. Cihaz teslimi: Kurumsal telefon, bilgisayar ve taşınabilir medya teslim alınmalı; kişisel cihazda kurumsal veri bulunup bulunmadığı BYOD politikası kapsamında kontrol edilmelidir.
4. Gizlilik hatırlatması: Ayrılan personele sır saklama ve kişisel veri yükümlülüklerinin iş ilişkisi bittikten sonra da devam ettiği yazılı olarak hatırlatılmalıdır.
5. Hasta iletişimi: Hekim değişikliği nedeniyle hastaya hizmet devamlılığı için bilgi verilecekse iletişim hastane tarafından, kendi hukuki sebebi ve aydınlatma yükümlülüğü çerçevesinde yapılmalıdır.
6. Olay müdahalesi: Eski çalışanın hasta verisini kullandığı öğrenildiğinde erişim logları korunmalı, kapsam araştırılmalı ve gerekiyorsa veri ihlali süreci işletilmelidir.
Sık Yapılan Hatalar
- Hekimin gördüğü hasta numarasını kişisel çevresi saymak: Erişim görev amacıyla verilmiştir.
- İşten ayrılırken yalnız e-posta hesabını kapatmak: HBYS, VPN, bulut ve fiziksel erişimler birlikte yönetilmelidir.
- Eski hasta listesini yeni kliniğe taşımak: Yeni amaç ve yeni veri sorumlusu bakımından ayrıca hukuki dayanak gerekir.
- Telefon numarasını sağlık verisinden bağımsız görmek: Branş veya tedavi bağlamı özel nitelikli veri çıkarımı yaratabilir.
- 6563 onayını yeni veri sorumlusuna aktarılmış saymak: Ticari ileti onayı kime ve hangi amaçla verildiğine göre değerlendirilir.
- Çalışan kaynaklı ihlali m.12 dışında görmek: İç tehditler de veri güvenliği kapsamındadır.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurumu – Kurul kararları
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.4, m.5, m.6, m.11, m.12, m.13
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
Sık Sorulan Sorular
1. Doktor eski hastasını yeni kliniğine çağırabilir mi?
Hastane görevinde elde edilen telefon numarasını yeni klinik amacıyla kullanmak ayrıca hukuki dayanak gerektirir; görev erişimi bu amacı kapsamaz.
2. Hasta telefon numarası kişisel veri midir?
Evet.
3. Hekim numarayı kendi telefonuna kaydetmişse kullanabilir mi?
Numaranın kişisel cihaza kaydedilmiş olması yeni kullanım için hukuki sebep oluşturmaz.
4. Eski hasta listesi sağlık verisi sayılır mı?
Liste belirli tedavi veya branş bilgisiyle ilişkilendiriliyorsa sağlık durumu hakkında çıkarım doğurabilir ve m.6 gündeme gelebilir.
5. Hastane ayrılan doktorun erişimini ne zaman kapatmalı?
Görev ilişkisi sona erdiğinde gecikmeden kapatmalıdır.
6. Yeni işyeri için WhatsApp mesajı gönderilebilir mi?
KVKK ve 6563 kapsamında uygun hukuki dayanak/onay bulunmadan eski hasta verisine dayanarak gönderim yapılmamalıdır.
7. Hasta m.11 kapsamında verinin kaynağını sorabilir mi?
Evet; işlenen veriler, amaç, aktarım ve şartları varsa silme/yok etme konularında başvuru yapabilir.
8. Hastane “çalışan kendisi yaptı” diyerek sorumluluktan çıkar mı?
Otomatik olarak hayır. Hastanenin m.12 kapsamında yetki, loglama, eğitim ve ayrılış kontrolleri incelenir.
9. Hekim hastaya yalnız yeni adresini bildirirse sonuç değişir mi?
İçerik kadar telefon numarasının hangi hukuki sebeple elde edildiği ve yeni amaçla kullanıldığı da önemlidir.
10. Sağlık kuruluşu ayrılan hekim hakkında hastalara bilgi verebilir mi?
Hizmet devamlılığı bakımından gerekli bilgilendirme, hastanenin kendi hukuki sebebi ve amaçla sınırlılık ilkesi çerçevesinde yapılabilir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
