Diyetisyenler için KVKK: Danışan verisini nasıl korumalısın?

Diyetisyen olarak tuttuğun bilgilerin büyük kısmı sıradan bir müşteri kaydı değildir. Danışanın kilosu, vücut analizi, kullandığı ilaçlar, alerjileri ve kronik hastalıkları sağlık verisidir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında özel nitelikli kişisel veri sayılır. Bu yazıda bu verileri işlerken dikkat etmen gereken temel başlıkları sade bir dille özetledik.

Hangi veriler "özel nitelikli"?

KVKK'nın 6. maddesi sağlık verilerini özel nitelikli kişisel veriler arasında sayar. Diyetisyenlik pratiğinde bunlara örnek:

• Kilo, boy ve vücut analizi sonuçları (yağ oranı, iç yağlanma vb.)
• Hastalık, ilaç, alerji ve intolerans bilgileri
• Kan tahlili sonuçları
• Gebelik ve emzirme durumu
• Beslenme alışkanlıklarına dair notların sağlıkla ilgili kısımları

Ad, telefon ve e-posta gibi kimlik ve iletişim bilgileri ise genel kişisel veridir; ama sağlık verisiyle aynı kayıtta tutulduklarında birlikte korunmaları gerekir.

Aydınlatma yükümlülüğü

Veri sorumlusu olarak, danışandan veri toplarken onu bilgilendirmen gerekir (KVKK m. 10). Aydınlatma metninde temel olarak şunlar yer alır:

1. Verileri kimin (veri sorumlusunun) işlediği
2. Hangi amaçlarla işlendiği
3. Kimlere ve hangi amaçla aktarılabileceği
4. Toplama yöntemi ve hukuki sebebi
5. Danışanın KVKK m. 11 kapsamındaki hakları (bilgi talep etme, düzeltme, silme vb.)

Aydınlatma metni, danışanın "okudum" demesiyle sınırlı bir formalite değildir; sade, anlaşılır ve gerçekte yaptığın işlemle uyumlu olmalıdır.

Açık rıza

Özel nitelikli verilerin hangi şartlarda işlenebileceği KVKK'nın 6. maddesinde sayılmıştır. Uygulamada diyetisyenlerin büyük kısmı sağlık verisi için danışandan açık rıza alır. Açık rızanın geçerli olması için:

• Belirli bir konuya ilişkin olmalı (genel, her şeyi kapsayan bir onay değil)
• Bilgilendirmeye dayalı olmalı (aydınlatma metniyle birlikte)
• Özgür iradeyle verilmeli (hizmetin ön şartı gibi dayatılmamalı)

Açık rızanın aydınlatma metninden ayrı alınması ve hangi tarihte, hangi metin sürümüne verildiğinin kayıt altında tutulması önerilir.

Veri güvenliği: teknik ve idari tedbirler

KVKK m. 12, veri sorumlusuna verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlama yükümlülüğü getirir. Küçük bir pratik için bile uygulanabilir tedbirler:

• Erişim kontrolü: Danışan dosyalarına yalnızca yetkili kişiler erişebilmeli; ortak bilgisayarda şifresiz klasör kullanılmamalı.
• Güçlü parola ve iki adımlı doğrulama: E-posta ve kullandığın yazılımlar için.
• Cihaz güvenliği: Telefon ve bilgisayarda ekran kilidi, güncel işletim sistemi.
• Fotoğrafların korunması: Öğün ve vücut fotoğrafları herkese açık bağlantılarla paylaşılmamalı.
• Saklama süresi: Verileri amacın gerektirdiğinden uzun süre tutmamak ve silme/anonimleştirme sürecini tanımlamak.

WhatsApp ile danışan takibi neden riskli?

WhatsApp yaygın ve pratik, ama sağlık verisi açısından bazı soru işaretleri doğurur:

• Fotoğraflar ve mesajlar kişisel telefonunun galerisine ve yedeklerine karışır; bulut yedeklemesi açıksa yurt dışındaki sunuculara gidebilir. Yurt dışına aktarım KVKK m. 9'da ayrıca düzenlenmiştir.
• Telefonun kaybolması veya başkasının eline geçmesi, tüm danışan geçmişinin açığa çıkması demektir.
• Danışan "verilerimi silin" dediğinde, sohbet geçmişindeki her şeyi gerçekten silmek pratikte zordur.
• Mesai dışı iletişimin sınırlarını korumak güçleşir.

Bu, WhatsApp'ı hiç kullanmamak gerektiği anlamına gelmez; ama sağlık verisinin ana deposu olmamalıdır.

Danışanın hakları

Danışan, KVKK m. 11 kapsamında verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklara sahiptir. Bu taleplere yanıt verebilmek için:

• Danışana ait verilerin nerede durduğunu bilmelisin.
• Verileri dışa aktarabilmeli (danışan isterse kendisine verebilmeli) ve
• Silme talebini kayıt altına alarak uygulayabilmelisin.

DiyetLink'te bu konular nasıl ele alınıyor?

DiyetLink, danışan kayıt olurken aydınlatma metnini gösterir ve sağlık verisi için ayrı bir açık rıza alır; rızanın tarihi kaydedilir. Öğün fotoğrafları herkese açık olmayan bir depoda tutulur ve yalnızca süreli bağlantılarla gösterilir. Her diyetisyen yalnızca kendi danışanlarını görebilir; bu ayrım veritabanı seviyesinde uygulanır. Özel notlarını danışan da sistem yöneticisi de göremez. Danışan verilerini uygulamadan indirebilir ve hesap silme talebi gönderebilir.

Yazılım ne kadar güvenli olursa olsun, veri sorumlusu olarak yükümlülükler sende kalır; aydınlatma ve rıza metinlerini kendi pratiğine göre bir hukukçuyla gözden geçirmeni öneririz.