Psikologlar İçin KVKK Neden Özel Bir Yükümlülük?
Bir psikolog olarak danışanlarınızla ilgili kaydettiğiniz her bilgi — isim, iletişim, seans notları, tanı düşünceleri, tedavi planı — kişisel veri kategorisindedir. Ruh sağlığı verileri bunun da ötesinde özel nitelikli kişisel veri olarak sınıflandırılır.
KVKK Madde 6, sağlık verilerinin işlenmesini sınırlı durumlarda mümkün kılar. Pratikte en sık dayanaklar şunlardır:
- Açık rıza — danışanın belirli bir konuya ilişkin, bilgilendirilmiş ve özgür iradesiyle verdiği onay
- Kanunda sayılan diğer şartlar — örneğin sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis ve tedavi amacıyla işleme
Hangi dayanağa dayandığınızı belirlemek ve belgelemek veri sorumlusu olarak sizin işinizdir; emin değilseniz bir hukukçuya danışın.
Pratik Sorun: Excel, WhatsApp ve Kağıt Dosyalar
Türkiye'deki birçok solo psikolog ve küçük klinik hâlâ şu araçlarla danışan takibi yapıyor:
- Excel tabloları — çoğu zaman şifresiz, erişim kontrolü yok, paylaşılan bilgisayarda açık
- WhatsApp yazışmaları — seans notlarının mesaj geçmişinde kaybolması
- Kağıt dosyalar — fiziksel güvenlik sorunu, yedek yok, deprem/su baskını riski
- Genel amaçlı bulut klasörleri — veriler çoğu zaman yurt dışında ve erişim izlenmeden tutulur
Bu yöntemlerle KVKK'nın beklediği teknik ve idari tedbirleri belgelemek zordur. Aşağıdaki tablo, aynı gereksinimlerin ClientFlow'da bugün nasıl karşılandığını gösterir:
| Gereksinim | Dağınık araçlar | ClientFlow'da bugün |
|---|---|---|
| Şifreleme | Genellikle yok | Not başlığı ve metni AES-256-GCM ile şifreli; diğer alanlar ayrıca şifrelenmez; bağlantılar TLS 1.3 |
| Erişim kontrolü | Genellikle yok | Her hesap yalnızca kendi verisini görür; Takım planında rol izinleri ve yalnızca yazanın görebildiği notlar |
| Değişiklik kaydı | Yok | Kayıt değişiklikleri sonradan değiştirilemeyen denetim kaydına yazılır; ekip etkinlik kaydı Takım planında |
| Yedekleme | Manuel | Her gece şifreli yedek |
| Silme | Manuel arama | Silinen kayıt, Veri Saklama süresi dolunca kalıcı silinir |
| Taşınabilirlik | Zor | Hesabınızdaki tüm veriler makine tarafından okunabilir biçimde dışa aktarılabilir |
KVKK'ya Uygun Danışan Takibinde 5 Temel Adım
1. Aydınlatma Metni Hazırlayın
Danışanınıza ilk seanstan önce yazılı olarak şunları bildirmeniz gerekir:
- Hangi verilerini, hangi amaçla topladığınız
- Verilerin nerede ve nasıl saklanacağı
- Verilerin kiminle paylaşılacağı (ClientFlow gibi yazılım sağlayıcıları ve onların alt işleyicileri dahil)
- Saklama süresi
- Danışanın hakları (erişim, düzeltme, silme, itiraz)
ClientFlow'un başvuru formlarında hazır bir aydınlatma metni yoktur. Kendi metninizi (Başlangıç ve üstü planlarda) başvuru formuna bir Paragraf alanı olarak eklersiniz. ClientFlow'un uygulaması ve veritabanı Almanya'da barındırılır; e-posta gönderimi ve yapay zekâ gibi bazı alt işleyiciler AB dışındadır. Güncel listeyi alt işleyiciler sayfasında bulabilir, aydınlatma metninize yansıtabilirsiniz.
2. Açık Rıza Alın
Özel nitelikli kişisel veri için açık ve belirli rıza alınmalıdır. Genel bir "tüm verilerimi işleyebilirsiniz" ifadesi yeterli değildir. Rıza:
- Belirli bir amaç için olmalı
- Bilgilendirmeye dayalı olmalı
- Özgür iradeyle verilmeli
- Yazılı veya dijital imza ile belgelenmeli
ClientFlow'da bunu başvuru formuna ekleyeceğiniz bir Onay Kutusu ve İmza alanıyla yaparsınız; gönderimin tarihi, formun sürümü ve gönderenin IP adresi kaydedilir. Uygulamada ayrı bir sağlık verisi onam adımı yoktur. Form ayarlarındaki "İmza zorunlu" seçeneği tek başına imza istemez; İmza alanını forma kendiniz ekleyip zorunlu yaparsınız.
3. Verileri Uygun Tedbirlerle Saklayın
KVKK Madde 12, veri sorumlusunun "uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak" zorunda olduğunu belirtir. Pratikte şunlara bakın:
- Durağan veri şifreleme — hangi alanların şifreli, hangilerinin şifresiz saklandığını bilin
- İletim şifreleme (TLS) — veri transferi sırasında şifreleme
- Erişim kontrolü — kimin hangi danışana ve nota erişebildiği
- Değişiklik kaydı — kimin, ne zaman, neyi değiştirdiği
ClientFlow'da not başlığı ve metni alan bazında şifrelenir. Başvuru formu yanıtları, imzalar, danışan kartındaki alanlar (ad, telefon, e-posta ve sağlık alanları dahil) ve yüklenen dosyalar uygulama katmanında ayrıca şifrelenmez; dosyalar depolama sağlayıcımız tarafından şifreli tutulur. Takım planında ekip üyeleri tüm danışanları görür; bir notun yalnızca sizin tarafınızdan görülmesi için onu "Sadece ben" olarak kaydedersiniz.
Yapay zekâ özetine dikkat: Pro ve Takım planlarında her yeni başvuru için yapay zekâ özeti varsayılan olarak açıktır ve yanıtlar AB dışındaki bir yapay zekâ sağlayıcısına gönderilir. Terapi başvuru formunda ruh sağlığı öyküsü gibi hassas sorular varsa, bu özelliği formun ayarlarından kapatın ya da aydınlatma metninizde açıkça belirtin.
4. Veri İhlali Bildirim Planı Oluşturun
KVKK Madde 12/5 ihlalin en kısa sürede Kurul'a bildirilmesini ister; Kurul bu süreyi kararıyla 72 saat olarak yorumlamaktadır. Bir planınız olmalı:
- İhlali tespit mekanizması
- Bildirim şablonu (Kurul formatına uygun)
- Danışanlara bilgilendirme prosedürü
5. Silme ve Taşınabilirlik Haklarına Hazırlıklı Olun
Danışanınız istediğinde:
- Verilerinin silinmesini talep edebilir
- Verilerinin kopyasını isteyebilir
- Verilerinin düzeltilmesini talep edebilir
Bu taleplere en geç 30 gün içinde yanıt vermeniz gerekir. ClientFlow'da bir danışanı sildiğinizde kayıt önce silinmiş olarak işaretlenir ve ayarlardaki Veri Saklama süresi (varsayılan 1 yıl) dolunca kalıcı olarak silinir; tek tıkla anında kalıcı silme yoktur. Tek bir danışanın verilerini dışa aktarmak için ayrı bir düğme yoktur; danışanın notlarını seçip CSV olarak indirebilir, danışan listesini dışa aktarabilirsiniz.
ClientFlow Bugün Ne Yapar, Ne Yapmaz?
Yapar:
- Not başlığı ve metnini AES-256-GCM ile şifreler; bağlantıları TLS 1.3 ile korur
- Her hesabın verisini ayrı tutar; Takım planında rol izinleri sunar
- Kayıt değişikliklerini sonradan değiştirilemeyen bir denetim kaydına yazar
- Her gece şifreli yedek alır; uygulama ve veritabanı Almanya'da barındırılır
- Hesabınızdaki tüm verileri makine tarafından okunabilir biçimde dışa aktarmanıza izin verir
Yapmaz:
- "KVKK uyumlu" olduğunu iddia etmez; uyum sizin süreçlerinizle sağlanır
- Hazır aydınlatma metni veya sağlık verisi açık rıza adımı sunmaz
- Başvuru formu yanıtlarını, imzaları ve danışan kartındaki alanları ayrıca şifrelemez
- Tek bir danışan için tek tıkla anında kalıcı silme veya ayrı veri dışa aktarma düğmesi sunmaz
KVKK'ya uyum bir tercih değil, yasal bir zorunluluktur. Doğru aracı seçmek işin bir parçasıdır; hangi verinin nerede ve nasıl tutulduğunu bilmek ve danışanınıza doğru anlatmak ise sizin sorumluluğunuzdadır.
ClientFlow'un psikologlar için sunduğu özellikleri görmek için psikolog çözüm sayfamızı ziyaret edin.