KVKK Uyum Paketi (Sahip, Hasta, Kamera Verisi)

Bu paket, kişisel veri işleyen her veteriner işletmesi için geçerlidir; zira KVKK yükümlülükleri işletme büyüklüğünden bağımsız olarak uygulanır. Hasta sahibinden ad ve telefon numarası almak bile bir veri işleme faaliyetidir ve aydınlatma yükümlülüğü doğurur.

• Tek hekimli mahalle klinikleri: Hasta sahibi ad-soyad, telefon, e-posta ve hayvan bilgisi işliyor olsanız bile aydınlatma ve rıza yükümlülükleri doğar. "Biz küçük işletmeyiz" gerekçesi KVKK kapsamında geçerli bir muafiyet değildir; Kurul denetimleri ölçek gözetmeksizin yapılabilir.
• Çok şubeli hayvan hastaneleri: Merkezi hasta kayıt sistemi, şubeler arası veri transferi ve farklı lokasyonlardaki kamera sistemleri ayrı ayrı değerlendirilmesi gereken konulardır. Her şubenin kendi veri işleme süreci haritalanmalıdır.
• Pet shop ve zincir klinik grupları: Sadakat kartı, online randevu, e-posta bülteni veya SMS hatırlatma gibi uygulamalar ek kişisel veri işleme faaliyeti doğurur. Her yeni kanal ayrıca belgelenmesi gereken bir veri akışı yaratır.
• Online randevu ve telemedicine hizmeti sunan klinikler: Dijital ortamda toplanan veriler, özellikle hayvan sağlık durumuna ilişkin bilgiler, KVKK kapsamında özel nitelikli veriye yakın hassasiyet taşıyabilir. Bu durum ek dikkat ve belgeleme gerektirir.
• Çalışan verisi yöneten klinikler: Personel dosyaları, bordro kayıtları ve işe alım verileri de KVKK kapsamındadır. Çalışan aydınlatma metni ve rıza formları bu paket kapsamında hazırlanır.
• Denetim veya müşteri şikayetiyle karşılaşmış klinikler: Geçmişte KVKK kaynaklı bir şikayet veya idari işlemle karşılaşıldıysa, mevcut uyum durumunu bağımsız gözden geçirmek ve eksikleri belgelemek özel önem taşır.

Paketi KVKK ile ilk kez yüzleşen klinikler için sıfırdan bir başlangıç noktası, mevcut belgelerini güncellemek isteyen işletmeler için ise kapsamlı bir denetim ve revizyon aracı olarak kullanabilirsiniz.

Önemli not: Bu paket hukuki danışmanlık veya avukatlık hizmeti değildir. Nihai yasal sorumluluk ve uyumluluk kararları veri sorumlusu sıfatıyla klinik işletmesine aittir. Karmaşık hukuki sorular için bir hukuk danışmanına veya veri koruma uzmanına (DPO) başvurmanız önerilir.

Web sitesi veya online form uzerinden kisisel veri toplayan klinikler icin cevrimici aydinlatma metni ve gizlilik politikasi hazirlanmasi da bu paketin kapsamina girer. Klinik web sitenizdeki iletisim formu, randevu modulu veya bulten aboneligi hepsi ayri birer veri isleme faaliyetidir. Her yeni dijital kanal ayrica belgelenmesi gereken bir veri akisi yaratir. Bu paketle klinik dijital varliginin tamami uyum altina alinir.

Veteriner klinikleri, farkında olmadan pek çok KVKK ihlal riskini bir arada taşır. Hasta sahibinin ad-soyadı, telefon numarası ve adresi; hayvanın sağlık geçmişi ve tedavi kayıtları; klinik içini kapsayan güvenlik kameraları. Bu üç veri grubu birbirinden farklı kurallara tabidir ve çoğu klinik bu farkın bilincinde değildir.

Sorun yalnızca ceza riski değildir. Müşteri güveni de doğrudan etkilenir. Hasta sahibi, hayvanının tıbbi kayıtlarının nasıl saklandığını ve kimlerle paylaşıldığını sorduğunda net bir cevap verilememesi kliniklerin itibarını uzun vadede zedeler. Giderek bilinçlenen bir müşteri kitlesinin KVKK haklarını kullanmaya başlaması yalnızca zaman meselesidir.

Öte yandan KVKK yükümlülükleri statik değildir. Kurul kararları, yönetmelik güncellemeleri ve emsal davalar mevzuatı sürekli şekillendirir. Bu paket, başlangıç uyumunu sağlamanın ötesinde güncel kalmanın altyapısını da kurar; belge şablonları klinik gerçekliğine dayalı olduğu için güncellenmesi de kolaylaşır.

Özet: "Hangi verileri işliyoruz, hangi belgeler eksik, hangi riskleri taşıyoruz ve ne yapmalıyız?" sorularına belgelenmiş, uygulanabilir yanıtlar üretmek bu paketin temel çıktısıdır.

Bir diger kritik sorun da veri ihlali hazirliksizligidir. KVKK bir ihlal tespitinden itibaren 72 saat icinde Kurul bildirimi sart kosar. Kliniklerin buyuk cogunlugunun ne ihlal tespit proseduru ne bildirim sablonu vardir. Ihlal gerceklestiginde panikle hareket edilir; bildirim suresi kacabilir ve ek yaptirim riski dogabilir. Hazirlikli olmak yalnizca ihlali onlemeyi degil, ihlal durumunda nasil davranilacagini da bilmeyi kapsar. Bu paket bu bosluklari da kapatir.

Paket, klinik gerçekliğini anlamakla başlar ve uygulanabilir belgelerle tamamlanır. Her aşama klinik yetkilileriyle işbirliği içinde yürütülür; standart şablon kopyalamak yerine kliniğe özgü bir yapı inşa edilir.

1. Keşif ve Veri İşleme Envanteri Görüşmesi

Klinik yetkilileriyle yapılan yapılandırılmış görüşmede şu sorular yanıtlanır: Hangi yazılım sistemleri kullanılıyor? Hasta kayıtları nerede ve nasıl tutuluyor? Hangi kanallardan kişisel veri toplanıyor — yüz yüze form, telefon, online randevu, web sitesi? Kaç kamera var ve görüntüler kaç gün saklanıyor? Üçüncü taraflarla — laboratuvar, sigorta, ilaç firması — veri paylaşılıyor mu? Bu görüşme belge hazırlamanın temelini oluşturur; eksik veya yanlış başlarsa çıktılar da hatalı olur.

2. Veri Envanteri ve Haritalama

Görüşme bulgularına dayalı olarak klinik için veri envanteri taslağı hazırlanır. Veri kategorisi, işleme amacı, hukuki dayanak, saklama süresi ve alıcı grupları tablolanır. Bu tablo hem iç kontrol hem de olası denetimde başvuru belgesi işlevi görür. VERBİS bildirimi yükümlüsü kliniklerde bu tablo kayıt girişleri için de rehber niteliği taşır.

3. Aydınlatma Metinleri Hazırlama

Hasta sahibi aydınlatma metni, çalışan aydınlatma metni ve kamera sistemi aydınlatma metni (levha) ayrı ayrı hazırlanır. Her metin kliniğin gerçek veri işleme faaliyetlerine dayandırılır; genel internet şablonu kopyalanmaz. Metinler sade ve anlaşılır Türkçe ile yazılır; hukuki jargon minimumda tutulur çünkü müşterinin metni okuması ve anlaması aydınlatma yükümlülüğünün özüdür.

4. Açık Rıza Formları

Hastalara ve sahiplerine sunulmak üzere genel işleme rızası, pazarlama iletişimi rızası ve üçüncü taraf paylaşım rızası için ayrı form şablonları hazırlanır. Rıza formlarında önceden işaretlenmiş onay kutusu, zorunlu rıza veya paket rıza gibi geçersizlik yaratan unsurlar kullanılmaz. Formlar hem basılı kullanım hem dijital form entegrasyonu için biçimlendirilir.

5. Saklama ve İmha Planı

Her veri kategorisi için saklama süresi tablosu oluşturulur ve imha yöntemi — dijital silme, güvenli silme, fiziksel imha — belirlenir. Periyodik imha için takvim ve kontrol listesi hazırlanır. Bu plan, veri birikimini önler ve denetimde uyum kanıtı sağlar.

6. Ekip Bilgilendirme Oturumu

Klinik personeline yönelik kısa ve pratik bilgilendirme oturumu düzenlenir — uzaktan video konferans ya da yerinde. Günlük işleyişte nelere dikkat edilmesi gerektiği somut örneklerle aktarılır: yeni müşteri formunu nasıl dolduracaksınız, kamera görüntüsü talep gelirse ne yapacaksınız, veri ihlali şüphesi oluşursa kime bildireceksiniz. Katılım kaydı tutulur.

Uyum sürecinin kendisi de güvenli yürütülmelidir; keşif görüşmesinde paylaşılan klinik bilgileri ve taslak belgeler hassas nitelik taşır. Aşağıdaki ilkeler proje boyunca uygulanır:

• Gizlilik sözleşmesi (NDA): Proje başlangıcında imzalanan gizlilik sözleşmesi, keşif sürecinde öğrenilen tüm klinik iç bilgileri ve belge taslakları için geçerlidir. Hiçbir bilgi üçüncü taraflarla paylaşılmaz.
• Güvenli belge aktarımı: Hazırlanan belgeler şifreli kanal veya güvenli dosya paylaşım linki üzerinden iletilir. Açık e-posta eki tercih edilmez.
• Güncellik takibi: KVKK Kurul kararları, yönetmelik değişiklikleri ve önemli emsal kararlar izlenir. Belgeleri doğrudan etkileyen kritik değişikliklerde klinik bilgilendirilir ve güncelleme önerilir.
• Kapsam sınırı — teknik güvenlik: Bu paket teknik siber güvenlik denetimi, yazılım zafiyet taraması veya ağ sızma testi içermez. Teknik güvenlik ihtiyacı için Klinik Siber Güvenlik paketi ayrıca değerlendirilmelidir.
• Hukuki sınır: Hazırlanan belgeler hukuki danışmanlık değildir. Yasal garanti verilmez. KVKK uyumu ile ilgili spesifik hukuki sorular ve olası ihtilaflarda bir avukat veya sertifikalı veri koruma uzmanına başvurulması şiddetle önerilir.
• Süreklilik: Uyum tek seferlik bir proje değil, süregelen bir yükümlülüktür. Paket tamamlandıktan sonra yeni hizmet kanalları açıldığında, yazılım değiştirildiğinde veya personel devri yaşandığında belgelerin güncellenmesi klinik sorumluluğundadır. Düzenli gözden geçirme için yıllık bakım anlaşması ayrıca sunulabilir.

Paket tesliminin ardından klinik, belgelerin güncel tutulmasından, çalışanların kurallara uymasından ve olası veri ihlallerinin zamanında Kurul'a bildirilmesinden bizzat sorumludur. Bu paket o sorumluluğu devretmez; üstlenebilmeniz için gereken altyapıyı kurar.

Uyum altyapisi kurulduktan sonra kliniklerin bunu suregelen bir yonetim sureci olarak benimsemesi kritik oneme sahiptir. Yeni calisanda, yeni hizmet kanalinda veya yazilim degisiminde belgeler guncellenmeli dir. Bu kulturu yerlestirmek icin proje sonunda klinik icin basit bir ic kontrol takvimi hazirlaniyor; hangi ayda nelerin kontrol edilecegi ozetlenir. Yillik gozden gecirme hem uyum hem de musteri guveni acisindan surdurulebilir bir isletme pratigi olusturur.