Psikologlar ve Terapi Merkezleri İçin KVKK, Mahremiyet ve Veri Güvenliği Rehberi

Bir danışanın terapi odasında paylaştığı her cümle, Türkiye'deki veri koruma mevzuatı açısından en hassas kategoriye girer. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), sağlık verilerini "özel nitelikli kişisel veri" olarak sınıflandırır ve bu verilerin işlenmesini sıkı şartlara bağlar. Psikologlar, klinik psikologlar, psikiyatristler, psikolojik danışmanlar ve aile danışmanları için mesele yalnızca yasal bir yükümlülük değildir; mahremiyet, terapötik ilişkinin temelidir. Danışan, söylediklerinin korunacağından emin olmadığında kendini açmaz, açmadığında da süreç ilerlemez.

Bu rehberde bağımsız çalışan bir uzmandan çok şubeli bir terapi merkezine kadar her ölçekte uygulanabilecek KVKK uyum adımlarını, sahada sık karşılaşılan hataları ve dijital bir klinik yönetim sisteminde aranması gereken güvenlik özelliklerini ele alıyoruz. Yazı hukuki danışmanlık yerine geçmez; kendi yapınıza özgü kararlar için bir veri koruma hukukçusundan destek almanızı öneririz.

Psikoterapi pratiğinde hangi kişisel veriler işlenir?

KVKK uyumunun ilk adımı, elinizde hangi verilerin bulunduğunu dürüstçe listelemektir. Pek çok klinik, yalnızca seans notlarını hassas veri olarak düşünür; oysa randevu kaydının kendisi bile bir kişinin psikolojik destek aldığını ortaya koyar ve bu bilgi tek başına sağlık verisi niteliği taşır. "Ayşe Hanım her salı 18:00'de Mentra Psikoloji & Danışmanlık'ta seansa geliyor" bilgisi, notların içeriği kadar korunmayı hak eder.

Tabloda dikkat çeken nokta, finansal kayıtların da dikkatle tasarlanması gerektiğidir. Serbest meslek makbuzu veya e-Arşiv belgesinde "panik bozukluk terapisi" gibi bir açıklama yazmak, sağlık verisini gereksiz yere muhasebe süreçlerine ve üçüncü taraflara taşır. "Psikolojik danışmanlık hizmet bedeli" gibi genel bir ifade hem vergisel olarak yeterlidir hem de veri minimizasyonu ilkesine uygundur.

KVKK'nın temel ilkeleri ve sağlık verisi için hukuki dayanak

KVKK'nın 4. maddesi, tüm veri işleme faaliyetlerinin uyması gereken genel ilkeleri sayar: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli, açık ve meşru amaçlar için işleme, amaçla bağlantılı, sınırlı ve ölçülü olma ve yalnızca gerekli süre kadar saklama. Terapi pratiğine çevirdiğimizde bu ilkeler oldukça somut sorulara dönüşür: Anamnez formunda gerçekten ihtiyaç duymadığınız bir alan var mı? Beş yıl önce süreci tamamlamış bir danışanın notları hâlâ herkesin erişebildiği bir klasörde mi duruyor?

2024 değişikliği sonrası sağlık verisinin işlenmesi

Mart 2024'te yürürlüğe giren 7499 sayılı Kanun ile KVKK'nın 6. maddesi yeniden düzenlendi. Güncel metinde sağlık verileri; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlar tarafından açık rıza aranmaksızın işlenebilmektedir. Bunun yanında açık rıza, kanunda açıkça öngörülme ve hayati menfaatin korunması gibi başka işleme şartları da tanımlanmıştır.

Bu değişiklik, psikoloğun sır saklama yükümlülüğü altında yürüttüğü klinik hizmetler açısından önemli bir esneklik getirir; ancak her işleme faaliyetini otomatik olarak kapsamaz. Örneğin danışan bilgilerinin pazarlama amacıyla kullanılması, bir vakanın eğitim sunumunda paylaşılması veya yurt dışındaki bir hizmet sağlayıcıya aktarılması farklı değerlendirme gerektirir. Hangi faaliyet için hangi işleme şartına dayandığınızı yazılı bir envanterde göstermek, olası bir denetimde en güçlü savunmanızdır. Bu konuda kesin yorum için güncel Kurul kararlarını ve bir hukukçunun görüşünü esas alın.

Aydınlatma yükümlülüğü ile açık rıza aynı şey değildir

Sahada en sık görülen hatalardan biri, aydınlatma metni ile açık rıza metninin tek bir belgede birleştirilmesidir. Aydınlatma yükümlülüğü (KVKK m. 10) her durumda geçerlidir: Danışana kim olduğunuzu, verileri hangi amaçla işlediğinizi, kimlere aktarabileceğinizi, toplama yöntemini ve hukuki sebebi ve kanundan doğan haklarını bildirmeniz gerekir. Açık rıza ise yalnızca o işleme şartına dayandığınız durumlarda alınır; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Hizmetin verilmesini açık rıza şartına bağlamak, rızanın özgürlüğünü zedeler.

Pratik bir yaklaşım şöyledir: İlk randevu oluşturulurken danışana kısa ve anlaşılır bir aydınlatma metni iletilir; WhatsApp ile hatırlatma almak, süpervizyonda anonim vaka paylaşımı veya online seans kaydı gibi isteğe bağlı faaliyetler için ise ayrı ayrı onay kutuları sunulur. Danışan bunlardan birini reddettiğinde terapi hizmeti etkilenmemelidir.

Türk Psikologlar Derneği etik yönetmeliği ve sır saklama

KVKK, mahremiyetin hukuki asgarisini çizer; mesleki etik ise çoğu zaman daha ileri gider. Türk Psikologlar Derneği Etik Yönetmeliği, gizliliği mesleki ilişkinin temel ilkelerinden biri olarak tanımlar ve gizliliğin sınırlarının (örneğin danışanın kendisine veya başkasına ciddi zarar verme riski, yasal zorunluluklar) sürecin başında danışana açıklanmasını bekler. Ayrıca 5237 sayılı Türk Ceza Kanunu'nun kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesine ilişkin hükümleri, ihlalin idari para cezasının ötesinde cezai sonuçlar doğurabileceğini hatırlatır.

Etik açıdan kritik birkaç durum şunlardır:

• Çift ve aile terapisi: Bir eşin bireysel görüşmede paylaştığı bilgi, diğer eşin erişebileceği ortak bir dosyaya yazılmamalıdır. Dosya yapısı, bireysel ve ortak içerikleri ayırabilmelidir.
• Ergen danışanlar: Veli ile paylaşılacak bilginin sınırı, sürecin başında hem ergenle hem veliyle konuşulmalı ve yazılı hale getirilmelidir.
• Kurum içi bilgi akışı: Sekreterya, danışanın randevu saatini bilmek zorundadır; neden terapiye geldiğini bilmek zorunda değildir.
• Süpervizyon: Vaka paylaşımı, danışanın tanınmasını sağlayacak ayrıntılar (meslek, ilçe, nadir yaşam olayları) çıkarılarak yapılmalıdır.

Seans notlarının nasıl yapılandırılacağı da gizlilikle doğrudan ilişkilidir. Gereğinden ayrıntılı, alıntı yoğun notlar hem risk yüzeyini büyütür hem de klinik açıdan her zaman fayda sağlamaz. Bu dengeyi nasıl kuracağınızı SOAP, DAP ve BDT şablonlarıyla dijital seans notu tutma rehberimizde ayrıntılı olarak ele aldık.

Kâğıt dosya, Excel ve kişisel WhatsApp: sahadaki gerçek riskler

Türkiye'deki pek çok bağımsız uzman ve küçük merkez, kayıtlarını hâlâ kilitli dolap, Excel tablosu ve kişisel telefondaki WhatsApp üçgeninde tutar. Bu yöntemlerin her biri tek başına bir ihlal anlamına gelmez; ancak birlikte kullanıldıklarında kontrol edilmesi çok zor bir veri dağınıklığı yaratır.

Kâğıt dosyalar

Kilitli bir dolapta tutulan kâğıt dosyalar fiziksel güvenlik sağlar, fakat erişim kaydı tutmaz. Dosyayı kimin, ne zaman açtığını bilemezsiniz. Ofis taşınması, su baskını veya yangın gibi durumlarda yedek yoktur. Saklama süresi dolan dosyaların imhası çoğunlukla ertelenir ve yıllar içinde arşiv kontrolsüzce büyür. Kâğıt kullanmaya devam edecekseniz en azından dosya açma defteri, kilitli ve sabitlenmiş dolap ve imha tutanağı uygulayın.

Excel tabloları ve paylaşılan bulut klasörleri

Danışan listesinin bir Excel dosyasında tutulması, dosyanın e-postayla gönderilmesi, bir USB belleğe kopyalanması veya kişisel bir bulut hesabında senkronize edilmesi çok yaygındır. Bu dosyalar genellikle şifresizdir, sürüm kontrolü yoktur ve çalışan ayrıldığında kopyaları onun cihazında kalabilir. Ayrıca birçok genel amaçlı bulut hizmeti verileri yurt dışındaki sunucularda tutar; bu da KVKK'nın 9. maddesi kapsamında yurt dışına aktarım değerlendirmesini gündeme getirir.

Kişisel WhatsApp ve telefon rehberi

Uzmanın kişisel telefonunda "Ahmet - panik" gibi kaydedilmiş bir rehber kaydı, telefon kaybolduğunda veya bir aile üyesi telefonu kullandığında sağlık verisini ifşa eder. Danışanlarla yürütülen kişisel WhatsApp yazışmaları da klinik dosyanın parçası haline gelir ama dosyanın dışında kalır. Kurumsal ve kayıt altına alınan bir iletişim kanalı (örneğin resmi WhatsApp Business API üzerinden, şablonlu ve içerik açısından sade mesajlar) bu riski önemli ölçüde azaltır. Hatırlatma mesajlarının nasıl kurgulanacağını WhatsApp seans hatırlatma ve otomatik katılım teyidi yazımızda örneklerle anlattık.

Teknik ve idari tedbirler: uygulanabilir bir kontrol listesi

KVKK'nın 12. maddesi, veri sorumlusunu verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan her türlü teknik ve idari tedbiri almakla yükümlü kılar. Kişisel Verileri Koruma Kurulu, özel nitelikli kişisel veriler için ayrıca alınması gereken yeterli önlemleri bir kararla belirlemiştir. Bu önlemleri terapi merkezi ölçeğine uyarladığımızda aşağıdaki tablo ortaya çıkar.

Rol bazlı yetkilendirme neden kritik?

Çok uzmanlı merkezlerde en büyük risk, herkesin her şeyi görebildiği "ortak" bir sistemdir. Sekreterin takvimi yönetmesi, muhasebecinin tahsilatı görmesi gerekir; ancak her ikisinin de seans notlarına, anamnez formuna veya ölçek sonuçlarına erişmesi için meşru bir neden yoktur. Aynı şekilde bir uzmanın, kendi danışanı olmayan bir kişinin dosyasını açabilmesi de gereksizdir. "Sekreterya notları göremez" kuralı, sözlü bir talimat olarak değil, yazılım düzeyinde zorunlu bir kısıt olarak uygulanmalıdır.

Saklama süreleri ve imha

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, saklama ve imha politikası hazırlamakla yükümlü veri sorumlularının periyodik imhayı en fazla altı aylık aralıklarla yapmasını öngörür. Klinik kayıtların ne kadar saklanacağı ise mesleki düzenlemeler, olası hukuki uyuşmazlıklardaki zamanaşımı süreleri ve vergi mevzuatına göre farklılaşabilir; finansal belgeler için vergi mevzuatındaki saklama süreleri ayrıca dikkate alınmalıdır. Önemli olan, sürenin gerekçesiyle birlikte yazılı olarak belirlenmesi ve süre dolduğunda gerçekten uygulanmasıdır.

VERBİS kaydı, ilgili kişi başvuruları ve veri ihlali bildirimi

Kişisel Verileri Koruma Kurulu, belirli çalışan sayısı ve mali bilanço eşiklerinin altında kalan veri sorumlularını Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğünden istisna tutmuştur; ancak bu istisna, ana faaliyet konusu özel nitelikli kişisel veri işleme olanları kapsamaz. Psikoterapi ve danışmanlık hizmeti sunan bir yapının ana faaliyetinin sağlık verisi işlemek olduğu düşünüldüğünde, küçük bir merkezin de kayıt yükümlülüğü altında değerlendirilmesi güçlü bir ihtimaldir. Güncel eşikleri ve meslek grubunuza özgü istisnaları Kurul'un internet sitesinden ve bir hukukçuyla teyit etmeniz gerekir.

Danışanlarınız KVKK'nın 11. maddesi kapsamında verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklara sahiptir. Başvuruların en geç otuz gün içinde ücretsiz olarak sonuçlandırılması esastır. Burada klinik bir incelik vardır: Silme talebi, mesleki ve yasal saklama yükümlülükleriyle çatışabilir. Bu durumda talebi neden kısmen karşılayabildiğinizi gerekçeli olarak yazılı bildirmeniz gerekir.

Bir veri ihlali (çalınan dizüstü bilgisayar, yanlış kişiye gönderilen ölçek sonucu, ele geçirilen e-posta hesabı) yaşandığında, Kurul'un yaklaşımına göre ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yapılması ve etkilenen kişilere makul en kısa sürede bilgi verilmesi beklenir. İhlalin ilk saatlerinde paniğe kapılmamak için kimin neyi yapacağını önceden yazmış olmak büyük fark yaratır.

Online terapi, görüntülü görüşme ve yurt dışına veri aktarımı

Online seanslar yaygınlaştıkça mahremiyet sorusu da genişledi. Genel amaçlı görüntülü görüşme uygulamaları çoğunlukla yurt dışı sunucuları kullanır, kayıt özellikleri varsayılan olarak açık olabilir ve danışanın uygulama indirip hesap açmasını gerektirir. Bu da hem KVKK'nın yurt dışına aktarım hükümleri hem de danışan deneyimi açısından ek sorular doğurur. 2024 değişikliğiyle yurt dışına aktarımda yeterlilik kararı, standart sözleşme ve uygun güvenceler gibi yeni bir sistem getirildi; standart sözleşme kullanıldığında Kurul'a bildirim yükümlülüğü de bulunmaktadır.

Online seansta dikkat edilecek pratik noktalar şunlardır: Seans bağlantısı tek kullanımlık ve tahmin edilemez olmalı, bekleme odası mantığıyla yalnızca uzman onayladığında danışan içeri alınmalı, seans kaydı varsayılan olarak kapalı olmalı ve danışana seansa sessiz ve kapalı bir ortamdan katılması gerektiği hatırlatılmalıdır. Konuyu teknik ve klinik yönleriyle uygulama indirmeden güvenli online terapi odası rehberimizde inceledik.

İletişim, hatırlatma ve pazarlamada mahremiyet

Hatırlatma mesajları, danışanın telefonunu başka biri gördüğünde ne kadar bilgi ortaya çıkacağı düşünülerek yazılmalıdır. "Yarın 15:00 seansınızı onaylıyor musunuz?" gibi sade bir metin, "Depresyon terapiniz yarın" ifadesinden çok daha güvenlidir. Gönderen adı olarak merkezin adını kullanmak bazı danışanlar için rahatsız edici olabilir; ilk görüşmede tercih sormak iyi bir uygulamadır.

Randevu hatırlatma ve teyit mesajları hizmetin ifasına yönelik bilgilendirme niteliğindedir. Kampanya, atölye duyurusu veya bülten gibi tanıtım amaçlı mesajlar ise ticari elektronik ileti kapsamına girer ve İleti Yönetim Sistemi (İYS) üzerinden onay yönetimi gerektirir. İki tür iletişimi aynı listede karıştırmamak gerekir.

Pazarlama tarafında ise danışan yorumlarının Instagram'da paylaşılması, Google Haritalar yorumlarına danışanın kimliğini teyit eden yanıtlar verilmesi ("Seanslarımıza gösterdiğiniz emek için teşekkürler Elif Hanım" gibi) veya vaka hikâyelerinin tanınabilir biçimde anlatılması hem etik hem KVKK açısından sorunludur. Bir Google yorumuna yanıt verirken kişinin danışanınız olduğunu teyit etmek bile gizliliği ihlal edebilir. Etik sınırlar içinde görünürlük kazanmanın yollarını psikologlar için etik web sitesi ve SEO rehberimizde anlattık.

Klinik yazılım seçerken sorulması gereken güvenlik soruları

Bir klinik yönetim sistemine geçmek, veri güvenliğini otomatik olarak çözmez; ancak doğru seçilmiş bir sistem, yukarıdaki tedbirlerin büyük kısmını günlük iş akışının doğal parçası haline getirir. Satış görüşmesinde şu soruları mutlaka sorun:

1. Seans notları ve ölçek sonuçları hangi yöntemle şifreleniyor? Sistem yöneticileri notları okuyabiliyor mu?
2. Rol bazlı yetki tanımlanabiliyor mu? Sekreterya ve muhasebe rolünün klinik içeriği görmediğini nasıl doğrulayabilirim?
3. Veriler hangi ülkede, hangi altyapıda tutuluyor? Yurt dışı aktarım söz konusu mu?
4. Erişim kayıtları tutuluyor mu, bunları ben görebiliyor muyum?
5. Süpervizyon için vaka paylaşırken anonimleştirme desteği var mı?
6. Sözleşmeyi sonlandırırsam verilerimi hangi formatta, ne kadar sürede alırım ve sistemdeki kopyalar nasıl imha edilir?
7. Veri işleyen sıfatıyla KVKK'ya uygun bir veri işleme sözleşmesi imzalanıyor mu?

Bu soruların yanında randevu, finans ve iletişim gibi diğer modülleri de değerlendirmek isterseniz klinik yönetim programı seçim rehberimiz kapsamlı bir karşılaştırma çerçevesi sunuyor.

İlk 30 günde uygulanabilecek KVKK uyum planı

KVKK uyumu bir defada tamamlanan bir proje değil, sürdürülen bir alışkanlıktır. Yine de başlangıç için gerçekçi bir yol haritası işleri kolaylaştırır:

• 1. hafta – Envanter: Hangi veriyi, nerede (kâğıt, Excel, telefon, e-posta, yazılım), kimin erişimiyle ve ne amaçla tuttuğunuzu listeleyin.
• 2. hafta – Belgeler: Aydınlatma metni, isteğe bağlı faaliyetler için ayrı onay metinleri, çalışan gizlilik taahhütnamesi ve saklama-imha politikasını hazırlayın.
• 3. hafta – Teknik düzen: Dağınık verileri tek bir şifreli sisteme taşıyın, rolleri tanımlayın, kişisel telefonlardaki danışan kayıtlarını temizleyin.
• 4. hafta – Süreçler: İlgili kişi başvuru formu, ihlal müdahale planı ve VERBİS değerlendirmesini tamamlayın; ekibe kısa bir eğitim verin.

Mahremiyet, danışanın odaya girdiği anda değil, randevu talebini ilettiği ilk mesajda başlar. Uyum çalışmasını bu ilk temastan itibaren kurgulamak gerekir.

Sonuç: Mahremiyeti iş akışının parçası haline getirmek

Psikoterapi ve danışmanlık merkezlerinde KVKK uyumu, birkaç belge hazırlayıp dosyalamakla bitmez. Asıl hedef, mahremiyeti randevu oluşturmaktan seans notuna, tahsilattan süpervizyona kadar her adımın doğal bir parçası haline getirmektir. Bunu kâğıt, Excel ve kişisel telefon arasında dağılmış bir düzende sürdürmek zordur; tek bir güvenli sistemde ise çok daha yönetilebilir hale gelir.

MentraCare, bu ihtiyaç düşünülerek tasarlandı: Seans notları uçtan uca AES-256 ile şifrelenir, rol bazlı yetki sayesinde sekreterya klinik notları göremez, süpervizyon modülü vakaları anonimleştirerek paylaşmanıza imkân tanır, hatırlatmalar resmi Meta WhatsApp Business API üzerinden sade şablonlarla gönderilir ve online seanslar uygulama indirmeden tek tıkla açılan bir terapi odasında yapılır. Elbette hiçbir yazılım, hukuki değerlendirmenin ve mesleki etik bilincin yerini tutmaz; ancak doğru altyapı, bu bilinci günlük pratiğe dönüştürmeyi kolaylaştırır. Merkezinizin ölçeğine uygun seçenekleri MentraCare paketleri sayfasında inceleyebilirsiniz.

Sıkça sorulan sorular

Psikolog olarak danışan verisi işlemek için her danışandan açık rıza almam gerekir mi?

Mart 2024 değişikliğiyle KVKK'nın 6. maddesi, sağlık verilerinin tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla sır saklama yükümlülüğü altındaki kişilerce açık rıza aranmaksızın işlenebilmesine imkân tanır. Ancak pazarlama, eğitim amaçlı vaka paylaşımı veya seans kaydı gibi faaliyetler için ayrı bir değerlendirme ve çoğu zaman ayrı onay gerekir. Aydınlatma yükümlülüğü ise her durumda geçerlidir; kendi yapınız için bir hukukçudan görüş almanız önerilir.

Bağımsız çalışan bir psikolog VERBİS kaydı yapmak zorunda mı?

VERBİS istisnaları çalışan sayısı ve mali bilanço eşiklerine bağlıdır, ancak ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları bu istisnadan yararlanamaz. Psikoterapi hizmeti sağlık verisi işlemeyi merkeze aldığından küçük yapıların da yükümlü sayılması güçlü bir ihtimaldir. Güncel Kurul kararlarını ve meslek grubunuza özgü istisnaları kontrol etmeniz gerekir.

Sekreterim danışanların neden terapiye geldiğini bilmeli mi?

Hayır. Sekreteryanın randevu saatlerini ve iletişim bilgilerini yönetmesi yeterlidir; seans notları, anamnez ve ölçek sonuçları gibi klinik içeriğe erişmesi için meşru bir neden yoktur. Bu ayrımın sözlü talimatla değil, yazılımda rol bazlı yetkiyle zorunlu kılınması en güvenli yöntemdir.

WhatsApp ile seans hatırlatması göndermek KVKK'ya aykırı mı?

Hatırlatma göndermek tek başına aykırı değildir, ancak mesaj içeriği sade olmalı ve tanı ya da terapi türü gibi bilgiler içermemelidir. Kişisel telefon yerine kurumsal ve kayıt altına alınan bir kanal kullanmak riski azaltır. Danışanın bu iletişim yöntemini tercih edip etmediğini ilk görüşmede sormak iyi bir uygulamadır.

Danışan dosyasının silinmesini isterse ne yapmalıyım?

Talebi en geç otuz gün içinde yanıtlamanız gerekir. Mesleki ve yasal saklama yükümlülükleriniz varsa bu kayıtları süre dolana kadar saklayabilir, talebi neden kısmen karşılayabildiğinizi gerekçeli olarak yazılı bildirirsiniz. Saklama yükümlülüğü olmayan veriler ise silinmeli veya anonim hale getirilmelidir.

Süpervizyonda vaka paylaşırken nelere dikkat etmeliyim?

Danışanın tanınmasını sağlayabilecek ad, meslek, yaşadığı ilçe, iş yeri ve nadir yaşam olayları gibi ayrıntılar çıkarılmalıdır. Paylaşım güvenli bir kanal üzerinden yapılmalı, süpervizörün de gizlilik yükümlülüğü netleştirilmelidir. Anonimleştirilmiş paylaşımı destekleyen bir süpervizyon modülü bu süreci kolaylaştırır.