Hekimler ve Muayenehaneler İçin KVKK Kontrol Listesi

Son güncelleme: 30 Eylül 2026

Hasta kayıtları, sekreter erişimi, WhatsApp, hasta fotoğrafları ve bulut yazılımları: Muayenehanenizde kişisel verilerin korunmasını değerlendirmek için 30 kontrol noktası. Liste özellikle bağımsız çalışan hekimler ve muayenehaneler için hazırlanmıştır. Bir sağlık kurumunda çalışan hekimler, kontrolleri kurumun veri sorumluluğu ve yetki düzenine göre uyarlamalıdır.

Kontrol listesini PDF olarak indir

İçindekiler Tablosu

Liste nasıl kullanılır?

Her maddeyi Tamam, Eksik veya Uygulanmaz olarak değerlendirin. Eksik maddeler için sorumlu ve hedef tarih belirleyin; uygulanmayan maddelere gerekçe yazın. Kontrol notlarına hasta bilgisi eklemeyin. “Tamam” diyebilmek için uygulamanın gerçekten yürütülmesi ve gerektiğinde kanıtlanabilmesi gerekir.

1. Sorumluluk ve hasta kabulü

Dayanaklar: [1–3]

Veri sorumlusu belli mi?
Muayenehanenin hukuki yapısı, kararları veren kişi/kurum ve KVKK işlerini takip eden sorumlu belirlendi.
Veri akışı çıkarıldı mı?
Randevu, muayene, tetkik, ödeme ve çalışan kayıtları; kullanım amaçları, alıcıları ve kullanılan sistemlerle birlikte listelendi.
İşleme dayanağı ayrıldı mı?
Sağlık verileri için KVKK m.6’daki uygun şart belirlendi. Tedavi kapsamındaki sır saklama yükümlülüğüne dayalı işleme ile isteğe bağlı yayın amaçları ayrıldı.
Hasta zamanında bilgilendiriliyor mu?
Veri toplanırken veri sorumlusu, amaç, alıcılar, yöntem, hukuki sebep ve hasta hakları açıklanıyor; kullanılan metnin sürümü saklanıyor.
Üç ayrı konu karışıyor mu?
Tıbbi müdahaleye onam, KVKK aydınlatması ve gerektiğinde alınan açık rıza ayrı ele alınıyor. Gereksiz toplu rıza tedavinin koşulu yapılmıyor.

2. VERBİS ve çalışma düzeni

Dayanaklar: [4–5]

VERBİS durumu belgelendi mi?
Çalışan sayısı, defter tutma yöntemi ve uygulanıyorsa bilanço toplamı güncel istisna kriterleriyle değerlendirildi; kayıt gerekiyorsa bildirimler güncel.
İstisna doğru anlaşılıyor mu?
VERBİS istisnasının aydınlatma, güvenlik ve diğer KVKK yükümlülüklerini kaldırmadığı çalışma planına yansıtıldı.
Sekreterin erişimi sınırlı mı?
Personel yalnızca görevinin gerektirdiği kayıtlara erişiyor; kişiye özel hesaplar kullanılıyor, hekim hesabı ve e-imza paylaşılmıyor.
Personel süreci tamam mı?
Gizlilik taahhütleri ve eğitim kayıtları mevcut; görev değişikliğinde yetkiler güncelleniyor, ayrılan personelin erişimi derhal kapatılıyor.
Sağlık verisi politikası var mı?
Özel nitelikli veriler için erişim, paylaşım, saklama ve olay yönetimini açıklayan uygulanabilir bir politika bulunuyor.

3. Cihazlar ve kayıt güvenliği

Dayanaklar: [5]

Dijital koruma etkin mi?
Sağlık kayıtları şifreleniyor; anahtarlar ayrı ve güvenli tutuluyor. Güncellemeler ve güvenlik testleri kayıtlı.
Uzaktan erişim güvenli mi?
Sağlık verilerine uzaktan erişimde en az iki aşamalı doğrulama var; kullanıcı yetkileri düzenli gözden geçiriliyor.
Kimin ne yaptığı izleniyor mu?
Sağlık kayıtlarındaki işlemler güvenli biçimde loglanıyor; olağan dışı erişimler inceleniyor.
Dosyalar ve ekranlar korunuyor mu?
Arşive yetkisiz giriş önleniyor; ekran, yazıcı ve hasta dosyaları bekleme alanından görülemiyor. Fiziksel afet riskleri değerlendirildi.
Yedekten dönüş deneniyor mu?
Öneri: Şifreli ve erişimi sınırlı yedekler alınıyor; geri yükleme denemesi yapılıyor, kişisel cihazlardaki kopyalar kontrol ediliyor.

4. WhatsApp, tedarikçiler ve bulut

Dayanaklar: [1, 5–7]

Doğru alıcıya mı gönderiliyor?
Tetkik ve rapor gönderiminde kişinin kimliği, güncel iletişim bilgisi ve temsil yetkisi doğrulanıyor; hasta yakınına otomatik bilgi verilmiyor.
Mesajlaşma kuralları belli mi?
WhatsApp ve benzeri araçlar için hukuki dayanak, cihaz erişimi, yedekleme ve aktarım riskleri değerlendirildi; gereksiz grup paylaşımı yapılmıyor.
Güvenli kanal seçildi mi?
Sağlık verilerinin e-posta ile gönderilmesinde şifreli kurumsal e-posta veya KEP kullanılıyor; sadece gerekli içerik paylaşılıyor.
Tedarikçiler denetlendi mi?
Yazılım, laboratuvar ve bilişim desteğinin rolleri belirlendi; yetki, gizlilik, alt hizmet sağlayıcılar ve olay bildirimi sözleşmelerde düzenlendi.
Yurt dışı aktarım incelendi mi?
Bulut, uzaktan destek ve yapay zekâ araçlarında veri konumu/erişim araştırıldı. Aktarım varsa KVKK m.9 mekanizması kuruldu; standart sözleşme seçildiyse beş iş günlük bildirim izleniyor.

5. Hasta görselleri ve saklama

Dayanaklar: [1, 8–9]

Tedavi fotoğrafı ile paylaşım ayrıldı mı?
Klinik dosya için görüntü kaydetme ile internet/sosyal medyada yayınlama ayrı değerlendiriliyor; her amaç için gerekli hukuki şartlar sağlanıyor.
Görsel paylaşım izni usulüne uygun mu?
İlgili hastadan veya gerekli yasal temsilciden açık rıza alınıyor; hasta görseli önceden görebiliyor, izin vermemesi tedavi veya ücretini etkilemiyor.
Rıza dışında yayın kuralları kontrol edildi mi?
Tanıtım yönetmeliğindeki görsel, reklam ve etkileşim kuralları ayrıca inceleniyor. İzin karşılığında indirim sunulmuyor; geri çekme talepleri derhal sonuçlandırılıyor.
Saklama süreleri gerekçeli mi?
Her kayıt türü için ilgili sağlık mevzuatı ve hukuki ihtiyaçlarla uyumlu süre/dayanak belirlendi; tüm dosyalara tek ve gerekçesiz süre uygulanmıyor.
Güvenli imha işliyor mu?
İşleme şartları sona eren veriler uygun yöntemle siliniyor, yok ediliyor veya anonimleştiriliyor. Devam eden yasal saklama ve hak arama ihtiyaçları ayrıca değerlendiriliyor.

6. Hasta başvurusu ve veri ihlali

Dayanaklar: [10–11]

Başvurular süre içinde cevaplanıyor mu?
KVKK taleplerinde kimlik doğrulaması ve kayıt süreci var; cevap en kısa sürede, en geç 30 günde veriliyor.
İhlal fark edilince kime haber veriliyor?
Yanlış kişiye rapor gönderimi, kayıp cihaz veya izinsiz erişimde ulaşılacak kişi ve ilk müdahale adımları personelce biliniyor.
Kurul bildirimi planlandı mı?
Bildirim gerektiren ihlalde öğrenme anından itibaren gecikmeksizin ve en geç 72 saatte Kurula bildirim yapılacak süreç tanımlı.
Hastaya bildirim ayrıca ele alınıyor mu?
Etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bilgilendiriliyor; olayın etkileri ve alınan önlemler kaydediliyor.
Eksikler için takip var mı?
Öneri: Her eksik için sorumlu ve hedef tarih atanıyor. Açık erişim ve izinsiz paylaşım gibi devam eden risklere öncelik veriliyor.

Hekimler için güncel VERBİS notu

Ana faaliyeti özel nitelikli veri işleme olanlarda, bilanço esasına göre defter tutuluyorsa yıllık çalışan sayısının 10’dan ve bilanço toplamının 10 milyon TL’den az olması birlikte aranır. Bilanço esasına göre defter tutulmuyorsa istisna değerlendirmesinde yalnızca yıllık çalışan sayısı esas alınır. Ciro ile bilanço toplamı aynı değildir. [4]

VERBİS kayıt istisnası, diğer KVKK yükümlülüklerinin ortadan kalktığı anlamına gelmez.

Üç önemli uygulama notu

Tedavi ve görsel paylaşımı ayrı amaçlardır. Tıbbi müdahaleye onam, KVKK aydınlatması ve yayın için gerektiğinde alınan açık rıza aynı işlem değildir. Hastanın rızası, sağlık alanındaki tanıtım sınırlamalarını kaldırmaz. Uluslararası sağlık turizminin yurt dışına yönelik faaliyetleri ayrıca değerlendirilmelidir. [2, 3, 8]

WhatsApp mesajı genel izin değildir. Hastanın bir belge göndermesi, sonraki her paylaşımı veya yurt dışı aktarımı kendiliğinden hukuka uygun hâle getirmez. Yapay zekâ araçlarına tanımlanabilir hasta verisi yüklemeden önce hukuki dayanak, sağlayıcının erişimi ve aktarım şartları değerlendirilmelidir. [1, 7]

Önce devam eden riski durdurun. Yetkisiz erişim veya yanlış kişiye rapor gönderimi gibi olaylarda yalnızca form doldurmakla yetinmeyin; erişimi sınırlandırın, olay kayıtlarını koruyun ve bildirim sürecini değerlendirin. [5, 11]

Kontrol listesinde belirlediğiniz eksikler, kurum belgeleri ve veri işleme süreçleri hakkında hekimler ve klinikler için hukuki danışmanlık kapsamını inceleyebilirsiniz.

Resmî kaynaklar

Bu liste bir ön değerlendirme aracıdır; tek başına tam uyum belgesi değildir. “Öneri” olarak işaretlenen kontroller uygulama takibini kolaylaştıran yöntemlerdir. Muayenehanenin uzmanlık dalı, hukuki yapısı ve kullandığı sistemler ayrıca değerlendirilmelidir.

Sağlıkta KVKK kaynaklarına dönün