Web sitenizdeki randevu formu basit görünür: ad, telefon, e-posta, birkaç satır not. Ama KVKK açısından bu form iki farklı veri türünü aynı anda toplayabilir — ve ikisinin kuralları birbirinden çok farklı.
Randevu formu, göründüğünden daha hassas bir kutu
İsim, telefon ve e-posta "sıradan" kişisel veridir. Ama formda "hangi tedavi için randevu istiyorsunuz" gibi bir alan varsa, hasta o alana yazdığı anda size sağlık bilgisi vermiş olur. KVKK'nın 6. maddesi sağlık verisini "özel nitelikli kişisel veri" sınıfına koyar — ırk, din, siyasi görüş gibi verilerle aynı, kanunun en sıkı koruduğu kategori. Sıradan bir iletişim formuyla aynı şekilde davranamazsınız.
Pratikte bu, çoğu klinik sitesinin ilk düzeltmesi gereken şey: randevu formunda tanı, şikayet ya da "hangi bölüm" gibi hassas detay istemeyin. Sadece kimin, ne zaman ulaşılabileceğini toplayın; tedaviyle ilgili konuşma telefon ya da yüz yüze görüşmeye kalsın.
Formu doldurmadan önce bir metin göstermek zorunludur
KVKK'nın 10. maddesi açık: kişisel veri toplamadan önce, veri sorumlusunun kim olduğunu, verinin hangi amaçla toplandığını ve kişinin haklarını anlatan bir aydınlatma metni göstermeniz gerekir. Bu, gizlilik politikasıyla aynı şey değildir — gizlilik politikası genel bir belgedir, aydınlatma metni formun altında, o an okunacak şekilde durur.
Gerçek bir örnek: tek kutucuğun bedeli 300.000 TL
Kurul'un 2023/692 sayılı kararı meseleyi iyi özetliyor. Bir sağlık kuruluşunun randevu formunda tek bir onay kutucuğu vardı: hem "aydınlatma metnini okudum" hem "tanıtım amaçlı iletişime açığım" aynı kutuya bağlıydı. Kutucuk işaretlenmeden randevu tamamlanamıyordu.
Kurul bunu, hizmeti almanın alakasız bir pazarlama iznine bağlanması olarak değerlendirdi ve dürüstlük kuralına aykırı buldu. Sonuç: 300.000 TL idari para cezası.
Randevu almak için gereken onayla, sizden haber almak için gereken onay iki ayrı şeydir. İkisini tek kutuya sıkıştırmak, formu sadeleştirmiyor — riski büyütüyor.
Peki veriyi ne kadar süre saklayabilirsiniz?
Burada net bir sayı yok, ve bu çoğu klinik sahibinin duymak istediği cevap değil. KVKK "ölçülülük" ilkesini esas alır: veriyi hangi amaçla topladıysanız, o amaç geçerli olduğu sürece saklarsınız. Randevu tamamlandı, hasta gelmedi ya da vazgeçti — amaç sona erdiyse verinin de silinmesi ya da anonimleştirilmesi gerekir.
Bir istisna var: fatura kesildiyse vergi mevzuatı kendi saklama süresini dayatır. Ama o zaman saklanan şey randevu formunuz değil, muhasebe kaydınızdır — ikisini karıştırmayın.
Pratik yaklaşım: "sonsuza kadar sakla" varsayılanından vazgeçin. Randevu formlarını düzenli aralıklarla (örneğin altı ayda bir) gözden geçirip amacı kalmayanları silen bir rutin kurun.
Klinik sitesi kurarken kontrol listesi
- Randevu formunda tanı ya da şikayet alanı yok
- Onay kutucukları ayrı: biri form için, biri (varsa) pazarlama için
- Her onayın tarihi ve hangi metinle verildiği kayıtlı
- Aydınlatma metni formun hemen altında, ayrı bir sayfaya link değil
- Veri saklama süresi için bir silme rutini var
Son söz
KVKK uyumu bir kere yazılıp unutulan bir metin değil; formun nasıl kurgulandığından verinin nerede durduğuna kadar bütün bir tasarım kararı. Klinik sitenizi kurarken bu kararları netleştirmek isterseniz, İletişim sayfası'ndan bize ulaşabilirsiniz.
Bu yazı genel bir çerçeve sunar, hukuki tavsiye yerine geçmez — kendi durumunuz için bir KVKK danışmanına başvurmanızı öneririz.