Klinikler için WhatsApp'ta KVKK: hasta yazışmasında neye dikkat edilir

Telefon numarası, ad ve mesajın kendisi kişisel veridir. "Dişim ağrıyor" ya da "burnumu yaptırmak istiyorum" cümlesi sağlık bilgisidir ve Kanun bunu özel nitelikli sayar. Yani sıradan görünen bir sohbet, kliniğin en hassas veri kümelerinden birini taşır.

Bu veriyi işleyen veri sorumlusu kliniktir. Yazışmayı yürüten yazılım ve altındaki sağlayıcılar veri işleyendir; sorumluluk kliniğin adına konuşan aracın kim olduğuna göre değişmez.

Kanun, kişisel veri toplanmadan önce hastanın bilgilendirilmesini ister. Bir yazışmada bunun tek yeri ilk cevaptır. MedorAI'nin ilk cevabı bu yüzden sabittir: kliniğin adıyla karşılama, "kişisel verileriniz nasıl işleniyor" bağlantısı ve tek bir soru. Klinik karşılamayı kendi cümleleriyle yazsa da aydınlatma satırı kaldırılamaz.

Bu satır bir rıza talebi değildir. Randevu almak için yazan hastanın verisi, sözleşmenin kurulması için işlenir; hastadan "kabul ediyorum" demesi istenmez ve hiçbir dilde onay kalıbı kullanılmaz.

Randevu için üç şey yeter: ad, tedavi, saat. Telefon numarası zaten mesajla gelir, ayrıca istenmez. Kimlik numarası, sağlık geçmişi, sigorta bilgisi, doğum tarihi hiçbir koşulda sorulmaz; hasta kendiliğinden yazarsa MedorAI konuyu hekime bırakır.

Tedavi adı bir sağlık bilgisidir. MedorAI onu randevu notuna ancak hasta onayladıysa yazar ve onayın kendisi kayda geçer: zaman, kanal, rıza metninin sürümü. Mesaj metni saklanmaz. Hasta istemezse tedavi konuşulur ama randevuya yazılmaz.

Yazışma kalıcı değildir. Konuşma kapandığı anda mesaj içerikleri silinir; 24 saat sessiz kalan konuşma kendiliğinden kapanır. Randevu kaydı randevudan 30 gün sonra silinir. Hastanın numarası uzun süreli kayıtlarda geri döndürülemez bir özet olarak durur; tekrar gelen hasta böyle tanınır, numarası okunmadan.

Hasta verisinin silinmesini isteyebilir; bunu yazışmanın içinde de yapabilir. Klinik ayrılırsa kliniğin bütün verisi silinir.

Cevaplar bir yapay zeka sağlayıcısında üretilir ve bu sağlayıcı yurt dışında olabilir. Modele giden pakette hastanın adı ve numarası yoktur: ad bir yer tutucuyla değiştirilir, cevap dönünce yerine konur. Dayanak Kanun'un 9. maddesi kapsamındaki standart sözleşmedir; ayrıntılar aydınlatma metninde yazar.

Klinik, bu aktarımı kendi aydınlatma metnine yazmak isteyebilir. Hangi sağlayıcıların hangi ülkede olduğu MedoraLab'ın kendi metninde adıyla sayılır; klinik oradan alıntılayabilir.

Ekran görüntüsü paylaşmayın: bir hasta yazışmasının görüntüsü kliniğin dışına çıktığı anda kontrolden çıkar. Hastayla kişisel telefondan yazışmayın; panelden yazın. Panelde her balonda kimin yazdığı görünür, sonradan "kim ne söyledi" tartışması olmaz.

Destek ekibi kliniğin panelinde hastanın adını, numarasını ve mesajlarını göremez; gördüğü yalnız ayarlar ve sayılardır. Destek modunda yapılan her işlem kliniğin panelinde kayıtlıdır.

Bir uyumluluk garantisi vermez. Her kliniğin kendi aydınlatma metni, kayıt yükümlülüğü ve danışmanı vardır; bu yazı yazışma katmanının nasıl kurulduğunu anlatır, gerisini kliniğin danışmanı değerlendirir.