Estetik Klinikte Önce-Sonra Fotoğraf ve KVKK: Ne Yapmalısınız?

Estetik kliniklerinde çekilen önce-sonra fotoğraflar hasta memnuniyetini belgelemenin ötesinde, ciddi hukuki yükümlülükler doğuruyor. Bu fotoğraflar KVKK kapsamında özel nitelikli kişisel veri sayılıyor ve yanlış depolama yöntemi kliniğinizi yüksek idari para cezasıyla karşı karşıya bırakabiliyor. Hangi yöntemlerin risk taşıdığını ve doğru çözümü bu rehberde açıklıyoruz.

Önce-sonra fotoğraflar neden KVKK kapsamında?

KVKK'nın 6. maddesi, sağlığa ilişkin verileri özel nitelikli kişisel veri olarak tanımlar ve bu verilerin işlenmesine özel güvenceler getirir. Estetik kliniklerde çekilen önce-sonra fotoğrafları birden fazla nedenle bu kapsama girer:

• Beden görüntüsü: Kişinin fiziksel görünümüne ait görsel veri, kimliği doğrudan belirleyebilir niteliktedir.
• Tıbbi müdahale kaydı: Fotoğraf, hangi prosedürün uygulandığını, dolayısıyla hastanın sağlık durumuna ilişkin bilgiyi dolaylı olarak ifşa eder.
• Açık rıza zorunluluğu: Sağlık verisi niteliğindeki bu fotoğraflar, açık rıza alınmadan ne işlenebilir ne de paylaşılabilir.

WhatsApp'ta fotoğraf paylaşmanın 3 hukuki riski

Estetik kliniklerde hasta fotoğraflarının WhatsApp üzerinden paylaşılması yaygın bir alışkanlık olsa da bu yöntem üç ayrı hukuki risk taşır:

• Risk 1 — Kontrol kaybı: Gönderilen mesajın iletilip iletilmeyeceği, ekran görüntüsünün alınıp alınmayacağı tamamen alıcının insiyatifindedir. Hasta fotoğrafının üçüncü kişiye ulaşması durumunda sorumluluk kliniğe aittir.
• Risk 2 — Yurt dışı aktarım ihlali: WhatsApp'ın sunucuları Meta bünyesinde ABD'de konumlanmaktadır. KVKK'nın 9. maddesi, özel nitelikli kişisel verilerin yurt dışına aktarılmasını hastanın açık rızasına bağlar. Bu rıza standart aydınlatma metninde yer almıyorsa her paylaşım ayrı bir ihlal oluşturur.
• Risk 3 — Yedekleme ve cloud sync: WhatsApp yedekleri Google Drive veya iCloud'a aktarılıyorsa hasta fotoğrafları hastanın onay vermediği üçüncü taraf platformlara otomatik olarak iletilmiş olur.

Bulut depolama (Google Drive, iCloud) yeterli mi?

Birçok klinik, hasta fotoğraflarını WhatsApp yerine bulut depolama çözümlerine taşımayı yeterli bir önlem olarak görüyor. Oysa bu yöntem de ciddi eksiklikler barındırıyor:

• Amerikan sunucuları: Google Drive ve iCloud, verilerinizi ABD merkezli sunucularda saklar. KVKK'nın 9. maddesi kapsamında yurt dışı aktarım rızası ayrıca alınmadıysa depolama işleminin kendisi ihlal oluşturur.
• Şifreleme tek başına yeterli değil: Dosyaların şifrelenmiş olması, yurt dışı aktarım yasağını ortadan kaldırmaz. Aktarım rızası teknik önlemden bağımsız bir hukuki zorunluluktur.
• Erişim kontrolü eksikliği: Ortak klasör veya paylaşım bağlantısı kullanan yapılandırmalarda kimin hangi fotoğrafa eriştiği izlenemiyor; rol bazlı erişim denetimi sağlanamıyor.

KVKK uyumlu fotoğraf saklama nasıl olmalı?

Hasta fotoğraflarının yasal çerçevede işlenebilmesi için aşağıdaki adımların eksiksiz uygulanması gerekir:

1. 1
   Aydınlatma metni hazırla: Hangi fotoğrafların, hangi amaçla, ne kadar süreyle ve kimlerle paylaşılabileceği açıkça belirtilmelidir. Genel bir KVKK aydınlatma metni fotoğraf rızasını karşılamaz.
2. 2
   Açık rıza al (yazılı/dijital): Rıza; özgür iradeyle, bilgilendirilmiş biçimde ve fotoğraf çekiminden önce alınmalıdır. İspat yükü kliniğe aittir — rızanın belgelenmiş olması zorunludur.
3. 3
   Yetkisiz erişimi engelle (rol bazlı erişim): Fotoğraflara yalnızca ilgili sağlık personelinin erişebilmesi gerekir. Tüm erişim hareketleri kayıt altında tutulmalıdır.
4. 4
   Saklama süresi politikası belirle: Fotoğrafların ne kadar süreyle saklanacağı yazılı politikada tanımlanmalıdır. Tıbbi kayıtlar için özel mevzuat süreleri dikkate alınmalıdır.
5. 5
   Saklama süresinde imha prosedürü: Süre dolduğunda fotoğrafların geri dönülemez biçimde silindiğini belgeleyen bir imha prosedürü oluşturulmalıdır.

Dijital onam formu + TÜBİTAK TSS çözümü

Kağıt tabanlı onam formları, hasta itirazları söz konusu olduğunda "imzaladım / atmadım" tartışmasına kapı aralamaktadır. Dijital onam formu ve TÜBİTAK TSS zaman damgası bu sorunu kökten ortadan kaldırır.

TÜBİTAK TSS (Ulusal Elektronik Sertifika Hizmet Sağlayıcısı) tarafından verilen zaman damgası, 5070 sayılı Elektronik İmza Kanunu'na tabidir. Bu damga şunu garanti eder: belge belirli bir anda kesinlikle var olmuştur ve o andan bu yana değiştirilmemiştir. Hasta ileride "böyle bir form imzalamadım" dese dahi zaman damgası bu iddiayı çürütür.

Hasta şikayeti geldiğinde ne olur?

KVKK'ya veya mahkemeye taşınan bir hasta şikayetinde, ispat yükü veri sorumlusu olan kliniğe aittir. Farklı saklama yöntemlerinin bu süreçteki görünümü şöyle karşılaştırılabilir:

• Kağıt form: "İmzaladım / atmadım" tartışması. Formun orijinalliği, imzanın kime ait olduğu sorgulanabilir. Aydınlatma metninin okunduğu ispat edilemez.
• WhatsApp kaydı: Ekran görüntüsü, mesajın hangi sürümde gönderildiği, alıcının kim olduğu netleştirilemeyen noktalardır. Hukuki geçerliliği yoktur.
• TÜBİTAK TSS: Zaman ve içerik değiştirilemez. Kimin, ne zaman, hangi içeriği onayladığı kriptografik olarak kanıtlanır. İspat yükü tek hamlede çözülür.

Sık sorulan sorular