Hasta Verisi KVKK Saklama Süresi: Klinik İmha Rehberi 2026

Hem Kısa Hem Uzun Saklamak Tehlikeli

Kliniklerin büyük çoğunluğu KVKK uyumunu "veriyi güvenli sakla" olarak yorumluyor. Bu yorumun yarısı doğru — yarısı ise aktif bir ihlale zemin hazırlıyor.

KVKK Madde 7 açık: amacı ortadan kalkmış kişisel veri derhal imha edilmek zorundadır. Saklama süresini doldurmuş hasta dosyasını tutmaya devam etmek, o veriyi bir saldırıya veya izinsiz erişime açık tutmakla aynı riski taşır. KVK Kurumu'nun 2024-2025 denetimlerinde küçük sağlık merkezlerine yönelik tespitlerin önemli bir bölümü "amaç dışı saklama" ihlaline dayanıyor.

Öte yandan çok erken imha da ciddi sorun. Hasta 20 yıl içinde şikâyet başvurusu yaparsa, Türk Tabipleri Birliği disiplin sürecinde tedavi notları talep edilirse ya da bir hukuki uyuşmazlık yaşanırsa — dosyanın erken imha edilmiş olması kliniği savunmasız bırakır.

Kliniklerin gerçekten ihtiyacı olan şey tarihsel sezgi değil, yasal dayanaklara göre kurulmuş saklama politikası ve bu politikayı otomatik uygulayan sistem.

Yasal Dayanak — Hangi Kanun Ne Diyor?

Klinik veri saklama süreleri tek bir kanundan değil, birbirini tamamlayan dört ayrı düzenlemeden türüyor. Her birini ayrı okumak, neyin neden o süreye bağlı olduğunu anlamayı kolaylaştırıyor.

KVKK Madde 7 — İmha Yükümlülüğü

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 7. maddesi, veri işleme amacı ortadan kalktığında kişisel verinin imha edilmesi yükümlülüğünü düzenliyor. Sağlık verisi "özel nitelikli kişisel veri" kategorisinde yer aldığından daha sıkı koruma altında — ve ihlal halinde daha yüksek idari para cezasına tabi. 2025 yılı itibarıyla ceza tavanı ₺11,2 milyon'a yükseldi.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (28 Ekim 2017)

Bu yönetmelik KVKK Madde 7'nin uygulama rehberi niteliğinde. İmha yöntemlerini, periyodik imha zorunluluğunu ve kayıt tutma gereksinimlerini somutlaştırıyor. Klinikler açısından pratik önemi şu: imha sadece silmek değil — hangi yöntemle imha edildiğini, ne zaman yapıldığını ve hangi veri kategorisinin etkilendiğini tutanakla belgelemek zorundalar.

Hasta Hakları Yönetmeliği — 20 Yıl Kuralı

1998 tarihli Hasta Hakları Yönetmeliği'nin 5. bölümü, hasta dosyalarının son işlem tarihinden itibaren 20 yıl saklanması zorunluluğunu getiriyor. Bu kural KVKK'nın amaç sınırlılığı ilkesiyle çelişmiyor; aksine tamamlıyor: hasta dosyasının saklama amacı (olası şikâyet, hukuki uyuşmazlık, takip tedavisi) 20 yıl boyunca geçerliliğini koruyor. 20 yıl sonunda amaç ortadan kalkıyor ve KVKK Madde 7 devreye giriyor.

TTK Madde 82 — Ticari Belge Saklama

Türk Ticaret Kanunu'nun 82. maddesi ticari defterleri ve belgeleri 10 yıl saklama yükümlülüğü getiriyor. Klinik faturaları, ödeme belgeleri ve muhasebe kayıtları bu kapsama giriyor. Sağlık verisi niteliği taşımayan fatura bile 10 yıl silinemiyor — erken imha vergi denetiminde sorun yaratıyor.

6643 Sayılı Eczacılar ve Eczaneler Hakkında Kanun

Reçete saklama süresi bu kanunla düzenleniyor: 5 yıl. Estetik veya dermatoloji kliniklerinde düzenlenen reçete kopyaları için geçerli. Sağlık Bakanlığı'nın elektronik reçete sisteminde kayıt otomatik yapılıyor olsa bile klinik kopyasının saklanması yükümlülüğü devam ediyor.

Klinik Verisi Türlerine Göre Saklama Süreleri

Aşağıdaki tablo birincil başvuru kaynağı olarak kullanılabilir. Her satır ilgili yasal dayanağa bağlı — "genel uygulama" sütunu pratikte karşılaşılan en yaygın yorumu yansıtıyor.

Tablodaki süreleri tek başına uygulamak yeterli değil; bir verinin birden fazla kategoriye girdiği durumlar var. Örneğin, botoks uygulaması için alınan tıbbi fotoğraf hem "tedavi notu" (20 yıl) hem "tıbbi fotoğraf" (tedavi + 5 yıl) kapsamında değerlendirilebilir. Bu tür örtüşmelerde her zaman daha uzun süre uygulanır.

Onam belgelerinin kayıt altındalik koşulları için ayrı bir rehber mevcut — saklama süresini doğru yönetseniz de belge formatı hatalıysa yararı sınırlı kalıyor.

Süresi Dolan Veriyi İmha Etmek — 3 Yöntem

28 Ekim 2017 tarihli Yönetmelik üç imha yöntemi tanımlıyor. Hangi yöntemin seçileceği verinin biçimine (fiziksel/dijital) ve imha sonrası kullanım niyetine göre belirleniyor.

1. Fiziksel İmha

Kâğıt belge için tek güvenli yol güvenli parçalama — basit çöp ya da normal evsel atık yetersiz ve yasadışı sayılır. KVKK kapsamında hasta adı, TC kimlik numarası veya sağlık bilgisi içeren her kâğıt belgenin çapraz kesimli kâğıt imha makinasıyla ya da lisanslı imha hizmeti firmasıyla bertaraf edilmesi gerekiyor. CD, USB, harici disk gibi taşınabilir medya için manyetik silme (degaussing) veya fiziksel kırma uygulanmalı — biçimlendirme yeterli değil, veri kurtarma yazılımlarıyla geri döndürülebilir.

2. Elektronik İmha

Dijital ortamdaki veriler için iki alt yöntem var:

• Üzerine yazma (overwrite): Veri alanının birden fazla kez üzerine rastgele veriler yazılarak orijinal içerik okunamaz hale getirilir. DoD 5220.22-M standardı 7 geçiş öneriyor; pratik uygulamada 3 geçiş yaygın kabul görüyor.
• Yazılım silme: Güvenli silme yazılımlarıyla (Eraser, DBAN vb.) gerçekleştirilen imha. Standart "Delete" veya "Çöp Kutusu Temizle" komutu yeterli sayılmaz.

Bulut tabanlı klinik yazılımlarında imha, yazılım sağlayıcısının altyapısında gerçekleşiyor — bu durumda sağlayıcıdan imha belgesi alınması ve kayıt altına alınması gerekiyor.

3. Anonim Hale Getirme

Kişiyi tanımlanamaz kılacak biçimde verinin değiştirilmesi — kimlik bilgilerinin silinmesi, pseudonymization veya aggregation yöntemleriyle. Bu yöntem araştırma ve istatistik amaçlı veri kullanımı için geçerli: kişiyi tanımlamak artık mümkün değilse KVKK koruması uygulanmıyor. Dikkat edilmesi gereken nokta: anonimleştirme gerçek anlamda tersine çevrilemez olmalı. Hasta numarası kaldırılıp isim bırakılmak "anonim" sayılmaz.

Periyodik İmha Kaydı Nasıl Tutulur?

Periyodik imha sadece silme işlemi değil, belgeleme sürecidir. KVK Kurumu denetiminde en sık sorulan sorulardan biri "son periyodik imhanızı ne zaman yaptınız ve tutanağı var mı?" oluyor.

Periyodik İmha Zorunluluğu

2017 tarihli Yönetmelik, kişisel veri saklama ve imha politikası olan kuruluşlar için periyodik imha süresini en fazla altı ay olarak belirliyor. Pratikte yılda iki kez (Ocak ve Temmuz) imha döngüsü kurmak en yaygın yaklaşım. Bu dönemlerde saklama süresi dolan tüm veriler taranıyor, imha ediliyor ve tutanakla kayıt altına alınıyor.

İmha Tutanağında Bulunması Gerekenler

• İmha tarihi ve imha dönemini kapsayan zaman aralığı
• İmha edilen veri kategorileri (hasta dosyası, fatura, rıza formu vb.)
• Kayıt sayısı veya medya hacmi
• Kullanılan imha yöntemi
• Sorumlu kişi ve imzası
• Varsa üçüncü taraf imha firması adı ve belgesi

İmha tutanakları en az 3 yıl saklanmalı. Bir paradoks gibi görünüyor ama imha belgelerinin kendisi yasal yükümlülüğü kanıtlama aracı — onları da erken imha etmek denetimde sorun yaratıyor.

KVK Kurulu Denetiminde Ne Sorulur?

Küçük ve orta ölçekli sağlık kuruluşlarını kapsayan 2024-2025 denetimlerinde en çok karşılaşılan sorular şunlar:

• Kişisel Veri Saklama ve İmha Politikanız mevcut mu ve son ne zaman güncellendi?
• Periyodik imha döngünüz var mı? Son dönem tutanağını gösterir misiniz?
• Saklama süresini aşmış veri var mı, kontrol mekanizmanız nedir?
• Rıza geri çekme talepleri nasıl işleniyor ve kayıt altına alınıyor mu?

Bu sorulara sözlü yanıt yeterli değil — belgeli cevap isteniyor. Veri ihlali gerçekleştiğinde hazırlıksız yakalanmamak için bu yapıyı önceden kurmak gerekiyor.

KVKK ihlallerinde uygulanan cezalar ve gerçek dava örnekleri için KVKK cezaları rehberi'ne bakabilirsiniz. Ayrıca klinik boyutunuza göre oluşabilecek ceza tahmini için KVKK ceza hesaplayıcısı'nı kullanabilirsiniz.

Dijital Sistemde Otomatik Saklama Yönetimi

Manuel takip neden başarısız oluyor? Çünkü klinik büyüdükçe hasta sayısı lineer artarken takip yükü katlanarak artıyor. 50 hasta için yıllık imha döngüsü bir Excel tablosuyla yönetilebilir. 500 hasta için bu yaklaşım hem hata payını büyütür hem personel zamanını tüketir.

Manuel Takibin Pratik Sorunları

• Saklama süresini farklı kanallardan (kâğıt arşiv, bilgisayar klasörü, bulut) ayrı ayrı takip etmek koordinasyon hatası üretiyor.
• İmha tarihi hesabı "son işlem" bazlı — hastanın kliniğe en son ne zaman geldiğini her seferinde elle sorgulamak gerekiyor.
• Personel değişiminde takip kırılıyor; yeni kişi sistemi bilmiyor ve döngü bozuluyor.
• Rıza geri çekme talepleri anlık işlem gerektiriyor — haftalık veya aylık kontrol yeterli değil.

Dijital Sistemde Otomatik Uyum

KVKK uyumlu klinik yazılımı, saklama sürelerini hasta kaydının üzerine otomatik bağlıyor. Son randevu veya işlem tarihi sistem tarafından takip ediliyor, saklama süresi yaklaştığında uyarı üretiyor. Bu yaklaşımın somut farkı:

• Audit trail: Her erişim, her değişiklik, her imha işlemi değiştirilemez biçimde kaydediliyor. KVK Kurulu denetiminde bu kayıtlar birincil kanıt.
• Otomatik uyarı: Saklama süresi 6 ay içinde dolacak kayıtlar için periyodik imha döngüsüne otomatik ekleniyor.
• Rıza takibi: Pazarlama izni geri çekildiğinde ilgili veri kategorisi otomatik imha kuyruğuna alınıyor.

Dijital onam sistemi ile entegre çalışan bu yapı, TÜBİTAK TSS zaman damgası sayesinde onam belgesinin imzalandığı anı kriptografik olarak sabitliyor. Bu sayede onam belgesi saklama süresinin başlangıç tarihini ispat etmek sorun olmaktan çıkıyor.

Sık Sorulan Sorular