VERBİS Kaydı Nedir? Klinikler için KVKK Yükümlülüğü

2023 itibarıyla belirli büyüklüğü aşan tüm klinikler için VERBİS kaydı zorunlu hale geldi. Kaydını tamamlamayan veri sorumlularına Kişisel Verileri Koruma Kurumu (KVKK) tarafından ağır idari para cezası uygulanabiliyor. Bu rehberde VERBİS'in ne olduğunu, hangi kliniklerin kayıt yaptırması gerektiğini ve adım adım nasıl yapılacağını açıklıyoruz.

VERBİS Nedir?

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), Kişisel Verileri Koruma Kurumu'nun yürüttüğü kamuya açık bir kayıt sistemidir. Veri sorumluları — yani kişisel verilerin işlenme amacını ve araçlarını belirleyen gerçek veya tüzel kişiler — bu sistem üzerinden hangi verileri, hangi amaçla ve kimlerle paylaşarak işlediklerini bildirmekle yükümlüdür.

Klinikler, hasta adı-soyadı, sağlık geçmişi, randevu bilgisi ve iletişim verisi gibi kişisel verileri işleyen kuruluşlar olduğundan VERBİS kapsamındaki veri sorumlularının başında gelir. Sistemin amacı, veri işleme faaliyetlerini şeffaf kılmak ve kamuya hesap verebilirlik sağlamaktır.

Hangi Klinikler VERBİS'e Kayıt Olmak Zorunda?

KVKK'nın belirlediği eşikler şöyledir: yıllık çalışan sayısı 50'nin üzerinde olan ya da yıllık mali bilanço toplamı 25 milyon TL'nin üzerinde olan veri sorumluları VERBİS'e kayıt yaptırmak zorundadır. Çalışan sayısı veya bilanço eşiğinin herhangi birini aşmak kayıt yükümlülüğü doğurur.

Estetik klinikler, diş klinikleri ve özel poliklinikler büyüme süreçlerinde bu eşikleri hızla geçebilir. Kliniğinizin çalışan sayısını ve mali büyüklüğünü düzenli aralıklarla gözden geçirmeniz, yükümlülüğün ne zaman başladığını takip etmek açısından kritiktir.

VERBİS'e Nasıl Kayıt Olunur?

Kayıt süreci tamamen çevrimiçi olup dört ana adımdan oluşur:

1. 1
   Başvuru portalına erişim: verbis.kvkk.gov.tr adresine giriş yaparak veri sorumlusu hesabı oluşturun. KEP adresi ve MERSİS numarası gibi kurumsal bilgileri hazır bulundurun.
2. 2
   Veri işleme envanteri hazırlama: Kliniğinizin hangi kişisel verileri, hangi departmanda, hangi amaçla işlediğini listeleyin. Hasta kayıt, randevu, faturalandırma ve pazarlama süreçleri ayrı ayrı değerlendirilmelidir.
3. 3
   Amaç ve hukuki sebep tanımlama: Her veri kategorisi için işlemenin hukuki dayanağını belirtin. Sağlık verisi için açık rıza, sözleşmenin kurulması ve meşru menfaat gibi seçenekler arasından uygun olanı seçin.
4. 4
   Kayıt tamamlama ve yıllık güncelleme: Bildirim onaylandıktan sonra kayıt tamamlanmış olur. Veri işleme faaliyetlerinde değişiklik olduğunda veya her yıl yenileme döneminde kaydı güncellemek zorunludur.

Klinikler için VERBİS'te Bildirilmesi Gereken Veriler

Klinikler genel olarak aşağıdaki veri kategorilerini VERBİS bildirimine dahil etmek durumundadır:

• Kimlik verisi: Hastanın adı, soyadı, doğum tarihi, T.C. kimlik numarası.
• Sağlık verisi: Tanı, tedavi geçmişi, kullanılan ürün ve prosedür kayıtları — özel nitelikli kişisel veri olarak ek güvence gerektirir.
• İletişim verisi: Telefon numarası, e-posta adresi, adres bilgisi.
• Randevu ve işlem bilgisi: Randevu tarihi, gerçekleştirilen işlem, ödeme ve fatura bilgisi.
• Görsel veri: Tedavi öncesi-sonrası fotoğraflar — açık rıza olmadan işlenemez.

Her bir veri kategorisi için saklama süresi, üçüncü taraflarla paylaşım durumu ve yurt dışına aktarım olup olmadığı da bildirimde belirtilmelidir.

Ceza ve Yaptırımlar

VERBİS'e kayıt yaptırma yükümlülüğünü yerine getirmeyen veri sorumlularına KVKK tarafından 341.809 TL ile 17.092.242 TL arasında idari para cezası uygulanabilir. Ceza miktarı, ihlalin niteliğine, süresine ve işlenen veri miktarına göre belirlenir.

Bunun yanı sıra, VERBİS bildirimi yapılmış olsa dahi veri işleme faaliyetlerinin beyanla örtüşmemesi ayrı bir ihlal gerekçesi oluşturur. Bu nedenle başlangıçta eksiksiz ve güncel bir envanter oluşturmak, uzun vadede daha büyük yaptırımlardan korunmanın temel yoludur.