Sağlık sektöründe faaliyet gösteren hastaneler, poliklinikler, estetik tıp merkezleri ve ağız-diş sağlığı kliniklerinin bulut tabanlı CRM sistemlerine (Zoho CRM, Salesforce vb.) hasta verisi girmesi, Kişisel Verileri Koruma Kanunu (KVKK) kapsamında ciddi idari ve hukuki sorumluluklar doğurmaktadır.
1️⃣ Sağlık Verisi KVKK’da “Özel Nitelikli Kişisel Veri” Statüsündedir (Madde 6)
Hasta verileri (teşhis, tedavi, reçete, tahlil sonuçları) normal verilerden (ad, soyad, telefon) tamamen farklı ve çok daha sıkı koruma rejimine tabidir. Sadece hastadan açık rıza alınması yasal olarak YETERLİ DEĞİLDİR. Kişisel Verileri Koruma Kurulu’nun 2018/10 sayılı kararı uyarınca ek idari ve teknik tedbirlerin (şifreleme, erişim logları, iki faktörlü kimlik doğrulama) alınması zorunludur.
2️⃣ Zoho Sunucuları Yurt Dışındadır → Yurt Dışına Veri Aktarımı İhlali (Madde 9)
Zoho Corporation sunucuları ve bulut altyapısı ağırlıklı olarak yurt dışında (ABD, AB, Hindistan) yer almaktadır. Hasta verilerinin Zoho ekranlarına girilmesi, verinin fiilen yurt dışına aktarıldığı anlamına gelir. KVKK Madde 9 uyum mekanizmaları (Taahhütname / Kurul İzni veya Yeterlilik Kararı) olmadan aktarım yapılması doğrudan ağır mevzuat ihlalidir.
3️⃣ KVKK Kurul Emsal Kararları ve İdari Para Cezaları
Kişisel Verileri Koruma Kurulu (KVKK), yurt dışı barındırmalı CRM veya bulut yazılımlarda hasta ve sağlık verilerini saklayan sağlık kuruluşlarına yüz binlerce ila milyonlarca TL idari para cezası kesmiştir. Zoho’nun “Biz GDPR uyumluyuz” beyanı, Türk KVKK mevzuatı ve Kurul denetimlerinde cezayı engellememektedir.
4️⃣ Standart Zoho Sözleşmesi & DPA Uyumsuzluğu
Standart Zoho kullanıcı sözleşmeleri AB GDPR standartlarına göre kurgulanmıştır. Türk KVKK mevzuatının 6698 sayılı kanun kapsamında veri sorumlusu ile veri işleyen arasında talep ettiği özel taahhütleri ve yerel mevzuat klozlarını karşılamamaktadır. Ayrı bir KVKK uyumlu Veri İşleme Sözleşmesi (DPA) zorunludur.
5️⃣ VERBİS Kaydı ve Veri Envanteri Çelişkisi
Sağlık verisi işleyen tüm kuruluşların VERBİS kaydı yapması ve Veri İşleme Envanteri hazırlaması zorunludur. CRM sistemine hasta verisi aktarıldığı halde VERBİS’te “Yurt Dışına Veri Aktarımı” bildirilmemişse denetimlerde doğrudan yaptırım uygulanır.
6️⃣ Özet ve Güvenli Kullanım Çerçevesi (Sınır Çizgisi)
- Kullanılabilecek Alanlar (Düşük Risk): Randevu hatırlatma, ilk iletişim bilgisi (Ad, Soyad, Telefon), genel kampanya mailleri.
- KESİNLİKLE KULLANILMAMASI GEREKEN ALANLAR (Yüksek Risk): Hasta teşhis/tedavileri, klinik notlar, reçete detayları, ameliyat/operasyon görselleri, tahlil/fiziki sağlık verileri.
Çözüm: Advocotek On-Premise SuiteCRM ile %100 KVKK Uyumluluğu
Verilerinizin tamamen Türkiye sınırları içindeki kendi sunucunuzda (On-Premise) barındırıldığı, Dolar bazlı lisans maliyeti içermeyen SuiteCRM 8 altyapısına geçiş yaparak tüm hukuki ve idari riskleri sıfırlayabilirsiniz.
👉 Advocotek KVKK Uyumlu Sağlık CRM Çözümü Detayları İçin Tıklayın
