Eczaneler VERBİS'e Kayıt Olmak Zorunda mı? Eczanede Reçete, Medula ve Hasta Verisinde KVKK

Kısa cevap: evet, eczaneler VERBİS'e kayıtla yükümlü ve bu yükümlülük çalışan sayısına ya da bilanço büyüklüğüne bağlı değil. Kurul, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan veri sorumlularını Sicile kayıttan muaf tuttu, ama muafiyetin dışında bıraktığı bir grup var: ana faaliyet konusu özel nitelikli kişisel veri işleme olanlar. Eczane tam bu grupta duruyor, çünkü tezgâhın arkasında dönen iş reçete, tanı ve ilaç bilgisi. Türk Eczacıları Birliği de aynı şeyi söylüyor: eczaneler 'çalışan sayısı ve mali bilanço tutarı ile bağlı olmaksızın' VERBİS bildirimini yapmakla yükümlü. Son tarih, Kurul'un 11 Mart 2021 tarihli ve 2021/238 sayılı kararıyla 31 Aralık 2021 olarak belirlendi ve bir daha uzatılmadı. Kaydı hâlâ olmayan eczanede yükümlülük ortadan kalkmıyor; Sicile kayıt ve bildirim yükümlülüğüne aykırı hareket 2026'da 341.809 TL ile 17.092.242 TL arasında idari para cezasına konu oluyor.

Karşılaştırma tabloyu netleştiriyor. Kurul'un 2 Nisan 2018 tarihli ve 2018/32 sayılı kararı bazı meslek gruplarını Sicile kayıttan açıkça muaf tuttu: 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler, 1136 sayılı Avukatlık Kanunu kapsamındaki avukatlar, 3568 sayılı Kanun kapsamındaki serbest muhasebeci mali müşavirler ve yeminli mali müşavirler, siyasi partiler, mevzuatına ve amaçlarına uygun faaliyet alanıyla sınırlı kalmak kaydıyla dernek, vakıf ve sendikalar. Eczacılar bu listede yok. Kayıt da tek bir formdan ibaret değil. Veri Sorumluları Sicili Hakkında Yönetmelik, Sicile kayıtla yükümlü veri sorumlularının kişisel veri işleme envanteri hazırlamasını şart koşuyor; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ise aynı gruba saklama ve imha politikası yükümlülüğü getiriyor. VERBİS ekranında beyan edilen veri kategorileri, aktarılan taraflar ve saklama süreleri o envanterden çıkıyor. Envanteri olmayan eczane formu doldururken tahmin yürütüyor ve o tahminler denetimde kendi aleyhine okunuyor.

Uyum çalışmasında en sık yapılan hata rıza formuyla başlıyor. Hastaya 'sağlık verilerimin işlenmesine onay veriyorum' kâğıdı imzalatmak eczanede kural olarak gereksiz. 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikten sonra 6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrası, özel nitelikli verilerin işlenebileceği hâlleri bentler hâlinde sayıyor. Eczanenin dayanacağı iki bent var: (b) bendindeki kanunlarda açıkça öngörülme ve (e) bendindeki, sır saklama yükümlülüğü altında bulunan kişiler tarafından tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işleme. Eczacı sır saklama yükümlülüğü altındaki kişi, reçetenin karşılanması da tedavinin parçası. Buradan iki sonuç çıkıyor. İlacı vermek için rıza aramıyorsunuz, ama bu bent verinin başka amaçlarla kullanılması konusunda size hiçbir şey vermiyor. Dayanmadığınız bir hukuki sebep için rıza almak, rızasını geri çeken hastaya ilaç vermeyi bırakacakmışsınız gibi bir izlenim de doğuruyor.

Kurul'un 6 Temmuz 2023 tarihli ve 2023/1130 sayılı kararı sınırın nerede olduğunu tek olayda gösteriyor. Boşanma sonrası velayet davası süren bir kişinin hastane raporu ve ilaç kayıtları, eczanede Medula sisteminden çıkarılıp eski eşine verilmiş. Eczacının savunması ilk bakışta makul görünüyordu: dört yıl boyunca ilgili kişinin ilaçlarını eşi almış, reçete işlemlerini o yürütmüş, çalışan da tarafların boşandığını ve aralarında husumet bulunduğunu bilmeden, 'ilgili kişiye faydalı olabilmek maksadı ile' hareket etmişti. Kurul bunu kabul etmedi. Sağlık verilerinin Kanun'un 6. maddesindeki işleme şartlarından herhangi birine dayanılmaksızın üçüncü kişi olan eski eşle paylaşıldığı sonucuna vardı, veri sorumlusu hakkında Kanun'un 18. maddesinin birinci fıkrasının (b) bendi kapsamında 50.000 TL idari para cezası uyguladı ve veri güvenliğine ilişkin yükümlülükler bakımından uyarıda bulundu. Alışkanlık, veri işlemenin hukuki sebebi sayılmıyor.

Bu karar günlük pratikte iki işi ayırmayı gerektiriyor. İlacı teslim etmek ile hastanın tanı ve ilaç geçmişini bir başkasına anlatmak veya yazdırıp vermek aynı şey değil. Reçetedeki ilacı hasta yakınının gelip alması hayatın olağan akışı, tedavinin sürmesi için de gerekli. Aynı kişinin 'eşim başka hangi ilaçları kullanıyor' sorusuna cevap vermek ise ayrı bir işleme ve dayanağı yok. Sınırı şöyle çizmek mümkün: reçetede yazan ilaç teslim edilir, sistemdeki geçmiş kayıt paylaşılmaz, ekran üçüncü kişiye çevrilmez, çıktı verilmez. Vefat etmiş bir kişinin ilaç kayıtları istendiğinde tablo değişiyor. Kişisel Sağlık Verileri Hakkında Yönetmelik'in 11. maddesi, ölmüş bir kimsenin sağlık verilerini almaya veraset ilamını ibraz etmek suretiyle yasal mirasçıların münferit olarak yetkili olduğunu söylüyor. Belge yoksa talep karşılanmaz, belge varsa kim neyi ne zaman aldı diye kayda geçirilerek karşılanır.

İkinci risk kaynağı eczanenin kendi içinde. Kurul'un 7 Mayıs 2020 tarihli ve 2020/355 sayılı kararına konu olayda bir eczacının eşi, İl Sağlık Müdürlüğü'ne verdiği dilekçenin ekine, eşinin eczanesinden temin ettiği başka bir kişiye ait Medula Eczane çıktılarını, yani tanı ve ilaç bilgilerini eklemiş. Kurul, eczanenin Medula sistemine erişimi denetim altında tutacak yeterli tedbirleri almadığını tespit etti, 12. maddenin birinci fıkrasının ihlali nedeniyle 60.000 TL idari para cezası uyguladı, eczacının eşi hakkında da Türk Ceza Kanunu'nun 136. maddesi kapsamında Cumhuriyet başsavcılığına bildirimde bulunulmasına karar verdi. Benzer çizgi 5 Aralık 2018 tarihli ve 2018/143 sayılı kararda da görülüyor: doktor kontrolünde ilaç kullanan bir kişinin sağlık verilerini geçerli bir işleme şartı olmadan üçüncü kişiye aktaran eczane hakkında idari para cezasına hükmedildi. Açık kalmış bir oturum, aile üyelerinin de kullandığı bir ekran ya da herkesin bildiği tek bir şifre, bu dosyalarda doğrudan ceza gerekçesi oluyor.

Hangi sistemde kimin sorumlu olduğunu bilmek işi kolaylaştırıyor. Medula, Sosyal Güvenlik Kurumu'nun işlettiği bir provizyon ve fatura sistemi; eczanenin sorumluluğu bu sisteme kendi kullanıcılarıyla erişirken ve oradan aldığı çıktıları kendi ortamında tutarken başlıyor. İlaç Takip Sistemi ürün bazlı çalışıyor, karekod üzerinden kutunun izini sürüyor. Hasta kimliğiyle eşleşen kayıtlar ise eczane yazılımında, Medula ekranlarında ve basılı belgelerde birikiyor. Sızıntı çoğu zaman siber tarafta değil, tezgâhın üstünde oluyor: sırada bekleyen kişinin önündekinin reçetesini okuyabildiği bir yerleşim, çöpe atılmış Medula çıktısı, aylardır tezgâh altında duran reçete tomarı, kilitlenmemiş ekran. Kâğıt için gereken tek şey kilitli bir dolap ve çalışan bir evrak imha makinesi. Bilgisayarın çalınması veya fidye yazılımıyla şifrelenmesi ise veri ihlali sayılıyor ve Kurul, ihlalin öğrenilmesinden itibaren gecikmeksizin, en geç 72 saat içinde Kuruma bildirim yapılmasını istiyor.

Özel nitelikli veri işleyen her veri sorumlusu için Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı ilke kararı ayrı bir liste getiriyor ve eczanedeki karşılıkları oldukça somut. Karar önce sistemli, kuralları net biçimde belirlenmiş, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedür istiyor. Ardından personel tarafı geliyor: düzenli eğitim, gizlilik sözleşmeleri, verilere erişim yetkisi olan kullanıcıların yetki kapsamının ve süresinin net olarak tanımlanması, periyodik yetki kontrolleri, görev değişikliği olan ya da işten ayrılan çalışanların yetkilerinin derhal kaldırılması. Elektronik ortam için şifreleme, anahtarların güvenli ve ayrı bir yerde tutulması, verilere yapılan işlemlerin kayıt altına alınması ve uzaktan erişimde en az iki kademeli kimlik doğrulama aranıyor. Fiziksel ortam için yangın, su ve hırsızlığa karşı koruma ile yetkisiz girişin engellenmesi isteniyor. Eczane ölçeğinde bunun tercümesi kısa: kalfa, teknisyen ve stajyer için imzalı gizlilik taahhüdü, herkese ayrı kullanıcı hesabı, ayrılan çalışanın hesabının aynı gün kapatılması, yedeklerin şifreli tutulması.

Saklama süresi tarafında eczaneye özgü bir karışıklık var. Eczacılar ve Eczaneler Hakkında Yönetmelik'in 45. maddesi, eczanede satışı yapılan tüm ilaçların elektronik ortamda kaydedilmesini ve bu kayıtların denetimlerde istenmesi hâlinde sunulmak üzere saklanmasını istiyor, ama maddede sabit bir süre yazmıyor. Süreler başka mevzuattan geliyor. 213 sayılı Vergi Usul Kanunu'nun 253. maddesi defter ve vesikalar için ilgili bulundukları yılı takip eden takvim yılından başlayarak beş yıl, 6102 sayılı Türk Ticaret Kanunu'nun 82. maddesi ticari defterler ve muhasebe belgeleri için on yıl öngörüyor. Uyuşturucu ve psikotrop ilaçlara mahsus reçeteler geri verilmeyerek eczanede saklanıyor. Bunların dışındaki her kayıt için ölçüt 6698 sayılı Kanun'un 4. maddesinin ikinci fıkrasının (d) bendi: ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza. Süre dolduğunda imha yükümlülüğü doğuyor; ilgili yönetmelik periyodik imha aralığının hiçbir hâlde altı ayı geçemeyeceğini, ilgili kişinin kendisi talep ederse işlemin en geç otuz günde sonuçlandırılmasını söylüyor. Eczane devrinde veya kapanışında müşteri ve reçete kayıtlarının yeni eczacının bilgisayarına olduğu gibi geçmesi de ayrı bir aktarım; hangi kaydın hangi gerekçeyle devredildiği yazılı değilse o devri savunmak zor.

Aydınlatma yükümlülüğü eczanede iki ayrı yerde karşımıza çıkıyor. Kanun'un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hastaya verilerinin hangi amaçla işlendiği, kimlere ve hangi amaçla aktarılabileceği, işlemenin hukuki sebebi ve 11. maddedeki hakları anlatılmak zorunda. Eczanede bunun pratik yolu tezgâhta görünür bir metin ve talep edene verilecek yazılı bir nüsha. İkincisi kamera. Güvenlik kamerası için ayrı bir aydınlatma gerekiyor, girişte görülebilecek bir bildirim ile ayrıntılı metnin birlikte kurulması bekleniyor. Kameranın açısı da başlı başına bir uyum konusu: kasayı ve ilaç dolabını görmesi anlaşılır, sıra bekleyen hastaların reçetesini okuyacak kadar yakın çekim yapması ya da ses kaydı alması ölçülülük ilkesine takılıyor. Aydınlatma yükümlülüğünün ihlali 2026'da 85.437 TL ile 1.709.200 TL arasında idari para cezasına bağlı ve denetimde en kolay tespit edilen eksiklik bu.

Hasta iletişiminde ayrım ince. Eczanenin 'ilacınız geldi' ya da 'siparişiniz hazır' bilgisi hizmetin sunulmasına ilişkin bir bildirim; Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, temin edilen mal veya hizmete ilişkin değişiklik, kullanım ve bakıma yönelik iletiler için ayrıca onay aranmadığını söylüyor. Aynı numaraya 'kış vitamini kampanyası' mesajı gitmeye başladığında iş değişiyor: bu ticari elektronik ileti oluyor ve İleti Yönetim Sistemi üzerinden onay gerekiyor. Bir katman daha var. Kampanya mesajını kullandığı ilaca göre seçilmiş bir listeye gönderdiyseniz, sağlık verisi üzerinden hedefleme yapmış olursunuz; burada açık rıza da çoğu zaman kurtarmaz, çünkü rızanın özgür iradeyle verilmiş olması gerekiyor. Müşteri kartı ve puan uygulamaları aynı sorunun kaynağı. Kartın arkasındaki satın alma geçmişi, söz konusu olan ilaç olduğunda sıradan bir alışveriş kaydı değil.

Eksikleri çıkarmak uzun sürmüyor. VERBİS kaydı var mı ve bildirim güncel mi, envanter ile saklama ve imha politikası duruyor mu, tezgâhta ve girişte aydınlatma metni asılı mı, her çalışanın ayrı kullanıcı hesabı ve imzalı gizlilik taahhüdü var mı, ayrılan çalışanın yetkisi kapatıldı mı, kâğıt reçeteler kilitli mi, evrak imha makinesi çalışıyor mu, yedekler şifreli mi. Çoğu eczanede bu listenin iki ya da üç satırı eksik çıkıyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde eczanenizin bu başlıklardaki durumunu birlikte gözden geçirebiliriz.

Randevu Al