Bir hastanın MR raporu, sekreterin kişisel telefonundan WhatsApp ile gönderilir. Rapor karşı tarafta yedeklenir, aile grubuna iletilir, telefon değiştiğinde bulut hesabına taşınır. Klinik o andan sonra belgenin nerede olduğunu bilmez, kimin gördüğünü söyleyemez ve gerekirse geri alamaz. Hasta sonuçlarını portal üzerinden paylaşmak tam da bu kontrol kaybını ortadan kaldırmak içindir. Ancak portal, kimlik doğrulaması, erişim yetkisi, hekim onayı ve erişim kaydı doğru kurulduğunda güvenli olur. Bu pratik, o dört kurgunun nasıl oturtulacağını ve KVKK açısından nelere dikkat edileceğini anlatır.
01Tanıdık geliyor mu?
Bu durumlar sizde de oluyor mu?
Sonuç paylaşımında yaşanan sorunlar genellikle küçük ve tekrar eden tuhaflıklarla belli olur. Aşağıdaki dört durum kliniğinizde yaşanıyorsa, sonucun kime ulaştığı üzerindeki denetimi çoktan kaybetmişsiniz demektir. Kaybın faturası ancak bir şikâyet geldiğinde kesilir.
Sizde olanları işaretleyin.
En az ikisi tanıdık geliyorsa bu sayfa sizin için yazıldı. Hiçbiri değilse, benzer sorunlar sayfanın sonunda.
Portalin güvenliği kurulumdan gelir: doğrulanmış kimlik, role göre yetki, hekim onayından sonra yayın ve her erişimin kaydı.
02Neden oluyor?
Sorunun asıl kaynağı
Sorunun kökü kanalın kime ait olduğundadır. WhatsApp ve e-posta, hastanın da kliniğin de kontrol etmediği üçüncü taraf ortamlardır. Belge gönderildiği anda kliniğin yetki alanından çıkar. Portal ise kurumun tanımladığı kurallarla çalışan bir alandır, ama kuralları yazmadıysanız portal da yalnızca daha düzenli bir dağıtım kanalıdır.
- 01
Sağlık verisi özel nitelikli veridir, işlem şartları ağırdır
KVKK sağlık verisini özel nitelikli kişisel veri olarak sınıflar ve işlenmesini daha sıkı koşullara bağlar. Bu, kliniğin veriyi paylaşırken kimliği doğrulaması, erişimi sınırlaması ve işlemi kayıt altına alması anlamına gelir. Kişisel telefondan yapılan gönderimde bu üç şartın hiçbiri sağlanamaz. İhlal iddiası geldiğinde kurumun elinde savunmasını dayandıracak bir kayıt bulunmaz.
- 02
Gönderim ile erişim aynı şey değildir
Bir belgeyi göndermek, belgenin kopyasını başkasının cihazına bırakmaktır. Erişim vermek ise belgeyi kurumun alanında tutup bakma hakkı tanımaktır. Aradaki fark geri alınabilirlikte belirginleşir: yanlış paylaşılan erişim kapatılabilir, yanlış gönderilen dosya kapatılamaz. Klinikler kanal seçerken hızı karşılaştırır. Oysa karşılaştırılması gereken şey, hatanın düzeltilebilir olup olmadığıdır.
- 03
Onaysız yayın hastada belirsizlik üretir
Sonucun teknik olarak paylaşılabilir olması, paylaşılmaya hazır olduğu anlamına gelmez. Değerlendirme yapılmadan yayımlanan bir rapor hastaya sayı verir, anlam vermez. Klinik açısından da geri teper: açıklama talebi telefonla, plansız biçimde ve çoğu zaman en yoğun saatte gelir. Yayın kararının hekimin değerlendirmesine bağlanması hem hasta için hem klinik düzeni için gereklidir.
Bu sorunun size bedeli
Yılda 1-5 olay
Her simge 1 olayÜst sınıra kadar
Numara karışması ve rehberden hatalı seçim kaynaklı vaka tahmini.Kaba hesap: yılda 48 çalışma haftası, haftada 5 gün ve günde 8 saat varsayıldı.
Yılda 720-1.900 çağrı
Günde 3-8 çağrı birikince.
Her simge yaklaşık 100 çağrıÜst sınıra kadar
Değerlendirme öncesi ulaşılan sonuçların ürettiği plansız telefon trafiği.Kaba hesap: yılda 48 çalışma haftası, haftada 5 gün ve günde 8 saat varsayıldı.
- Kontrolsüz kanaldan giden belge
- Paylaşımların çoğu
- Kişisel telefon ve e-posta üzerinden yapılan, kurum kaydı olmayan gönderimler.
- İspatlanamayan paylaşım iddiası
- Tamamı
- Erişim kaydı tutulmadığında kurumun gösterebileceği belge kalmaz.
03Adım adım çözüm
Bugünden başlayabileceğiniz adımlar
Portal güvenliği tek bir ayarla sağlanmaz. Altı katmanın üst üste binmesiyle oluşur. Sıra şudur: kanalı tekilleştirin, kimliği doğrulayın, yayını hekim onayına bağlayın, aydınlatma ve rızayı sürecin içine yerleştirin, klinik içi erişimi rol matrisiyle sınırlayın, üçüncü kişi erişimini kurala bağlayın. Her katman diğerinin açığını kapatır. Birini atlamak zinciri zayıflatır.
- 1Adım 1 / 6Kurulumda bir kez, sonrasında istisnasız
Paylaşım kanalını tek noktaya indirin
Belgeler yalnız portalden paylaşılsın, kişisel telefon ve e-posta süreçten çıksın.
Kliniğin sonucu hangi kanaldan paylaşacağı tek cümleyle yazılmalı ve istisnası olmamalıdır: belgeler yalnızca portal üzerinden paylaşılır, kişisel telefon ve kişisel e-posta hesabı süreçte yer almaz. İstisna tanımlanan yerde kural yoktur. “Acil durumda WhatsApp da olur” cümlesi, iki hafta içinde kuralı tamamen boşa çıkarır ve eski düzen fark edilmeden geri gelir.
- Paylaşım kuralını tek cümleyle yazın ve ekibe duyurun
- Kişisel telefon ve e-posta ile belge gönderimini kapatın
- Portale erişemeyen hasta için klinikte kısa bir yardım akışı tanımlayın
Ayrıntısını okuyun
Geçişin en zor kısmı alışkanlıklarla ilgilidir. Hastalar bir süre WhatsApp’tan sonuç istemeye devam eder. Ekibe bu talebi kibarca çevirecek tek cümlelik bir yanıt verin ve portale yönlendirmenin nasıl yapılacağını gösterin. Portale girmekte zorlanan hastalar için klinikte kısa bir yardım akışı bulunsun. Aksi hâlde personel, hastayı yalnız bırakmamak adına eski kanala döner.
PratiVia’da: PratiVia’nın danışan portalı ayrı bir alan adı üzerinden çalışır. Belge ve form paylaşımı, mesajlaşma ve bildirimler kurumun kendi hesabından yürütülür, personelin kişisel hattına ihtiyaç kalmaz.
Portal ve mesajlar - 2Adım 2 / 6Her hesap açılışında: erişim politikası yılda bir
Kimlik doğrulamayı hafife almayın
Hesap açarken kimliği kayıtla eşleştirin, numarayı doğrulayın, toplu şifre dağıtmayın.
Portal güvenliğinin ilk halkası, karşıdaki kişinin gerçekten o hasta olduğundan emin olmaktır. Hesap açılırken kimlik bilgisi kayıtla eşleştirilmeli, iletişim numarası doğrulanmalı ve giriş bilgisi üçüncü bir kişiye söylenmeyecek şekilde iletilmelidir. Ortak kullanılan bir klinik hesabından hastalara toplu şifre dağıtmak, portalin sağladığı tüm korumayı tek hamlede iptal eder.
- Portal hesabını hastanın doğrulanmış iletişim bilgisiyle eşleştirin
- Giriş bilgisini üçüncü kişiye iletmeyi yasak kural hâline getirin
- Oturum süresi ve hatalı giriş kilidi ayarlarını açık tutun
Ayrıntısını okuyun
İkinci katman parolanın ötesine geçmektir. Hassas belge paylaşılan hesaplarda iki adımlı doğrulama, oturum süresinin sınırlanması ve şüpheli girişlerde hesabın geçici olarak kilitlenmesi anlamlı koruma sağlar. Bu ayarların hepsi hastayı zorlamaz. Gerçekten zorlayıcı olan, telefonu kaybolan bir hastanın sonuçlarına bir başkasının kalıcı biçimde erişmesidir.
PratiVia’da: PratiVia’da portal kimlik doğrulaması kurum kayıtlarıyla eşleşir. Hatalı giriş denemelerinde hesap kilitlenir, oturum yaşam döngüsü sunucu tarafında yönetilir ve personel hesaplarında doğrulama uygulamasına dayalı iki adımlı giriş tanımlanabilir.
- 3Adım 3 / 6Her sonuç paylaşımında
Yayını hekim onayına bağlayın
Sonuç önce dosyaya girsin, hekim iki satırlık notunu yazınca paylaşıma açılsın.
Sonucun portale düşmesi ile hastaya görünür olması iki ayrı olay olmalıdır. Belge kliniğe ulaştığında dosyaya yüklenir, hekim değerlendirmesini yazar ve ancak bundan sonra paylaşım açılır. Bu sıra, hastanın sayıyı anlamıyla birlikte görmesini sağlar. Klinik de açıklamayı kendi seçtiği zamanda ve doğru kişiyle yapar.
- Yükleme ile yayımlama arasına hekim onayı adımını koyun
- Paylaşılan her belgeye kısa bir yönlendirme notu ekleyin
- Açıklama gerektiren sonuçlarda paylaşımı görüşmeyle birlikte planlayın
Ayrıntısını okuyun
Paylaşımın yanına iki satırlık bir hekim notu eklemek, telefon trafiğini gözle görülür biçimde azaltır. Not, tıbbi bir açıklama metni olmak zorunda değildir, sonucun değerlendirildiğini, bir sonraki adımın ne olduğunu ve gerekiyorsa randevu davetini içermesi yeterlidir. Hastanın kafasındaki belirsizliği, kliniğin o veriyle bundan sonra ne yapacağını açıkça söylemesi bitirir.
PratiVia’da: PratiVia’da belge hasta dosyasına yüklendiğinde otomatik olarak portale açılmaz. Paylaşım kararı kurumun akışına bağlıdır ve hekimin değerlendirme notu aynı dosyada belgenin yanında durur.
Seans notları - 4Adım 4 / 6Portal kaydında bir kez, değişiklikte yenilenir
Aydınlatma ve açık rızayı sürecin içine yerleştirin
Aydınlatma metnini hesap açılmadan gösterin, onaylanan sürümü ve tarihi kaydedin.
Hastanın sonuçlarına dijital ortamdan erişeceği, bunun hangi verileri kapsadığı ve verinin nerede saklandığı, portal hesabı açılmadan önce anlaşılır bir metinle anlatılmalıdır. Aydınlatma yükümlülüğü kliniğe aittir ve sonradan tamamlanamaz. Hesap açıldıktan sonra imzalatılan metin, ihlal iddiasında kurumu koruyacak nitelikte olmaz.
- Portal aydınlatma metnini hesap açılışının önüne koyun
- Onayın sürümünü, tarihini ve doğrulama yöntemini kayıtta tutun
- Metin değiştiğinde onayı yenileyin, eskisini geçerli saymayın
Ayrıntısını okuyun
Rıza kaydının da izlenebilir olması gerekir: metnin hangi sürümünün onaylandığı, onayın ne zaman ve hangi doğrulamayla alındığı kayıtta durmalıdır. Metin güncellendiğinde eski onay yeni sürümü kapsamaz. Bu durumda hastadan yeniden onay alınır. Kâğıt üzerinde toplanan imzalar bu sürüm takibini pratikte yapamaz, çünkü hangi metnin imzalandığı yıllar sonra doğrulanamaz. Onay kaydının ayrıca geri alınabilir olması gerekir: hasta portal erişimini kapatmak istediğinde talebi işleme alınmalı ve bu değişiklik de tarihiyle birlikte kayda geçmelidir.
PratiVia’da: PratiVia’da aydınlatma ve açık rıza kayıtları telefona gelen tek kullanımlık kodla doğrulanarak alınır ve değiştirilemez biçimde saklanır. Hangi metnin hangi tarihte onaylandığı hasta dosyasından geriye dönük görülebilir.
Online formlar - 5Adım 5 / 6Kurulumda bir kez, personel değişiminde güncelleme
Klinik içi erişimi rol matrisiyle sınırlayın
Sonuca erişimi role göre sınırlayın, ayrılan personelin hesabını aynı gün kapatın.
Güvenlik tartışması genellikle dışarıya odaklanır. Oysa sağlık verisine yönelik risklerin önemli kısmı kurum içindedir. Sonuç belgesine kimin bakabileceği role göre tanımlanmalıdır: sekreter sürecin işlemesi için gereken bilgiyi görürken, klinik içeriğe erişimi hekimle sınırlı tutulabilir. Bu ayrım, KVKK’daki veri minimizasyonu ilkesinin gündelik işe uygulanmış hâlidir.
- Sonuç ve belge erişimini rol bazında tanımlayın
- Erişim kaydını düzenli aralıklarla gözden geçirin
- Ayrılan personelin erişimini aynı gün kapatın
Ayrıntısını okuyun
İkinci gereklilik erişimin kayıt altına alınmasıdır. Kimin hangi kaydı ne zaman açtığı değiştirilemez bir kayıtta durduğunda, hem içeriden hatalı erişim caydırılır hem de bir iddia geldiğinde kurumun elinde somut cevap olur. Personel ayrıldığında erişimin aynı gün kapatılması ise ayrı bir kural olarak yazılmalı ve çıkış listesine eklenmelidir.
PratiVia’da: PratiVia’da yetkiler rol matrisiyle yönetilir, hassas alanlar role göre gizlenebilir ve tüm erişimler değiştirilemez denetim kaydına işlenir. Veriler kurum bazında izole edilir ve Türkiye’deki veri merkezlerinde saklanır.
Ekip ve roller - 6Adım 6 / 6Her talepte: yılda bir gözden geçirme
Üçüncü kişi ve vekâlet erişimini kurala bağlayın
Yakın erişimini yalnız hastanın talebiyle, kapsamı ve süresi yazılı olarak açın.
Portal erişimiyle ilgili en sık yaşanan gri alan, hastanın kendisi dışındaki kişilerdir: eşi, yetişkin çocuğu, refakatçisi ya da velisi. Çocuk hastalarda veli erişimi doğaldır. Ancak yetişkin bir hastanın verisine yakınının erişmesi, hastanın açık talebi olmadan kabul edilemez. Kural yazılı değilse karar telefondaki personele kalır ve iyi niyetle verilmiş bir cevap ihlale dönüşür.
- Üçüncü kişi erişimini yalnızca hastanın yazılı talebiyle açın
- Erişimin kapsamını ve süresini kayıtta belirtin
- Reşit olma ve vesayet değişikliklerinde listeyi güncelleyin
Ayrıntısını okuyun
İşleyen bir düzen üç maddeden oluşur: erişim talebi hastanın kendisinden alınır, kapsamı ve süresi belirlenir, kayıt altına alınır. Süre dolduğunda erişim otomatik kapanmalı ya da elle kapatılmalıdır. Boşanma, vesayet ve reşit olma gibi durum değişikliklerinde ise erişim listesi mutlaka yeniden gözden geçirilmelidir.
PratiVia’da: PratiVia’da hasta dosyasındaki temas kanalları ve portal erişimi kurum tarafından yönetilir. Kimin adına hesap açıldığı ve erişimin ne zaman değiştirildiği denetim kaydından izlenir.
Danışan yönetimi
04PratiVia’da
Bu adımlar PratiVia’da nasıl kolaylaşır?
Güvenli paylaşım için ayrı bir güvenlik ürünü satın almak gerekmez. Belirleyici olan, paylaşımın yapıldığı yerin kurum kontrolünde olmasıdır. PratiVia portalı bu yüzden hasta dosyasının kliniğin kurallarıyla açılan dış yüzüdür.
Belge kliniğin alanında kalır
Paylaşılan sonuç, kurumun alanında açılan bir erişimdir ve hastanın cihazına dosya olarak kopyalanmaz. Yanlış açılan erişim kapatılabilir. Paylaşımın ne zaman ve neyi kapsadığı kayıtta durur.
Portal ve mesajlarŞifreleme ve karantina varsayılan
Dosya ekleri yüklenirken karantina taramasından geçer ve saklanırken şifrelenir. TC kimlik gibi hassas alanlar sistemde açık metin olarak durmaz. Koruma kliniğin sonradan açması gereken bir ayar değildir.
Danışan yönetimiRıza kaydı değiştirilemez
Aydınlatma ve açık rıza kayıtları telefona gelen tek kullanımlık kodla doğrulanarak alınır ve sonradan düzeltilemez biçimde saklanır. Bir denetimde sorulacak “bu hasta neye, ne zaman onay verdi” sorusunun cevabı kayıtta hazır durur.
Online formlarVeri Türkiye’de, her kurum ayrı
Kayıtlar Türkiye’deki veri merkezlerinde tutulur ve her kurumun verisi kayıt düzeyinde erişim kurallarıyla ayrılır. Bir kurumun kullanıcısı başka bir kurumun kaydına teknik olarak erişemez. İzolasyon uygulama katmanının insafına bırakılmaz.
05Sonucu görün
İşe yaradığını nasıl anlarsınız?
Portale geçişin işe yaradığı iki yerden anlaşılır: kontrolsüz kanaldan çıkan belge sayısının azalması ve hastanın sonucu kendi başına görebilmesi. Aşağıdaki dört gösterge bunu ölçer ve üçü elle tutulabilir.
Portal dışı belge paylaşımı
İlk 2 ayda sıfıra inmesi
Haftada bir ekibe sorulur: kaç belge portal dışında paylaşıldı, gerekçesi neydi.
Portal hesabı aktif hasta oranı
İlk 6 ayda aktif hastaların yarısı
Hesabı olan ve son 3 ayda giriş yapan hasta sayısı / aktif hasta sayısı.
Sonuç sorma amaçlı gelen çağrı
Belirgin ve sürekli düşüş
Sekreter bir hafta boyunca bu amaçla gelen aramaları çetele tutar, aylık karşılaştırılır.
Onaysız yayımlanan sonuç
Kalıcı olarak sıfır
Aylık denetimde hekim notu olmadan paylaşıma açılmış belge var mı diye bakılır.
4 haftalık uygulama planı
1. hafta
Paylaşım kuralını yazın, kişisel kanalları kapatın ve portal aydınlatma metnini hazırlayın.
Tek kanal ilan edildi, hukuki zemin hazır.
2. hafta
Portal hesaplarını doğrulanmış iletişim bilgisiyle açmaya başlayın. Rıza kaydını akışa koyun.
Hastalar doğrulanmış hesaplarla portale giriyor.
3. hafta
Hekim onayı adımını ve rol bazlı erişim sınırlarını devreye alın.
Hiçbir sonuç değerlendirilmeden yayımlanmıyor.
4. hafta
Üçüncü kişi erişim kuralını uygulayın ve dört göstergenin ilk ölçümünü alın.
Gri alan kapandı, ölçüm başladı.
06Sık sorulanlar
Aklınıza takılabilecekler
Portal, WhatsApp’tan gerçekten daha mı güvenli?
Doğru kurulduğunda evet, ve fark tek bir noktada toplanır: geri alınabilirlik. WhatsApp’tan gönderilen dosya karşı cihaza kopyalanır, yedeklenir ve iletilir. Klinik o andan sonra hiçbir müdahale yapamaz. Portalde paylaşılan belge ise kurumun alanında kalır, erişim kapatılabilir, kimin ne zaman baktığı kayda geçer. Portal kurulumu özensizse üstünlüğü azalır, ama kontrol edilebilirlik farkı kanal seçiminde belirleyicidir.
Yaşlı hastalarım portali kullanamıyor, ne yapmalıyım?
Portalı zorunlu tek yol hâline getirmek yerine güvenli alternatifler tanımlayın: belgeyi klinikte elden teslim etmek, kimliği doğrulanmış bir telefon görüşmesiyle bilgilendirmek ya da hastanın yazılı talebiyle bir yakınına süreli erişim açmak. Kritik olan, alternatifin de kayıt altında ve kural içinde olmasıdır. Klinikte iki dakikalık kısa bir kurulum desteği vermek de işe yarar. Birçok hasta ilk girişi birlikte yaptıktan sonra portali kullanmayı sürdürür.
Sonucu portale koymadan önce hekimin görmesi şart mı?
Klinik kalitesi açısından şarttır. Değerlendirilmeden yayımlanan sonuç hastayı bilgilendirmez. Referans aralığı dışındaki bir değeri bağlamsız gösterir ve çoğu zaman kaygıyla yapılan bir telefonla geri döner. Hekim onayı adımı hem hastanın doğru bilgiyle karşılaşmasını sağlar hem de kliniğin açıklamayı planlı biçimde yapmasına imkân verir. Bu adım süreci yavaşlatmaz. Onay için günde iki kısa pencere ayırmak çoğu klinikte yeterlidir.
Hasta yakınının portale erişmesi KVKK açısından sorun olur mu?
Hastanın açık talebi olmadan açılan yakın erişimi sorun olur. Yetişkin bir hastanın sağlık verisi kendisine aittir. Eşi veya çocuğu dahil hiç kimse otomatik erişim hakkına sahip değildir. Erişim ancak hastanın talebiyle, kapsamı ve süresi belirlenerek ve kayıt altına alınarak açılmalıdır. Çocuk hastalarda veli erişimi doğaldır ancak reşit olma tarihi geldiğinde erişimin gözden geçirilmesi gerekir. Bu, kliniklerde en sık atlanan noktadır.
Bir sızıntı yaşanırsa klinik ne yapmakla yükümlü?
Veri sorumlusu sıfatıyla klinik, ihlali tespit ettiğinde durumu değerlendirmek, etkilenen kişileri ve yetkili kurumu bilgilendirmek ve tekrarını önleyecek tedbirleri almakla yükümlüdür. Bu yükümlülüğü yerine getirebilmenin ön koşulu, ihlalin kapsamını gösterebilecek kayıtların bulunmasıdır: hangi belgeye, kim, ne zaman erişti. Erişim kaydı tutmayan bir kurum, ihlali ne sınırlandırabilir ne de açıklayabilir. Süreç ve bildirim ayrıntıları için kurumun hukuk danışmanıyla çalışması gerekir.
Portal kullanmaya başlamak kliniğe ne kadar iş çıkarır?
Kurulum tarafı bir haftalık iştir: paylaşım kuralının yazılması, aydınlatma metninin hazırlanması ve erişim yetkilerinin tanımlanması. Emeğin büyük kısmı hastaların hesaplarının açılmasıdır ve bu iş tek seferde yapılmaz. Hasta kliniğe geldikçe kaydı açılır, birkaç ay içinde aktif hastaların büyük bölümü portale taşınır. Karşılığında sonuç sormak için gelen telefon trafiği azalır ve belge gönderimi personelin kişisel telefonundan kurumun kaydına geçer.
Kaynak: KVKK. Son güncelleme: 28 Temmuz 2026.
