İletişim formu ve kişisel veriler: psikolog sitesinde ilk mesajı güvenle almak

Form sade görünür, içerik öyle olmayabilir

6698 sayılı Kişisel Verilerin Korunması Kanunu, sağlıkla ilgili verileri özel nitelikli kişisel veri olarak sayar (m. 6). Bir psikolog sitesindeki boş “mesajınız” alanı, ziyaretçinin yaşadıklarını ayrıntılı biçimde yazdığı ilk yer olabilir.

Bu nedenle formun görevini baştan belirlemek önemlidir. İlk temas formu, bir görüşmeyi planlamak için gereken en az bilgiyi toplamalıdır. Ayrıntılı öykü, görüşmenin kendisine ve uzmanın mesleki kayıt düzenine aittir; genel bir web formunun varsayılan alanı olmamalıdır.

Hangi alanlar gerçekten gerekli?

Kanun, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister (m. 4). İlk temas için bu genellikle aşağıdaki birkaç alana karşılık gelir. Her yeni alan için “bu bilgi olmadan ilk dönüşü yapabilir miyim?” diye sorun.

• Ad veya kişinin tercih ettiği hitap.
• Tek bir geri dönüş yolu: telefon ya da e-posta.
• Tercih edilen görüşme biçimi: yüz yüze veya online.
• İsteğe bağlı kısa bir not ve yanında sağlık bilgisi yazılmaması gerektiğini söyleyen açık bir uyarı.
• Doğum tarihi, kimlik numarası, tanı veya ilaç bilgisi gibi alanları ilk temas formuna eklemeyin.

Aydınlatma: veri toplanırken, anlaşılır bir dille

Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi bilgilendirmekle yükümlüdür. Bilgilendirme; veri sorumlusunun kimliğini, işleme amacını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebi ve kişinin 11. maddedeki haklarını içerir (m. 10). Veri sorumlusu gerçek kişi de olabilir (m. 3); bağımsız çalışan bir psikolog bu durumdadır.

Aydınlatma Yükümlülüğü Tebliği, bilgilendirmenin veri toplanırken ve anlaşılır bir dille yapılmasını, işleme amacının genel ifadelerle geçiştirilmemesini ve açık rıza alınacaksa bunun aydınlatmadan ayrı tutulmasını ister. Tasarımda bunun karşılığı, formun hemen yanında kısa bir özet ve aynı sayfada açılabilen tam metindir.

Form verisi nereye gidiyor?

Bir form mesajı genellikle birkaç hizmetten geçer: sitenin barındırıldığı sunucu, formu işleyen eklenti veya hizmet ve mesajın düştüğü e-posta kutusu. Bu hizmetlerin çoğu yurt dışında yerleşiktir ve bu, Kanun'un 9. maddesindeki yurt dışına aktarım kurallarını gündeme getirir.

9. madde, 7499 sayılı Kanun'la değiştirildi ve yeni hâli 1 Haziran 2024'te yürürlüğe girdi. Aktarım; yeterlilik kararı, standart sözleşme gibi uygun güvenceler ya da sınırlı arızi durumlar üzerinden yapılabilir. Standart sözleşme imzalanırsa beş iş günü içinde Kurum'a bildirilmelidir. Hangi yolun sizin kurulumunuza uyduğunu bir uzmanla değerlendirin; en azından kullandığınız hizmetleri ve verinin nerede saklandığını aydınlatma metninizde açıkça yazın.

İlgili yazı: Alan adı ve kurumsal e-posta: psikolog sitesinin görünmeyen temeli

Görünmeyen ama gerekli ayrıntılar

Form mesajı yalnızca sizin posta kutunuza gitmeli; ziyaretçinin yazdığı adrese otomatik kopya göndermek, formun başkaları adına istenmeyen e-posta göndermek için kullanılmasına yol açabilir. Otomatik gönderimleri engellemek için görünmez tuzak alanlar ve istek sınırı gibi hafif yöntemler, çoğu zaman ek bir üçüncü taraf doğrulama aracına gerek bırakmaz.

Teknik olarak çalışan bir form, tüm veri sorumluluklarının çözüldüğü anlamına gelmez. SEANS'ın kendi iletişim sayfası da bu ilkelerle hazırlandı: az alan, açık amaç ve aynı sayfada kişisel veri bilgilendirmesi. Bu yazı hukuki görüş değildir; kurulumunuzu yayından önce bir hukukçuyla gözden geçirin.