OSGB'lerde KVKK: Sağlık Verisi İşleme, Saklama Süreleri ve Gizlilik
Özel nitelikli sağlık verisi hangi dayanakla işlenir, kişisel sağlık dosyası kaç yıl saklanır, Ek-2'yi işveren görebilir mi?
OSGB Sağlık Verisini Hangi Dayanakla İşler? (Kısa Cevap)
İşe giriş ve periyodik muayeneler üzerinden işlenen çalışan sağlık bilgileri, 6698 sayılı KVKK kapsamında "özel nitelikli kişisel veri"dir ve işlenmeleri genel verilerden daha sıkı şartlara bağlıdır. 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklik sonrası KVKK m.6 uygulanır. Madde, özel nitelikli verilerin istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâlinde işlenmesine imkân tanır. Aynı madde, sağlık verilerinin sır saklama yükümlülüğü altındaki kişilerce koruyucu hekimlik, tıbbî teşhis ve tedavi amaçlarıyla işlenmesine de izin verir.
Pratik sonucu şudur: İSG mevzuatının zorunlu kıldığı sağlık gözetimi işlemleri için açık rıza tek dayanak değildir, dayanak hukuki yükümlülüktür. Açık rıza, ancak bu yükümlülük kapsamını aşan işlemler için gündeme gelir. Yanlış dayanak seçimi, yani her şeyi açık rızaya bağlamak, rıza geri çekildiğinde yasal zorunlu işlemi dayanaksız bırakma riski üretir.
Saklama Süreleri: 15 Yıl Kuralı ve İstisnaları
| Durum | Kural |
|---|---|
| Kişisel sağlık dosyası | Çalışanın işten ayrılma tarihinden itibaren en az 15 yıl saklanır (İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği). |
| Özel maruziyetler | Asbest ve bazı biyolojik etken maruziyetlerinde ilgili yönetmelikler saklamayı 40 yıla kadar uzatır (maruziyet listeleriyle birlikte). |
| Çalışan başka işyerine geçerse | Yeni işveren yazılı talep ederse dosyanın onaylı bir örneği bir ay içinde gönderilir. |
| İşyeri kapanırsa | Sağlık kayıtları SGK il müdürlüğüne teslim edilir; çöpe veya arşiv deposuna terk edilemez. |
OSGB açısından kritik nokta şudur: hizmet sözleşmesi sona erdiğinde dosyaların kime, hangi usulle devredileceği sözleşmede yazılı olmalıdır. Ayrıntı için hizmet sözleşmesi rehberindeki KVKK ve fesih maddelerine bakın.
Gizlilik Sınırı: Ek-2'yi İşveren Görebilir mi?
Sağlık gözetiminin altın kuralı şudur: işveren tanı ve tetkik ayrıntılarını değil, işe uygunluk sonucunu görür. İşe giriş / periyodik muayene raporunun (Ek-2) işverene giden yüzü "çalışabilir / şu şartlarla çalışabilir / çalışamaz" kanaatidir. Tahlil sonuçları, tanılar ve muayene notları hekimin sır saklama yükümlülüğü altında kişisel sağlık dosyasında kalır.
- Erişim matrisi kurun: sağlık verisine yalnız işyeri hekimi ve görevli sağlık personeli erişir; iş güvenliği uzmanı ve OSGB idari personeli tanı ayrıntısı göremez. Elektronik sistemde bu, rol bazlı yetkiyle; kâğıtta kilitli ve ayrı dolapla sağlanır.
- İşverenle paylaşım şablonlaştırın: işverene giden her belge "kanaat + çalışma koşulu önerisi" formatında olmalı; e-postayla tahlil PDF'i iletmek tipik bir ihlaldir.
- Aydınlatma yükümlülüğü: muayene sürecinde çalışana verinin hangi amaçla işlendiği ve kimlerle paylaşılacağı bildirilmelidir (KVKK m.10); işe giriş evrak setine tek sayfalık aydınlatma metni eklemek pratik çözümdür.
Veri Sorumlusu Kim: İşveren mi, OSGB mi?
İki tüzel kişinin de KVKK yükümlülüğü vardır ve rol dağılımı somut işleme göre değişir. İşveren, çalışanlarının İSG sürecindeki verileri bakımından veri sorumlusudur; OSGB ise kendi yasal yükümlülükleri (dosya tutma, saklama, bildirimler) yönünden sorumluluk taşır. İşveren adına yürüttüğü işlemlerde OSGB, veri işleyen konumuna yaklaşır. Sınır her zaman keskin olmadığından rol paylaşımını sözleşmeyle netleştirmek iki tarafı da korur.
Pratik yükümlülük listesi, her iki taraf için geçerlidir:
- Envanter: hangi veri, hangi amaçla, ne kadar süre kayıt altında olmalı; VERBİS kayıt yükümlülüğünüzü güncel eşiklere göre kontrol edin,
- Teknik tedbir: şifreli saklama, erişim logları, yedekleme; kâğıt arşivde kilit ve zimmet,
- İhlal yönetimi: veri ihlalinde Kurul'a ve ilgililere bildirim süreci önceden tanımlı olmalı (Kurul uygulamasında 72 saatlik bildirim esası benimsenmiştir),
- İmha: saklama süresi dolan kayıtlar için periyodik imha prosedürü.
Bu rehber bilgilendirme amaçlıdır, hukuki danışmanlık değildir; veri envanteriniz ve sözleşme hükümleriniz için KVKK alanında çalışan bir hukukçuya danışın.
Aydınlatma Metni Neleri İçermeli?
Aydınlatma metni çalışana muayene öncesinde verilir ve en az dört unsuru içerir. Bu unsurlar; verinin kim tarafından işlendiği (OSGB veya işyeri hekimi), hangi amaçla işlendiği (sağlık gözetimi yükümlülüğünün yerine getirilmesi), hangi hukuki sebebe dayandığı (KVKK m.6) ve kimlerle paylaşılabileceğidir. İşverene yalnızca işe uygunluk kararı, gerekli hallerde SGK ve Bakanlık paylaşılabilecek taraflar arasındadır. Metin ayrıca çalışanın KVKK m.11 kapsamındaki haklarını, yani verisine erişme, düzeltme ve silme talebinde bulunma hakkını da belirtir.
Pratikte aydınlatma metni işe giriş evrak setine tek sayfa olarak eklenir ve çalışan imzasıyla teslim alındığı kayıt altına alınır. İmza alınmaması, aydınlatma yükümlülüğünün yerine getirildiğini ispatlamayı zorlaştırır; bu yüzden imzalı nüsha, sağlık dosyasından ayrı bir KVKK klasöründe saklanır.
Veri İhlali Olursa OSGB Ne Yapmalı?
Veri ihlali, sağlık dosyalarının yetkisiz kişilerce görülmesi, e-posta ile yanlış alıcıya gönderilmesi, çalınması veya kaybolması gibi durumlarda oluşur. İlk adım, ihlalin kapsamını ve etkilenen çalışan sayısını tespit etmektir. İkinci ve acil adım, Kişisel Verileri Koruma Kurulu'na yazılı bildirimdir; Kurul uygulamasında öğrenmeden itibaren 72 saatlik bildirim esası benimsenmiştir. Üçüncü adım, etkilenen çalışanların makul sürede bilgilendirilmesidir; bilgilendirme, hangi verinin etkilendiğini ve alınan önlemleri içermelidir.
Sağlık verisi ihlalleri, özel nitelikli veri olmaları nedeniyle standart ihlallerden daha ciddi değerlendirilir. OSGB'nin ihlal öncesinde bir müdahale prosedürü hazırlamış olması, hem ihlal sonrası hızlı hareket etmeyi hem de Kurul nezdinde iyi niyetin gösterilmesini kolaylaştırır. Prosedür, kimin ihlali ilk tespit edeceğini, kimin Kurul'a bildirim yapacağını ve kayıtların nasıl tutulacağını önceden tanımlamalıdır.
Sık Yapılan KVKK Hataları Nelerdir?
En sık hata, tahlil sonucunu veya tanıyı doğrudan işverene e-postayla iletmektir; bu, sır saklama yükümlülüğünün doğrudan ihlalidir. İkinci hata, aydınlatma metnini yalnızca yeni işe girenlere verip periyodik muayeneye gelen mevcut çalışanlara tekrar hatırlatmamaktır. Üçüncü hata, sağlık dosyalarını iş güvenliği uzmanıyla aynı dijital klasörde, ayrı yetkilendirme olmadan tutmaktır; bu, erişim matrisinin fiilen çalışmadığı anlamına gelir.
Dördüncü hata, işyeri kapandığında sağlık kayıtlarının nereye teslim edileceğinin önceden planlanmamasıdır; son anda yapılan teslim süreci gecikir ve kayıt kaybı riski doğar. Beşinci hata, VERBİS kayıt yükümlülüğünün yalnızca büyük işletmeleri ilgilendirdiğini düşünmektir; OSGB'ler sağlık verisi işlediği için bu konuyu güncel eşiklere göre ayrıca değerlendirmelidir.
Örnek Senaryo: Bir OSGB'de Sağlık Dosyası Nasıl Yönetilir?
Elli işyerine hizmet veren Örnek Sağlık OSGB A.Ş.'yi ele alalım. Her işe giriş muayenesinde çalışana aydınlatma metni imzalatılır ve nüshası KVKK klasörüne konur. Muayene sonucu Ek-2 formuna işlenir; kanaat kısmı işverene PDF olarak iletilir, tahlil sonuçları ise yalnızca hekimin erişebildiği dijital sağlık modülünde kalır.
Bir çalışan işten ayrıldığında dosyası kapatılır ama silinmez; 15 yıllık saklama süresi başlar ve sistem bu süreyi otomatik izler. Aynı çalışan iki yıl sonra başka bir işverende yeniden işe girerse, yeni işveren yazılı talep eder ve OSGB onaylı örneği bir ay içinde gönderir; asıl dosya kendisinde kalır. Hizmet sözleşmesi biten bir işyerinin dosyaları ise sözleşmedeki devir maddesine göre ya yeni OSGB'ye ya da işverene teslim edilir; teslim tutanağı imzalanmadan dosya elden çıkarılmaz.
OSGB İçin VERBİS Kaydı Ne Zaman Gerekir?
VERBİS'e kayıt yükümlülüğü, veri sorumlusunun yıllık çalışan sayısı ve mali bilanço büyüklüğü gibi ölçütlere bağlı olarak Kurul tarafından belirlenen eşiklere göre değişir; eşikler zaman içinde güncellenebilir. OSGB'ler özel nitelikli sağlık verisi işlediği için, çalışan sayısı düşük olsa bile kayıt yükümlülüğü doğabilir; özel nitelikli veri işleyen veri sorumluları için ayrı bir istisna kategorisi öngörülmüştür.
Kayıt yükümlülüğünün OSGB'ye mi yoksa işverene mi ait olduğu, veri sorumlusu sıfatının kimde olduğuna bağlıdır; bu da rol paylaşımı analiziyle birlikte değerlendirilir. Güncel eşik ve istisna listesi Kurumun resmî duyurularından teyit edilmelidir; bu rehber güncel eşik tutarlarını içermez.
Kayıt yükümlülüğü doğduğunda, veri sorumlusunun VERBİS'e bildirmesi gereken bilgiler arasında işlenen veri kategorileri, veri konusu kişi grupları, aktarım yapılan alıcı grupları ve güvenlik tedbirlerinin genel açıklaması yer alır. OSGB için bu bildirim, sağlık verisi işleme faaliyetini açıkça kapsamalıdır; genel bir "personel verisi" beyanı yeterli sayılmaz. Bildirimin güncel tutulması da ayrı bir yükümlülüktür; hizmet verilen işyeri sayısı veya işlenen veri türü değiştiğinde kayıt yeniden gözden geçirilmelidir ve gecikmeden güncellenmelidir.
Sağlık Verisine Kimler Erişebilir, Kimler Erişemez?
Erişim matrisinde dört rol ayrı değerlendirilir. İşyeri hekimi ve varsa DSP, tanı ve tetkik dahil tüm sağlık dosyasına erişir; bu görevlerinin gereğidir. İş güvenliği uzmanı sağlık dosyasına erişemez, yalnızca hangi çalışanların hangi tarihte muayeneye çağrılması gerektiği gibi idari bilgiyi görebilir. OSGB'nin idari personeli, örneğin randevu planlama veya faturalama görevlisi, sağlık verisine hiç erişemez; sistemde bu rol için ayrı ve kısıtlı bir görünüm tanımlanmalıdır.
İşveren ise yalnızca işe uygunluk kararını görür; bu sınır elektronik sistemde rol bazlı yetkilendirmeyle, kâğıt dosyada fiziksel ayrımla sağlanır. Erişim matrisinin düzenli denetlenmesi gerekir; personel değişikliğinde eski çalışanın erişim yetkisi hemen kapatılmalıdır. Aksi halde işten ayrılan bir idari personelin sağlık verisine erişimi teknik olarak açık kalabilir; bu hem KVKK hem iç kontrol açısından risk oluşturur.
OSGB Hizmet Sözleşmesinde KVKK Hükmü Ne İçermeli?
Hizmet sözleşmesinde en az beş KVKK hükmü bulunmalıdır. Birincisi, hangi tarafın hangi işlemde veri sorumlusu, hangisinin veri işleyen sayıldığının tanımı. İkincisi, sözleşme sona erdiğinde sağlık dosyalarının kime, hangi sürede ve hangi formatta devredileceği. Üçüncüsü, veri ihlali halinde bildirim akışının kim tarafından kimlere yapılacağı.
Dördüncüsü, alt yüklenici, örneğin laboratuvar veya bordrolama firması kullanılıyorsa bu tarafların da aynı gizlilik yükümlülüğüne tabi olacağının garantisi. Beşincisi, sözleşme süresince ve sonrasında geçerli olacak gizlilik hükümleri. Bu hükümlerin sözleşme imzalanmadan önce netleştirilmesi, hizmet sona erdiğinde yaşanan "dosyalar kimde kaldı" tartışmalarını önler; OSGB değiştiren işverenler için de aynı kontrol listesi geçerlidir. Yeni sözleşme imzalanmadan önce eski OSGB'den devir taahhüdü yazılı olarak alınmalı ve devir tarihi, teslim edilecek dosya listesiyle birlikte kayda geçirilmelidir.
OSGB'lerde KVKK hakkında sık sorulan sorular
Sorunuz burada yoksa destek@firstisg.com adresine yazın, 24 saat içinde yanıtlıyoruz.
Kişisel sağlık dosyası kaç yıl saklanır?
Çalışanın işten ayrılma tarihinden itibaren en az 15 yıl saklanır (İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği). Asbest ve bazı biyolojik etken maruziyetlerinde ilgili yönetmelikler bu süreyi 40 yıla kadar uzatır. İşyeri kapanırsa kayıtlar çöpe veya arşiv deposuna terk edilemez, SGK il müdürlüğüne teslim edilir. OSGB ile hizmet sözleşmesi sona erdiğinde dosyaların kime ve hangi usulle devredileceği ayrıca sözleşmede yazılı olmalıdır.
Sağlık verisi işlemek için çalışandan açık rıza almak şart mı?
İSG mevzuatının zorunlu kıldığı sağlık gözetimi için şart değildir: KVKK m.6 (7499 ile değişik, yürürlük 01.06.2024), istihdam ve iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeye ve sır saklama yükümlülüğü altındaki kişilerce koruyucu hekimlik/tıbbi teşhis amaçlı işlemeye imkân tanır. Açık rıza, bu kapsamı aşan işlemler için gündeme gelir; aydınlatma yükümlülüğü (m.10) her durumda geçerlidir.
İşveren çalışanın sağlık raporunu ve tahlillerini görebilir mi?
Tanı ve tetkik ayrıntılarını göremez. İşverene giden belge, işe giriş/periyodik muayene raporunun (Ek-2) yalnızca "çalışabilir / şu şartlarla çalışabilir / çalışamaz" kanaat kısmıdır; tahlil sonuçları ve muayene notları hekimin sır saklama yükümlülüğü altında kişisel sağlık dosyasında kalır. Sağlık verisine yalnızca işyeri hekimi ve görevli sağlık personeli erişir; iş güvenliği uzmanı ve OSGB idari personeli dahi tanı ayrıntısını göremez; erişim elektronik sistemde rol bazlı yetkiyle, kâğıtta kilitli dolapla sağlanır.
Eski işverenden/OSGB'den sağlık dosyası istenebilir mi?
Evet, çalışan yeni bir işyerinde çalışmaya başlarsa ve yeni işveren yazılı talep ederse, dosyanın onaylı bir örneği bir ay içinde gönderilir. Asıl dosya, 15 yıllık saklama süresi boyunca önceki tarafta (eski işveren veya OSGB'de) kalır; yeni işyerine yalnızca onaylı kopya gider. OSGB değiştiren işyerlerde de aynı kural işler; hizmet sözleşmesi sona erdiğinde dosyaların devir usulü sözleşmede yazılı olmalıdır.
Sağlık kayıtları dijital ortamda tutulabilir mi?
Evet — mevzuat kâğıt şart koşmaz; şart olan gizlilik, erişim kontrolü ve saklama süresine uyumdur. Dijital sistemde rol bazlı yetki (tanı ayrıntısına yalnız hekim erişir), erişim logları ve şifreli saklama aranır; bu kontroller kâğıt arşivde kilitli dolap ve zimmetle sağlanandan daha denetlenebilirdir.
Sağlık Kayıtlarını 15 Yıl Kâğıtta mı Saklayacaksınız?
15 yıl kuralı, OSGB arşivini hızla fiziksel bir yüke çevirir: taşınan ofisler, yıpranan klasörler, "eski çalışanın dosyası nerede?" aramaları. FirstİSG'de müşteri firma ve personel kayıtları rol bazlı erişimle tek platformda tutulur; kim neyi ne zaman gördü denetim kaydına işlenir, veriler şifreli altyapıda saklanır. KVKK uyumunu klasör düzenine değil sisteme emanet edin.
Çalışan sağlık verilerini KVKK'ya uygun, erişimi sınırlı biçimde tek panelde tutun
FirstİSG OSGB panelinde sağlık gözetimi kayıtları yetkiye göre erişilebilir biçimde saklanır; Ek-2 gizlilik sınırı korunur, muayene ve saklama takibi tek yerden yürür.
Çoklu firma ve uzman yönetimi · koltuk bazlı fiyatlandırma
Soru & Yorumlar
Bu sayfadaki konuyla ilgili sorunuzu yazın; FirstİSG ekibi yanıtlıyor, onaylanan sorular herkese açık yayınlanıyor.
Henüz yorum yok. İlk soruyu siz sorun, yanıtlayalım.
Soru sorun veya yorum yazın