Yardım ve destek işinde AVG (GDPR)

Nedir

AVG, 25 Mayıs 2018’den beri bütün Avrupa Birliği’nde, kişisel veri işleyen herkes için geçerli: büyük ve küçük kurumlar için, devlet için de. Denetimi, Hollanda’nın kişisel veri koruma kurumu Autoriteit Persoonsgegevens (AP) yapar.

• Kişisel veriler, tanıyabileceğin biri hakkındaki her türlü bilgidir: bir isim ya da telefon numarası, ama birinin tanınabildiği bir fotoğraf ya da ses kaydı da.
• İşlemek, bu verilerle yaptığın her şeydir: toplamak, saklamak, bakmak, başkasına göndermek ve silmek.
• Özel nitelikli kişisel veriler özellikle hassastır. Birinin sağlığıyla ilgili veriler de bunlara dahildir ve bir sosyal çalışmacının dosyasında da olabilir.

Yasa bir istisna tanımadıkça sağlık verilerini işlemek yasaktır. Örneğin birine bakım ya da yardım vermek için gerekliyse işlenebilir. Bunun dayanağı da genelde bir yasadadır, örneğin Wmo 2015 (Wet maatschappelijke ondersteuning, sosyal destek yasası) ya da Jeugdwet (gençlik yasası).

Bütün veriler için şu geçerli: verileri sadece önceden belirlenmiş bir amaç için topla. Gerekenden fazlasını toplama, gerektiğinden uzun süre saklama ve verileri iyi koru. Kurumun ayrıca bu kurallara uyduğunu gösterebilmeli.

İnsanlar verilerini görebilir, düzelttirebilir, silinmesini isteyebilir ve kullanılmasına itiraz edebilir. Bir kurum böyle bir isteğe bir ay içinde cevap vermek zorunda, ama istek karmaşıksa yerine getirmek üç aya kadar sürebilir.

Neden önemli

Danışanın, kendi sağlığıyla ilgili verilerin güvende olduğundan emin olabilmeli, çünkü bu veriler o kadar hassastır ki kullanılmaları biri için büyük sonuçlar doğurabilir. Bazı mesleklerde ayrıca sır saklama yükümlülüğü (geheimhoudingsplicht) vardır.

Yanlış kişiye giden bir mesaj bir veri sızıntısıdır (datalek); içinde şifrelenmemiş veriler olan bir telefonu kaybetmek de öyle. Yapay zekâ (AI) kullanan sohbet robotları (chatbot) daha yeni bir risk. Ağustos 2024’te, çalışanların örneğin hastaların verilerini böyle bir sohbet robotuna girdiği ortaya çıktı; bir aile hekimi (huisarts) muayenehanesinde tıbbi veriler bile girilmişti. Bu risklidir, çünkü sohbet robotlarının arkasındaki şirketlerin çoğu, yazdığın her şeyi saklar.

Veri işleme sözleşmesi ve DPIA

Bir danışanla bir uygulama kullanırsan, veriler uygulamanın geliştiricisine gidebilir. Geliştirici verileri kurumun adına mı işliyor? O zaman geliştirici veri işleyen taraftır (verwerker) ve kurumun bir veri işleme sözleşmesi (verwerkersovereenkomst) yapmalı: geliştiricinin verilerle neler yapabileceğini belirleyen bir sözleşme. Sözleşmede, geliştiricinin verileri nasıl koruduğu ve iş birliği bitince verileri sileceği ya da geri vereceği gibi konular yer alır. Geliştiricide bir veri sızıntısı olursa, kurumuna olabildiğince çabuk haber vermek zorundadır.

Bazen bir gizlilik incelemesi de gerekir: veri koruma etki değerlendirmesi (DPIA). Genel kural şu: dokuz risk ölçütünden ikisi ya da daha fazlası varsa DPIA yapılmalı. Sağlık verileri ve hastalar gibi kırılgan durumdaki insanlara ait veriler, birlikte zaten iki ölçüt eder.

Nasıl yaparsın

1. Kurumunun seçtiği kanalları kullan. Her kurum hangi güvenliğin gerektiğine kendisi karar verir. Yani başka bir yerde izin verilen bir şeye senin kurumunda izin verilmeyebilir.
2. Sadece yardım için gerekeni yaz, bir mesajda da, dosyada da.
3. Sağlık verilerini e-postayla göndermeden önce düşün. Yasak değil, ama daha güvenli yollar var. Yine de e-postayı seçersen, bunu iyi açıklayabilmen gerekir ve e-posta iyi korunmuş olmalı.
4. Kurumunun dışında paylaşmadan önce izin iste. Sır saklama yükümlülüğü yüzünden, sağlık alanında sağlık verilerini başka bir muayenehane ya da kurumdaki uzmanlarla paylaşmak için bu izin gerekir. Bazen bir istisna vardır, örneğin ciddi bir tehlike varsa. O zaman önce kurumunun içinde danış.
5. Danışanların verilerini bir yapay zekâ sohbet robotuna girme. Kurumun izin verse bile, çoğu zaman yasaya göre izinli değildir. Ekibinde sohbet robotlarıyla ilgili henüz kurallar yoksa, konuyu ekip toplantısının gündemine al.
6. Cihazlarını koru. İki adımlı doğrulamayı aç: o zaman şifrenin yanında örneğin telefonuna gelen bir kod da kullanırsın. Güncellemeleri otomatik yüklenecek şekilde ayarla. Dışarıdayken de herkese açık wifi yerine telefonunun mobil verisini kullan.
7. Danışanının fotoğrafını öylece çekme ya da paylaşma. Biri fotoğrafta tanınabiliyorsa AVG geçerlidir. O zaman işin için AVG’ye göre geçerli bir nedene ihtiyacın var, örneğin fotoğraftaki kişinin izni.
8. Bir hatayı hemen kurumuna bildir. Kurumun bazı veri sızıntılarını 72 saat içinde AP’ye, bazen de ilgili kişilere bildirmek zorundadır. Bildirmek gerekmese bile her veri sızıntısı, veri sızıntısı kaydına yazılır.

Örnek: dosyaya ne yazılır

Gelen postasını artık açmayan bir danışana yardım ediyorsun. Birlikte, bu konuda ona kimlerin yardım edebileceğini gösteren bir çevre haritası yapıyorsunuz: erkek kardeşi, bir komşusu ve eski bir iş arkadaşı. Dosyaya sadece şunu yazıyorsun: “Erkek kardeşi, haftada bir kez gelen postalar konusunda yardım etmek istiyor.” Haritanın geri kalanı yardım için gerekli değil, o yüzden dosyaya girmez.

Dikkat et

• Sırf garanti olsun diye izin isteme. Çoğu zaman yasa bunu zaten düzenler ve fazladan bir izin, danışanın için işi gereksiz yere karmaşık yapar. Dayanak gerçekten izinse, danışanın özgürce hayır diyebilmeli ve bunun ona bir zararı olmamalı. Bu yüzden bir belediyede (gemeente) izin genellikle dayanak olamaz, çünkü orada yaşayanlar çoğu zaman belediyeye bağımlıdır.
• Veri koruma sorumlusuna (functionaris gegevensbescherming, FG) sor. Senin durumunda neyin izinli olduğu kurumuna, danışanına ve araca bağlıdır; bu yazı da hukuki tavsiye değildir. FG, kurumunun içinde gizlilik kurallarına uyulmasını denetler ve tavsiye verir. FG yok mu? O zaman yöneticine gizlilikten kimin sorumlu olduğunu sor.

Daha fazla bilgi

• Bir uygulama için gizlilik kontrol listesi: bir uygulamayı kullanmadan önce neleri kontrol edeceğin.
• Danışanın için dijital bir araç seçmek: gizlilik, dikkat edeceğin noktalardan biri.
• Ekibinde dijital bir araç kullanmaya başlamak: ekibindeki kurallar hakkında da.
• Autoriteit Persoonsgegevens (Hollandaca) kuralları açıklıyor.