Tamamlayıcı ve özel sağlık sigortası teklifleri, acentelerin günlük iş akışında giderek daha fazla yer kaplıyor. Bu branşlar, trafik veya kasko tekliflerinden farklı olarak kişinin sağlığına ilişkin bilgilere dokunabilir: mevcut hastalık beyanları, tedavi geçmişi, raporlar. KVKK bu tür verileri özel nitelikli kişisel veri olarak tanımlar ve işlenmelerini daha sıkı şartlara bağlar. Bu yazıda, sağlık sigortası süreçlerinde özel nitelikli veriyi acente operasyonunda nasıl ayrıştırabileceğinizi ve yazılım tarafında hangi önlemlerin öne çıktığını ele alıyoruz.
Sağlık verisi neden farklı ele alınır?
Bir telefon numarasının yanlış kişiye ulaşması rahatsız edicidir; bir hastalık bilgisinin yanlış kişiye ulaşması ise kişinin iş hayatından sosyal ilişkilerine kadar kalıcı sonuçlar doğurabilir. Kanun koyucu bu nedenle sağlık, biyometrik ve genetik veriler gibi kategorileri ayrı bir rejime tabi tutmuştur. 2024 yılında yapılan değişikliklerle özel nitelikli verilerin işlenme şartları yeniden düzenlenmiştir. Hangi şartın sizin süreçlerinize uygulanacağını mutlaka bir veri koruma uzmanıyla değerlendirmeniz gerekir.
Acente açısından pratik sonuç şudur: Sağlık verisi, müşteri kaydının sıradan bir alanı gibi ele alınmamalıdır.
Teklif aşamasında sağlık bilgisi gerçekten gerekli mi?
Sağlık sigortası teklif akışlarında çoğu zaman yaş, cinsiyet, bölge ve teminat tercihleri ilk fiyatlama için yeterli olabilir. Ayrıntılı sağlık beyanı ise başvurunun sigorta şirketi tarafından değerlendirilmesi aşamasında gündeme gelir. Bu ayrım, acentenin elinde ne kadar sağlık verisi biriktiğini doğrudan belirler.
Beyan formlarının doğrudan sigorta şirketinin kanalları üzerinden doldurulabildiği durumlarda, acentenin bu verinin bir kopyasını kendi sisteminde tutup tutmayacağına bilinçli olarak karar vermesi gerekir. "Elimizde de dursun" yaklaşımı, risk yüzeyini gereksiz biçimde genişletir.
Ayrı bir erişim katmanı oluşturmak
Sağlık verisinin bulunduğu kayıtlar için en etkili önlemlerden biri, erişimi diğer müşteri bilgilerinden ayırmaktır. Bir trafik teklifi hazırlayan çalışanın aynı müşterinin sağlık beyanını görmesi için bir neden yoktur. Bunun için şu yaklaşımlar değerlendirilebilir:
- Sağlık branşına ait kayıtların yalnızca bu branşta yetkili kullanıcılara açılması.
- Müşteri kartında sağlıkla ilgili alanların varsayılan olarak gizli tutulması.
- Bu kayıtların dışa aktarma ve toplu raporlama işlemlerinin dışında bırakılması.
- Sağlık verisi içeren kayıtlara erişimlerin ayrıca kayıt altına alınması.
Kullandığınız acente yazılımında modül bazlı yetkilendirme varsa, sağlık branşını ayrı bir modül olarak ele almak bu katmanı kurmanın pratik bir yoludur.
Belge akışını gözden geçirmek
Sağlık verisinin en kontrolsüz dolaştığı alan belgelerdir. Müşterinin mesajlaşma uygulamasıyla gönderdiği bir rapor fotoğrafı, çalışanın telefonunda, bilgisayarına indirildiği klasörde ve e-posta ekinde aynı anda bulunabilir. Bu nedenle sağlık branşında belge akışı için ayrı bir kural belirlemek önerilir:
- Sağlık belgelerinin hangi kanaldan kabul edileceğini belirleyin.
- Belgelerin yazılımdaki ilgili kayda yüklenmesini ve başka bir yerde tutulmamasını kural haline getirin.
- Kişisel cihazlara inen kopyaların yükleme sonrasında silinmesini sağlayın.
- Belgenin sigorta şirketine iletimi tamamlandığında acentede saklanma gerekçesini yeniden değerlendirin.
Kurul'un yeterli önlemler yaklaşımı
Kişisel Verileri Koruma Kurulu, özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararında idari ve teknik tedbirlere yer vermiştir. Bu tedbirler arasında veri işleyen çalışanlara düzenli eğitim verilmesi, gizlilik taahhütleri alınması, yetki kapsamlarının ve sürelerinin net tanımlanması, verilerin güvenli ortamlarda saklanması, erişim kayıtlarının tutulması ve verinin aktarımında güvenli yöntemlerin kullanılması gibi başlıklar bulunur.
Bu başlıkların bir kısmı yazılımla, bir kısmı ise acentenin iç düzeniyle ilgilidir. Örneğin erişim kaydı yazılım tarafında sağlanırken, gizlilik taahhüdü ve eğitim acentenin insan kaynakları sürecine aittir. İkisinin birlikte planlanması gerekir.
Sağlık branşı için kısa kontrol listesi
- Teklif aşamasında hangi sağlık bilgisinin istendiği yazılı olarak tanımlı mı?
- Sağlık verisine erişebilen kullanıcılar listelenmiş ve sınırlandırılmış mı?
- Bu kullanıcılar özel nitelikli veri konusunda eğitim almış mı?
- Sağlık belgeleri tek bir sistemde mi tutuluyor?
- Kabul edilmeyen sağlık tekliflerindeki beyanlar için kısa bir saklama süresi belirlenmiş mi?
- Aydınlatma metni sağlık verisinin işlenmesini ayrıca açıklıyor mu?
Mobil çalışmada ek dikkat
Sahada çalışan temsilciler sağlık sigortası görüşmelerini çoğu zaman müşterinin evinde veya işyerinde yapar. Bu durumda belgelerin fotoğraflanması ve paylaşılması için kişisel telefon yerine kurumsal mobil sigorta uygulaması kullanılması, verinin cihazın galerisinde kalmasını önlemeye yardımcı olur. Uygulamanın web paneliyle aynı yetki kurallarına tabi olması, sahada da aynı erişim katmanının korunmasını sağlar.
Ekip içi iletişimde sağlık verisi
Özel nitelikli veriler yalnızca sistemlerde değil, ekip içi yazışmalarda da dolaşır. Bir temsilcinin yöneticisine "müşterinin şu rahatsızlığı var, teklif nasıl çıkar?" diye mesaj atması, sağlık verisini ikinci bir kanala taşır. Bu tür değerlendirmelerin ilgili teklif kaydı üzerinden ve yalnızca yetkili kişiler arasında yürütülmesi önerilir. Ortak mesajlaşma gruplarında müşteri adı ile sağlık bilgisinin birlikte paylaşılmaması, ekibe verilecek eğitimin somut bir kuralı olabilir. Benzer şekilde, sigorta şirketiyle yapılan yazışmalarda yalnızca başvurunun değerlendirilmesi için gereken bilgilerin iletilmesi, aktarımda da minimizasyon ilkesinin korunmasını sağlar.
Bu kuralları kısa bir ekip toplantısında örneklerle anlatmak, yazılı bir talimattan çok daha kalıcı sonuç verir.
Sonuç
Sağlık sigortası branşında veri mahremiyeti, verinin kendisinden önce akışın tasarımıyla başlar. Teklif aşamasında gereken bilgiyi sınırlamak, ayrı bir erişim katmanı kurmak ve belge akışını tek bir sisteme bağlamak riskleri önemli ölçüde azaltır. Bu yazı genel bilgilendirme amacı taşır; özel nitelikli verilere ilişkin işleme şartlarını hukuk danışmanınızla birlikte değerlendirmenizi öneririz.