Sağlık Sistemlerinde KVKK Uyumu Rehberi

Bir sağlık kuruluşunda KVKK uyumu, aydınlatma metnini yayımlayıp giriş ekranına onay kutusu koyunca bitmez. Hasta kabulü, laboratuvar sonucu, çağrı kaydı, görüntüleme sistemi, e-posta ve bulut yedeği: verinin geçtiği her durak ayrı bir kopya demektir. Üstelik sağlık bilgileri özel nitelikli kişisel veri sayılır. Denetimde sorulan şudur: veri hangi amaçla toplandı, kim gördü, nereye aktarıldı, ne zaman silindi? Elinizdeki belge bu soruları cevaplamıyorsa uyumu kanıtlamaz.

Bu rehber; klinik, tıp merkezi, hastane ve sağlık teknolojisi ekiplerinin sağlık sistemlerinde KVKK uyumunu günlük işte uygulanan kontrollere dönüştürmesine yardımcı olur. Hukuki görüş yerine geçmez. İşleme şartı, aktarım yöntemi ve saklama yükümlülüğü gibi kararlar somut süreç ve güncel mevzuat üzerinden kuruluşun hukuk veya veri koruma danışmanıyla değerlendirilmelidir.

Amaç, teknik ekip ile veri sorumlusunun aynı kontrol listesine bakmasıdır.

Uyum kapsamını sistem adıyla değil veri yolculuğuyla kurun#

Bir HBYS'yi, CRM'i ya da çağrı merkezi uygulamasını envantere tek satırla yazmak yetmez. Aynı sistemde kimlik, iletişim, randevu, sağlık geçmişi, ödeme ve görüşme notu farklı amaçlarla işlenebilir. Her veri kümesi için şunları ayrı ayrı kaydedin: nereden geldiği, nasıl toplandığı, hangi amaçla işlendiği, kimlerin gördüğü, kime aktarıldığı, ne kadar saklandığı ve nasıl silindiği. Kağıt formlar, personelin kendi arasındaki mesajlar ve dışa aktarılan elektronik tablolar da bu haritaya girer.

İşe gerçek bir hasta yolculuğunu izleyerek başlayın. İnternetten gelen form hangi servise düşüyor? Telefon görüşmesinin özeti kimlerin ekranında açılıyor? Randevu bilgisi SMS firmasına hangi alanlarla gidiyor? Tetkik sonucu başka bir kuruma nasıl iletiliyor? Resmi mimari şemasında görünmeyen kopyalar çoğu zaman bu sorularla ortaya çıkar.

Envanterin sahibi bu yolları düzenli aralıklarla kontrol etsin, kullanılmayan bağlantıları ve yetkileri kapatsın.

Amaç, veri ve işleme şartını birlikte belgeleyin#

Veri toplama ekranındaki her alan için önce iş ihtiyacını yazın. Alan kaldırıldığında bakım, randevu ya da iletişim yine yürüyorsa o veriyi varsayılan olarak istememeyi düşünün.

Ardından işleme amacını denetlenebilir bir sonuçla tanımlayın. "Hizmet kalitesini artırmak" çok geniş kalır; randevu değişikliği talebini ilgili şubeye yönlendirmek gibi dar bir amaç hem erişim hem saklama kararını kolaylaştırır.

Açık rıza her süreci kendiliğinden çözmez. Uygulanacak işleme şartını her faaliyet için ayrı belirleyin. Rıza gerekiyorsa süreci özgür iradeye dayalı, belirli ve bilgilendirilmiş olacak şekilde kurun. Hizmeti gereksiz bir veri kullanımına verilen rızaya bağlamayın, önceden işaretli kutu da kullanmayın. Rıza geri alındığında hangi sistemde hangi işlemin duracağını tasarım aşamasında yazın.

Özel nitelikli kişisel veri nedir, sağlık verisi hangi şartla işlenir?#

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesi; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayar. Sağlık verisi bu listede açıkça yer aldığı için klinik, laboratuvar ve sağlık teknolojisi sistemlerinin büyük bölümü özel nitelikli kişisel veri işler.

Maddenin işleme şartları 7499 sayılı Kanun ile değiştirilmiş, yeni hüküm 1 Haziran 2024’te yürürlüğe girmiştir. Güncel metne göre özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; kanunda sayılan şartlardan birinin bulunması halinde işlenebilir. Sağlık hizmeti bakımından en sık değerlendirilen iki şart şunlardır:

• İlgili kişinin açık rızasının bulunması.
• Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması.

Kanunlarda açıkça öngörülme veya fiili imkânsızlık halinde hayatın ya da beden bütünlüğünün korunması gibi başka şartlar da vardır; hangisinin uygulanacağı her faaliyet için ayrı belirlenmelidir. Hangi şarta dayanılırsa dayanılsın, Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması da zorunludur.

Özel nitelikli veriyi varsayılan olarak daraltın#

Sağlık verisinin kapsamı teşhis ve tahlil sonucundan geniştir. Bir kişinin belirli bir kliniğe başvurması, randevu notundaki yakınması ya da çağrı kaydında anlattığı durum da sağlığı hakkında bilgi verebilir. Bu yüzden genel iletişim kanalları bile özel nitelikli veri doğurabilecek şekilde ele alınmalıdır. Veri minimizasyonu pratikte şöyle görünür: serbest metin alanlarını sınırlayın, gereksiz çağrı kaydını kapatın, idari işlem için klinik ayrıntı istemeyin.

Test ve eğitim ortamlarında gerçek hasta kaydı kullanmayı alışkanlık hâline getirmeyin.

İhtiyaç sentetik ya da uygun biçimde anonimleştirilmiş veriyle karşılanıyorsa üretim kopyasını taşımayın. Kullanım zorunluysa kapsamı, erişimi, süreyi ve silme adımlarını ayrıca onaylatın; ortamın üretim sistemi kadar korunduğunu da kontrol edin.

Aydınlatmayı iletişim yoluna ve ana göre uyarlayın#

Tek bir uzun metni her yere koymak kişiyi gerçekten bilgilendirmez. Web formunu dolduran, telefonda konuşan, yüz yüze kayıt yaptıran, mobil uygulamayı açan ve uzaktan sağlık hizmeti alan kişi farklı durumlardadır. Her kanalda veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve ilgili kişinin başvuru yolu anlaşılır biçimde sunulmalıdır. Ayrıntılı metne kolay ulaşılsın; ilk katmanda ise kişinin o an karar vermek için ihtiyaç duyduğu bilgiler görünsün.

Metinde yazanı sistemin gerçek davranışıyla karşılaştırın. Aydınlatmada yalnız randevu iletişimi anlatılırken kayıt analitik model eğitimine gidiyorsa sorun metindeki eksiklik kadar mimarinin kontrolsüz olmasıdır. Yeni bir özellik yayınlanmadan önce aydınlatma, envanter ve veri akışı birlikte gözden geçirilmelidir.

Rol bazlı erişimi iş tanımıyla eşleştirin#

Herkese aynı ekranı açan ya da ortak kullanıcı hesabıyla çalışan sistemlerde kimin neye eriştiğini sonradan açıklayamazsınız. Resepsiyon, hekim, hemşire, muhasebe, çağrı merkezi, sistem yöneticisi ve dış destek ekibi için gereken en az yetkiyi ayrı ayrı tanımlayın. Kaydı görüntüleme, değiştirme, dışa aktarma ve silme yetkilerini birbirinden ayırın. Etkisi yüksek işlemlerde ek onay ya da güçlü kimlik doğrulama isteyin. Yetkiyi işe girişte açın, görev değiştiğinde güncelleyin, kişi ayrıldığında gecikmeden kapatın. Geçici destek erişimlerine süre ve gerekçe yazın.

Denetim kayıtları kimin hangi hasta kaydına ne zaman ve hangi işlemle eriştiğini gösterebilsin. Bu kayıtları yalnız toplamak yetmez; olağandışı davranışı yakalamak için düzenli olarak gözden geçirin. Kısa sürede çok sayıda kayıt açmak, mesai dışında dışa aktarma yapmak ya da aynı hesapla farklı konumlardan oturum açmak gibi olaylar otomatik olarak incelemeye düşebilir.

Tedarikçi bağlantılarında veri sınırını sözleşmeden önce çizin#

Bir tedarikçiye yalnızca hizmet adıyla bakmayın. SMS firması, çağrı merkezi, bulut barındırma, görüntü işleme, yapay zekâ, uzaktan destek ve yedekleme hizmetlerinin her biri ayrı bir veri kopyası oluşturabilir. Her tedarikçi için şunları yazılı hâle getirin: gönderilen alanlar, işleme amacı, verinin konumu, alt işleyenler, erişim yöntemi, saklama süresi ve sözleşme bitince silme süreci. Veriyi kendi ürününü geliştirmek için kullanıp kullanmadığını tedarikçiye açıkça sorun.

API anahtarlarını ortak yönetici hesabıyla çalıştırmayın. Servis hesabı yalnız ihtiyaç duyduğu kayıt ve işlemlere erişsin; anahtarları güvenli yerde saklayın ve düzenli yenilenebilecek şekilde kurun. Başarısız bir yazma işlemi kayıtlar arasında tutarsızlık doğuruyorsa yeniden deneme kuralı koyun ve kayıtların birbirini tuttuğunu gösteren bir kontrol listesi saklayın. Teknik tasarım için diş klinikleri için yapay zekâ telefon asistanı rehberi, bağlantı kurulurken veri kapsamını ve hata davranışını birlikte düşünmeye yardımcı olur.

Yurt dışı aktarımı verinin gerçekte gittiği yerden doğrulayın#

Tedarikçinin Türkiye'de ofisinin bulunması, bütün verinin Türkiye'de kaldığını kanıtlamaz.

Bulut bölgesini, destek erişimini, sistem kayıtlarını tutan hizmeti, e-posta altyapısını, içerik dağıtım ağını, yapay zekâ modelini sunan firmayı ve yedeklerin durduğu yerleri tek tek listeleyin ve her birinin hangi ülkede çalıştığını yazın. Veri yalnız depolanırken sınır dışına çıkmaz; uzaktan erişimde ya da işlem sırasında da yurt dışına gidebilir.

Kuruluş, güncel KVKK düzenlemelerine uygun aktarım mekanizmasını hukuk danışmanıyla belirlemeli ve gerekli bildirim, sözleşme veya kayıt süreçlerini tamamlamalıdır. Mimariyi daha az aktarım yapacak şekilde değiştirmek mümkünse hukuki araçtan önce bu seçeneği masaya koyun. Yurt dışı aktarımına ilişkin hukuki araç, teknik veri minimizasyonunun yerine geçmez.

Güvenlik beyanı yerine kontrol kanıtı isteyin#

Veri güvenliği "şifreleme var" demekle bitmez.

Ağ ayrımı, yama yönetimi, zararlı yazılım koruması, güçlü kimlik doğrulama, yedekleme, geri yükleme testi, erişim incelemesi, güvenlik açığı yönetimi ve olay kaydı birlikte çalışan kontrollerdir. Kendi altyapınız ve hizmet aldığınız firmalar için bu kontrollerin kapsamını ve sorumlusunu bir listede tutun.

Tedarikçiyi değerlendirirken politika dosyası kadar uygulama kanıtı da arayın: güncel mimari, erişim matrisi, bağımsız test özeti, olay bildirim prosedürü, yedekten geri dönüş sonucu ve silme doğrulaması. Sertifika varsa kapsamını ve istisnalarını okuyun, çünkü incelediğiniz veri yolu kapsamın dışında kalabilir. Sesli yapay zekâ kullanan ekipler için sağlıkta yapay zekâ uygulama rehberi, çağrı kaydını ve yapay zekâ modelini sunan firma tarafını ayrıntılı anlatır.

Saklama ve silmeyi uygulama davranışına dönüştürün#

Her veri türü ve amaç için saklama süresinin gerekçesini yazın. Ana kayıttan silinen bilginin arama indeksinde, rapor kopyasında, dosya ekinde, sistem kayıtlarında, e-postada ve yedekte kalıp kalmadığını bilin.

Süre dolduğunda elle hatırlatmaya dayanan süreç kolayca aksar. Uygun yerlerde otomatik silme işi ve istisna onayı kullanın.

Silme, yok etme ya da anonimleştirme yöntemi veri varlığına göre değişebilir. Anonim denilen kayıtların başka bilgilerle yeniden bir kişiye bağlanma riskini ayrıca değerlendirin. Sözleşme bitmeden şunları tedarikçiyle kararlaştırın: verinin nasıl teslim edileceği, canlı kopyaların silinmesi, yedeklerin ne zaman düşeceği ve silme belgesinde ne yazacağı.

İlgili kişi taleplerini sistemler arası yönetin#

Başvuru adresini yayımlamak ilk adımdır.

Talep geldiğinde kişinin kimliğini orantılı biçimde doğrulayın, talebin kapsamını anlayın, ilgili sistem sahiplerine görev verin ve yanıtı kayda geçirin. Veri birden fazla tedarikçideyse işi tek ekip yürütsün.

Doğrulama için kişiden yeni kişisel veri toplamayın, başvurunun içeriğini de yalnız görevlilerle paylaşın.

Düzeltme ya da silme ana kayıtta yapıldığında türetilmiş raporları da güncelleyin. İşlemin mümkün olmadığı veya sınırlandığı durumlarda gerekçe hukuk ekibiyle değerlendirilmelidir. Düzenli masa başı tatbikatı, gerçek talep geldiğinde ekiplerin sistemleri ve sorumluları aramakla vakit kaybetmesini önler.

Veri ihlaline hazırlığı canlıya çıkmadan test edin#

Yanlış kişiye giden rapor, kaybolan cihaz, ele geçirilmiş hesap, açık depolama alanı ya da tedarikçide yaşanan bir olay farklı müdahale ister. Şunları yazılı hâle getirin: çalışan olayı nereden bildirecek, ilk teknik koruma adımlarını kim atacak, etkilenen veri ve kişiler nasıl belirlenecek, resmi değerlendirmeyi kim yönetecek. Olayı gecikmeden bildirme yükümlülüğünü tedarikçi sözleşmesine açıkça yazın. Tatbikatlarda yalnızca siber güvenlik ekibi değil, hasta iletişimi, hukuk, yönetim ve tedarikçi sorumluları da yer almalıdır. Olaydan önce tutulan kayıtlar yetersizse kapsam sonradan belirlenemez. Olaydan sonra kök nedeni, kapatma eylemini ve tekrar testini aynı kayıtta izleyin.

Canlıya geçiş kapısını ortak kontrol listesiyle yönetin#

Yeni bir sağlık sistemini ya da bağlantıyı, ürün ekibi "tamamlandı" dedi diye hemen açmayın. Karar toplantısında aşağıdaki kanıtlara birlikte bakın:

• Veri akışı ve envanter kaydı güncel.
• Amaç, işleme şartı ve veri minimizasyonu onaylandı.
• Aydınlatma ile gerçek sistem davranışı uyumlu.
• Rol ve servis hesabı yetkileri test edildi.
• Tedarikçi, alt işleyen ve aktarım değerlendirmesi tamamlandı.
• Saklama, silme, başvuru ve olay prosedürleri denendi.
• Kesinti olursa elle çalışma ve güvenli geri dönüş planı hazır.

Eksik bir kontrol için risk sahibini, geçici önlemi ve kapanış tarihini yazmadan istisna vermeyin. Bu kapının daha geniş dönüşüm programında nereye oturacağını dijital dönüşüm rehberi anlatıyor.

Böylece KVKK kontrolü son aşamada doldurulan bir evrak olmaktan çıkar ve tasarım kararlarına girer.

Sonuç: Uyum, izlenebilir kararlar bütünüdür#

Sağlık sistemlerinde KVKK uyumu bir kez yapılıp kenara konan bir proje olmaz. Yeni bir bağlantı, görev değişikliği, tedarikçi güncellemesi ya da veri kullanım amacındaki bir değişiklik her seferinde eski kararları etkileyebilir. İyi bir program veriyi gereğinden fazla toplamaz, erişimi iş rolüne bağlar, aktarımı görünür tutar, saklama süresi dolunca harekete geçer ve olaylardan ders çıkarır.

Kontroller sahipleri ve kanıtlarıyla yönetildiğinde hasta mahremiyeti günlük işin ölçülebilir bir parçası olur.

Bu konunun kurulum karşılığı AgentFix nedir sayfasında anlatılıyor.