Kliniklerde KVKK uyumu nasıl sağlanır?

6698 sayılı Kişisel Verilerin Korunması Kanunu, sağlık verisini "özel nitelikli kişisel veri" olarak tanımlar. Bu sınıftaki veriler için hem işleme şartları hem de alınması gereken güvenlik tedbirleri daha ağırdır. Bir klinikte tutulan hemen her kayıt bu kapsama girer: tanı, tedavi, reçete, görüntü, ölçüm.

Pratikte bu şu anlama gelir: veriyi kimin gördüğünü, nerede durduğunu ve ne kadar süre saklandığını bilmeniz ve gösterebilmeniz gerekir. "Bilgisayarda duruyor" cevabı yeterli değildir.

Onam formlarını dijital olarak imzalatıyorsanız formun hangi sürümünün, ne zaman imzalandığı kayıt altında olmalıdır. Clineo'da özel onam formları Clineo Soft'tan itibaren var ve imzalanan form hasta dosyasına bağlanır.

Kişisel veri, işleme amacı ortadan kalktıktan sonra saklanamaz. Ancak sağlık alanında ilgili mevzuatın öngördüğü saklama süreleri vardır ve bunlar önceliklidir. Kliniğiniz bir saklama ve imha politikası oluşturmalı, hangi veri türünün ne kadar tutulduğunu yazılı hale getirmelidir.

Silme talebi gelirse

Kişi verisinin silinmesini isteyebilir. Mevzuattan doğan saklama yükümlülüğünüz varsa bunu gerekçesiyle açıklarsınız. Talebi ve verdiğiniz yanıtı kayıt altına almak önemlidir.

Yedekler de veridir

Silme yaptığınızda yedeklerdeki durumu da düşünmeniz gerekir. Sağlayıcınıza yedek saklama süresini ve silme sürecinin yedeklere nasıl yansıdığını sorun.

Clineo tarafında bunların karşılığı şudur: kimlik numarası ve telefon şifreli saklanır ve ekranda maskeli görünür; yetki modül bazında ve kişiye özel ayarlanır; hassas kayıt açılışları loglanır; girişte tek kullanımlık kod istenir; belirli süre işlem yapılmazsa oturum kapanır; yedek her gün otomatik alınır.

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıt yükümlülüğü; yıllık çalışan sayısı, mali bilanço ve işlenen verinin niteliğine göre belirlenir. Ana faaliyeti özel nitelikli veri işlemek olan veri sorumluları için eşikler farklı uygulanır.

Kliniğinizin yükümlü olup olmadığını Kurum'un güncel kriterleri üzerinden teyit edin; eşikler zaman içinde değişebiliyor. Yükümlüyseniz kayıt sırasında veri kategorilerini, saklama sürelerini ve alınan tedbirleri beyan edersiniz — yani yukarıdaki adımları zaten yapmış olmanız gerekir.

KVKK uyumu bir metin hazırlamakla başlamaz; neyi işlediğinizi bilmekle başlar. Klinikte üretilen veriyi tek tek yazmadan hangi tedbiri almanız gerektiğine karar veremezsiniz.

Bu liste bir kez çıkarıldığında sonraki her soru kolaylaşır. Aydınlatma metnini neye göre yazacağınız, hangi ekranda yetki sınırlaması gerektiği ve bir ihlal durumunda neyin etkilendiği hep bu listeden okunur.

Veri güvenliğinde en çok konuşulan konu teknik tedbirlerdir, ama pratikte sorunların önemli bir kısmı insan tarafında çıkar. Ekranın açık bırakılması, ortak kullanılan bir kullanıcı hesabı ya da hasta bilgisinin kişisel telefondan paylaşılması bunların başında gelir.

Bu risk görüntüyle çalışan branşlarda daha büyüktür. Saç ekimi, medikal estetik ve dermatoloji kliniklerinde öncesi-sonrası fotoğrafları hasta dosyasında durmalı. Psikolog ve psikiyatri pratiğinde seans notunun kime açık olduğu ayrıca belirlenmeli. Kadın doğum kayıtları da aynı özeni ister.

Veri ihlali yalnız siber saldırı demek değildir. Kaybolan bir dizüstü bilgisayar, yanlış kişiye gönderilen bir e-posta ya da çalınan bir yedek disk de ihlaldir. Bu yüzden "bize olmaz" varsayımıyla plansız kalmak en yaygın hatadır.

Kişisel Verileri Koruma Kurulu'nun ilke kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren en kısa sürede ve gecikmeksizin Kurul'a bildirimde bulunur; bu süre için yetmiş iki saatlik bir ölçü esas alınır. İlgili kişilere de makul en kısa sürede bildirim yapılması gerekir. Güncel usul ve süreleri Kurum'un kendi duyurularından teyit edin.

Pratik hazırlık üç maddedir: olay çıktığında kimin karar vereceği belli olsun, hangi kayıtlara bakılacağı önceden bilinsin ve bildirim metninin taslağı hazır dursun. Olay anında bunları sıfırdan kurmaya çalışmak en çok zaman kaybettiren şeydir.

Klinik yazılımı kullandığınızda hasta verisi teknik olarak sağlayıcının altyapısında işlenir. Bu, sorumluluğu devrettiğiniz anlamına gelmez: veri sorumlusu kliniktir, sağlayıcı ise veri işleyen konumundadır.

Bu yüzden sağlayıcıdan somut şeyler istemek gerekir. Verinin nerede saklandığı, yurt dışına aktarım olup olmadığı, yedekleme düzeni, erişim kayıtlarının tutulup tutulmadığı ve hizmet sona erdiğinde verinin ne olacağı — hepsi yazılı olmalı.

Clineo tarafında güvenlik yaklaşımını güvenlik sayfasında, yedekleme düzenini yedekleme sayfasında anlattık. Değerlendirdiğiniz her üründen aynı netlikte cevap istemenizi öneririz.

KVKK yalnız klinikten tedbir istemez; hastaya da haklar verir. Hasta kendisiyle ilgili verinin işlenip işlenmediğini öğrenmeyi, düzeltilmesini ya da şartları oluşmuşsa silinmesini isteyebilir. Bu talep geldiğinde klinik cevap vermek zorundadır.

Kanuna göre veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyeti varsa Kurul'ca belirlenen tarifedeki ücret alınabilir. Güncel tarife ve usul için Kurum duyurularına bakın.

Bu sürecin işlemesi için tek kişilik bir sorumluluk yeterlidir: başvurunun kime düşeceği ve o kişinin ne yapacağı belli olsun. Süre işlemeye başvuru ulaştığı anda başlar.