Kliniklerde KVKK uyumu nasıl sağlanır?

6698 sayılı Kişisel Verilerin Korunması Kanunu, sağlık verisini "özel nitelikli kişisel veri" olarak tanımlar. Bu sınıftaki veriler için hem işleme şartları hem de alınması gereken güvenlik tedbirleri daha ağırdır. Bir klinikte tutulan hemen her kayıt bu kapsama girer: tanı, tedavi, reçete, görüntü, ölçüm.

Pratikte bu şu anlama gelir: veriyi kimin gördüğünü, nerede durduğunu ve ne kadar süre saklandığını bilmen ve gösterebilmen gerekir. "Bilgisayarda duruyor" cevabı yeterli değildir.

Onam formlarını dijital olarak imzalatıyorsan formun hangi sürümünün, ne zaman imzalandığı kayıt altında olmalıdır. Clineo'da özel onam formları Clineo Soft'tan itibaren var ve imzalanan form hasta dosyasına bağlanır.

Kişisel veri, işleme amacı ortadan kalktıktan sonra saklanamaz. Ancak sağlık alanında ilgili mevzuatın öngördüğü saklama süreleri vardır ve bunlar önceliklidir. Kliniğin bir saklama ve imha politikası oluşturmalı, hangi veri türünün ne kadar tutulduğunu yazılı hale getirmelidir.

Silme talebi gelirse

Kişi verisinin silinmesini isteyebilir. Mevzuattan doğan saklama yükümlülüğün varsa bunu gerekçesiyle açıklarsın. Talebi ve verdiğin yanıtı kayıt altına almak önemlidir.

Yedekler de veridir

Silme yaptığında yedeklerdeki durumu da düşünmen gerekir. Sağlayıcına yedek saklama süresini ve silme sürecinin yedeklere nasıl yansıdığını sor.

Clineo tarafında bunların karşılığı şudur: kimlik numarası ve telefon şifreli saklanır ve ekranda maskeli görünür; yetki modül bazında ve kişiye özel ayarlanır; hassas kayıt açılışları loglanır; girişte tek kullanımlık kod istenir; belirli süre işlem yapılmazsa oturum kapanır; yedek her gün otomatik alınır.

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıt yükümlülüğü; yıllık çalışan sayısı, mali bilanço ve işlenen verinin niteliğine göre belirlenir. Ana faaliyeti özel nitelikli veri işlemek olan veri sorumluları için eşikler farklı uygulanır.

Kliniğinin yükümlü olup olmadığını Kurum'un güncel kriterleri üzerinden teyit et; eşikler zaman içinde değişebiliyor. Yükümlüysen kayıt sırasında veri kategorilerini, saklama sürelerini ve alınan tedbirleri beyan edersin — yani yukarıdaki adımları zaten yapmış olman gerekir.

KVKK uyumu bir metin hazırlamakla başlamaz; neyi işlediğini bilmekle başlar. Klinikte üretilen veriyi tek tek yazmadan hangi tedbiri alman gerektiğine karar veremezsin.

Bu liste bir kez çıkarıldığında sonraki her soru kolaylaşır. Aydınlatma metnini neye göre yazacağın, hangi ekranda yetki sınırlaması gerektiği ve bir ihlal durumunda neyin etkilendiği hep bu listeden okunur.

Veri güvenliğinde en çok konuşulan konu teknik tedbirlerdir, ama pratikte sorunların önemli bir kısmı insan tarafında çıkar. Ekranın açık bırakılması, ortak kullanılan bir kullanıcı hesabı ya da hasta bilgisinin kişisel telefondan paylaşılması bunların başında gelir.

Veri ihlali yalnız siber saldırı demek değildir. Kaybolan bir dizüstü bilgisayar, yanlış kişiye gönderilen bir e-posta ya da çalınan bir yedek disk de ihlaldir. Bu yüzden "bize olmaz" varsayımıyla plansız kalmak en yaygın hatadır.

Kişisel Verileri Koruma Kurulu'nun ilke kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren en kısa sürede ve gecikmeksizin Kurul'a bildirimde bulunur; bu süre için yetmiş iki saatlik bir ölçü esas alınır. İlgili kişilere de makul en kısa sürede bildirim yapılması gerekir. Güncel usul ve süreleri Kurum'un kendi duyurularından teyit et.

Pratik hazırlık üç maddedir: olay çıktığında kimin karar vereceği belli olsun, hangi kayıtlara bakılacağı önceden bilinsin ve bildirim metninin taslağı hazır dursun. Olay anında bunları sıfırdan kurmaya çalışmak en çok zaman kaybettiren şeydir.

Klinik yazılımı kullandığında hasta verisi teknik olarak sağlayıcının altyapısında işlenir. Bu, sorumluluğu devrettiğin anlamına gelmez: veri sorumlusu kliniktir, sağlayıcı ise veri işleyen konumundadır.

Bu yüzden sağlayıcıdan somut şeyler istemek gerekir. Verinin nerede saklandığı, yurt dışına aktarım olup olmadığı, yedekleme düzeni, erişim kayıtlarının tutulup tutulmadığı ve hizmet sona erdiğinde verinin ne olacağı — hepsi yazılı olmalı.

Clineo tarafında güvenlik yaklaşımını güvenlik sayfasında, yedekleme düzenini yedekleme sayfasında anlattık. Değerlendirdiğin her üründen aynı netlikte cevap istemeni öneririz.

KVKK yalnız klinikten tedbir istemez; hastaya da haklar verir. Hasta kendisiyle ilgili verinin işlenip işlenmediğini öğrenmeyi, düzeltilmesini ya da şartları oluşmuşsa silinmesini isteyebilir. Bu talep geldiğinde klinik cevap vermek zorundadır.

Kanuna göre veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyeti varsa Kurul'ca belirlenen tarifedeki ücret alınabilir. Güncel tarife ve usul için Kurum duyurularına bak.

Bu sürecin işlemesi için tek kişilik bir sorumluluk yeterlidir: başvurunun kime düşeceği ve o kişinin ne yapacağı belli olsun. Süre işlemeye başvuru ulaştığı anda başlar.