Yetkisiz hasta kaydı görüntüleme
Sistemde tedavi ilişkisi olmayan hastaların kaydına erişim; merak, tanıdık sorgulama veya kötü niyetle gerçekleşir ve rol bazlı yetkilendirme yoksa fark edilmez.
Sektör · Sektörel KVKK Çözümü
Sağlık Sektörüne Özel KVKK Çözümleri
Sağlıkta her kayıt özel nitelikli veridir. Randevu defterinden görüntüleme arşivine, çağrı merkezinden refakatçi kaydına kadar tüm hat KVKK'nın en ağır koruma rejimine tabidir; bu rejimi işleyen bir düzene çeviriyoruz.
Kısa cevap
Sağlık sektöründe KVKK uyumu, diğer tüm sektörlerden bir kademe daha ağırdır: kurumun işlediği verinin neredeyse tamamı KVKK m.6 anlamında özel nitelikli sağlık verisidir. Randevu kaydı bile, kişinin hangi branşa başvurduğunu gösterdiği için sağlık verisi doğurur. Buna sağlık mevzuatının kendi sır saklama ve kayıt yükümlülükleri eklenir. Uyum programı; hasta dosyası, görüntüleme arşivi, entegrasyonlar ve çağrı merkezini tek bir erişim mimarisi altında toplar ve her erişimi izlenebilir kılar.
Sağlık Sektöründe KVKK Neden Ayrı Yönetilmeli?
Bir sağlık kuruluşunda veriye erişen kişi sayısı çok yüksektir: hekim, hemşire, teknisyen, sekreter, faturalama, çağrı merkezi ve arşiv personeli aynı hasta kaydına farklı gerekçelerle dokunur. Klinik ihtiyaç bu erişimi gerektirir; KVKK ise her erişimin gerekçeli ve izlenebilir olmasını arar. Sektörün asıl uyum sorunu veri toplamak değil, kimin neye niçin eriştiğini gösterebilmektir.
Randevu ve çağrı merkezi
Hangi branştan randevu alındığı bilgisi tek başına sağlık verisidir. Çağrı kayıtları ve SMS hatırlatmalarında tanı bilgisinin görünmesi yaygın bir açıktır.
Görüntüleme arşivi ve PACS
Radyoloji görüntüleri hastanın kimliğiyle birlikte saklanır; dış merkeze gönderim, teleradyoloji hizmeti ve CD teslimi ayrı ayrı kontrol gerektirir.
Refakatçi ve yakın bilgisi
Hasta yakınlarının verisi de işlenir; bilgi verilecek kişinin hasta tarafından belirlenmesi gerekirken uygulamada bu kayıt çoğu zaman tutulmaz.
Sağlık turizmi ve yurt dışı hasta
Yurt dışından gelen hastaların dosyalarının aracı kuruluşlar ve yurt dışındaki hekimlerle paylaşılması sınır ötesi aktarımdır ve ayrı dayanak gerektirir.
Tedarikçi ve dış laboratuvar
Dış laboratuvar, teleradyoloji, arşivleme ve yazılım destek firmaları veri işleyendir; uzaktan destek oturumlarında canlı hasta verisine erişim sık rastlanan risktir.
Sağlık Sektöründe İşlenen Kişisel Veriler
Aşağıdaki kırılım klinik, idari ve destek süreçlerinden doğan veri kategorilerini gösterir. Kategorilerin neredeyse tamamı özel nitelikli veri niteliği taşır; ayrım, erişim düzeyinin belirlenmesi için yapılır.
Hasta dosyası ve klinik kayıtlar
Özel nitelikliTanı ve tedavi kayıtları, epikriz, reçete, laboratuvar sonuçları, ameliyat notları, hemşire gözlem formları
Hukuki sebep ve not: Özel nitelikli veri; erişim tedavi ilişkisi bulunan personelle sınırlandırılır ve her erişim loglanır.
Görüntüleme arşivi
Özel nitelikliRadyoloji ve patoloji görüntüleri, PACS kayıtları, teleradyoloji gönderimleri, hasta teslim CD ve raporları
Hukuki sebep ve not: Özel nitelikli veri; dış merkez gönderimleri ve teleradyoloji hizmeti veri işleyen sözleşmesine bağlanır.
Randevu ve çağrı merkezi
Özel nitelikliRandevu kayıtları, branş bilgisi, çağrı ses kayıtları, SMS ve e-posta hatırlatmaları, memnuniyet anketleri
Hukuki sebep ve not: Branş bilgisi tek başına sağlık verisi doğurur; hatırlatma mesajlarında tanı bilgisi yer almamalıdır.
Faturalama ve sigorta
Özel nitelikliSGK ve özel sigorta işlem kayıtları, provizyon bilgileri, fatura ve tahsilat kayıtları, teminat yazışmaları
Hukuki sebep ve not: Hukuki yükümlülük ve sözleşme; sigorta şirketine aktarım kapsamı gerekli olanla sınırlandırılır.
Hasta yakını ve refakatçi
Refakatçi kimlik ve iletişim bilgileri, bilgilendirilecek kişi beyanı, ziyaretçi kayıtları, vasi ve veli bilgileri
Hukuki sebep ve not: Bilgi verilecek kişinin hasta tarafından belirlenmesi esastır; beyan kayıt altına alınır.
Çalışan ve İSG
Özel nitelikliÖzlük dosyaları, diploma ve tescil belgeleri, nöbet çizelgeleri, işyeri hekimi kayıtları, iğne batması ve maruziyet olayları
Hukuki sebep ve not: Çalışan sağlık kayıtları özel nitelikli veridir; hasta kayıtlarından ayrı bir düzende tutulur.
Çözüm Kapsamı
Program, klinik işleyişi yavaşlatmadan erişimi daraltmayı hedefler. Amaç hekimin işini zorlaştırmak değil, her erişimin gerekçesini ve izini gösterebilir hâle getirmektir.
Klinik ve idari veri envanteri
Poliklinik, yatan hasta, ameliyathane, laboratuvar, görüntüleme, faturalama ve çağrı merkezi süreçleri ayrı ayrı haritalanır.
Rol bazlı erişim ve log mimarisi
Hasta kaydına erişim tedavi ilişkisiyle sınırlandırılır; her görüntüleme kayda alınır ve olağan dışı erişimler için uyarı kurulur.
Aydınlatma ve açık rıza metinleri
Hasta, refakatçi, çalışan, aday ve ziyaretçi için ayrı metinler; hasta kabulünde uygulanabilir akış tasarımı dâhil.
Tedarikçi ve dış hizmet sözleşmeleri
Dış laboratuvar, teleradyoloji, arşiv ve yazılım destek firmalarıyla veri işleyen sözleşmeleri; uzaktan destek erişim kuralları belirlenir.
Sağlık turizmi aktarım çerçevesi
Yurt dışı hasta dosyalarının aracı kuruluş ve yabancı hekimle paylaşımı için hukuki dayanak ve rıza akışı kurulur.
VERBİS ve ihlal müdahalesi
Kayıt envanterle uyumlu yapılandırılır; özel nitelikli veri hacmine uygun bir ihlal müdahale ve bildirim planı hazırlanır.
Bu Kayda Kim, Neden Baktı?
- Sistemdeki her kullanıcı, tedavi ilişkisi olmasa da hasta kaydını görüntüleyebiliyor.
- Erişim logları tutuluyor ama hiç incelenmiyor; olağan dışı sorgular fark edilmiyor.
- Randevu hatırlatma SMS'inde poliklinik adı açıkça yazıyor.
- Görüntüleme CD'leri kimlik doğrulaması yapılmadan teslim ediliyor.
- Yazılım firmasının destek ekibi canlı veritabanına kalıcı erişimle bağlanıyor.
- Hastanın kimin bilgilendirileceğine dair beyanı hiçbir yerde kayıtlı değil.
Uygulama Süreci
Keşif ve kapsam
Hasta kabulünden taburculuğa kadar klinik akış yerinde izlenir; bilgi sistemi yetki matrisi ve erişim logları teknik ekiple birlikte incelenir.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Hasta, refakatçi, çalışan ve ziyaretçi aydınlatma metinleri
- Rol bazlı erişim yetki matrisi ve log inceleme prosedürü
- Görüntüleme arşivi ve dış merkez gönderim protokolü
- Dış laboratuvar, teleradyoloji ve yazılım destek sözleşme seti
- Sağlık turizmi hasta verisi aktarım çerçevesi
Kimler İçin Uygun?
Hastaneler ve tıp merkezleri
Yatan hasta ve poliklinik hizmeti veren, çok branşlı bilgi sistemi kullanan sağlık kuruluşları.
Poliklinik ve muayenehaneler
Küçük ölçekli ama yoğun özel nitelikli veri işleyen hekim ve diş hekimi işletmeleri.
Laboratuvar ve görüntüleme merkezleri
Dış merkezlerden numune ve görüntü kabul eden, sonuç paylaşımı yapan kuruluşlar.
Sağlık turizmi aracı kuruluşları
Yurt dışı hastaların dosyalarını hastane ve hekimlerle paylaşan organizasyon şirketleri.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Erişimin izini görünür kılalım
Bilgi sisteminizin yetki matrisini ve erişim loglarını birlikte inceleyelim; ücretsiz ön görüşmede en yüksek riskli erişim noktalarını çıkaralım.
