Sağlık Uygulamalarında KVKK Uyumluluğu: Hasta Verisi Koruma Rehberi

Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye'de hasta verisi işlenmesinin temel yasal çerçevesidir. Sağlık verisi "özel nitelikli kişisel veri" olarak sınıflandırıldığından en yüksek koruma düzeyini gerektirir. KVKK uyumluluğu sadece yasal bir yükümlülük değil, aynı zamanda hasta güvenini korumanın ve kurumsal itibarınızı güvenleştirmenin anahtarıdır.

KVKK'nın Sağlık Kurumları İçin Anlamı

2016'dan beri yürürlükte olan KVKK, kişisel verilerin işlenmesi, korunması ve bireylerin haklarını düzenler. Sağlık kurumları için bu, hasta bilgilerini işleme şeklinizden tutuş biçimine kadar her detayı düzenler.

Temel İlkeler

KVKK beş temel ilkeye dayanır: Verileri yalnızca meşru amaçlarla işlemek, belirtilen amacın dışına çıkmamak, gereksiz veri toplamaktan kaçınmak, her zaman doğru ve güncel tutmak, ve erişimi yetkili kişilerle sınırlandırmak. Tüm bu işlemleri dokumente edebilmek de eşit derecede önemlidir.

Sağlık Verisi Neden Daha Hassas?

KVKK'nın 6. Maddesine göre sağlık verisi "özel nitelikli" kategorisindedir. Bu, hasta kimlik numarası, tanı ve tedavi geçmişi, laboratuvar sonuçları, genetik bilgiler, ruh sağlığı kayıtları, ilaç reçeteleri ve mali bilgileri içerir. Her biri ayrı bir risk teşkil eder ve bu yüzden daha katı koruma gerekir.

Hasta Verisi İşlemek İçin Yasal Temeller

KVKK, hasta verisi işleme için beş ana seçenek sunur: hasta tarafından verilen açık rıza, hasta tedavisi için doğrudan ihtiyaç, yasal yükümlülükler (elektronik sağlık kaydı sistemi gibi), halk sağlığı (salgın durumları), ve yaşamsal tehlike. Hastane yöneticisi olarak, hangi veriye hangi gerekçe ile ihtiyaç duyduğunuzu net biçimde tanımlamanız gerekir.

Rıza Yönetimi

Tedavi amacıyla, araştırma için, veri paylaşımında veya pazarlamada olsun, her biri ayrı bir rıza türüdür. Sistem, hastanın her rıza türünü ayrı ayrı onaylamasını, bu onayları tarihlendirerek kaydetmesini ve hastanın istediğinde geri almasını sağlar. Rıza taleplerini SMS veya e-posta yoluyla iletmek hasta katılımını artırır. Tüm rıza işlemleri sistem tarafından otomatik olarak denetim kaydına yazılır; bu, denetim sırasında ne zaman, kimin hangi izni verdiğini göstermenize yardımcı olur.

Veri Şifreleme Stratejileri

Hasta verisi, hem internet üzerinden aktarılırken hem de sistemde saklanırken şifrelenmelidir. Farklı durumlar farklı şifreleme teknikleri gerektirir.

Teknik	Kullanım	Güvenlik Seviyesi
TLS 1.3	İnternet üzerinden veri aktarımı	Çok Yüksek
AES-256	Veritabanında veri depolaması	Çok Yüksek
Bcrypt	Kullanıcı parolaları	Çok Yüksek
HMAC-SHA256	Veri bütünlüğü doğrulaması	Yüksek

Bunu uygulamada, tanı bilgileri, ilaç reçeteleri, ruh sağlığı kayıtları gibi en hassas alanlar şifrelenir. TC Kimlik Numarası, telefon numarası ve diğer tanımlayıcı veriler ayrı olarak işlenir. Şifreleme anahtarları güvenli altyapıda tutulur ve düzenli olarak döndürülür. Verileri geri açmanız gerektiğinde sistem otomatik olarak anahtarları kullanır, hastanın asla şifrelenmemiş formu görmez.

Denetim Kayıtları: Sorumluluğu Kanıtlama

Denetim kayıtları, veriye kimin, ne zaman, neden eriştiğini kaydeder. Bu, düzenleyicilere uyumluluğu göstermenin yanında, güvenlik olaylarında ne olduğunu anlamak için de kritiktir.

Sistem otomatik olarak her veri erişimini zamanı, erişeni, işlemi ve kaynağı ile kaydeder. Veri dışa aktarıldığında, yetkisiz erişim girişimleri bloke edildiğinde, hatta hastalık verileri düzeltildiğinde tüm bunlar log'a yazılır. Bu günlüklere dayalı raporlar, belirli bir dönemdeki tüm erişimleri görmenizi veya bir hastanın verilerine kimlerin ulaştığını kontrol etmenizi sağlar. KVKK gereği, bu kayıtlar en az yedi yıl tutulmalıdır; sistem bunu otomatik olarak yönetir ve eski kayıtları arşivler.

Hasta Haklarının Uygulanması

KVKK hastalarına verilerine ilişkin yedi ana hak verir. Bunlar: verilerinin işlenip işlenmediğini öğrenme, verilerine erişme ve kopyasını alma, yanlış bilgileri düzeltme, verilerinin silinmesini talep etme, veriye ilişkin işlemeleri sınırlandırma, verilerini başka sisteme aktarma, ve otomatik kararlar konusunda itiraz etme.

Pratik açıdan, hastalar çoğu zaman verilerine erişmek (tüm kayıtlarını insan tarafından okunabilir biçimde görmek), yanlış bilgileri düzeltme veya (aktif tedavi bitmişse) verilerinin silinmesini istemek isterler. Sistem bunu basit hale getirir: hasta bir talep gönderir, sistem otomatik olarak eski değerleri kaydeder, değişikliği yapar ve denetim günlüğünü günceller. Makine öğrenmesi karar sistemine karşı hastalara itiraz hakkı verilir; bu durumda insan doktor tarafından karar gözden geçirilir.

KVKK Uyumluluğu Kontrol Listesi

Sağlık kurumunuz bu gereklilikleri karşılamalıdır:

Gereklilik	Açıklama
Rıza Yönetimi	Hasta tarafından verilen açık, tarihlendirilen rızalar
Veri Şifreleme	Aktarım ve depolama sırasında şifreleme
Denetim Kayıtları	Tüm veri erişimlerinin kaydı (7 yıl tutulmalı)
Veri Tutma Planı	Veriler ne kadar süre tutulacak, ne zaman silinecek
Hasta Hakları	Erişim, düzeltme, silme ve taşınabilirlik
İş Sözleşmeleri	Veri işleyen alt yüklenicilerle KVKK anlaşmaları
Risk Değerlendirmesi	Veri işleme faaliyetlerinin güvenlik analizi
Dokümantasyon	Tüm işlemler kanıtlanabilir şekilde belirtilmeli

Sıkça Sorulan Sorular

KVKK ihlalinin cezası ne kadardır? 50.000 TL ile 5.000.000 TL arasında, ihlal türüne ve kapsamına bağlı olarak değişir.

Araştırma amacıyla hasta verisi kullanabilir miyiz? Ancak hasta açık rızası ile. Her araştırma projesi için ayrı, spesifik rıza gerekir.

Hasta verilerini ne kadar süre tutmalıyız? Tıbbi gereklilik varsa tutabilirsiniz. Ancak gereklilik biterse silmeniz gerekir.

Yapay zeka veya makine öğrenmesi kullansak ne olur? Otomatik karar almada hastaya itiraz hakkı verilmelidir ve insan gözden geçirmesi yapılmalıdır.

Hasta verilerini başka hastanede kullanabilir miyiz? Yalnızca hasta rızası ile ve uygun veri işleme sözleşmeleri imzalanmışsa.

Hastanın ölümünden sonra verilerini ne yaparız? Genel olarak silinmelidir, ancak mirasçı yazılı talep ederse miras konusu olmayan veriler paylaşılabilir.

Kullanıcı parolaları nasıl saklanmalıdır? Asla şifre olarak (plaintext). Güçlü hash algoritmaları (Bcrypt gibi) kullanılmalıdır.

Veri silme isteği gelince ne yaparız? Hastanın aktif tedavisi varsa talep ertelenebilir. Ancak tedavi bittikten sonra kriptografik silme ile silinmelidir.

Mobil uygulamalar için farklı kurallar var mı? Hayır. Web, mobil, masaüstü tüm platformlarda aynı KVKK gereklilikleri uygulanır.

Sonuç

KVKK uyumluluğu, sağlık kuruluşları için yasal bir yükümlülüğün ötesinde, hasta ve ailesinin güvenine sahip olmanın temelidir. Hasta verilerini korumak, tedavi kalitesini artırmak ve denetim risklerini yönetmek aynı hedeftir.

Sağlık kurumunuzun KVKK uyumluluğunu sağlamak için başlamaya hazırsanız, Smart Maple ile iletişime geçin ve nasıl destekleyebileceğimizi keşfedin.