Kliniklerde Veri Güvenliği Nasıl Sağlanır?

Kliniklerde danışanların iletişim bilgileri, randevu geçmişleri, formları ve hizmet kayıtları tutulabilir. Bu bilgiler arasında sağlık verileri de bulunabilir. Sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veri olarak kabul edilir.

Bu nedenle kliniklerde veri güvenliği yalnızca güçlü bir şifre belirlemekten ibaret değildir. Verilerin hangi amaçla toplandığı, kimlerin erişebildiği, ne kadar süre saklandığı ve hizmet sona erdiğinde ne yapılacağı birlikte planlanmalıdır.

Hiçbir yazılım tek başına tam güvenlik veya mevzuata otomatik uyum sağlayamaz. Teknik önlemler, çalışan uygulamaları ve kurum içi kurallar birlikte yürütülmelidir.

Kliniklerde Hangi Veriler Korunmalıdır?

Kliniklerde tutulan her bilgi aynı nitelikte olmayabilir. Ancak danışanı doğrudan veya dolaylı olarak belirlenebilir hale getiren bilgiler kişisel veri kapsamında değerlendirilebilir.

Korunması gereken kayıtlar arasında şunlar bulunabilir:

• Ad ve soyadı
• Telefon numarası
• E-posta adresi
• Kimlik bilgileri
• Randevu geçmişi
• Sağlık bilgileri
• Anamnez formları
• Onam ve bilgilendirme formları
• Uzman notları
• Paket ve seans bilgileri
• Ödeme kayıtları
• Fotoğraf ve benzeri görsel kayıtlar

Sağlık verilerinin özel nitelikli olması nedeniyle bu veriler için daha sıkı bir yaklaşım benimsenmelidir. Veri işleme şartları ve alınacak önlemler, güncel mevzuata göre ayrıca değerlendirilmelidir.

Yalnızca Gerekli Verileri Toplayın

Veri güvenliğinin ilk adımı, ihtiyaç duyulmayan bilgileri toplamamaktır. Bir bilginin ileride gerekli olabileceği düşüncesiyle süresiz şekilde saklanması doğru bir yaklaşım değildir.

Her bilgi için şu sorular sorulabilir:

• Bu veriyi neden topluyoruz?
• Hangi işlem için kullanacağız?
• Kimler erişecek?
• Ne kadar süre saklayacağız?
• Süre sonunda ne yapacağız?
• Veriyi güncel tutmamız gerekiyor mu?

Toplanan veriler belirli, açık ve meşru amaçlarla bağlantılı olmalıdır. Hizmet için gerekli olmayan bilgiler formlardan çıkarılabilir.

Kullanıcı Yetkilendirmesi Yapın

Klinikte çalışan herkesin tüm danışan bilgilerine erişmesi gerekmez. Erişimler, görev ve ihtiyaç esasına göre sınırlandırılmalıdır.

Örneğin:

• Danışma personeli randevu takvimini yönetebilir.
• Uzman yalnızca kendisine atanan danışanları görebilir.
• Muhasebe personeli ödeme kayıtlarına erişebilir.
• Şube sorumlusu kendi şubesinin raporlarını inceleyebilir.
• İşletme sahibi gerekli yönetim raporlarına ulaşabilir.

Yeni bir çalışan için ayrı kullanıcı hesabı açılmalıdır. Ortak kullanıcı adı ve şifre kullanılması, işlemi kimin yaptığının belirlenmesini zorlaştırır.

İşten ayrılan veya görev değişikliği yaşayan çalışanların erişimleri gecikmeden kapatılmalı ya da güncellenmelidir.

Güçlü Şifre ve Oturum Kuralları Belirleyin

Kolay tahmin edilen şifreler, yetkisiz erişim riskini artırır. Kullanıcılar aynı şifreyi farklı platformlarda kullanmamalıdır.

Şifre güvenliği için şu uygulamalar tercih edilebilir:

• Her kullanıcıya ayrı hesap açılması
• Uzun ve güçlü şifre kullanılması
• Şifrelerin çalışanlar arasında paylaşılmaması
• Uygunsa çok aşamalı doğrulama kullanılması
• Ortak cihazlarda hesabın açık bırakılmaması
• Belirli süre işlem yapılmadığında oturumun kapanması
• Şüpheli erişimlerin kontrol edilmesi

Şifrelerin kâğıda yazılarak masa üzerinde bırakılması veya mesajlaşma gruplarında paylaşılması da önlenmelidir.

Kâğıt Belgeleri de Koruyun

Dijital güvenlik önlemleri alınırken fiziksel belgeler unutulmamalıdır. Yazdırılan formlar, danışan listeleri ve ödeme kayıtları da kişisel veri içerebilir.

Kâğıt belgeler:

• Kilitli dolaplarda saklanmalı
• Yetkisiz kişilerin erişimine açık bırakılmamalı
• Ortak alanlardaki yazıcılarda unutulmamalı
• Gereksiz kopyaları oluşturulmamalı
• Saklama süresi sonunda güvenli biçimde imha edilmelidir

Danışan bilgilerinin resepsiyon ekranında veya masa üzerinde herkes tarafından görülebilmesi de engellenmelidir.

Veri Aktarımında Dikkatli Olun

Danışan bilgilerinin kişisel e-posta hesapları, çalışanların özel telefonları veya kontrolsüz mesajlaşma grupları üzerinden paylaşılması risk oluşturabilir.

Bir bilgi gönderilmeden önce:

• Aktarım gerçekten gerekli mi?
• Doğru kişiye mi gönderiliyor?
• Alıcının erişim yetkisi var mı?
• Daha güvenli bir yöntem bulunuyor mu?
• Gönderilen dosyada gereksiz bilgiler var mı?

soruları değerlendirilmelidir.

Randevu hatırlatma mesajlarında da gereğinden fazla sağlık bilgisi kullanılmamalıdır. Mesajın başka biri tarafından görülebileceği ihtimali dikkate alınmalıdır.

Yedekleme Sürecini Planlayın

Veriler teknik arıza, kullanıcı hatası veya siber olaylar nedeniyle kaybolabilir. Bu nedenle düzenli yedekleme yapılması önemlidir.

Kullanılan hizmet sağlayıcıya şu sorular yöneltilebilir:

• Veriler hangi sıklıkta yedekleniyor?
• Yedekler nerede saklanıyor?
• Geri yükleme süreci nasıl işliyor?
• Yedeklere kimler erişebiliyor?
• Hizmet kesintisi durumunda nasıl hareket ediliyor?
• Veriler dışarı aktarılabiliyor mu?

Yedek bulunması tek başına yeterli değildir. Gerektiğinde verinin geri yüklenip yüklenemediği de kontrol edilmelidir.

Saklama ve Silme Politikası Oluşturun

Her verinin süresiz saklanması gerekmeyebilir. Klinik, tuttuğu kayıtları türlerine göre sınıflandırmalı ve ilgili hukuki yükümlülükleri dikkate alarak saklama süreleri belirlemelidir.

Politikada şu konular açıklanabilir:

• Hangi kayıt ne kadar süre saklanacak?
• Süreyi belirleyen hukuki veya operasyonel gerekçe nedir?
• Süresi dolan veriler nasıl silinecek veya anonim hale getirilecek?
• Fiziksel belgeler nasıl imha edilecek?
• Lisans sona erdiğinde dijital kayıtlara ne olacak?
• Veri teslimi hangi biçimde yapılacak?

Özellikle bulut hizmeti alınırken lisans yenilenmezse verilerin ne kadar süre erişilebilir kalacağı sözleşmede açıkça belirtilmelidir.

Çalışanlara Düzenli Eğitim Verin

Teknik olarak güçlü bir sistem, çalışanların yanlış uygulamaları nedeniyle riskli hale gelebilir. Yanlış kişiye dosya gönderilmesi veya hesabın açık bırakılması veri ihlaline yol açabilir.

Çalışanlara şu konularda eğitim verilebilir:

• Kişisel veri ve sağlık verisi kavramları
• Şifre güvenliği
• Yetkisiz paylaşımın önlenmesi
• Şüpheli e-posta ve bağlantılar
• Fiziksel belge güvenliği
• Veri ihlali şüphesi halinde bildirim süreci
• İşten ayrılırken veri ve cihaz teslimi

Kişisel Verileri Koruma Kurumunun Kişisel Veri Güvenliği Rehberi, idari ve teknik tedbirlerin planlanması için temel bir kaynak olarak kullanılabilir.

Olası İhlallere Karşı Plan Hazırlayın

Veri güvenliği yalnızca olayları önlemeye değil, bir sorun yaşandığında doğru şekilde hareket etmeye de dayanır.

Klinikte şu konular önceden belirlenmelidir:

• Şüpheli durum kime bildirilecek?
• Etkilenen hesaplar nasıl kapatılacak?
• Olayın kapsamı nasıl belirlenecek?
• Kayıtlar nasıl korunacak?
• Hizmet sağlayıcıyla kim iletişim kuracak?
• Hukuki bildirim gereklilikleri kim tarafından değerlendirilecek?

Çalışanların veri ihlali şüphesini gizlemek yerine hızla yetkili kişiye bildirmesi sağlanmalıdır.

SmartAsist ile Veri Güvenliği

SmartAsist, ISO 27001 Bilgi Güvenliği Yönetim Sistemi sertifikasına sahip bulut tabanlı bir platformdur. Kullanıcı yetkilendirmesi sayesinde çalışanların erişimleri görevlerine göre düzenlenebilir.

Danışan, randevu, paket, seans ve form bilgileri merkezi sistemde yönetilebilir. Böylece kayıtların kişisel bilgisayarlarda ve farklı dosyalarda dağınık şekilde tutulması azaltılabilir.

Ancak SmartAsist kullanılması, kliniğin kendi KVKK sorumluluklarını ortadan kaldırmaz. Kullanıcı yetkilerinin doğru tanımlanması, çalışanların eğitilmesi, saklama sürelerinin belirlenmesi ve erişim bilgilerinin korunması işletmenin de sorumluluğundadır.

Sık Sorulan Sorular

Sağlık verileri özel nitelikli kişisel veri midir?

Evet. Sağlık verileri, 6698 sayılı Kanun kapsamında özel nitelikli kişisel veriler arasında yer alır.

ISO 27001 belgesi tek başına KVKK uyumu sağlar mı?

Hayır. ISO 27001 bilgi güvenliği yönetimine ilişkin bir çerçeve sunar. KVKK uyumu için veri işleme süreçleri ve hukuki yükümlülükler ayrıca değerlendirilmelidir.

Klinik çalışanlarının tamamı tüm danışanları görebilir mi?

Erişimler görev ve ihtiyaçla sınırlandırılmalıdır. Her çalışana tüm kayıtlara erişim verilmesi uygun bir yaklaşım değildir.