KVKK ve hastane bilgi sistemi: kurumların dikkat edeceği başlıklar
Hazırlayan: SeckinAI ekibi · Son güncelleme:
Sağlık verisi, 6698 sayılı KVKK kapsamında özel nitelikli kişisel veridir ve daha sıkı korunur. Hastane bilgi sisteminde bunun karşılığı rol bazlı erişim, erişim logları, aydınlatma, saklama ve imha politikası, veri işleyen sözleşmesi ve veri ihlali halinde işleyen bir bildirim süreci olmasıdır.
Neden özel nitelikli?
Sağlık bilgisi bir kişinin en hassas bilgileri arasındadır. KVKK sağlık verisini özel nitelikli kategoride sayar ve işlenmesine ek şartlar getirir. Hangi hallerde açık rıza aranmadan işlenebileceği kanunda tanımlıdır; kurumun hukuk danışmanı güncel metni ve ilgili Kurul kararlarını esas almalıdır. Bu yazı hukuki görüş değil, genel bir kontrol çerçevesidir.
HBYS’te teknik ve idari tedbirler
| Tedbir | HBYS’te karşılığı |
|---|---|
| Yetki ayrımı | Rol bazlı erişim; hekim, hemşire, sekreter, faturalama ayrı yetki alır |
| Erişim izi | Kim hangi hasta dosyasını ne zaman açtı, kayıt altında ve incelenebilir |
| Kimlik doğrulama | Güçlü parola politikası, mümkünse çok adımlı doğrulama |
| Şifreleme | İletimde ve saklamada şifreleme, yedeklerde de uygulanır |
| Ayrılan personel | Görev değişikliği ve ayrılışta yetki hızla kaldırılır |
| Test ve eğitim ortamı | Gerçek hasta verisi kullanılmaz veya kimlik bilgisi çıkarılır |
| Saklama ve imha | Mevzuattaki saklama süreleri sonrası imha prosedürü işletilir |
Tedarikçiyle ilişki
HBYS sağlayıcısı, kurum adına veri işliyorsa genellikle veri işleyen konumundadır. Bu durumda sözleşmede işlenen verinin kapsamı, güvenlik tedbirleri, alt işleyenler, verinin işlendiği yer, bildirim yükümlülükleri ve sözleşme sonunda verinin iadesi veya imhası yazılı olmalıdır.
Veri ihlali halinde
KVKK, ihlalin fark edilmesi halinde Kurul’a ve ilgili kişilere bildirimi öngörür; Kurul uygulamasında bildirim için kısa bir süre (72 saat) esas alınmaktadır. Bu nedenle kurumun ihlali tespit eden, değerlendiren ve bildiren bir iç prosedürü önceden yazılı olmalı, tedarikçinin kuruma ne kadar sürede haber vereceği sözleşmede belirlenmelidir. Güncel süre ve usul için mevzuatı kontrol edin.
Sık sorulan sorular
Hastane VERBİS’e kayıt olmak zorunda mı?
Kayıt yükümlülüğü, veri sorumlusunun niteliğine ve kanunda belirlenen eşiklere bağlıdır. Kurumunuzun durumu için hukuk danışmanınıza veya Kurum’un güncel duyurularına bakın.
Hekimlerin hasta dosyası erişimi kayıt altına alınmalı mı?
Evet, iyi uygulama olarak erişim logları tutulmalı ve şüpheli erişimler incelenebilmelidir. Bu hem yetkisiz erişimin tespiti hem de ihlal halinde ne olduğunun anlaşılması için gereklidir.
Bulut HBYS KVKK’ya aykırı mıdır?
Hayır, ancak sağlayıcıyla veri işleyen sözleşmesi, verinin işlendiği yer, güvenlik tedbirleri ve alt işleyenler açık olmalıdır. Konunun ayrıntısı için bulut HBYS rehberine bakın.
İlgili rehberler
Bu rehber yapay zekâ desteğiyle hazırlanmış ve SeckinAI ekibi tarafından gözden geçirilmiştir. Mevzuat ve teknik ayrıntılar zamanla değişebilir; kararlarınızdan önce güncel kaynakları doğrulayın.