Sağlık verisi ve KVKK: muayenehanede gündelik uygulama
KVKK muayenehanede bir form imzalatmaktan ibaret değildir. Kim neyi görüyor, veri nerede duruyor, ne zaman paylaşılıyor sorularının gündelik yanıtlarını derledik.
Sağlık verisi neden ayrı
6698 sayılı Kişisel Verilerin Korunması Kanunu, sağlık verisini özel nitelikli kişisel veriler arasında sayar ve bu verilerin işlenmesini daha sıkı koşullara bağlar (m. 6). Muayenehanede tutulan tanı, tetkik sonucu, reçete, muayene notu ve hatta randevunun hangi branşta alındığı bilgisi bu kapsamdadır. Bunun pratik anlamı şudur: veriye erişimin sınırlı, işlemenin belirli bir amaca bağlı, alınan güvenlik önlemlerinin de belgelenmiş olması beklenir. Kişisel Verileri Koruma Kurulu tarafından yayımlanan rehberler ve kararlar, uygulamanın ayrıntısı için başvurulacak ilk kaynaktır. Kesin yükümlülükleriniz için bir hukuk danışmanıyla çalışmak, bu yazıdaki genel notların yerini tutmaz.
Aydınlatma ve kayıt
Hasta, verisinin hangi amaçla, kim tarafından ve hangi hukuki sebebe dayanılarak işlendiğini, kimlere aktarılabileceğini ve haklarını öğrenmelidir. Aydınlatma metni hasta kabulü sırasında sunulur ve sunulduğunun kaydı tutulur. Açık rızanın hangi işlemler için ayrıca gerekli olduğu, işlemenin dayandığı şarta göre değişir; bu ayrımı hukuk danışmanınızla netleştirip yazılı hâle getirmeniz gerekir. Yazılım tarafında önemli olan, aydınlatmanın ve varsa rızanın tarihli olarak hasta dosyasında görünmesi, metnin hangi sürümünün sunulduğunun izlenebilmesidir. Metin değiştiğinde eski sürümle aydınlatılmış hastaların ayırt edilebilmesi, olası bir soruda kanıtı hazır tutar.
Erişim: gereklilik ilkesi
Muayenehanede herkesin her şeyi görmesine gerek yoktur. Sekreter randevu ve iletişim bilgisini, muhasebe tahsilatı görür; klinik not, tanı ve reçete hekime ve gerektiğinde hemşireye açıktır. Rol bazlı yetki, bu ayrımı kişilerin dikkatine bırakmadan sistemin kendisine taşır. Çok hekimli yapıda bir hekimin başka bir hekimin hastasına hangi koşulda erişebileceği de yazılı olarak tanımlanmalıdır. Ortak kullanıcı adı ve şifre, kimin ne yaptığını belirsizleştirdiği için kaçınılması gereken bir alışkanlıktır. İşten ayrılan çalışanın erişimi aynı gün kapatılmalı, geçici çalışanlara süreli erişim verilmelidir.
- Her çalışan için ayrı kullanıcı, ortak şifre yok
- Rolüne göre ekran ve alan kısıtı
- Ayrılan çalışanın erişiminin aynı gün kapatılması
İşlem günlüğü
Kimin hangi hastanın dosyasını ne zaman açtığı, hangi kaydı değiştirdiği ya da sildiği iz bırakmalıdır. İşlem günlüğü hem olası bir ihlalin incelenmesinde hem de ekibin sorumluluk bilincinde işe yarar; erişimin kayıt altında olduğunu bilmek, merakla dosya açmanın önüne geçer. Günlük, kayıtların kendisi gibi değiştirilemez olmalı ve yönetici tarafından kişiye, hastaya ya da tarihe göre süzülerek okunabilmelidir. Olağan dışı erişimleri, örneğin mesai dışında toplu dosya açılışını ya da tanınmış bir hastanın dosyasına ilgisiz bir kullanıcının girişini fark etmek için dönemsel gözden geçirme alışkanlık hâline getirilmelidir.
Saklama, yedekleme ve imha
Sağlık kayıtlarının ne kadar süre saklanacağı ilgili mevzuata bağlıdır; süre dolmadan silinmemesi kadar, süresi dolan verinin usulüne uygun biçimde imha edilmesi de önemlidir. Bu konuda bir saklama ve imha politikası hazırlanması beklenir. Yedekler şifreli tutulmalı, yedekten geri dönüş düzenli aralıklarla gerçekten denenmelidir; hiç denenmemiş bir yedek, olmayan bir yedekten pek farklı değildir. Bulut tabanlı bir programda verinin hangi ülkede tutulduğu, yurt dışına aktarım kurallarıyla doğrudan ilgilidir. Hizmet sağlayıcınızdan sunucu konumunu, şifreleme yöntemini ve olası bir ihlalde size nasıl haber verileceğini yazılı olarak öğrenin.
Paylaşım ve iletişim
Tetkik sonucu, reçete ya da rapor hastayla paylaşılırken kanal seçimi önem taşır. Açık metinli kısa mesaj ya da şifresiz e-posta yerine, kimlik doğrulamalı bir hasta portalında erişim tercih edilebilir. Hastanın yakınıyla bilgi paylaşımı, hastanın izni ve yasal temsil kurallarıyla sınırlıdır; telefonda kendini yakın olarak tanıtan herkese bilgi verilmemelidir. Ticari ileti göndermek ise ayrı bir konudur: kampanya ya da duyuru niteliğindeki iletiler için ileti yönetim sistemine kayıt ve izin kuralları ayrıca değerlendirilmelidir. Randevu hatırlatması gibi hizmetle ilgili bildirimlerle tanıtım amaçlı iletilerin birbirinden ayrı tutulması, karışıklığı baştan önler.
Ekip farkındalığı
Teknik önlemler ne kadar güçlü olursa olsun, verinin korunması sonunda ekibin gündelik davranışına dayanır. Ekranın açık bırakılmaması, bekleme salonunda hasta bilgisinin yüksek sesle okunmaması, çıktıların masada unutulmaması ve telefonla bilgi isteyen kişinin kimliğinin doğrulanması basit ama etkili alışkanlıklardır. Yeni katılan her çalışana bu kuralların ilk gün anlatılması ve gizlilik taahhüdünün alınması gerekir. Yılda en az bir kez kısa bir tekrar toplantısı yapmak, kuralların unutulmasını önler. Olası bir ihlal fark edildiğinde kime haber verileceği ve hangi adımların izleneceği de önceden yazılı bir prosedüre bağlanmalıdır.
- Otomatik ekran kilidi
- Telefonda kimlik doğrulama
- Yazılı ihlal bildirim prosedürü
Bu yazı genel bilgilendirmedir; hukuki ya da tıbbi tavsiye değildir. Güncel mevzuatı resmî kaynaklardan doğrulayın.
Diğer yazılar
Tanıtım ekranı her yazılımda iyi görünür. Asıl fark muayene odasında, hasta sırası uzadığında ve yıllar sonra veriyi taşımak gerektiğinde ortaya çıkar.
E-reçete, muayene notunun doğal devamıdır. Süreci hekim kimliğinden hastanın eczaneye gidişine kadar sakin bir sırayla anlatıyoruz; teknik bağlantı ayrıntısını entegratöre bırakarak.
Boş kalan her randevu saati, başka bir hastanın bekleyişi demektir. Gelmemeyi azaltan hatırlatma, onay ve bekleme listesi düzenini muayenehane ölçeğinde ele alıyoruz.