Küçük Klinik İçin Randevu ve Hasta Takip Uygulaması: Özel Nitelikli Veride Nelere Dikkat Edilir?

Küçük bir klinikte randevu defteri kâğıttan ekrana geçtiğinde işler hızlanır: hatırlatma mesajları gider, boş saatler görünür, hasta geçmişi tek yerde durur. Ancak bir klinik randevu ve hasta takip uygulaması yalnızca ad ve saat tutmaz. Şikâyet notu, muayene kaydı, kullanılan ilaç ya da yapılan işlem de sisteme girer. Bunlar sağlık verisidir ve 6698 sayılı KVKK kapsamında özel nitelikli kişisel veri sayılır; yanlış kişinin eline geçmesinin sonucu sıradan bir müşteri listesinin sızmasından çok daha ağırdır.

Büyük hastanelerin güvenlik ekibi, küçük klinikte genellikle yoktur. Bu yüzden kararlar uygulama tasarlanırken verilmelidir. Bu yazıda dört kişilik bir klinik örneği üzerinden üç temel başlığı ele alıyoruz: şifreleme, rol bazlı erişim ve erişim kayıtları.

01Küçük klinikte hangi veri özel nitelikli sayılır?

Kanunun 6. maddesi sağlık verisini özel nitelikli veriler arasında sayar ve bu veriler için ek önlem ister. Maddenin tam metnini mevzuat.gov.tr üzerindeki 6698 sayılı Kanun sayfasında okuyabilirsiniz. Kurul'un özel nitelikli veriler için aradığı yeterli önlemler ise kvkk.gov.tr adresinde yayımlanan Kurul kararında yer alır.

Uygulamada ayrım şöyle yapılabilir:

• Açıkça sağlık verisi: tanı, muayene notu, reçete, tahlil sonucu, tedavi planı.
• Dolaylı olarak sağlık bilgisi veren veri: randevunun alındığı uzmanlık alanı, hatırlatma mesajındaki işlem adı, hastanın yüklediği rapor fotoğrafı.
• Sıradan kişisel veri: ad, telefon, e-posta. Sağlık kaydıyla birleştiğinde bunun da korunma düzeyi yükselir.

Pratik kural basittir: bir bilgi bir kişinin sağlık durumunu ima ediyorsa, onu özel nitelikli veri gibi koruyun. Genel kuralları gözden geçirmek için KVKK Uyum Kontrol Listesi iyi bir başlangıç noktasıdır.

02Klinik randevu ve hasta takip uygulamasında veriyi azaltmak

En güvenli veri, hiç toplanmamış veridir. Tasarıma başlamadan önce her alan için şu soruyu sorun: bu bilgi olmadan randevu verilebilir mi? Cevap evetse alanı kaldırın ya da isteğe bağlı yapın.

1. Randevu formunu kısa tutun. Ad, telefon ve saat çoğu zaman yeterlidir. Şikâyet bilgisi serbest metin kutusuyla alınıyorsa hastalar kutuya çok fazla bilgi yazar; bu alanı yalnızca gerçekten gerekiyorsa açın.
2. Hatırlatma mesajını sade yazın. "Yarın 14:30 randevunuz bulunmaktadır" yeterlidir. Mesaja uzmanlık alanı, işlem adı ya da tanı eklemeyin; telefon başkasının elindeyse bu bilgi açığa çıkar.
3. Muayene notunu randevu kaydından ayırın. Sekreterin gördüğü randevu ekranı ile hekimin gördüğü klinik kayıt farklı alanlarda dursun.
4. Saklama süresini baştan belirleyin. Hangi kaydın ne kadar tutulacağını ve süre dolunca nasıl silineceğini yazılı hâle getirin; sürelerin belirlenmesi hukuk danışmanınızla yapılacak bir iştir.

03Şifreleme: aktarımda, depoda ve yedekte

Şifreleme üç yerde düşünülmelidir. Biri atlanırsa zincirin en zayıf halkası orası olur.

• Aktarım sırasında: uygulamaya erişimin tamamı HTTPS üzerinden olmalı, geçerli bir TLS sertifikası kullanılmalıdır. Sertifika türleri için SSL/TLS sertifika rehberimize bakabilirsiniz.
• Depolamada: veri tabanı ve dosya depolama diski şifrelenmeli; muayene notu gibi en hassas alanlar için alan düzeyinde ek şifreleme düşünülmelidir. Anahtarlar uygulama kodunun içinde değil, ayrı bir anahtar yönetim alanında tutulmalıdır.
• Yedekte: yedek dosyası şifresizse, canlı sistemi ne kadar korursanız koruyun açık kalır. Yedeğin şifreli, farklı bir konumda ve geri dönüşü denenmiş olması gerekir. Ayrıntı için 3-2-1 yedekleme kuralı yazımıza göz atın.

Şifreleme tek başına yeterli değildir; çalınan bir kullanıcı parolası şifrelemeyi anlamsız kılar. Bu nedenle hekim ve yönetici hesaplarında iki faktörlü doğrulama zorunlu olmalıdır; kurulum adımları 2FA kurulum rehberinde anlatılıyor.

04Rol bazlı erişim: kim neyi görür?

Dört kişilik bir klinik düşünün: bir hekim, bir hemşire, bir sekreter ve bir yönetici. Herkesin her kayda erişmesi kolay görünür ama gereksizdir. Rol bazlı erişimde kişiye değil göreve yetki verilir:

• Sekreter: randevu takvimini, iletişim bilgisini ve ödeme durumunu görür; muayene notlarını ve tanıları göremez.
• Hemşire: o gün kendi sorumluluğundaki hastaların hazırlık bilgilerini görür; kayıt silme yetkisi yoktur.
• Hekim: kendi hastalarının klinik kaydını görür ve düzenler.
• Yönetici: kullanıcı ve rol yönetimini yapar; klinik kayıtları okumak için ayrıca yetkilendirilmesi gerekir.

Üç alışkanlık bu yapıyı ayakta tutar. Birincisi, paylaşılan hesap kullanmamaktır; "resepsiyon" adlı ortak bir kullanıcı, olay anında kimin ne yaptığını bulmayı imkânsız kılar. İkincisi, çalışan ayrıldığında hesabı aynı gün kapatmaktır. Üçüncüsü, rol listesini örneğin üç ayda bir gözden geçirmektir. Erişim planlamasının yazılım tasarımındaki yeri OWASP Top 10 listesinde de "Broken Access Control" başlığı altında öne çıkan risklerden biri olarak ele alınır.

05Erişim kayıtları ve ihlal hazırlığı

Erişim kaydı, bir kayda kimin, ne zaman ve hangi işlem için baktığını gösteren değiştirilemez bir günlüktür. Hasta "dosyama kim baktı?" diye sorduğunda ya da bir şüphe oluştuğunda elinizdeki tek somut kanıt budur.

Bir kayıt satırında en az şunlar bulunmalıdır:

1. İşlemi yapan kullanıcı
2. Tarih ve saat
3. Hangi hasta kaydına erişildiği
4. İşlem türü: görüntüleme, düzenleme, silme, dışa aktarma
5. Başarısız giriş denemeleri

Günlüğün içine hastanın tanısı ya da muayene notu yazılmamalı; yalnızca erişimin kendisi kaydedilmelidir. Aksi halde günlük de ikinci bir hassas veri deposuna dönüşür. Kayıtlar yalnızca yönetici rolünün değil, ayrıca belirlenmiş bir kişinin düzenli olarak gözden geçireceği bir akışa bağlanmalıdır; örneğin haftalık, sıra dışı toplu dışa aktarma ve gece saatlerindeki erişimler taranabilir.

Kayıt tutmak olay planıyla birlikte anlam kazanır. Bir ihlal şüphesi doğduğunda kimin hangi adımı atacağı önceden yazılmış olmalıdır. Kurul'a bildirimin en geç 72 saat içinde yapılması gerektiğini KVKK veri ihlali bildirim süreci yazımızda adım adım anlattık; resmî kaynak olarak kvkk.gov.tr sayfasındaki ihlal bildirimi duyurularına da başvurabilirsiniz. Uygulamanın dış yüzünü ise web sitesi güvenlik kontrol listesiyle sınayabilirsiniz.

06Sık sorulan sorular

Küçük bir klinik için de bu önlemlerin hepsi gerekli mi?

Evet, çünkü yükümlülük kliniğin büyüklüğüne göre değil verinin niteliğine göre doğar. Değişen, önlemlerin ölçeğidir: dört kişilik bir klinikte karmaşık bir yetki matrisi yerine dört net rol, ayrı bir güvenlik ekibi yerine düzenli bir günlük gözden geçirme yeterli olabilir.

Hastaya randevu hatırlatmasını SMS ile göndermek sakıncalı mı?

Hatırlatma göndermek başlı başına sorun değildir; sorun mesajın içeriğindedir. Yalnızca gün ve saat içeren, tanı ya da işlem belirtmeyen kısa bir mesaj riski azaltır. Pazarlama niteliğindeki mesajlar için ise ayrıca açık rıza ve İYS kaydı gerekir; bu konuyu hukuk danışmanınızla netleştirin.

Hazır bir randevu yazılımı kullanırsak sorumluluk yazılım firmasına mı geçer?

Hayır. Hazır yazılım kullansanız da hastanın verisi için veri sorumlusu sizsiniz. Yazılım firmasıyla veri işleme sözleşmesi yapmalı; verinin nerede tutulduğunu, şifreleme yöntemini ve erişim kayıtlarını rapor edip edemediğini sormalısınız.

07Sonuç

Küçük bir klinikte özel nitelikli veriyi korumak, büyük bütçe değil doğru sıra gerektirir: önce toplanan veriyi azaltın, sonra aktarım, depo ve yedeği şifreleyin, rolleri görevlere göre ayırın ve erişimleri kayıt altına alın. Bu dört adım, uygulama tasarım aşamasındayken eklendiğinde sonradan yama yapmaktan çok daha düzenli ilerler. Sağlık sektörüne yönelik yaklaşımımızı ve ilgili hizmetleri OPEIS sağlık sektörü çözümleri sayfasında inceleyebilirsiniz.