Hastane Yönetim Sistemlerinde KVKK Uyumu

Sağlık sektörü, KVKK'nın "özel nitelikli veri" tanımına giren bilgileri en yoğun işleyen alandır. Hasta tıbbi geçmişi, genetik veriler, cinsel sağlık bilgileri, ruh sağlığı kayıtları... Bir hastane yönetim sistemi (HBYS) projesinde KVKK uyumu, sonradan eklenecek bir özellik değil, mimarinin temeli olmalı. Bu dosyada ihmal edilen sistemler artık çok ağır cezalarla karşılaşıyor.

Teknik açıdan altı temel önlem zorunlu: (1) Erişim kontrolü — rol bazlı yetkilendirme; doktor sadece kendi hastalarını, yönetim sadece anonimleştirilmiş raporları görmeli. (2) Loglama — kim, ne zaman, hangi hasta dosyasına eriştiği denetlenebilir olmalı. (3) Şifreleme — veritabanında at-rest, ağda in-transit (TLS 1.3) şifreleme. (4) Veri minimumu — sadece gerekli alanlar saklanmalı, gereksiz veri toplanmamalı. (5) Saklama süresi — yasal sürenin sonunda otomatik silme. (6) Veri lokasyonu — hassas veri Türkiye'de kalmalı.

Organizasyonel önlemler de kritik: KVK uzmanı atanmış olmalı, çalışanlara periyodik eğitim verilmeli, veri ihlali tespit ve bildirim prosedürleri kurulmuş olmalı (72 saat içinde KVK Kurumu'na bildirim zorunluluğu). Kendi VPS'inizde tutmak yerine yerli bulut sağlayıcılarını tercih etmek (Türk Telekom Bulut, Vargonen, vb.) hem yasal hem operasyonel olarak daha kolay.

ClientIQX olarak bir özel hastane grubu için HBYS modernizasyon projesinde, başlangıçta KVKK uyum eksikliği nedeniyle 2 ay sadece veri envanteri ve risk analizi yaptık. Yazılım geliştirme sonra başladı. Bu yaklaşım proje süresini uzatsa da, sonradan eklenmesi imkansız özellikleri (örn. detaylı audit log, granüler izin yönetimi) baştan koymamızı sağladı. KVK Kurumu denetiminden tek bir bulgu olmadan geçen bir sistem teslim ettik. Sağlıkta KVKK, "uyum" değil "kalite" göstergesidir.