KVKK ve Klinik Yazılımları: Uyum Rehberi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 2016'da yürürlüğe girdi. O günden bugüne klinik yöneticilerinin en sık sorduğu sorulardan biri: "Hasta verisi gibi hassas bilgileri saklayan bir yazılım kullanırken nelere dikkat etmeliyim?" Bu rehber pratik cevaplar verir.

Sağlık Verisi Neden "Özel Nitelikli"?

KVKK madde 6 uyarınca sağlık verisi özel nitelikli kişisel veridir. Bu, normal verilerden çok daha sıkı koruma gerektirir:

İşleme için açık rıza ZORUNLU (yasal istisna dışında)
Veri sorumlusu ek güvenlik tedbirleri almakla yükümlüdür
Veri Sorumluları Sicili'ne (VERBİS) kayıt zorunluluğu
İhlal durumunda 5 katına kadar artırılmış cezalar

Klinik Olarak Sorumluluklarınız

Klinik bir veri sorumlusudur. Yazılım kullansanız bile, hasta verisinin korunmasından siz sorumlusunuz. Yapmanız gerekenler:

VERBİS Kaydı: Yıllık 1 milyon TL üstü cirosu olan klinikler için zorunlu. Kayıt KVKK web sitesinden ücretsiz yapılır.
Aydınlatma Metni: Hastanıza veri işleme amacı, yöntemi ve hakları hakkında bilgi vermek zorundasınız (giriş formunda).
Açık Rıza Formu: Sağlık verisi için ayrı, yazılı (veya elektronik) açık rıza alınmalı. KRATS dijital açık rıza formu sunar.
Veri İşleme Envanteri: Hangi verilerin nerede saklandığı, kimlerin eriştiği belgelenmeli.
Eğitimli Personel: Klinik çalışanlarına KVKK eğitimi (yıllık önerilir).
Veri İhlali Bildirimi: İhlal durumunda 72 saat içinde KVK Kuruluna bildirim.

Yazılımdan Bekledikleriniz

KVKK uyumlu bir klinik yazılımı şu özellikleri içermelidir:

Şifreleme: Veri trafiği TLS 1.2+, depolama AES-256.
Erişim Kontrolü: Rol tabanlı yetkilendirme (resepsiyonist, hekim, yönetici farklı verilere erişir).
Audit Log: Kim, ne zaman, hangi veriye eriştiğinin kaydı (KVKK m.12 zorunluluğu).
Çok Faktörlü Kimlik Doğrulama (MFA): Şifreyle birlikte SMS/TOTP doğrulama.
Veri Yedekleme: Düzenli, şifreli yedek (KRATS: günlük, 7 gün retention).
Veri Silme: Hasta talep ettiğinde verinin tamamen silinmesi (KVKK m.7).
Veri İhracatı: Hasta verisini standart formatta (PDF, JSON) indirebilme hakkı (KVKK m.11/d).

KRATS'ın KVKK Uyumu

KRATS, KVKK gereksinimlerini tasarımdan itibaren göz önünde bulundurmuştur:

Veri Yerelliği: Sağlık verileri sizin cihazınızda veya kendi sunucunuzda kalır. KRATS bulut erişimi yalnızca opsiyonel ve şifrelidir.
Çift Yönlü Şifreleme: İletişim TLS 1.2+, saklama AES-256-GCM.
Audit Log: Tüm erişim ve değişiklikler tarih, kullanıcı, IP ile log'lanır. 10 yıl saklanır.
Rol Yönetimi: Resepsiyonist hastanın tıbbi kayıtlarını göremez, sadece randevu bilgisini görür.
Açık Rıza Modülü: Hasta kabulünde dijital açık rıza imzalanır, PDF olarak saklanır.
Veri Silme: Hasta talebiyle tek tıkla GDPR-uyumlu silme. Audit log'da işlem kaydı kalır.
Yedekleme: AWS Backup ile günlük şifreli yedek (eu-central-1 Frankfurt — Türkiye dışı sertifikalı bölge).
İhlal Tespiti: Anormal erişim örüntülerine CloudWatch alarmı (SOAR-ready).

VERBİS Kaydı için Pratik İpuçları

Kayıt Yükümlüsü Kontrolü: Yıllık ciro 1 milyon TL üzerinde mi? Yoksa hassas (sağlık) veri işliyor musunuz? Cevap evet ise kayıt zorunlu.
Veri İşleme Amaçları: "Hasta randevu yönetimi", "tıbbi kayıt", "faturalama" gibi net kategoriler tanımlayın.
Veri Aktarımı: SGK, e-Reçete, banka, KRATS yazılımı, AWS, Cloudflare — tüm 3. tarafları listele.
Saklama Süreleri: Sağlık verisi için yasal süre (genellikle 20 yıl, ölü hasta için 10 yıl).
Güvenlik Tedbirleri: KRATS gibi yazılım kullanıyorsanız "şifreleme, audit, MFA, yedek" maddelerini ekleyin.

Cezalar ve İhlal Senaryoları

KVKK Kurulu, son yıllarda klinik ve hastanelerden ciddi cezalar kesti:

Hasta verisinin yetkisiz erişime açık bir yazılımda saklanması: 500.000 - 2.000.000 TL
Açık rıza alınmadan SMS gönderimi: 50.000 - 200.000 TL
Aydınlatma metni eksikliği: 50.000 TL'den başlayan idari para cezası
Veri ihlalini bildirmemek: Aktif ceza + ek 1 milyon TL

Sonuç

KVKK karmaşık görünebilir ama doğru araç ve süreçle uyum sağlamak zor değil. KRATS, bu süreci otomatize ederek size sadece klinik işine odaklanma fırsatı sunar. Demo talebinde KVKK uyum modülünü de görebilirsiniz.