Sağlık Verisi İhlali: 72 Saatte Bildirim ve Delil Rehberi

Bir hastanede ya da sağlık teknolojisi şirketinde veri ihlali şüphesi doğduğunda ilk saatlerde verilen iki karar, sonraki altı ayı belirliyor: hangi sistemin durdurulacağı ve kime ne zaman söyleneceği. Sağlık verisi bu iki kararı genel bir olay müdahalesinden farklı kuruyor, çünkü kaydın kendisi KVKK md.6 kapsamında özel nitelikli ve kaydın sahibi aynı zamanda bir hasta; tedavisi sürüyor, tahlili bekliyor, bir sonraki randevusu var.

Bu rehber, sağlık verisi ihlalini bir uyum dosyası olarak değil bir operasyon olarak ele alıyor: ihlali üreten yedi tipik senaryo, yetmiş iki saatin dakika bütçesi, bildirimde bulunması gereken sekiz alan, hasta bildiriminin sınırı, klinik sistemde delil korurken tedaviyi durdurmama yöntemi, HBYS tedarikçisiyle sorumluluk sınırı, ve ihlalin maliyetini önleyici tedbirin maliyetiyle yan yana koyan hesap.

Sağlık verisi neden farklı: md.6/3'ün üç kapısı

KVKK md.6/3, sağlık ve cinsel hayata ilişkin verilerin açık rıza aranmaksızın işlenebilmesini üç koşula bağlıyor: amaç kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ya da sağlık hizmetleri ile finansmanının planlanması ve yönetimi olacak; işleyen taraf sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar olacak. Üç kapıdan biri kapalıysa işleme hukuka uygun olmuyor.

Bu üç kapı, bir ihlal incelemesinde beklenmedik bir yerde işe yarıyor: ihlalin kendisi çoğu zaman "veri dışarı çıktı" değil, "veri amacın dışında bir yerde duruyordu". Kişisel Sağlık Verileri Hakkında Yönetmelik bu noktayı iki kurala bağlıyor. Birincisi, sağlık hizmet sunucularında görevli kişiler ilgili kişinin sağlık verilerine ancak verilecek sağlık hizmetinin gereğiyle sınırlı olarak erişebiliyor. İkincisi, veri işleyen kişiler kişisel sağlık verilerini sağlık hizmet sunucusunun sistemleri ve Bakanlığın ülke genelinde hizmet vermek amacıyla kurulan sistemleri dışında hiçbir yere kopyalayamıyor veya kaydedemiyor.

İkinci kural, Türkiye'deki sağlık verisi ihlallerinin önemli bir kısmını tek başına açıklıyor. Bir hekimin kendi bilgisayarına hasta listesi indirmesi, bir hemşirenin vardiya devri için tahlil sonuçlarını kişisel telefona fotoğraflaması, bir klinik yöneticisinin raporu kendi e-posta adresine göndermesi: hepsi iyi niyetli olabilir ve hepsi Yönetmelik'in kopyalama yasağını ihlal ediyor. İhlal, verinin çalınmasıyla değil, izinsiz bir kopyanın oluşmasıyla başlıyor.

İhlali üreten yedi senaryo

Sağlık kuruluşlarında tekrar eden ihlal tiplerini yazmak, olay anında hangi kaydın nereye gittiğini hızlı bulmayı sağlıyor. Aşağıdaki tablo, her senaryoyu ilk tespit sinyaliyle eşleştiriyor.

Senaryo	Nasıl oluşuyor	İlk tespit sinyali
Yanlış hastaya belge	Taburcu özeti veya tahlil sonucu başka hastanın adresine gidiyor	Hasta şikâyeti; aynı gün iki kayıt için tek çıktı
HBYS yetki şişmesi	Departman değişikliklerinde eski rol kaldırılmıyor; erişim birikiyor	Yetki matrisi ile personel listesi arasındaki fark
E-posta ile rapor	Kurumsal olmayan adrese konsültasyon veya epikriz gönderimi	E-posta güvenlik ağ geçidinde alıcı alan adı uyarısı
Taşınabilir medya	Görüntüleme verisinin USB veya harici diske kopyalanması	Uç nokta cihazında USB yazma kaydı
Tedarikçi kopyası	HBYS veya görüntüleme tedarikçisinin test ortamına gerçek veri alması	Test ortamında üretim kayıt sayısı
Entegrasyon hatası	e-Nabız veya laboratuvar arayüzünde hasta eşleştirmesinin kayması	Arayüz hata oranı; aynı protokol numarasının iki kişide görünmesi
Yetkisiz hesap	Paylaşılan kullanıcı adı, ayrılan personelin açık kalan hesabı	Ayrılış listesi ile aktif hesapların karşılaştırılması

Bu yedi senaryonun altısı, veri kaybı olmadan da tespit edilebiliyor; yani ihlal gerçekleştikten sonra değil, izinsiz kopya oluşurken yakalanabiliyor. Ama bunun için ölçülmesi gereken şey "saldırı var mı" değil, "hangi kopya nerede duruyor".

Yetmiş iki saat: 4.320 dakikanın bütçesi

KVKK md.12/5, veri sorumlusunun işlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edildiğini öğrenmesi hâlinde bunu en kısa sürede ilgililere ve Kurul'a bildirmesini istiyor; Kurul'un 2019/10 sayılı kararı bu süreyi uygulamada yetmiş iki saat olarak çerçeveliyor. Yetmiş iki saat 4.320 dakika ve bu sürenin tamamı çalışmaya gitmiyor. Klinik bir ihlalde gerçekçi bir bütçe şöyle dağılıyor.

Aşama	Dakika	Kim yürütüyor
İhbarın doğrulanması (gerçek mi, yanlış alarm mı)	60	Bilgi güvenliği + klinik yönetim
Kapsam tespiti: hangi sistem, kaç hasta, hangi alanlar	480	Teknik ekip + HBYS sorumlusu
Sızmanın durdurulması ve erişim kesintisi	240	Altyapı ekibi
Delil koruma (imaj, hash, erişim kaydı)	180	Adli bilişim
Bildirim taslağının yazılması	240	KVKK sorumlusu
Hukuk ve yönetim onayı	120	Hukuk müşaviri + başhekim
Kurul bildiriminin gönderilmesi	60	KVKK sorumlusu
Toplam	1.380	Kalan 2.940 dakika (%68)

Kalan 2.940 dakika boşluk değil, tampon. İhlalin öğrenildiği an ile ilk dakikayı saymaya başladığınız an arasındaki gecikme, bütün bütçeyi bu tampondan yiyor. Gerçek olaylarda en çok zaman kaybettiren aşama sızmanın durdurulması değil, kapsamın tespiti: hangi hastanın hangi alanının çıktığını bilmeden bildirim yazılamıyor, kapsam bilinmeden de hasta bildirimi yapılamıyor. Kapsam tespitini hızlandıran tek şey, olay öncesinde kurulmuş bir kayıt düzeni: erişim kayıtlarının tutulduğu süre, yedeklerin tarihi, arayüzlerin hasta eşleştirme kuralları.

Bildirimde bulunması gereken sekiz alan

Kurul bildirimi bir suçlama metni değil, bir olgu metni. Sekiz alanı eksiksiz doldurulmuş bir bildirim, sonradan gelecek soruların çoğunu baştan cevaplıyor.

Alan	İçerik	Sık yapılan hata
Olayın ne olduğu	Tek cümlelik tanım: yetkisiz erişim, yanlış alıcı, kayıp cihaz	Teknik terim yığını; olgu kayboluyor
Tespit zamanı	İlk sinyalin tarih ve saati	Bildirim tarihinin yazılması
Etkilenen kişi sayısı	Kesin sayı; bilinmiyorsa üst sınır ve gerekçesi	Tahmini sayının kesin gibi sunulması
Veri kategorileri	Kimlik, iletişim, tanı, tahlil, görüntü, reçete ayrı ayrı	Sağlık verisi demekle geçiştirmek
Kaynağı ve nedeni	Yetki şişmesi, yanlış alıcı, tedarikçi kopyası gibi sınıflandırma	Neden alanının boş bırakılması
Alınan tedbirler	Durdurulan erişim, kapatılan hesap, geri çağrılan kopya	Plan yazmak, yapılanı yazmamak
Etkilenenlere bildirim	Yapıldı / yapılıyor / yapılmayacak ve gerekçesi	Karar verilmeden yapıldı yazmak
İletişim	Bildirimi yürüten kişi ve iletişim bilgisi	Vekil veya dış danışman adının verilmemesi

Bu sekiz alanın en zor doldurulanı dördüncüsü. Bir sağlık ihlalinde "hangi veri çıktı" sorusunun cevabı genellikle bir dosya adı değil bir alan listesi: ad-soyad, TCKN, iletişim, tanı kodu, tahlil sonucu, reçete, görüntü. Tanı kodunun çıkması ile yalnızca randevu saatinin çıkması aynı ağırlıkta değil; bildirimin ciddiyeti bu ayrımda belirleniyor. Alanları ayrı ayrı yazmak, hem bildirimi savunulabilir kılıyor hem de gerçekten kaç hastanın etkilendiğini gösteriyor.

Hasta bildirimi: ne zaman, nasıl, ne kadar ayrıntı

Kurul bildirimi ile hasta bildirimi iki ayrı yükümlülük ve ikisi aynı gün karara bağlanmıyor. Kurul'a bildirim ihlalin öğrenildiği anda başlıyor; hastaya bildirim ise ihlalin hastanın kimliğini ne kadar açığa çıkardığına bağlı. Yalnızca randevu saatinin çıktığı bir sızıntıda hastayı arayıp tıbbi durumunu konuşmak, hastayı gereksiz yere panikletmenin yanında yeni bir veri işleme tartışması yaratıyor. Tanı, tahlil ya da reçete çıkmışsa tablo tersine dönüyor: hasta, kendi verisinin nerede göründüğünü öğrenmezse bu bilgiyi başka bir kanaldan ve yanlış öğreniyor.

KVKK md.11 hastaya bilgi talep etme hakkı veriyor; md.12 veri güvenliğini sağlama yükümlülüğünü veri sorumlusuna yüklüyor. Avrupa'daki GDPR md.34 ve ABD'deki HIPAA breach notification kuralı bu kararı daha ayrıntılı çerçeveliyor; Türkiye'deki uygulamada ise hastaya bildirimin nasıl yapılacağı büyük ölçüde kuruluşun kendi politikasına kalıyor. Bu boşluğu doldurmanın yolu, kararı önceden eşiklere bağlamak.

Veri kategorisi	Türkiye (KVKK md.11, md.12)	GDPR md.34	HIPAA
Kimlik ve iletişim	Bildirim kuruluş politikasına bağlı	Yüksek risk yoksa gerekmez	Sınırlı ihlalde gerekmez
Randevu ve idari kayıt	Genellikle bireysel bildirim gerekmez	Genellikle gerekmez	Gerekmez
Tanı, tahlil, reçete	Bireysel bildirim önerilir; Kurul bildirimi zorunlu	Yüksek risk: bildirim zorunlu	Bildirim zorunlu
Görüntü ve patoloji	Bireysel bildirim önerilir; Kurul bildirimi zorunlu	Yüksek risk: bildirim zorunlu	Bildirim zorunlu
Özel nitelikli ek alan (cinsel hayat, sağlık geçmişi)	Bireysel bildirim güçlü öneri	Yüksek risk: bildirim zorunlu	Bildirim zorunlu

Bildirimin içeriği de ölçülü olmak zorunda. Hastaya "tüm verileriniz çalındı" demek, kapsamı bilinmeyen bir olayda yanlış bilgi vermek oluyor; ayrıntılı tıbbi döküm göndermek ise ihlalin kendisini tekrarlamak. Doğru metin üç şeyi söylüyor: ne oldu, hangi verileriniz etkilendi, sizden ne bekleniyor. Dördüncü bir şey eklenmiyor: suçlu, tedarikçi adı veya soruşturmanın ayrıntısı.

Delil korurken tedaviyi durdurmamak

Sağlık verisi ihlalinde adli bilişim ile klinik operasyon aynı sisteme bakar ve çıkar çatışması burada başlıyor: delil bütünlüğü için sistemin dondurulması istenir, hasta güvenliği için sistemin çalışmaya devam etmesi. Bu çatışmayı "önce delil" veya "önce hasta" diye çözmek yanlış; doğru çözüm, delilin sistemden ayrı bir kopyasında sabitlenmesi.

Adım	Ne yapılır	Neden
1. İmaj alma	İlgili sunucunun veya sanal makinenin imajı alınır; üretim sistemi çalışmaya devam eder	Delil kopyada sabitlenir, tedavi kesilmez
2. Hash	İmajın SHA-256 değeri alınır ve iki kişi tarafından imzalanır	Kopyanın değişmediği kanıtlanır
3. Erişim kaydı	Uygulama, veritabanı ve ağ erişim kayıtları alınır; saklama süresi uzatılır	Kayıtlar döndüğünde kapsam tespiti imkânsızlaşır
4. Yetki anlık görüntüsü	Kullanıcı-rol matrisi ve oturum listesi dışa aktarılır	Yetki şişmesi sonradan düzeltilirse iz kaybolur
5. Zincir kaydı	Kimin, ne zaman, hangi kopyaya eriştiği yazılır	Delilin mahkemede değeri bu kayda bağlı

Bu beş adım, ihlal incelemesinin delil tarafını kuruyor ve hepsi üretim sistemi çalışırken yapılabiliyor. Dondurulması gereken tek şey, silinme veya üzerine yazılma ihtimali olan kayıt: log rotasyonu, yedek döngüsü ve oturum kapatma. Bir hastanenin yedekleri on dört günde bir dönüyorsa, ihlalin on beşinci gün fark edilmesi hâlinde delil kendiliğinden yok oluyor. Bu yüzden erişim kayıtlarının saklama süresi, olay anında değil politika aşamasında kararlaştırılması gereken bir parametre.

Tedarikçi sınırı: HBYS, görüntüleme, e-Nabız entegrasyonu

Sağlık kuruluşlarında ihlalin kaynağı çoğu zaman kurumun kendi personeli değil, sistem erişimi olan tedarikçi. Bu, sorumluluğu değiştirmiyor: KVKK md.8 kapsamında veri işleyen sıfatıyla hareket eden tedarikçinin yaptığı işleme, veri sorumlusunun yükümlülüğünü ortadan kaldırmıyor. Sözleşmeye yazılması gereken dört şey var.

Konu	Sözleşmede ne olmalı	Yoksa ne olur
Test ve geliştirme ortamı	Üretim verisi kullanılamaz; kullanılacaksa anonimleştirme kuralı yazılı	Gerçek hasta verisi test sunucusunda birikir
Kopyalama yasağı	Veri yalnızca kurumun ve Bakanlığın sistemlerinde; başka ortama kopyalama yok	Yönetmelik'in açık kuralı ihlal edilir
Yurt dışı aktarım	md.9 kapsamında ayrı dayanak; varsayılan olarak yasak	Bulut bölgesi seçimi bir aktarım ihlaline dönüşür
İhlal bildirimi	Tedarikçi, öğrendiği andan itibaren saat cinsinden süreyle kuruma bildirir	72 saatlik pencere tedarikçinin takvimine kalır

Üçüncü satır en sık atlananı. Bir görüntüleme sisteminin yedekleri başka bir ülkedeki bulut bölgesine yazılıyorsa, teknik olarak kurulum sorunsuz çalışsa da hukuken md.9 kapsamında bir aktarım var. Sağlık verisi özel nitelikli olduğu için bu aktarımın dayanağı ayrıca kurulmak zorunda. Aynı sorun e-Nabız entegrasyonlarında ters yönde çıkıyor: entegrasyon Bakanlığın sistemiyle konuştuğu için meşru, ama araya giren bir ara katman veriyi kendi veritabanına yazıyorsa o katman veri sorumlusu hâline geliyor.

Maliyet: 518.000 TL olay, 144.000 TL önleyici tedbir

İhlal maliyeti tartışması genelde uluslararası ortalamalarla yapılıyor ve orada kalıyor, çünkü o rakamlar bir Türk hastanesinin bütçesine tercüme edilmiyor. Yerel bir hesap daha işe yarıyor: altı kişilik bir müdahale ekibinin kırk saatlik çalışması, hukuk desteği ve bildirim iletişimi.

Kalem	Hesap	Tutar
Müdahale ekibi	6 kişi x 40 saat x 1.200 TL	288.000 TL
Hukuk ve danışmanlık	götürü	150.000 TL
Bildirim ve hasta iletişimi	götürü	80.000 TL
Olay toplamı		518.000 TL
Önleyici: erişim gözden geçirmesi	120 saat x 1.200 TL	144.000 TL
Oran		3,6 kat

Uluslararası ölçek için aynı hesabın ikinci bir versiyonu var. IBM'in 2024 veri ihlali maliyeti raporunda küresel ortalama 4,88 milyon dolar, sağlık sektörü ortalaması 9,77 milyon dolar; sağlık on ikinci yıl da en pahalı sektör. Bu ortalamayı bir ihlal büyüklüğüne bölmek kaba bir yaklaşım ama ölçek duygusu veriyor: 100.000 hasta kaydı etkilenmişse kayıt başına yaklaşık 97,7 dolar, 50.000 kayıtta 195,4 dolar. Bu sayılar Türkiye'deki ceza veya tazminat tutarı değil; bir ihlalin kuruma toplam yükünün büyüklüğünü göstermek için kullanılan karşılaştırma ölçüsü.

Saklama ile imha arasındaki gerilim

Sağlık kayıtlarında KVKK'nın amaç için gerekli süre kadar sakla kuralı ile tıbbi arşiv mevzuatının yirmi yıl sakla kuralı aynı dosya için aynı anda geçerli. Bu bir çelişki değil, iki farklı gerekçe: tıbbi kayıt tedavi sürekliliği ve hukuki savunma için tutuluyor, kişisel veri ise amacın gerektirdiği süreyle sınırlı. Çözüm tek bir süre belirlemek değil, kayıtları sınıflara ayırıp her sınıf için süre ve erişim kuralı yazmak.

Ölçeği görmek için basit bir hesap: günde 1.000 poliklinik başvurusu yapan bir kurumda yılda 365.000 dosya, yirmi yılda 7,3 milyon dosya oluşuyor. Dosya başına 1,2 MB düşünülürse arşiv 8,35 TB; yedekleme ile üç kopya tutuluyorsa 25,1 TB. Bu hacimde hepsini erişilebilir tutmak bir saklama politikası değil bir erişim riski: her ek kopya, yetkisiz erişim ihtimalini aynı oranda çoğaltıyor.

Kayıt sınıfı	Saklama	Erişim kuralı
Tedavi dosyası (epikriz, tahlil, görüntü)	En az 20 yıl	Tedavi ekibi, hizmetin gereğiyle sınırlı
Adli vaka kayıtları	En az 20 yıl	Yetkili birim, talebe bağlı erişim
Randevu ve idari kayıt	Amacın gerektirdiği süre, sonra anonimleştirme	İdari personel, sınırlı alan
Erişim kayıtları (log)	Politikada belirlenir; olay incelemesini kapsayacak kadar	Yalnızca bilgi güvenliği ve denetim
İhlal dosyası	Zamanaşımı süresi boyunca	KVKK sorumlusu ve hukuk

Tablodaki dördüncü satır çoğu kuruluşun en çok yanıldığı yer. Erişim kayıtlarını otuz gün tutup tıbbi kaydı yirmi yıl tutmak, ihlal incelemesini imkânsız kılıyor: olay altı ay sonra fark edildiğinde kimin hangi dosyaya baktığını gösteren kayıt çoktan silinmiş oluyor. Log saklama süresi, veri koruma politikasının değil olay müdahale kabiliyetinin parametresi.

Klinik ekibin beş kuralı

İhlallerin önemli kısmı teknik kontrollerle değil günlük alışkanlıklarla önleniyor. Hekim, hemşire ve laboratuvar personeli için yazılı beş kural, uzun bir eğitimden daha etkili.

Kural	Neden
Hasta verisini kişisel cihaza veya kişisel buluta kopyalama	Yönetmelik kopyalama yasağı; ihlal buradan başlıyor
Kendi hesabınla başkasının işini yapma	Paylaşılan hesap, erişim kaydını işe yaramaz hâle getiriyor
Vardiya devrini kurumsal kanaldan yap	Mesajlaşma uygulamasındaki hasta listesi en yaygın sızıntı
Yanlış alıcıya giden belgeyi bildir, silme	Silinen belge, bildirim süresini ve kapsamı yok ediyor
Şüpheli erişimi bildir, kendi başına inceleme	Kendi başına inceleme delili bozuyor

Bu beş kuralın dördüncüsü en kritik. Yanlış hastaya gönderilen bir epikriz, ihlalin kendisi kadar yaygın ve düzeltilebilir bir hata; ama belge silindiğinde hem kapsam tespiti hem Kurul bildirimi imkânsızlaşıyor. Kuralın doğru hâli bildir ve sakla, bildir ve sil değil.

Doksan günlük hazırlık ve dört metrik

İhlal anında kurulacak bir süreç yok; olan süreç çalışır. Doksan günlük hazırlık, olay anında hangi belgenin hazır olması gerektiğini hedefliyor.

Dönem	Çıktı	Saat
1-30 gün	Kayıt sınıfları, saklama tablosu, erişim matrisi, bildirim şablonu	36
31-60 gün	Yetki gözden geçirmesi, ayrılan personel hesap temizliği, log saklama süresi	48
61-90 gün	Masa başı tatbikat (72 saat simülasyonu), hasta bildirim metni, tedarikçi sözleşme ekleri	30
Toplam		114

Metrikler de dört taneyle sınırlı tutulmalı: yetki matrisindeki fazla erişim sayısı (1.000 kullanıcı x ortalama 3 rol = 3.000 yetki satırı; %20'si gereksizse 600 fazla erişim), ayrılan personelin kapatılmamış hesap sayısı, erişim kaydı saklama süresi ve tatbikatta ölçülen kapsam tespit süresi. İlk ikisi doğrudan ihlal yüzeyini, üçüncüsü inceleme kabiliyetini, dördüncüsü 72 saatlik bütçenin gerçekçi olup olmadığını gösteriyor. Dördüncü metrik ilk tatbikatta genellikle planlanan sürenin iki katını gösteriyor ve asıl düzeltme orada başlıyor.

Sık yapılan dört hata

Hata	Sonucu	Doğrusu
Bildirimi hukuk onayı gelene kadar bekletmek	72 saatlik pencere yönetim takvimine sıkışıyor	Ön bildirim yapılır, ayrıntı eklenerek güncellenir
Sistemin tamamını dondurmak	Tedavi durur; delil de dondurulmuş sistemde çürür	İmaj al, üretimi çalıştır, kaydı sabitle
Her ihlalde tüm hastalara mektup	Gereksiz panik ve ikinci bir veri işleme tartışması	Veri kategorisine göre eşik belirle
Tedarikçiyi sorumlu ilan etmek	Veri sorumluluğu yerinde durur; süre kaybedilir	Sözleşme eki ve saat bazlı bildirim yükümlülüğü

Bir vaka: yanlış alıcıya giden 312 epikriz

Soyut kurallar olay anında hatırlanmıyor; hatırlanan şey benzer bir vakanın sırası. Aşağıdaki vaka, sağlık kuruluşlarında en sık görülen senaryonun saat saat işleyişi: bir sekreterin kayıtlı alıcı listesinden yanlış adresi seçmesiyle 312 epikrizin aynı dış alıcıya gitmesi.

Zaman	Yapılan	Çıktı
T+0	Alıcı kurumun İK biriminden geri dönüş: beklenmeyen belgeler geldi	Olay kaydı açıldı
T+1 saat	Gönderimin gerçek olduğu doğrulandı; gönderen hesap kapatıldı	Yanlış alarm ihtimali elendi
T+3 saat	Posta sunucusu kayıtları çekildi: 312 mesaj, 214 farklı hasta	Kapsam sınırı ilk kez göründü
T+6 saat	Alıcıdan yazılı silme teyidi alındı; kopya sayısı soruldu	Yayılma durdu
T+9 saat	Ekler açıldı: 41 epikrizde tanı kodu, 173'ünde yalnızca ad ve randevu	Veri kategorisi ayrıştı
T+14 saat	Kurul bildirimi taslağı ve hasta bildirim metni hazırlandı	İki ayrı metin
T+19 saat	Kurul bildirimi gönderildi	72 saatlik pencerenin %26'sı
T+30 saat	41 hastaya telefon, tamamına yazılı bildirim	Kategoriye göre eşik uygulandı
T+72 saat	Kök neden: alıcı listesinde iki benzer adres; liste tekilleştirildi	Düzeltici faaliyet kaydı

Bu vakanın maliyeti, kapsam tespiti ve hasta iletişimi kalemlerinde toplanıyor: 312 kayıt satırının incelenmesi 2,6 saat, 41 hasta aramasının her biri ortalama 12 dakika olduğunda 8,2 saat, hukuk ve onay 6 saat. Toplam 16,8 saat, saat ücreti 1.200 TL ile 20.160 TL. Aynı vaka kapsam tespit edilemeden bildirilseydi, "214 hasta" yerine "312 epikriz" yazılacak ve sonradan düzeltme bildirimi gerekecekti; ikinci bir bildirim, ilk hatadan daha ağır bir güven kaybı üretiyor.

Vakanın çıkarılacak üç dersi var. Birincisi, kapsam sayısı ilk saatte değil üçüncü saatte kesinleşiyor; erken bildirim bu yüzden aralık verilerek yapılıyor. İkincisi, alıcıdan silme teyidi alınmadan yapılan bildirim, yayılmanın durduğunu iddia edemiyor. Üçüncüsü, kök neden teknik değil: iki benzer adresin aynı listede durması. Düzeltici faaliyetin maliyeti sıfıra yakın, ama o liste düzeltilmeden aynı hata altı ay içinde tekrar ediyor.

Sağlık verisinde kontrol, hız ile kanıt arasındaki denge

Bu rehberdeki her adımı tek bir cümleye indirgemek gerekirse: sağlık verisi ihlalinde hız, kanıtı bozmadan kazanılır. İmajı alıp üretimi çalıştırmak, kaydı sabitleyip tedaviyi sürdürmek, kapsamı ölçüp bildirimi güncellemek; üçü de aynı anda mümkün. Mümkün olmayan, olay bittikten sonra kayıtları geri getirmek.

Olay müdahalesinin genel iskeleti için olay müdahale planı yazısındaki zaman çizelgesi bu sayfadaki 72 saat bütçesiyle birlikte okunabilir. Kanıt tarafında hangi tedbirin hangi ihlali engellediğini gösteren çerçeve KVKK teknik tedbirler ve kanıt rehberi içinde; delilin zincirini kurma yöntemi ise kripto iz sürme ve delil zinciri yazısında adım adım anlatılıyor.

İhlalin kaynağı tedarikçiyse soru hangi tedarikçi değil hangi erişim: tedarik zinciri risk rehberi sözleşme ve denetim tarafını açıyor. Kaynak bir çalışanın hesabıysa, sağlık verisine erişen e-posta hesabının ele geçirilmesi ayrı bir olay sınıfı: ele geçirilmiş kurumsal e-posta hesabı yazısı ilk saatlerin sırasını veriyor. Sağlık kuruluşlarında ihlali tetikleyen en yaygın giriş vektörü hâlâ oltalama; oltalama farkındalığı programı bu sayfadaki kuralların tamamlayıcısı.

Sağlık kuruluşuna veri işleyen tarafla gelen personel de aynı risk yüzeyine giriyor: laboratuvar, temizlik, görüntüleme ve danışmanlık ekiplerinin erişim sınırı işe alım aşamasında kurulmazsa sonradan kurulamıyor. İşe alım öncesi güvenlik kontrolü yazısı bu sınırın KVKK tarafını kuruyor. İhlalin içeriden geldiği şüphesinde ise yapılacak iş bir araştırma değil, hukuki sınırları baştan çizilmiş bir inceleme: kurumsal casusluk ve iç tehdit soruşturması.