Hasta verisi tutmadan stok takibi: KVKK açısından ne değişir

Klinik yazılımı konuşulurken KVKK genellikle sonda gelir, bir onay kutusu gibi. Oysa bir stok sisteminde bu soru en başta sorulmalı, çünkü cevabı yazılımın nasıl kurulacağını doğrudan belirliyor.

Bu yazı hukuki görüş değil. Bir ürünün nasıl tasarlandığını ve o tasarımın hangi gerekçeyle seçildiğini anlatıyor. Kendi kliniğiniz için bağlayıcı bir değerlendirme gerekiyorsa, KVKK ve sağlık mevzuatı avukatıyla konuşmak gerekir.

#Kayıtta ne var, ne yok

Bir işlem kaydının tamamı:

"36 numaralı dişe iki yüzeyli dolgu yapıldı, şu şırıngadan, şu hekim tarafından, şu saatte" cümlesinde bir hasta yok. Kimin dişi olduğu yazmıyor ve sistemde bunu söyleyecek başka bir alan da yok.

#Bunun neden önemli olduğu

KVKK'da sağlık verisi özel nitelikli kişisel veri kategorisinde ve daha ağır bir rejime tabi. Bu rejim bir veriye, o veri belirli veya belirlenebilir bir gerçek kişiye ilişkin olduğunda uygulanır.

Hastayı gösteren hiçbir alanın bulunmadığı ve başka bir kayıtla eşleştirmeye izin verecek bir anahtarın tutulmadığı bir tüketim kaydı, bu tanımın dışında kalıyor. Bu, klinik yönetim yazılımlarının aksine bir konum: onlar hasta verisini zaten tutmak zorunda, çünkü işleri o.

Pratik sonucu şu: bir sarf malzeme sistemi hasta verisi tutmayı seçtiği anda, kendini randevu yazılımıyla aynı yükümlülük setinin içine sokuyor, ve bu yükümlülüklerin hiçbirini ölçüm için istemiyor.

Not: sistemin hiç kişisel veri işlemediğini söylemiyoruz. Klinik personelinin adı, rolü ve hakedişi kişisel veridir ve klinik bunun veri sorumlusudur. Söylediğimiz şey daha dar ve daha önemli: hasta sağlık verisi işlenmiyor.

#Roller: kim neyden sorumlu

Bulut bir klinik yazılımında iki taraf var ve karıştırılması sık:

Bu ayrımın iki sonucu var. Birincisi, veri işleyenin kendi başına bir hukuki işleme sebebi bulması gerekmiyor, kliniğinkine dayanıyor. İkincisi, veri güvenliğinden klinikle müştereken sorumlu, yani "biz sadece yazılımcıyız" diye bir savunma yok.

Ve dikkat edilmesi gereken bir kırılganlık: bir sağlayıcı, klinik verilerinden kendi ürünü için toplu analiz üretip başkalarına satmaya başladığı anda o iş için veri sorumlusu olur ve yükün tamamı ona geçer. Bu, sözleşmede aranması gereken bir maddedir.

#Sunucular neden Türkiye'de

Araştırmamızda "sağlık verisi Türkiye'de saklanmak zorundadır" diyen açık bir hüküm bulamadık. Yine de sonuç aynı yere çıkıyor.

Türkiye'deki bir veri işleyenin yurt dışında yerleşik bir alt işleyene, yani bulut sağlayıcısına, veri aktarması yurt dışına aktarımdır ve KVKK m.9 kapsamına girer. 2024 değişikliğinden sonra bunun için yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izinli taahhütname gerekiyor.

Her şeyi Türkiye'de barındırmak bu maddenin tamamını devre dışı bırakıyor.

Ve bu kararın kolay kaçırılan bir tarafı var. Aşağıdakilerin hepsi yurt dışına aktarımdır:

• Yurt dışı bölgelerde çalışan veritabanı ve barındırma servisleri.
• Bulut hata takip ve analitik servisleri, çünkü hata yükünün içinde veri geçebilir.
• Yurt dışı e-posta ve SMS servisleri, gönderilen içerikte kişisel veri varsa.
• Herhangi bir yurt dışı yapay zekâ API'si.

Yani "sunucumuz Türkiye'de" cümlesi tek başına yeterli değil. Sistemin dokunduğu her servis aynı testten geçmeli.

#Ölçüm için hastayı bilmek gerekmiyor

Buradaki asıl teknik iddia bu, ve karşı çıkılabilir görünüyor: hastayı bilmeden maliyet nasıl hesaplanır?

Cevap, hesabın hastaya değil işleme dayanması. Bir kliniğin cevabını istediği sorular şunlar:

• Bu şırıngadan bu hekimin elinde kaç iş daha çıkar.
• Bir posterior dolgunun malzeme maliyeti ne.
• Bu ay hangi kalem beklenenden hızlı gitti.
• Bu hekimin tüketimi klinik ortalamasının neresinde.

Dördü de hastanın kim olduğunu sormuyor. İşlemin ne olduğunu, hangi dişte yapıldığını ve hangi paketten harcandığını soruyor.

Hastayı bilmenin gerçekten gerektiği tek yer serileştirilmiş ürünlerde tekil takip: bir implantın hangi hastada olduğu bilgisi bir regülasyon gereği. Bu, ayrı bir problem ve ayrı bir sistemin işi. Ayrıntısı: ÜTS tekil takip, bildirimi kim yapar.

#Sık sorulan sorular

#Hastayı bilmediğiniz için raporlar eksik kalmıyor mu?

Ölçüm tarafında kalmıyor, çünkü verim ve maliyet hesabı hasta kimliğine değil işleme dayanıyor. Eksik kalan yer, hasta bazlı kârlılık gibi klinik yönetim yazılımının alanına giren raporlar. Onlar da zaten hasta kaydının olduğu yerde, mevcut yazılımınızda üretilmeli.

#Klinik yazılımımızla entegre olsanız hasta verisi geçmez mi?

Geçerdi, ve bu yüzden entegrasyonun sınırı baştan çizilmeli. Stok tarafının klinik yazılımından ihtiyaç duyduğu tek şey bir işlemin yapıldığı bilgisi ve tipi; hasta kimliğinin bu tarafa geçmesi için bir sebep yok.

#VERBİS kaydı yaptırmam gerekiyor mu?

Bu kliniğin kendi durumuna bağlı ve bu yazının cevaplayabileceği bir soru değil. Diş hekimleri için kaydın çalışan sayısı ve bilançodan bağımsız olarak zorunlu tutulduğunu söyleyen kaynaklar da var, belirli eşiklerin altında istisna tanıyan Kurul duyurusu da var. Sınırda olan bir klinik için bunu avukata sormak, sonradan öğrenmekten ucuz.

#Verilerimizi dışarı alabilir miyiz?

Alabilmelisiniz, ve bunu sözleşme imzalamadan önce sormanız gerekir. Bir klinik kendi tüketim geçmişinin sahibidir; o geçmişi dışa aktaramadığınız bir sistem, sizi ürüne değil ürünün tutsağı yapar.

#Kaynaklar

• KVKK, Veri Sorumlusu ve Veri İşleyen Rehberi.
• KVKK, Yurt Dışına Aktarım ve Kişisel Verilerin Yurt Dışına Aktarılması Rehberi.
• KVKK, kamuoyu duyuruları ve VERBİS istisna kriterleri.

Bu yazı hukuki görüş değildir. Kendi kliniğiniz için bağlayıcı bir değerlendirme, KVKK ve sağlık mevzuatı alanında çalışan bir avukattan alınmalıdır.