Klinikte veri ihlali olursa ne yapılır?

Veri ihlali denince akla siber saldırı geliyor. Kliniklerde yaşananların çoğu ise çok daha sıradan.

İhlal örnekleri

Bunların hepsi kişisel veri ihlali sayılabiliyor:

• Hasta listesinin yanlış kişiye e-postayla gönderilmesi
• Kaybolan ya da çalınan dizüstü bilgisayar, telefon, USB bellek
• Hasta dosyalarının bulunduğu dolabın kırılması
• Kliniğin sosyal medya hesabının ele geçirilmesi
• Bir çalışanın yetkisi olmadığı hâlde hasta kayıtlarını görüntülemesi ve dışarı aktarması
• Fidye yazılımı
• Yanlış hastaya gönderilen, başka bir hastanın bilgisini içeren mesaj
• Toplu e-postada alıcıların birbirini görecek şekilde gönderilmesi
• Yedekleme diskinin kaybolması

Son maddeden bir önceki, kliniklerde en sık yaşanan ve en çok hafife alınan ihlal: bir duyuru e-postasında bütün hastaların adresini "kime" alanına yazmak, o adreslerin birbirine ifşası oluyor.

İhlal anında ilk saat

Sırayla:

1. Durdurun. İhlalin devam etmesini engelleyin: erişimi kapatın, parolayı değiştirin, cihazı ağdan ayırın.

2. Kapsamı belirleyin. Hangi veri, kaç kişi, ne zaman, nasıl?

3. Kanıtı koruyun. Günlük kayıtlarını, ekran görüntülerini, ilgili yazışmaları saklayın. Sistemi "temizlemek" için acele etmeyin.

4. Kayda geçirin. Ne olduğu, ne zaman fark edildiği, kimin haberdar edildiği.

5. Karar vericiyi haberdar edin. Klinik sahibi, mesul müdür, irtibat kişisi.

6. Hukuki destek alın. Bildirim yükümlülüğünün doğup doğmadığı ve içeriği hukuki bir değerlendirme.

Bildirim yükümlülüğü

Kanun, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun en kısa sürede Kurul'a ve ilgili kişiye bildirimde bulunmasını öngörüyor.

Kurul, "en kısa süre" ifadesini kararıyla somutlaştırmış durumda ve kısa bir süre söz konusu. Güncel süreyi ve bildirim formunu Kurumun kendi duyurularından teyit edin; bu tür ayrıntılar güncellenebiliyor.

İki ayrı bildirim var:

Kurul'a bildirim. Kurumun belirlediği form üzerinden.

İlgili kişilere bildirim. Etkilenen hastalara, makul olan en kısa sürede. Doğrudan ulaşılamıyorsa uygun yöntemlerle (web sitesinde duyuru gibi) yapılabiliyor.

İlgili kişiye yapılan bildirimde şunlar bulunmalı: ihlalin ne zaman ve nasıl gerçekleştiği, hangi verilerin etkilendiği, olası sonuçları, alınan önlemler ve iletişim bilgileri.

Bildirim yapmamak

En kötü seçenek. Sebepleri:

• Yükümlülüğün ihlali kendi başına yaptırıma tabi
• İhlal başka bir yoldan ortaya çıktığında (hastanın şikâyeti, medya) durum çok daha ağır
• Etkilenen kişiler önlem alamıyor

"Küçük bir olaydı, kimse fark etmedi" değerlendirmesini kendi başınıza yapmayın; hukuki destek alın.

İhlal müdahale planı

Kliniklerin çoğunda eksik olan şey teknik önlem değil, kimin ne yapacağının önceden yazılmış olması.

Tek sayfalık bir plan yeterli:

Bu sayfa, ihlal anında düşünmek zorunda kalmamayı sağlıyor. Panik anında hatırlanmayan şeyler yazılı olduğunda hatırlanıyor.

Önleyici tedbirler

İhlallerin çoğunu engelleyen şeyler karmaşık değil:

• Yetki ayrımı. Herkes her hastayı görmemeli.
• İz kaydı. Kim ne zaman hangi kaydı açtı. Bir ihlal şüphesinde cevabı olan tek şey bu.
• Güçlü parola ve iki adımlı doğrulama.
• Cihaz şifrelemesi. Kaybolan şifreli bir dizüstü, şifresiz olandan çok farklı bir olay.
• Ayrılan çalışanın erişiminin aynı gün kapatılması.
• Toplu e-postada gizli alıcı kullanımı.
• Hasta verisinin kişisel cihaz ve hesaplarda tutulmaması.
• Yedeklerin şifreli olması.
• Düzenli çalışan eğitimi

İkinci madde üzerinde durmaya değer: iz kaydı olmayan bir klinik, "veri sızdı" iddiasında ne olduğunu araştıramıyor bile. Sol Víta'da hasta kaydına erişimler işlem günlüğüne düşüyor ve geriye dönük incelenebiliyor.

İhlal sonrası

Olay kapandıktan sonra yapılacaklar:

• Kök sebebi belirleyin (teknik mi, süreç mi, insan mı)
• Aynısının tekrarını engelleyecek tedbiri uygulayın
• Ekibi bilgilendirin (suçlama olmadan)
• Envanteri ve tedbirleri güncelleyin
• Gerekiyorsa VERBİS kaydını güncelleyin

Kök sebebin "bir çalışanın dikkatsizliği" olarak bırakılması, aynı olayın tekrarını engellemiyor. Dikkatsizliği mümkün kılan süreç boşluğu aranmalı.

Özet

• İhlallerin çoğu siber saldırı değil; yanlış gönderilen e-posta ve kaybolan cihaz.
• İlk saat: durdur, kapsamı belirle, kanıtı koru, kayda geç, haber ver, hukuki destek al.
• Kanun en kısa sürede Kurul'a ve ilgili kişiye bildirim öngörüyor; güncel süreyi Kurumdan teyit edin.
• "Küçük olaydı" değerlendirmesini kendi başınıza yapmayın.
• Tek sayfalık bir ihlal müdahale planı yazın.
• İz kaydı olmayan klinik, bir ihlalde ne olduğunu araştıramıyor.

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.