# Klinikte veri ihlali olursa ne yapılır?

> İhlal fark edildiğinde saat işlemeye başlıyor: Kurul'a bildirim için kısa bir süre var ve ilgili kişilerin de bilgilendirilmesi gerekiyor. Kliniklerin çoğunda eksik olan şey teknik önlem değil, ihlal anında kimin ne yapacağının önceden yazılmış olması.

Kaynak: https://solvitaklinik.com/blog/klinikte-veri-ihlali-olursa
Yayımlayan: Sol Víta
Kategori: KVKK ve mevzuat
Yayın: 2026-09-26

Veri ihlali denince akla siber saldırı geliyor. Kliniklerde yaşananların çoğu ise çok daha sıradan.

## İhlal örnekleri

Bunların hepsi kişisel veri ihlali sayılabiliyor:

- Hasta listesinin yanlış kişiye e-postayla gönderilmesi
- Kaybolan ya da çalınan dizüstü bilgisayar, telefon, USB bellek
- Hasta dosyalarının bulunduğu dolabın kırılması
- Kliniğin sosyal medya hesabının ele geçirilmesi
- Bir çalışanın yetkisi olmadığı hâlde hasta kayıtlarını görüntülemesi ve dışarı aktarması
- Fidye yazılımı
- Yanlış hastaya gönderilen, başka bir hastanın bilgisini içeren mesaj
- Toplu e-postada alıcıların birbirini görecek şekilde gönderilmesi
- Yedekleme diskinin kaybolması

Son maddeden bir önceki, kliniklerde en sık yaşanan ve en çok hafife alınan ihlal: bir duyuru e-postasında bütün hastaların adresini "kime" alanına yazmak, o adreslerin birbirine ifşası oluyor.

## İhlal anında ilk saat

Sırayla:

**1. Durdurun.** İhlalin devam etmesini engelleyin: erişimi kapatın, parolayı değiştirin, cihazı ağdan ayırın.

**2. Kapsamı belirleyin.** Hangi veri, kaç kişi, ne zaman, nasıl?

**3. Kanıtı koruyun.** Günlük kayıtlarını, ekran görüntülerini, ilgili yazışmaları saklayın. Sistemi "temizlemek" için acele etmeyin.

**4. Kayda geçirin.** Ne olduğu, ne zaman fark edildiği, kimin haberdar edildiği.

**5. Karar vericiyi haberdar edin.** Klinik sahibi, mesul müdür, irtibat kişisi.

**6. Hukuki destek alın.** Bildirim yükümlülüğünün doğup doğmadığı ve içeriği hukuki bir değerlendirme.

## Bildirim yükümlülüğü

Kanun, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun **en kısa sürede** Kurul'a ve ilgili kişiye bildirimde bulunmasını öngörüyor.

Kurul, "en kısa süre" ifadesini kararıyla somutlaştırmış durumda ve kısa bir süre söz konusu. **Güncel süreyi ve bildirim formunu Kurumun kendi duyurularından teyit edin;** bu tür ayrıntılar güncellenebiliyor.

İki ayrı bildirim var:

**Kurul'a bildirim.** Kurumun belirlediği form üzerinden.

**İlgili kişilere bildirim.** Etkilenen hastalara, makul olan en kısa sürede. Doğrudan ulaşılamıyorsa uygun yöntemlerle (web sitesinde duyuru gibi) yapılabiliyor.

İlgili kişiye yapılan bildirimde şunlar bulunmalı: ihlalin ne zaman ve nasıl gerçekleştiği, hangi verilerin etkilendiği, olası sonuçları, alınan önlemler ve iletişim bilgileri.

## Bildirim yapmamak

En kötü seçenek. Sebepleri:

- Yükümlülüğün ihlali kendi başına yaptırıma tabi
- İhlal başka bir yoldan ortaya çıktığında (hastanın şikâyeti, medya) durum çok daha ağır
- Etkilenen kişiler önlem alamıyor

"Küçük bir olaydı, kimse fark etmedi" değerlendirmesini kendi başınıza yapmayın; hukuki destek alın.

## İhlal müdahale planı

Kliniklerin çoğunda eksik olan şey teknik önlem değil, **kimin ne yapacağının önceden yazılmış olması.**

Tek sayfalık bir plan yeterli:

| Soru | Cevap yazılı olmalı |
|---|---|
| Kim fark ederse kime haber verir? | İsim ve telefon |
| Kim karar verir? | İsim |
| Sistem erişimini kim kapatabilir? | İsim ve nasıl |
| Hukuki destek kimden alınır? | İsim ve telefon |
| Yazılım sağlayıcısına kim ulaşır? | İletişim bilgisi |
| Kayıt nereye tutulur? | Dosya adı ve yeri |

Bu sayfa, ihlal anında düşünmek zorunda kalmamayı sağlıyor. Panik anında hatırlanmayan şeyler yazılı olduğunda hatırlanıyor.

## Önleyici tedbirler

İhlallerin çoğunu engelleyen şeyler karmaşık değil:

- **Yetki ayrımı.** Herkes her hastayı görmemeli.
- **İz kaydı.** Kim ne zaman hangi kaydı açtı. Bir ihlal şüphesinde cevabı olan tek şey bu.
- **Güçlü parola ve iki adımlı doğrulama.**
- **Cihaz şifrelemesi.** Kaybolan şifreli bir dizüstü, şifresiz olandan çok farklı bir olay.
- **Ayrılan çalışanın erişiminin aynı gün kapatılması.**
- **Toplu e-postada gizli alıcı kullanımı.**
- **Hasta verisinin kişisel cihaz ve hesaplarda tutulmaması.**
- **Yedeklerin şifreli olması.**
- Düzenli çalışan eğitimi

İkinci madde üzerinde durmaya değer: iz kaydı olmayan bir klinik, "veri sızdı" iddiasında ne olduğunu araştıramıyor bile. Sol Víta'da hasta kaydına erişimler işlem günlüğüne düşüyor ve geriye dönük incelenebiliyor.

## İhlal sonrası

Olay kapandıktan sonra yapılacaklar:

- Kök sebebi belirleyin (teknik mi, süreç mi, insan mı)
- Aynısının tekrarını engelleyecek tedbiri uygulayın
- Ekibi bilgilendirin (suçlama olmadan)
- Envanteri ve tedbirleri güncelleyin
- Gerekiyorsa VERBİS kaydını güncelleyin

Kök sebebin "bir çalışanın dikkatsizliği" olarak bırakılması, aynı olayın tekrarını engellemiyor. Dikkatsizliği mümkün kılan süreç boşluğu aranmalı.

## Özet

- İhlallerin çoğu siber saldırı değil; **yanlış gönderilen e-posta ve kaybolan cihaz**.
- İlk saat: durdur, kapsamı belirle, kanıtı koru, kayda geç, haber ver, hukuki destek al.
- Kanun **en kısa sürede** Kurul'a ve ilgili kişiye bildirim öngörüyor; güncel süreyi Kurumdan teyit edin.
- "Küçük olaydı" değerlendirmesini kendi başınıza yapmayın.
- Tek sayfalık bir **ihlal müdahale planı** yazın.
- İz kaydı olmayan klinik, bir ihlalde ne olduğunu araştıramıyor.

---

*Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.*