Klinikte kullanıcı yetkileri neden ayrılmalı?

Küçük bir klinikte "zaten üç kişiyiz, herkes her şeyi görsün" yaklaşımı doğal geliyor. Ama bu, hem bir uyum eksikliği hem de yönetilmesi gereken bir risk.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir.

Neden gerekli?

1. Mevzuat bekliyor. KVKK, kişisel veriye erişimin işin gerektirdiği kadar olmasını ve gerekli teknik ve idari tedbirlerin alınmasını bekliyor. Sağlık verisi özel nitelikli olduğu için beklenti daha da sıkı.

2. Risk azaltıyor. Erişimi olan kişi sayısı arttıkça sızma ihtimali artıyor. Bu kötü niyetle ilgili olmak zorunda değil: bir hesap ele geçirildiğinde, o hesabın gördüğü her şey görülmüş oluyor.

3. Hata azaltıyor. Tahsilat kaydını silme yetkisi olmayan biri, yanlışlıkla silemiyor.

4. Bir ihlal şüphesinde cevap veriyor. "Bu hastanın dosyası dışarı sızdı" iddiası geldiğinde, kimin ne zaman baktığını gösteremeyen bir klinik hiçbir şey söyleyemiyor.

Dördüncü madde en çok gözden kaçanı ve en kritik olanı.

Roller nasıl ayrılır?

Küçük bir klinik için makul bir çerçeve:

Bu tablo bir başlangıç; kendi kliniğinize göre uyarlayın. Önemli olan bir ayrımın var olması.

Sık yapılan itirazlar

"Resepsiyon tedavi notunu görmeli, hastaya cevap veriyor." Hayır. Resepsiyonun tedavi hakkında yorum yapmaması zaten bir sınır olmalı. Tıbbi soru fizyoterapiste aktarılıyor.

"Fizyoterapist tahsilatı görmeli, hasta soruyor." Hastanın açık bakiyesi olduğunu görmesi yeterli olabilir; tahsilat girişi ve iade yetkisi ayrı bir şey.

"Küçük klinikte bu abartı." Denetimde ve ihlalde kliniğin büyüklüğü bir istisna sebebi değil. Üstelik kurulumu bir kerelik bir iş.

Herkesin kendi hesabı olmalı

Ortak bir hesabı paylaşmak, yetki ayrımını da iz kaydını da anlamsız kılıyor: kimin ne yaptığı bilinemiyor.

Kurallar:

• Her çalışanın kendi kullanıcı adı ve parolası
• Parola paylaşılmıyor
• Mümkünse iki adımlı doğrulama
• Bilgisayardan kalkarken ekran kilitleniyor

Ortak hesap kullanan bir klinikte bir ihlal olduğunda, sorumluluğu belirlemek de mümkün olmuyor.

İz kaydı

Kim, ne zaman, hangi kaydı açtı ya da değiştirdi. Bu kayıt olmadan:

• Bir ihlal araştırılamıyor
• Yetkisiz erişim fark edilemiyor
• Bir kaydın neden değiştiğini kimse bilemiyor

İz kaydının kendisi de korunmalı: silinememeli ve yalnız yetkili kişiler görebilmeli.

Sol Víta'da hasta kaydına erişimler ve kritik işlemler (silme, iade, yetki değişikliği) işlem günlüğüne düşüyor ve geriye dönük incelenebiliyor. Kullandığınız sistemde bu yoksa, bu bir eksiklik olarak not edilmeli.

Ayrılan çalışan

Kliniklerde en sık rastlanan açıklardan biri: aylar sonra hâlâ aktif duran hesaplar.

Ayrılışta aynı gün yapılacaklar:

• Sistem hesabının kapatılması
• E-posta erişiminin kapatılması
• Ortak hesapların parolalarının değiştirilmesi
• Anahtar ve kart teslimi
• Kişisel cihazlarındaki klinik verisinin silinmesi
• WhatsApp gruplarından çıkarılması

Bunu bir kontrol listesi hâline getirin; ayrılık günü genelde yoğun ve dağınık geçiyor.

Stajyerler ve geçici çalışanlar

Ayrı bir dikkat gerektiriyor:

• Sınırlı ve süreli yetki
• Gizlilik taahhüdü imzalanması
• Hangi verilere erişebileceğinin belirlenmiş olması
• Staj bitiminde erişimin kapatılması

Stajyerin hasta fotoğrafı çekmesi, kayıt dışına veri çıkarması gibi durumların baştan konuşulmuş olması gerekiyor.

Dönemsel gözden geçirme

Yılda bir kez:

• Kimlerin hesabı var? Hepsi hâlâ çalışıyor mu?
• Yetkiler görevlerle uyumlu mu?
• Kullanılmayan hesaplar kapatıldı mı?
• İz kaydında olağan dışı bir şey var mı?

Bu, yıl sonu değerlendirmenizin bir parçası olabiliyor: Yıl sonunda klinikte hangi rakamlara bakılmalı?

Özet

• Yetki ayrımı bir güven meselesi değil, uyum gereği.
• Erişim işin gerektirdiği kadar olmalı; sağlık verisinde beklenti daha sıkı.
• Herkesin kendi hesabı olmalı; ortak hesap iz kaydını anlamsız kılıyor.
• İz kaydı olmayan klinik, bir ihlalde ne olduğunu araştıramıyor.
• Ayrılan çalışanın erişimi aynı gün kapatılmalı; kontrol listesi yapın.
• Yılda bir kez hesapları ve yetkileri gözden geçirin.

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.