Diyetisyen yazılımı seçerken danışan verisinin güvenliği için dört somut soru sormanız gerekir: verinize kimler erişebilir, düzenli yedek alınıyor mu, hesabınızı kapattığınızda danışan dosyalarına ne olur ve bu sorulara sağlayıcı net, yazılı bir cevap veriyor mu. Bu soruların cevabı belirsizse, yazılımın arayüzü ne kadar iyi olursa olsun danışan verisi risk altındadır.
Danışan verisi neden sıradan bir veriden farklı değerlendirilir?
Boy, kilo, hastalık geçmişi, kan tahlili sonucu gibi bilgiler kişinin sağlığına ilişkindir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu bu tür verileri "özel nitelikli kişisel veri" olarak ayrı bir kategoride tanımlar (madde 6). Bu ayrımın pratik sonucu şudur: sağlık verisini tutan her yazılımın, sıradan bir iletişim bilgisinden daha sıkı korunması beklenir. Bu yazı KVKK'nın size yüklediği hukuki yükümlülükleri değil, yazılım seçerken sorabileceğiniz pratik soruları ele alıyor; sorumluluğun kapsamı için KVKK ve danışan verisi: diyetisyenin sorumluluğu yazısına bakabilirsiniz.
Verime kim erişebilir?
Bir diyetisyen yazılımında danışan verisine kimlerin erişebildiği, kullandığınız aracı değerlendirirken sorulması gereken ilk sorudur. Yazılımı birden fazla diyetisyen veya klinik kullanıyorsa, bir diyetisyenin danışan kayıtlarının başka bir hesaba görünür olup olmadığını net olarak öğrenmeniz gerekir.
Oklava'da her diyetisyenin verisine yalnızca kendisi ve kendi ekibi erişir; başka bir hesaptaki diyetisyen bu kayıtları göremez. Bir klinikte birden fazla diyetisyen çalışıyorsa bu erişim sınırının nasıl kurulduğunu bilmek, ekip içi yetkilendirmeyi de netleştirir.
Yedek alınıyor mu, kaybolan veri geri gelir mi?
Sunucu arızası, yanlışlıkla silme veya teknik bir hata danışan dosyalarının kaybolmasına yol açabilir; bu yüzden düzenli ve şifrelenmiş yedekleme, sorgulamanız gereken ikinci konudur. Kişisel Verileri Koruma Kurulu da özel nitelikli verileri işleyen veri sorumlularından elektronik ortamda kriptografik yöntemlerle şifreleme ve düzenli güvenlik önlemleri beklediğini ilke kararıyla belirtmiştir (KVKK 2018/10 sayılı karar).
Oklava'da danışan verileri düzenli olarak şifrelenmiş yedeklere alınır ve bu yedeğin bir kopyası sunucudan ayrı bir yerde de tutulur. Böylece tek bir noktadaki arıza, danışan dosyalarının tamamen kaybolması anlamına gelmez.
Veri Türkiye'de mi tutuluyor?
Bu, yazılımı seçerken sağlayıcıya doğrudan sormanız gereken bir sorudur; verinin fiziksel olarak hangi ülkede barındırıldığı, yurt dışına veri aktarımı söz konusu olup olmadığını da etkiler. Sağlayıcıdan bu konuda net, yazılı bir açıklama almadan karar vermeyin; "bulutta" ifadesi tek başına yeterli bilgi değildir, hangi ülkedeki sunucunun kastedildiğini sorun.
Hesabımı kapatırsam danışan dosyalarıma ne olur?
Bir yazılımdan ayrılma kararı aldığınızda danışan dosyalarının ne olacağını önceden bilmeniz gerekir; bazı sistemlerde veri süresiz saklanmaya devam edebilir, bazılarında ise silinir. Bu, hem sizin hem de artık danışanınız olmayan kişilerin verisinin nerede kaldığını etkileyen bir sorudur.
Oklava'da hesap silindiğinde danışan dosyaları da kaldırılır. Bir yazılım seçerken bu davranışın tam olarak nasıl işlediğini (silme anında mı, belirli bir süre sonra mı) sağlayıcıya sormanızı öneririz.
Yazılım seçerken sorulacak sorular listesi
Yukarıdaki dört başlığı somut sorulara dönüştürürsek, bir diyetisyen yazılımı değerlendirirken şu soruları sağlayıcıya yöneltmeniz yeterlidir:
- Danışan verime benden başka kim erişebilir, ekip içi erişim nasıl sınırlandırılıyor?
- Yedekleme ne sıklıkla yapılıyor, yedek şifreleniyor mu, yedeğin bir kopyası farklı bir yerde mi tutuluyor?
- Veriler hangi ülkede barındırılıyor?
- Hesabımı kapatırsam danışan dosyalarım ne olur, ne zaman silinir?
Bu sorulara net cevap veremeyen bir sağlayıcı, muhtemelen bu süreçleri henüz kurumsallaştırmamıştır. Diyetisyen programı nedir, seçerken nelere bakılmalı? yazısında genel seçim kriterlerini bulabilirsiniz; veri güvenliği bu kriterlerin sadece bir parçasıdır, ancak atlanmaması gereken bir parçasıdır.
Yazılım güvenli olduğu için KVKK sorumluluğu biter mi?
Hayır; kullandığınız yazılımın güvenlik önlemleri, veri sorumlusu olarak sizin KVKK kapsamındaki yükümlülüklerinizi ortadan kaldırmaz. Bu konunun hukuki boyutu için bir hukuk danışmanına başvurmanızı, genel çerçeveyi görmek için ise KVKK ve danışan verisi: diyetisyenin sorumluluğu yazısını öneririz. Yazılım seçimi, bu sorumluluğu kolaylaştıran bir araçtır; onun yerine geçmez.