Bilgi yönetimi denetimde bir bilgi işlem başlığı gibi okunuyor; aslında hizmet sürekliliği ve mahremiyet başlığıdır. Ayakta teşhis ve tedavi kuruluşunda riskin şekli hastanedekinden farklı: tek sunucu, dışarıdan alınan bir sağlık bilgi yönetim sistemi ve çoğu zaman tam zamanlı bilgi işlem personeli olmayan bir kadro. Hastane sistem durduğunda birim birim yedek akışa geçebilir; tıp merkezinde randevu, tetkik istemi ve reçete aynı anda durur.
Bu alt bölüm hangi riski kapatıyor
Üç somut risk var ve üçü birbirinden bağımsız:
- Erişilemezlik. Sistem çalışmıyorsa kayıt da yok, hizmet de yok. Standart metni bunu “bilgi zamanlılığı ve sürekliliği” diye adlandırıyor ve kesinti, yavaşlama ile arızaların takip edilmesini istiyor — yani kesintinin kendisi bir kayıt konusudur.
- Yetkisiz erişim. Sağlık verisi özel nitelikli kişisel veridir. Herkesin aynı kullanıcı rolüyle girdiği bir kurulum, ölçütün istediği “kim hangi bilgiye, ne zaman, nasıl ulaşabilir” tanımını hiç kurmamış olur.
- Geri dönülemez kayıp. Yedek almak bir iş, yedeğin geri dönmesi başka bir iştir. Test edilmemiş yedek, varlığı ölçülmemiş bir güvencedir.
Denetimde en çok nerede takılıyor
Sorumlu var, görev tanımı ve durum tespiti yok
Ölçüt sorumlu belirlemekle yetinmiyor: sorumluların düzenli aralıklarla mevcut durum tespiti yapmasını, süreçteki riskleri tespit etmesini ve düzeltici ile önleyici faaliyet başlatmasını istiyor. Denetimde eksik çıkan şey genellikle atama yazısı değil, o periyodun yazılı olması ve kayıtların periyotla eşleşmesidir. “Düzenli” kelimesinin sayısını kurum kendisi koymazsa, denetçi koyar.
Yedek alınıyor, geri dönüş testi tutanağı yok
Bu alt bölümün en sık düşülen noktası burası. Sağlık Bilgi Yönetim Sistemleri Hakkında Yönetmelik, yedeklenen verinin orijinali yansıttığından emin olunması için en az altı ayda bir geri dönüş testi yapılmasını, sonucun tutanakla kayda alınmasını ve tutanakta hizmet alıcısının temsilcisine ait imzanın bulunmasını istiyor. Testi yapan taraf yazılım sağlayıcısı olsa bile imza kurumun, testin gerektirdiği donanım ve lisans maliyeti de kurumundur. Üstüne, yedeklerin düzenli alındığını kontrol etmek ayrı bir yükümlülük olarak kuruma veriliyor; “firma alıyor” cevabı bu fıkrayı karşılamıyor.
İz kayıtları yazılım firmasının sunucusunda
Aynı Yönetmelik, hizmet alıcısının SAMİLOG kayıtlarını en az beş yıl, diğer olay ve iz kayıtlarını en az iki yıl kendi sunucularında saklamasını istiyor. İki ayrıntı sürekli atlanıyor: kayıt üreten bütün sistemlerin ortak bir zaman sunucusuyla eşlenmesi ve kayıtların nitelikli zaman damgasıyla imzalanarak saklanması. Bunlar kurulum işidir; prosedür yazmakla kapanmaz.
Sorumluluk yazılım firmasına yıkılıyor
Mevzuat bu savunmayı kapatıyor. Sağlık hizmeti sunumu kapsamında işlenen kişisel veriler bakımından yazılım sağlayıcısı veri işleyen, kuruluş ise veri sorumlusu sıfatını taşıyor; veri güvenliği tedbirlerinin alınmasından ikisi müştereken sorumlu. Verinin nerede tutulacağı da serbest değil: sayılan veri kayıt ortamlarının dışına kaydetmek ve aktarmak yasak, veriler yalnızca yurt içinde muhafaza ediliyor.
Fiziki arşiv ile dijital arşiv birbirinin yerine konuyor
Ayakta teşhis ve tedavi kuruluşu için güvenli bir dijital hasta kayıt arşivi veya fiziki bir tıbbi arşiv kurmak zorunlu; arşivin kuruluşun kendi binasında bulunması zorunlu değil. Buna karşılık dosyada bulundurulması zorunlu formlar ve evrak ayrıca saklanıyor — dijitale geçmek kâğıdı tümüyle bitirmiyor. Bir ayrıntı daha: elektronik imza ve kaşenin, ait olduğu personel dışında kimse tarafından kullanılmaması açık bir yasaktır ve pratikte paylaşılan şifre demek, paylaşılan imza demektir.
Kurumun elinde ne olmalı
Ölçüt metni asgari doküman başlıklarını kendisi sayıyor: fiziksel ve teknolojik tedbirler, bilgi güvenliği, bilgi mahremiyeti, bilgi sürekliliği, harici bilgi kaynaklarına erişim, yetkilendirme ve uzaktan erişim. Bu yedi başlık tek dosyada da toplanabilir; önemli olan hiçbirinin boş kalmaması. Kayıt tarafında aranan şeyler ise şunlar:
- Bilgi yönetimi sorumlusunun yazılı görev ve sorumluluk tanımı.
- Yetkilendirme tablosu ile kullanıcı açma ve kapatma kayıtları. Personel ayrılışında bildirim ve çalışma belgesinin iadesi mevzuatta süreye bağlı; sistem yetkisinin aynı gün kapatıldığının kaydı ise tamamen kurumun kendi işi.
- Altı ayda bir imzalı geri dönüş testi tutanağı ve yedeklerin düzenli alındığına dair kontrol kaydı.
- Kesinti ve yavaşlama kaydı: tarih, süre, etkilenen birim, yapılan iyileştirme. Buradan çıkan ölçüm kesinti adedi ve toplam kesinti süresidir.
- Sunucu bakım kayıtları ile işletim sistemi ve yazılımların güncel tutulduğunun kaydı.
- Veri üzerinde yapılan değişiklik ve silme işlemlerinin izlenebildiğini gösteren kayıt.
- Fiziki kayıtların muhafaza koşulları ve tıbbi kayıtların imhasına ilişkin kurallar. Ölçüt imha kuralını açıkça istiyor; çoğu kurumda yazılı karşılığı bulunmuyor.
- Çalışan eğitim kayıtları: katılım listesi, eğitim içeriği ve işe yeni başlayanın ilk eğitimi.
Standart metni bir tatbikat istemiyor. Yine de kesinti anında hangi formun kâğıt üzerinde yürüyeceğini bir kez denemek işe yarıyor: denemeyi yapan kurum, kesinti kaydına ne yazacağını da öğreniyor.
Hangi mevzuat bunu zaten zorunlu kılıyor
Buradaki kayıtların çoğu, standart seti hiç olmasa da tutulmak zorunda. Hangi hükmün ne istediğini aşağıdaki Mevzuat dayanağı bölümünde madde numarasıyla ayırdık. Tek bir tarihi burada da tekrarlamakta yarar var: elektronik imza mevzuatı ile güvenli dijital hasta kaydı şartları için tanınan uyum süresi 31 Aralık 2025’te doldu. Bu başlıkta artık bir geçiş dönemi kalmadı.
Aşağıdaki liste setin resmî metnini birebir gösterir; hakları TÜSKA’ya aittir ve yorum değildir. Yukarıdaki değerlendirme bizim yorumumuzdur.