Özel Adagöz Tıp Merkezi Özel KVKK Bilgi Güvenliği Politikası

Veri Sorumlusu / Web Sitesi	ADA GÖZ ÖZEL SAĞLIK HİZMETLERİ DANIŞMANLIK TARIM GIDA İÇECEK HAYVANCILIK TURİZM İÇ VE DIŞ TİCARET SANAYİ LİMİTED ŞİRKETİ https://www.adagoz.com.tr/	E-posta / KEP	info@adagoz.com.tr / adagoz@hs03.kep.tr
Adres	Hacıfeyzullah Mahallesi Koçtaş Yolu Sokak No: 8. Kuşadası / Aydın
VKN / MERSİS	0070536017 / 0007053601700010	Belge Kodu / Sürüm / Yürürlük	BG-PRO-01 / 1.1 / ....../....../20......
Gözden Geçirme	En az yılda bir ve önemli olay/değişiklik sonrasında	Onaylayan	Yetkili Temsilci

1. AMAÇ VE KAPSAM

Amaç; hasta, hasta yakını, çalışan ve diğer ilgili kişilere ait kişisel veriler ile kurumsal bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak; günlük güvenlik davranışlarını standartlaştırmak ve olayları hızlı doğru yönetmektir. Prosedür; hekim, hemşire ve diğer sağlık personeli, ameliyathane/lazer/anestezi/acil/tetkik personeli, hasta kabul, çağrı merkezi, mali işler, insan kaynakları, kalite, bilgi işlem, güvenlik, temizlik, teknik hizmet, yönetici, stajyer ve hizmet sağlayıcı personeli görevleri ölçüsünde kapsar.

2. DAYANAK VE TEMEL İLKELER

Prosedür; 6698 sayılı Kişisel Verilerin Korunması Kanununun özellikle 4, 6 ve 12 nci maddeleri, Kişisel Veri Güvenliği Rehberi, Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber, Kurulun yeterli önlemlere ilişkin kararları, kişisel sağlık verisi ve özel sağlık kuruluşu mevzuatı dikkate alınarak hazırlanmıştır.

• Yalnız görev için gerekli veriye erişilir; merak veya kolaylık erişim sebebi değildir.
• Veri doğru, güncel, amaçla bağlantılı, sınırlı ve ölçülü tutulur.
• Hastanın güvenliği, mahremiyeti ve insan onuru önceliklidir; çocuk hastalarda hastanın üstün yararı ve kanuni temsil kuralları ayrıca gözetilir.
• Kişisel sağlık verileri ve diğer özel nitelikli kayıtlarda ayrı yetki, kayıtlı erişim, güvenli aktarım ve daha sıkı fiziksel/teknik tedbir uygulanır.
• Şüphede işlem durdurulur ve yetkili kişiye danışılır.

3. ROLLER VE SORUMLULUKLAR

Rol	Sorumluluk
Üst Yönetim	Güvenlik politikasını onaylar, kaynak sağlar, risk ve ihlal kararlarını gözetir.
KVKK Koordinasyonu	Envanter, başvuru, ihlal değerlendirmesi, eğitim ve uyumu koordine eder.
Bilgi Teknolojileri (BT)	Hesap, cihaz, ağ, yedek, log, zafiyet ve teknik olay yönetimini yürütür.
Birim Yöneticisi	Erişim ihtiyacını onaylar görev değişikliği/ayrılığı hemen bildirir, yerel uygulamayı kontrol eder.
Tüm Personel	Kurallara uyar, yalnız yetkili veriyi işler, olay ve zayıflıkları derhal bildirir.
Hizmet Sağlayıcı	Yalnız sözleşme ve talimat kapsamında işler; ihlali gecikmeden bildirir: hizmet sonunda veri ve erişimleri iade/imha eder.

4. BİLGİ SINIFLANDIRMA VE PAYLAŞIM

Sınıf	Örnek	Kural
Kamuya Açık	Kurumca yayımlanması onaylanan içerik.	Onaylı kanaldan paylaşılabilir.
Kurum İçi	Günlük iş bilgisi, iç duyuru, prosedür.	Yalnız çalışanlar ve görevli hizmet sağlayıcılar.
Gizli	Hasta/çalışan verisi, sözleşme, randevu, adres, bordro, kamera, ödeme.	Görev gereği bilmesi gereken kişi; güvenli kanal.
Çok Gizli / Özel Nitelikli	Muayene, tanı, tetkik, görüntü, ameliyat/lazer, biyometrik/genetik, ceza ve çalışan sağlık verisi.	Ayrı yetki, kayıtlı erişim, şifreli/güvenli aktarım; asgari bilgi.

Alıcı, hasta kimliği, talep yetkisi ve paylaşım kapsamı doğrulanmadan veri açıklanmaz. Hastaya veya kanuni temsilcisine bilgi verilmesi, başka hastanın ya da çalışanın verilerinin açıklanmasına izin vermez. Resmî makam, avukat ve sigorta talepleri yetkili yönetim/hukuk/KVKK sürecine yönlendirilir.

5. HESAP, PAROLA VE ERİŞİM

• Her kullanıcı yalnız kendi hesabını kullanır. Ortak kullanıcı adı ve parola kullanılmaz; parola yönetici veya BT personeliyle paylaşılmaz.
• Parola en az 12 karakter olmalı; uzun ve tahmin edilmesi zor bir ifade tercih edilmelidir. Aynı parola kişisel hesaplarda kullanılmaz. Sistem destekliyorsa çok faktörlü doğrulama zorunludur.
• İlk/geçici parola ilk girişte değiştirilir. Parola sızması şüphesinde hemen değiştirilir ve olay bildirilir. Periyodik değişim, kurumun risk ve sistem standardına göre uygulanır.
• Ekran başından ayrılırken kilitlenir. Cihazlar en geç 10 dakika hareketsizlikte otomatik kilitlenecek şekilde yapılandırılır.
• Yetki, görev için gereken en düşük düzeyde ve süreli verilir. Yetkisiz klasör veya kayıt görülürse içerik incelenmeden bildirilir.
• Görev değişikliği ve işten ayrılışta yetkiler aynı gün kaldırılır; kart, anahtar, cihaz ve kayıtlar iade edilir.

6. E-POSTA, MESAJLAŞMA VE PAYLAŞIM

• Kişisel veri yalnız kurumsal ve onaylı iletişim kanallarından gönderilir. Kişisel e-posta, kişisel bulut veya onaysız mesajlaşma uygulaması kullanılmaz.
• Göndermeden önce alıcı, ek, bağlantı, görünür adresler ve veri kapsamı ikinci kez kontrol edilir. Toplu gönderimde adres gizliliği sağlanır, mümkünse güvenli portal kullanılır.
• Kişisel sağlık verisi e-postayla zorunlu aktarılacaksa kurumsal hesap, güvenli portal, şifreli dosya veya güvenli bağlantı kullanılır; parola ayrı kanaldan iletilir. Alıcı ve hasta eşleşmesi ikinci kez doğrulanır.
• Şüpheli bağlantı/ek açılmaz, yanıt verilmez, kullanıcı adı/parola girilmez. E-posta silinmeden "şüpheli" olarak BT'ye bildirilir.
• Hasta, hasta yakını veya çalışan listesi kişisel telefon rehberine aktarılmaz; kişisel/grup mesajlarında tanı, randevu, ameliyat, görüntü, ödeme veya iletişim bilgisi paylaşılmaz.
• Kurumsal e-postaların güvenlik ve iş sürekliliği amacıyla, önceden aydınlatılmış ve ölçülü yöntemlerle denetlenebileceği kabul edilir; gizli ve sınırsız izleme yapılamaz.

7. CİHAZ, YAZILIM, İNTERNET VE YAPAY ZEKÂ

• Kurum cihazına yalnız BT tarafından onaylı yazılım kurulur. Güvenlik ayarları, antivirüs, şifreleme, log veya güncelleme mekanizması devre dışı bırakılamaz.
• USB/harici disk yalnız iş ihtiyacı, yönetici/BT onayı ve zararlı yazılım taramasıyla kullanılabilir. Çok gizli veri taşınacaksa şifreli ortam zorunludur.
• Kurum verisi halka açık üretken yapay zekâ, çeviri, transkripsiyon, dosya dönüştürme veya analiz hizmetine yüklenemez. Kurumca onaylı sistemde dahi hasta kimliği, tıbbi görüntü ve sağlık verisi için kullanım amacı, hukuki şart, asgari veri ve erişim ayrıca doğrulanır.
• İnternetten indirilen dosya ve yazılım doğrulanmadan açılmaz. Yasa dışı, ayrımcı, müstehcen, zararlı veya iş amacı dışındaki riskli içeriklere kurumsal sistemden erişilemez.
• Kayıp veya çalıntı cihaz derhâl bildirilir. Çalışan cihazı uzaktan silme/konumlandırma veya kolluk sürecini kendi başına yürütmez; kurum talimatını izler.

8. KİŞİSEL CİHAZ VE UZAKTAN ÇALIŞMA

• Kişisel cihazda kurum verisi ancak yazılı izin, ekran kilidi, güncel güvenlik yazılımı, şifreleme ve iş verisini ayıran kurumsal profil ile işlenebilir.
• Kurum verisi aile bireyleri veya başka kişilerce kullanılan hesaba/cihaza kaydedilemez. Halka açık Wi-Fi üzerinde VPN/güvenli bağlantı olmadan erişim yapılmaz.
• Görüşme ve ekranlar üçüncü kişilerce görülemeyecek ortamda tutulur; belge evde açıkta bırakılmaz veya evsel çöpe atılmaz.
• İzin sona erdiğinde kurum verisi yetkili gözetiminde silinir. Kişisel cihaz kullanımı çalışana sınırsız kurumsal veri tutma hakkı vermez.

9. FİZİKSEL BELGE, ARŞİV VE TEMİZ MASA

• Belge yalnız gerekli sayıda basılır; yazıcıda bekletilmez. Yanlış çıktı güvenli imha kutusuna bırakılır.
• Gizli çok gizli hasta ve personel dosyaları kilitli dolap veya kontrollü odada tutulur; masa, poliklinik, hasta kabul, ameliyathane, tetkik alanı, çalışan odası ve araçta açık bırakılmaz.
• Arşivden dosya alma ve iade kayıt altına alınır. Belge kurum dışına yalnız yetkili onay ve güvenli taşıma yöntemiyle çıkarılır.
• Temizlik ve teknik personel bulunan evrakı okumaz; güvenli şekilde yetkili kişiye teslim eder. Teknik bakımda veri içeriğine erişim gerekiyorsa ilgili birim gözetimi sağlanır.
• Saklama süresi dolan kağıt çapraz kesim/öğütme veya sertifikalı hizmetle; cihaz ve diskler geri döndürülemeyecek yöntemle imha edilir.

9.1 Temiz masa işe başlarken, gün içinde ve ayrılırken

Temiz masa yalnız mesai sonunda değil, çalışan masadan veya klinik istasyondan ayrıldığı her anda uygulanır. Amaç; hasta, yakını, çalışan veya kurum bilgilerinin yetkisiz görülmesini, alınmasını, fotoğraflanmasını ya da yanlış dosyaya karışmasını önlemektir.

• İşe başlarken yalnız o gün gerekli dosyalar çıkarılır; önceki güne ait evrak açıkta bırakılmaz.
• Kısa süreli ayrılışta dahi ekran Windows+L/kurumsal kilit yöntemiyle kilitlenir; evrak ters çevrilmekle yetinilmez, çekmece/dolaba kaldırılır.
• Masa üstünde hasta/randevu/ameliyat listesi, epikriz, reçete, sağlık raporu, tetkik sonucu, kimlik fotokopisi, bordro, IBAN, telefon numarası veya parola notu bulundurulmaz.
• Toplantı, konsey veya klinik değerlendirme sonunda hasta listesi, not kâğıdı, beyaz tahta ve projeksiyon ekranı kontrol edilir; kişisel veri içeren geçici notlar güvenli biçimde toplanır veya silinir.
• Günün sonunda dolaplar kilitlenir, anahtar üzerinde bırakılmaz, yazıcı/fotokopi taranır ve güvenli imha kutusu kapalı tutulur.

9.2 Oda, bölüm ve fiziksel alan yetkisi

• Çalışan yalnız görevi için gerekli oda ve alanlara girer. Kapının açık olması, içeride kimsenin bulunmaması, tanıdık bir çalışanın görev yapması veya 'sadece bir dakika bakma' isteği erişim yetkisi oluşturmaz.
• Muayene odası, ameliyathane, lazer ve tetkik alanı, sterilizasyon, hasta arşivi, insan kaynakları/özlük, muhasebe, güvenlik/CCTV, sunucu-BT odası ve kilitli tıbbi depolara yalnız yetkilendirilmiş personel girer.
• Yetkisiz kişi bir odada görülürse tartışmaya girmeden kimlik/görev amacı sorulur, yetkili personele haber verilir; kişi tek başına bırakılmaz.
• Kapı kartı veya anahtarı başkasına verilmez; yetkili kişi arkasından gelen bilinmeyen kişiyi kartıyla içeri almaz. Ziyaretçi refakatsiz dolaştırılmaz.
• Bir evrakı başka odaya bırakmak gerekiyorsa masa üstüne konulmaz; teslim alan kişi doğrulanır ve gerekiyorsa teslim kaydı tutulur.
• Yanlışlıkla yetkisiz odaya girildiğinde görülen bilgi okunmaz, alınmaz, fotoğraflanmaz; alan terk edilir ve durum sorumluya bildirilir.

9.3 Oda bazlı uygulama örnekleri

Poliklinik örneği	Hasta kabul veya başka birim çalışanı, merak ederek muayene notuna ve tetkik sonucuna bakamaz. Sağlık personeli idari birime tanı ayrıntısı değil, yalnız işlemin yürütülmesi için gerekli bilgiyi verir.
Ameliyathane/lazer örneği	Operasyon listesi ve görüntüler ortak sohbet grubunda paylaşılmaz. Kontrollü alana yalnız görevi bulunan personel girer; kişisel telefonla ekran veya operasyon görüntüsü alınmaz.
İnsan kaynakları/muhasebe örneği	Bordro, ücret, IBAN, rapor ve özlük belgeleri masada açık bırakılmaz. Başka bir çalışanın ücretini öğrenme talebi reddedilir ve yetkili birime yönlendirilir.
Arşiv örneği	Dosya 'bakıp geri koymak' için kayıtsız alınamaz. Yetkili talep, dosya çıkış kaydı ve zamanında iade gerekir.
Güvenlik/CCTV örneği	Bir olay merak edildiği için kamera görüntüsü izlenemez veya telefonla çekilemez. İzleme ve dışa aktarma yalnız yetkili talep ve kayıtla yapılır.
Hasta kabul/çağrı merkezi örneği	Randevu ekranı açık bırakılmaz; hastanın kuruma başvurduğu, tanısı veya ameliyat bilgisi bekleme alanında, hoparlörde ya da yetkisiz kişinin duyacağı biçimde açıklanmaz.
Temizlik/teknik bakım örneği	Açık hasta dosyası veya ekran içeriği incelenmez. Kontrollü alana iş emri ve gerekiyorsa refakatle girilir; bulunan tıbbi belge normal çöpe atılmaz, yetkiliye teslim edilir.

9.4 Yazıcı, fotokopi, toplantı ve sözlü mahremiyet

• Gizli çıktı mümkünse güvenli yazdırma/PIN ile alınır. Çıktı hemen teslim alınır; başka kişiye ait çıktı okunmadan yetkiliye verilir.
• Fotokopi veya tarama sonrası cam, besleyici, hedef e-posta ve geçici dosya kontrol edilir. Kimlik fotokopisi gereksiz çoğaltılmaz.
• Koridor, asansör, yemekhane, kafe, bekleme alanı, toplu taşıma veya takside hasta vakası, ameliyat, tanı ya da çalışan bilgisi konuşulmaz.
• Telefon görüşmesinde arayanın kimliği/yetkisi ve çevre koşulları doğrulanır, randevu, tanı, tetkik, ameliyat, ödeme veya adres bilgisi hoparlörde ve üçüncü kişilerin yanında açıklanmaz.
• Toplantı davetine yalnız gerekli kişiler eklenir; ekran paylaşımından önce masaüstü, bildirimler ve açık dosyalar kapatılır.

10. SAĞLIK KURULUŞUNA ÖZGÜ GÖREV KURALLARI

Rol	Asgari güvenlik kuralı
Hekim / Hemşire / Sağlık Personeli	Kendi bakım ve görev alanındaki hasta kaydına erişir. Başka hastanın dosyasını merak amacıyla açmaz; klinik bilgiyi yalnız yetkili ekip ve gerekli kapsamla paylaşır.
Ameliyathane / Lazer / Anestezi / Acil / Tetkik	Hasta-işlem-doğru göz/alan doğrulaması yapar. Operasyon görüntüsü, cihaz çıktısı ve listeyi kişisel cihazda tutmaz; kontrollü alana yetkisiz kişiyi almaz.
Hasta Kabul / Tıbbi Sekreterlik	Kimlik, randevu, iletişim ve işlem akışı için gerekli alanları görür. Ayrıntılı tanı ve tıbbi görüntüye görev gereği yoksa erişmez; telefonda kimlik/yetki doğrular.
Çağrı Merkezi / Uluslararası Hasta	Onaylı senaryo ve kurumsal kanalı kullanır. Tanı ve ayrıntılı klinik kayıt yerine randevu/iletişim için asgari bilgiyle çalışır, kişisel rehber oluşturmaz.
İK / Mali İşler / Sigorta	Özlük, bordro, banka, fatura ve sigorta verisini görev bazlı işler; tıbbi ayrıntıyı yalnız finansman için zorunlu ölçüde görür; alıcıyı doğrulamadan belge göndermez.
BT / Teknik / Biyomedikal	Teknik erişimde hasta içeriğini incelemez. Ayrıcalıklı erişimi talep/onay/süre ile kullanır; bakımda değişen veri ortamını güvenli siler veya kayıtlı teslim eder.
Güvenlik / Danışma	Kamera ve ziyaretçi kaydını kişisel cihazla çekmez. Hastanın başvurusu, konumu ve geliş-gidiş bilgisini açıklamaz; görüntü taleplerini yetkili sürece iletir.
Temizlik / Destek	Belge ve ekran içeriğini incelemez. Kontrollü alana görev ve gerekirse refakatle girer; bulduğu kayıt/cihazı yetkiliye teslim eder; normal çöpe atmaz.

10.1 Hekim, hemşire ve sağlık meslek mensupları

• Muayene, tanı, tedavi, reçete, onam ve bakım kayıtları yalnız onaylı HBYS/PACS/klinik sisteme, doğru hasta ve doğru işlem altında, zamanında ve izlenebilir biçimde girilir; kişisel not uygulaması veya mesaj grubunda tutulmaz.
• Hastaya veya kanuni temsilcisine bilgi verilirken kimlik/yetki doğrulanır; başka hastanın adı, tanısı, tetkik sonucu, tedavisi veya iletişim bilgisi açıklanmaz.
• Bilimsel sunum, eğitim veya vaka paylaşımında hasta kimliği ve görüntüsü için hukuki şart, etik/kurumsal onay ve gerekli anonimleştirme doğrulanır; kişisel cihaz veya hesap kullanılmaz.

10.2 Ameliyathane, lazer, tetkik ve sterilizasyon personeli

• Operasyon/anestezi planı, tıbbi görüntü, cihaz çıktısı, lens/implant ve sterilizasyon kayıtları rol bazlı erişimde tutulur; ortak parola, kişisel USB veya açık raf kullanılmaz.
• Hasta-işlem-doğru göz/alan doğrulaması yapılır. Acil durumda gerekli bilgi yetkili ekiple hızla paylaşılır; olay bitince geçici erişim ve kopyalar normal sınırlara döndürülür.

10.3 İdari işler, insan kaynakları ve muhasebe

• Kimlik, sözleşme, bordro, banka ve rapor belgeleri yalnız görevli personelle işlenir; personel listeleri genel ortak klasöre konulmaz.
• Resmî kurum veya avukat talebi geldiğinde kimlik/yetki ve kapsam doğrulanmadan belge verilmez; yetkili yönetime aktarılır.

10.4 Hasta kabul, çağrı merkezi, güvenlik ve ziyaretçi yönetimi

• Hasta kabul ve çağrı merkezinde yalnız randevu, kimlik, iletişim ve işlem için gerekli asgari bilgi görülür; ayrıntılı klinik kayıt görevin zorunlu olmadığı personele açılmaz ve liste kişisel cihazda tutulmaz.
• Danışma ziyaretçinin kimliğini ve görüşeceği kişiyi doğrular; ziyaretçi kartı verir, refakat ve çıkış kaydı uygular.
• Güvenlik personeli hasta yakını/hasta adresi, geliş-gidiş saati veya kamera kaydı hakkında yetkisiz kişiye bilgi vermez.

10.5 Temizlik, teknik bakım ve destek personeli

• Bulunan evrak okunmadan kapalı biçimde yetkiliye teslim edilir; normal çöpe atılmaz.
• Bilgisayar/oda bakımında yalnız teknik iş kadar erişilir; açık ekran veya belge içeriği incelenmez. Gerekirse birim personeli refakat eder.
• Çöp kutusunda kişisel veri görülürse çıkarılıp okunmaz; güvenli imha süreci için sorumluya bildirilir.

10.6 Yöneticiler

• Yetki verirken 'işi kolaylaştırma' değil görev ihtiyacı esas alınır; izinler periyodik gözden geçirilir.
• Personelden özel nitelikli veriyi WhatsApp, kişisel e-posta veya açık form üzerinden istemez; güvenli kanalı gösterir.
• Hata bildiren personeli susturmaz veya cezalandırmaz; delili korur ve olay yönetim zincirini başlatır.

11. FOTOĞRAF, VİDEO, KAMERA VE SOSYAL MEDYA

• Sağlık hizmeti almak veya klinik alanda bulunmak, görüntünün tanıtımda kullanılmasına kendiliğinden izin vermez. Hasta fotoğrafı, videosu, önce/sonra veya operasyon görüntüsü için klinik kayıt amacı ile tanıtım amacı ayrılır; hukuki şart ve kurum onayı doğrulanmadan kayıt yayın yapılamaz.
• Hasta/çalışan görüntüsü kişisel sosyal medya hesabında yayımlanamaz; hesabın kapalı olması veya yüzün kısmen gizlenmesi yasağı kaldırmaz.
• Kamera görüntüsüne yalnız yetkili kişiler erişir. Kişisel telefonla ekran görüntüsü alınamaz; dışa aktarma kayıtlı onayla yapılır. Ses kaydı ancak ayrıca hukuka uygun ve gerekli olduğu doğrulanmışsa kullanılabilir.
• Yayımdan kaldırma veya açık rızanın geri alınması talebi KVKK irtibatına yönlendirilir, çalışan kendi başına arşiv veya kanıt silmez.

12. YEDEKLEME, SAKLAMA VE İMHA

BT, kritik sistemleri risk temelli takvimle yedekler, yedekler şifreli, erişimi sınırlı ve üretim ortamından ayrıştırılmış tutulur. Geri yükleme testleri kaydedilir. Personel kendi kişisel bulutunda veya USB'sinde "yedek" oluşturamaz. Saklama süresi dolan veri, Saklama ve İmha Politikasına göre silinir, yok edilir veya anonim hale getirilir. Yedekte tekil silme mümkün değilse veri kullanıma kapatılır ve yedek rotasyonunda yok edilir, geri yüklemede silme listesi yeniden uygulanır.

13. GÜVENLİK OLAYI VE VERİ İHLALİ

13.1 Bildirilecek örnekler

• Yanlış alıcıya e-posta/SMS, yanlış hastaya veya kanuni temsilciye tıbbi belge, sonuç ya da randevu/ameliyat bilgisi gönderilmesi.
• Kayıp/çalıntı telefon, bilgisayar, USB, kâğıt dosya, kimlik kartı veya anahtar.
• Yetkisiz HBYS/PACS, tıbbi görüntü, kamera, çalışan sağlık veya hasta kaydına erişim; ortak parola, ayrıcalıklı hesabın kötüye kullanımı veya parola sızması.
• Şüpheli e-posta, zararlı yazılım, fidye yazılımı, hesapta olağandışı işlem veya sistem kesintisi.
• Verinin izinsiz silinmesi, değiştirilmesi, bozulması ya da yedeğin çalışmaması.

Hasta yakını grubuna yanlış hasta listesi gönderildiğinde mesajı sadece silmek yeterli değildir; ekran görüntüsü almadan olay bildirilir, geri çekme imkânı uygulanır ve alıcılardan silme talebi yetkili süreçle yürütülür.

Yanlış e-posta alıcısı otomatik tamamlamadan seçildiyse gönderilen kutu ve alıcı bilgisi korunur, personel kendi başına olayı gizlemek için kayıtları silmez.

Şüpheli bağlantıya tıklanmış veya parola girilmişse cihaz ağdan güvenli biçimde ayrılır; parola temiz bir cihazdan değiştirilir ve BT'ye hemen haber verilir.

Kâğıt dosya veya USB kaybında son görülen yer, zaman, içerik ve erişim/şifreleme durumu hatırlandığı kadarıyla kaydedilir; arama bildirimi geciktirmez.

13.2 Personelin ilk adımları

Adım	Uygulama
1. Durdur	Gönderimi mümkünse geri çekin; şüpheli bağlantıya tıklamayın. Cihazı biçimlendirmeyin ve kayıtları silmeyin.
2. Bildir	Derhâl birim yöneticisi ile Bilgi Güvenliği/KVKK irtibatına telefon ve onaylı kanaldan haber verin.
3. Kaydet	Tarih-saat, veri/kişi türü, alıcı, cihaz/sistem ve yaptığınız ilk işlemi not edin; ekran/kanıtı koruyun.
4. Sınırla	Yalnız yetkilinin talimatıyla ağ bağlantısını kesin, alıcıyla iletişim kurun veya başka önlem alın.
5. Gizli tut	Olayı ilgisiz kişilerle, hasta yakını gruplarında veya sosyal medyada paylaşmayın.

13.3 Kurumsal değerlendirme

KVKK Koordinasyonu, BT, hukuk, kalite/hasta güvenliği ve ilgili birim; olayın niteliğini, etkilenen kişi/veri sayısını, sağlık özel nitelikli veri bulunmasını, çocuk veya hassas hasta riskini, şifreleme/erişilebilirlik durumunu ve olası sonuçları değerlendirir. Kanunun 12 nci maddesi ve Kurul kararları uyarınca gerekli bildirimleri veri sorumlusu yürütür.

14. İŞE GİRİŞ, GÖREV DEĞİŞİKLİĞİ VE AYRILIŞ

• İşe girişte hesaplar onaylı talep ve görev tanımına göre açılır; KVKK/bilgi güvenliği eğitimi ve gizlilik yükümlülüğü tamamlanır.
• Görev değişikliğinde eski yetkiler kaldırılmadan yeni yetki eklenmez; rol çakışması ve gereksiz erişim kontrol edilir.
• Ayrılış bildirimi üzerine hesap, VPN, e-posta, kart ve fiziksel erişim aynı gün kapatılır. Cihaz, belge, anahtar ve yedekler teslim alınır.
• İş verisi kişisel cihaz/hesaptan yetkili gözetiminde silinir. Gizlilik yükümlülüğü işten ayrılıştan sonra da sürer.

15. EĞİTİM, DENETİM VE YAPTIRIM

Personel işe girişte ve en az yılda bir; ayrıca önemli sistem, tehdit, mevzuat veya görev değişikliğinde eğitim alır. Hekim/sağlık personeli, ameliyathane-lazer-anestezi-acil, hasta kabul/çağrı merkezi, BT, güvenlik ve yönetici rolleri için görev bazlı ek eğitim verilir. Kurum, önceden aydınlatılmış ve ölçülü biçimde uyumu denetler.

16. YÜRÜRLÜK VE GÖZDEN GEÇİRME

Prosedür onay tarihinde yürürlüğe girer; en az yılda bir ve önemli ihlal, mevzuat, sistem veya süreç değişikliğinde gözden geçirilir. Teknik ayrıntılar kurumun erişimi sınırlı BT standartlarında güncellenebilir. Emredici mevzuatla çelişen hüküm yerine güncel mevzuat uygulanır.

EK-1: TEK SAYFALIK PERSONEL KONTROL LİSTESİ

HER GÜN	Ekranı kilitle Temiz masa uygula Alıcı ve eki kontrol et
ASLA	Yalnız kendi hesabını kullan Parola paylaşma Kişisel e-posta/buluta veri yükleme Hasta görüntüsünü kişisel hesapta paylaşma Yetkisiz hasta kaydını inceleme
ÖZEL VERİ	Sağlık tıbbi kaydı ayrı ve sınırlı tut Yalnız gerekli bilgiyi paylaş Güvenli kanal ve doğru hasta kontrolü kullan
ŞÜPHELİ E-POSTA	Tıklama/yanıtlama Silmeden BT'ye bildir Parola girdiysen hemen değiştir ve olayı bildir
OLAYDA	İşlemi durdur Derhâl bildir Kanıtı koru Kendi başına açıklama veya silme yapma
AYRILIRKEN	Cihaz/belge/kart/anahtar teslimi Kişisel cihazdaki iş verisini yetkili gözetiminde silme

EK-2: BİLGİ GÜVENLİĞİ OLAY BİLDİRİM FORMU

Bu form ilk bildirime yardımcıdır. Formu tamamlamak bildirimi geciktirmemelidir; önce telefon/onaylı hızlı kanal kullanılır.

EK-3: KVKK VE BİLGİ GÜVENLİĞİ FARKINDALIK KONTROLÜ

Aşağıdaki sorular eğitim öz değerlendirme içindir. Her soruda doğru davranışı işaretleyin; tereddüt edilen konu yönetici veya KVKK irtibatıyla görüşülmelidir.

#	Soru	Seçenek A	Seçenek B
1	Ameliyathane/lazer alanının kapısı açık ve içeride kimse yok. Bir evrak bırakmanız gerekiyor.	İçeri girip masaya bırakırım	Yetkiliyi bekler ve teslimi doğrularım
2	Masada başka hastaya ait sağlık raporu gördünüz.	İçeriğine bakarım	Okumadan yetkiliye bildiririm
3	Alıcı otomatik tamamlamada benzer isim çıktı.	Hızlıca gönderirim	Adres ve eki ikinci kez doğrularım
4	Yöneticiniz veya BT personeli parolanızı istedi.	Veririm	Parola paylaşmadan yetkili destek sürecini kullanırım
5	Ücretsiz yapay zekâ aracı epikrizi özetleyebilir.	Hasta bilgileriyle yüklerim	Onaylı sistem ve hukuki değerlendirme yoksa yüklemem
6	Yanlış hastaya tetkik sonucu gönderdiniz.	Kimse fark etmediyse susarım	Derhal olay bildiririm
7	Yazıcıda bordro buldunuz.	Kimin olduğunu görmek için okurum	Okumadan yetkiliye teslim ederim
8	Geçici ameliyat/randevu listesiyle işiniz bitti.	Telefonda saklarım	Onaylı sisteme bırakır, kişisel kopyayı tutmam
9	Kısa süreli çay almaya gidiyorsunuz.	Ekranı açık bırakırım	Ekranı kilitler, açık evrakı kaldırırım
10	Bir hasta yakını başka hastanın tanısını veya işlem sonucunu soruyor.	Bildiğimi anlatırım	Kimlik/yetki ve görev sınırı olmadan açıklamam

Doğru yaklaşım özeti: Yetkisiz erişme paylaşma kopyalama saklama yapma; işlemi durdur, güvenli kanalı kullan ve gerektiğinde bildir.

EK-4: TESLİM VE OKUMA BEYANI

Bu beyan prosedürün teslim edildiğini gösterir; kişisel verilerin işlenmesine ilişkin açık rıza değildir.

Ad Soyad
Görev / Birim
Teslim Tarihi
Sürüm	1.1
İmza

KURUM İÇİ BİLDİRİM VE İLETİŞİM