Hastane / Klinik için DLP — Hasta Verisi Koruma

Sağlık verisi KVKK’da özel kategori kişisel veri (Madde 6). En sıkı koruma gerektirir, açık rıza zorunlu, ihlal cezası yüksek.

Hastane / klinik / laboratuvar / sigorta sağlık iştirakı için DLP yaklaşımını anlatıyoruz.

Sağlık verisi nedir?

KVKK Madde 6 + Sağlık Bakanlığı tanımı:

• Tanı bilgisi (ICD-10 kodu, hastalık)
• Tedavi geçmişi
• Reçete + ilaç
• Lab sonuçları (kan, idrar, MR, BT)
• Doğum/ölüm kayıtları
• Cinsel yönelim / üreme bilgisi
• Genetik veri
• Biyometrik (parmak izi, retina)

Sıfır tolerans kategorisi — açık rıza olmadan paylaşılamaz.

Sağlık Bakanlığı + KVKK

İki düzenleyici çerçeve birlikte:

• KVKK Madde 6: özel kategori, açık rıza
• Sağlık Bakanlığı Veri Güvenliği Yönetmeliği (2019): hasta mahremiyeti zorunluluğu
• e-Nabız: kişisel sağlık kaydı, gov.tr platformu
• MERNIS: TC kimlik entegrasyonu

DLP yazılımı bu çerçevelerin teknik kanıtıdır.

DLP politikaları — sağlık

P1 — Hasta TC + tanı birlikte
  Match: tc_count >= 1 AND
         keyword_match("ICD", "tanı", "hastalık", "tedavi")
  Action: block any channel
  Reason: KVKK özel kategori ihlali

P2 — Reçete PDF WhatsApp/mobil
  Match: keyword "reçete" AND file_type == "pdf" AND
         dest_app IN ["whatsapp.exe", "telegram.exe"]
  Action: block + DPO alert (sıfır tolerans)

P3 — Lab sonucu paylaşım kontrol
  Match: keyword_match("hb", "wbc", "BUN", "MRI rapor") AND
         channel == "email"
  Allow IF dest_domain == hastanın_kayitli_email (rıza alındı)
  Else: block

P4 — Personel sağlık raporu (iş göremezlik)
  Match: keyword "iş göremezlik" OR "rapor" AND
         user.role != "IK_yonetici"
  Action: block (İK içi paylaşılır)

P5 — Genetik veri sıfır tolerans
  Match: keyword_match("DNA", "gen", "kromozom", "BRCA")
  Action: block + admin + DPO + log 10 yıl

Açık rıza yönetimi

Sağlık verisi paylaşımında “açık rıza” gereklidir. DLP açık rıza yönetimi yapamaz ama destek olur:

• Hasta dosyasında “rıza alındı” tag varsa belli paylaşımlar allow
• Tag yoksa default block
• Audit log her rıza karar olayında

Bu hibrit — hasta yönetim sistemi (HIS) + DLP entegrasyonu.

HIS (Hastane Bilgi Sistemi) DLP entegrasyonu

Türkiye HIS yazılımları: HİMER, Akıllı Yaşam, HBYS Plus, Eclipse, SAS Hospital.

DLP entegrasyonu:

• HIS’ten dış çıkış (USB, e-posta) DLP kontrolü
• HIS rapor export’u DLP scan
• HIS kullanıcı yetki tablosu DLP ile sync

Doktor kendi hastalarının verisini görmesi normal; başka doktor hastasının verisini görmek yetki ihlali. DLP bunu yakalar.

Bypass listesi — sağlık

Sağlık sektöründe DLP bypass:

• e-nabiz.gov.tr (kişisel sağlık)
• saglik.gov.tr (Sağlık Bakanlığı)
• MEDULA (SGK)
• e-Reçete sistemi
• Lab sonuç paylaşım portalları (3rd party)

Bu domain’ler inspect edilmez (KVKK + iş akışı şart).

Çağrı merkezi (sağlık)

Sağlık sigortası / hastane çağrı merkezleri özel risk:

• CSR ekranında hasta detay görür → screenshot yasak
• Telefon kaydı: hasta veri ses olarak alınır, **STT (speech-to-text)
  • DLP** entegrasyonu yapılabilir (Faz 9+)
• Watermark zorunlu (CSR adı + zaman + müşteri ID)

Multi-kurumsal paylaşım

Hastane → Lab → Sigorta → SGK akışı:

• Hastane PDF rapor üretir
• Lab sonuçları HL7 protokol ile gönderir
• Sigorta MEDULA üzerinden veri çeker
• SGK ödeme onay verir

DLP zinciri her noktada kontrol — özellikle çıkış noktaları (hastaneden lab’a, lab’dan sigortaya).

VeritaDLP sağlık desteği

V1 mevcut:

• KVKK özel kategori sözlük (sağlık, din, etnik, biyometrik)
• HIS audit log entegrasyon (webhook)
• Bypass listesi (e-nabiz, saglik.gov.tr)
• Sıfır tolerans politika şablonu

Faz 8+ planı:

• HIS native entegrasyon (HİMER, Akıllı Yaşam vendor API)
• ICD-10 kod sözlüğü (tıbbi tanı kodları)
• Reçete pattern detection
• HL7 message scanning

Cezalar (Türkiye)

Sağlık verisi ihlali cezaları KVKK Kurulu kararlarından:

• Hastane (1.000 hasta sızıntı): 500k-1M TL
• Klinik (50 hasta): 200-500k TL
• Sigorta (10k poliçe verisi): 1-5M TL

Tek bir Hospital’ın yıllık DLP yatırımı $9.000-18.000 (150-300 PC × $5/PC) — 1 ihlal cezası fonu çıkarır.

Sonuç

Sağlık DLP sıfır tolerans + Sağlık Bakanlığı + KVKK çift uyum. HIS entegrasyon + ICD kod sözlüğü + reçete pattern + watermark watermark kombinasyonu zorunlu.

VeritaDLP sağlık sektörü için Faz 8 sertifikasyon planlanıyor — özellikle özel hastane zincirleri pilot hedef.