Sağlık uygulaması için DPIA: kontrol listesi ve şablonu

Kısa cevap: veri koruma etki değerlendirmesi (DPIA), bir işleme operasyonunu tanımladığınız, bunun gerekli ve orantılı olduğunu gösterdiğiniz, verilerini kullanan kişilere yönelik riskleri değerlendirdiğiniz ve bu riskleri azaltan önlemleri kaydettiğiniz belgedir. GDPR'ın 35. Maddesi, yüksek risk olasılığı olan işlemlerde bunu zorunlu kılar ve büyük ölçekli özel kategori verilerinin işlenmesini, buna sağlık verileri de dahildir, bir durum olarak belirtir. Uygulamada, birkaç kullanıcıdan fazlasına sahip her sağlık uygulaması ve her sağlık verisi platformunun, işlem başlamadan önce bir tane bulundurması ve işlem değiştiğinde gözden geçirilmesi gerekir. Aşağıdaki şablon, Madde 35(7) ve Avrupa yönergelerini takip eder; indirmek için aşağıya bakın.

Ne Zaman Gerekli

GDPR Madde 35 uyarınca, işlemenin yüksek riskli olması muhtemel olduğunda bir Veri Koruma Etki Değerlendirmesi (DPIA) gereklidir ve sağlık verileri gibi özel kategorilerin büyük ölçekli işlenmesi otomatik bir tetikleyici olarak belirtilmiştir. EDPB kriterlerine göre, bir sağlık uygulaması genellikle birkaç kriteri (hassas veriler, büyük ölçek, savunmasız kişiler) karşılar, bu nedenle neredeyse her sağlık uygulamasının işlem başlamadan önce bir DPIA'ya ihtiyacı vardır.

Madde 35(3), üç otomatik tetikleyici listeler: önemli etkilere sahip sistematik ve kapsamlı profilleme; özel kategorilerin (Madde 9) veya cezai verilerin büyük ölçekli işlenmesi; kamu alanlarının sistematik büyük ölçekli izlenmesi. Avrupa Veri Koruma Kurulunun kriterleri (eski Madde 29 Çalışma Grubu'ndan) altı tane daha ekler; iki veya daha fazlası geçerliyse, bir DPIA yapın: değerlendirme veya puanlama; yasal veya benzer etkiye sahip otomatik kararlar; sistematik izleme; hassas veriler; büyük ölçek; veri kümelerini eşleştirme veya birleştirme; savunmasız kişilere ilişkin veriler (hastalar dahildir); teknolojinin yenilikçi kullanımı; kişilerin bir hakkı kullanmasını veya bir hizmeti kullanmasını engelleme. Bir sağlık uygulaması tipik olarak hassas veriler, büyük ölçek, savunmasız kişiler ve genellikle yenilikçi teknolojiye ulaşır. Ulusal yetkililer ayrıca her zaman bir DPIA gerektiren işlemlerin listelerini yayınlar (Madde 35(4)); çoğu sağlık uygulamalarını ve bağlı cihazları içerir.

Kontrol Listesi

Bir sağlık uygulaması DPIA kontrol listesi, GDPR Madde 35(7)'nin dört unsurunu takip eder: işlemenin bir tanımı (amaçlar, veriler, aktörler, teknoloji), gereklilik ve orantılılık değerlendirmesi (yasal dayanak, en aza indirme, haklar, işlemciler, saklama), verileri kullanılan kişilere yönelik risklerin değerlendirilmesi ve bu riskleri ele alan önlemler, ardından danışma, onay ve periyodik gözden geçirme gelir.

1. İşlemi Tanımlayın (Madde 35(7)(a))

Amaçlar, tek tek: kişinin kayıtlarını saklama; bir klinik ile paylaşma; hatırlatıcılar; anonimleştirilmiş istatistikler; Yapay Zeka özellikleri.
Amaç başına veri kategorileri, sağlık verileri işaretlenmiş olarak; kaynaklar (kişi, klinikler, giyilebilir cihazlar, belgeler); alıcılar; kategori başına saklama süresi; AB dışına yapılan transferler ve mekanizmaları.
Aktörler: denetleyici(ler), işlemciler (barındırma, analiz, destek araçları, Yapay Zeka sağlayıcıları) sözleşmeleriyle birlikte; DPO.
Teknoloji: mimari, verilerin nerede bulunduğu, şifreleme, kimlik doğrulama, günlük kaydı. Bir veri akış diyagramı, unuttuğunuzu bulmanın en hızlı yoludur.

2. Gereklilik ve Orantılılık (Madde 35(7)(b))

Madde 6 kapsamındaki yasal dayanak ve Madde 9(2) istisnası, amaç başına (GDPR Madde 9 açıklandı).
Veri minimizasyonu: her veri öğesi için neden gerekli olduğu; neyi toplamamaya karar verdiğiniz.
Kişilere ilişkin bilgiler (Maddeler 13–14) ve hakların (erişim, düzeltme, silme, taşınabilirlik, itiraz, rıza geri çekme) üründe, desteğe e-posta ile değil, nasıl kullanıldığı.
İşlemciler: Madde 28 sözleşmeleri mevcut; alt işlemciler listelenmiş; denetim hakları.
Saklama ve silme: somut süreler ve bunları uygulayan mekanizma.

3. Kişilere Yönelik Riskler (Madde 35(7)(c)) Her amaç için, üç klasik olayın her biri için olasılığı ve ciddiyeti değerlendirin:

Yasadışı erişim (ihlal, içeriden bilgi sızması, aşırı geniş paylaşım, onaylanandan fazlasını gören bir klinik);
İstenmeyen değişiklik (bir klinisyenin güvendiği bir kayıtta yanlış veri, senkronizasyon hataları, kayda yazan bir Yapay Zeka özelliği);
Kaybolma (kişinin güvendiği bir kaydın kaybı; hesap devralma; bir satıcının kapanması). Ardından sağlıkla ilgili olanlar: "anonim" istatistiklerin yeniden tanımlanması; davranışlardan hastalıkların çıkarılması; veriler sigortacılara veya işverenlere ulaşırsa ayrımcılık; çocukların verilerinden kaynaklanan zarar; kliniklerin etrafındaki konum verileri; reklam ağlarına veri gönderen uygulamadaki üçüncü taraf SDK'ları (sağlık uygulamalarının düzenleyici denetimlerinde en yaygın bulgu).

4. Önlemler (Madde 35(7)(d)) Her risk için kontrol ve kalan risk: depolama ve aktarım sırasında şifreleme; güçlü kimlik doğrulama; rıza ve zamana göre kapsamı belirlenmiş, kişinin okuyabileceği günlüklerle erişim; analizlerde ve günlüklerde takma ad kullanma; üçüncü taraf reklam veya izleme SDK'ları yok; geliştirme için ayrı ortamlar ve sentetik veriler; geri yüklenmesi test edilmiş yedeklemeler; satıcı incelemesi; 72 saatlik süre ile olay müdahalesi; güvenli geliştirme uygulamaları; personel eğitimi ve gizlilik; üründe veri dışa aktarma ve silme; entegrasyonlar için bir kapatma anahtarı.

5. İstişare

DPO'nun tavsiyesi kaydedilir (Madde 35(2)); kişilerin veya temsilcilerinin görüşleri uygun olduğunda aranır (Madde 35(9)), örneğin bir kullanıcı paneli veya hasta derneği aracılığıyla.
Yüksek bir kalan risk devam ederse, işlemden önce denetleyici otoriteye danışın (Madde 36). İyi kontrol edilen çoğu sağlık uygulaması bu noktaya ulaşmaz; birçok klinik için işlem yapan platformlar bazen ulaşır.

6. Onay ve Gözden Geçirme

Denetleyicinin yönetimi tarafından onaylanmış; tarihli; versiyonlanmış.
Amaçlar, veriler, teknoloji veya alıcılar değiştiğinde ve en az iki yılda bir (Madde 35(11)) gözden geçirilir.

Sağlık Uygulaması DPIA'larındaki Tipik Bulgular

Sağlık uygulaması DPIA'larındaki en yaygın bulgular, tanımlayıcıları sağlık bağlamıyla birlikte alan analiz ve çökme raporlama SDK'ları, kilit ekranında durumları açığa çıkaran anlık bildirimler, veritabanına sınırsız erişimi olan destek personeli, AB dışındaki yedeklemeler, hesap kapatıldıktan sonra tutulan veriler, amaçları gruplayan onay ekranları ve hala kişileri tanımlayan "anonimleştirilmiş" veri kümeleridir.

Bunların her birinin somut bir çözümü vardır ve DPIA, çözümün taahhüt edildiği yerdir.

Şablon

Bu sayfadaki DPIA şablonu, altı bölümden (işlemenin tanımı, gereklilik ve orantılılık, kişilere yönelik riskler, önlemler, danışma, onay ve gözden geçirme) oluşan, bir risk tablosu ve bir önlemler tablosu içeren, doldurulabilir bir Markdown belgesidir. GDPR Madde 35(7) ve EDPB kriterlerini takip eder ve yasal tavsiye değil, başlangıç yapısıdır.

DPIA şablonunu indirin. Herhangi bir belge aracına aktarılabilir; Veri Koruma Görevliniz (DPO) bunu uyarlar.

Anpheros'ta

Anpheros, Anpheros Daily ve bir işlemci olarak Anpheros Platform için yukarıdaki yapıda bir DPIA tutar ve bunların yol açtığı seçimler üründe görünür: amaç başına rıza, kapsamı belirlenmiş ve günlüklenmiş erişim, reklam SDK'sı yok, AB barındırma, uygulamada dışa aktarma ve silme. Sağlık şeffaflığı bölümüne bakın.

Bu sayfa ürün ve mühendislik ekipleri için düzenlemeleri açıklar. Yasal tavsiye değildir; Kaynaklar altındaki bağlantılı metinler yetkilidir ve veri koruma görevliniz, bildirimli kuruluşunuz veya danışmanınız sizin durumunuz için karar verir. Son gözden geçirme: Ekim 2026.

İlgili Sayfalar

Kaynaklar

Sık sorulan sorular

Az kullanıcılı küçük bir uygulama için DPIA'ya ihtiyacım var mı?

Sağlık verilerini işliyorsa, neredeyse her zaman evet: hassas veriler artı savunmasız kişiler zaten iki kriter testini karşılıyor ve birkaç ulusal liste sağlık uygulamalarını açıkça belirtiyor. Küçük bir uygulamanın DPIA'sı basitçe daha kısadır.

DPIA'yı kim yazar?

Denetleyici sorumludur; pratikte ürün sahibi ve mühendislik lideri, veri akışlarını bildikleri için DPO'nun tavsiyesiyle bunu yazar. Tamamen dış kaynak kullanmak, kimsenin güncel tutamayacağı bir belge üretir.

DPIA yayınlanmalı mı?

Hayır. Denetleyici otoriteye talep üzerine gösterilen dahili bir hesap verebilirlik belgesidir. Birçok kuruluş bir özet yayınlar; EHDS ve bazı ulusal kurallar belirli işlemler hakkında şeffaflık gerektirir.

Bir DPIA, ISO 27001 kapsamındaki bir risk değerlendirmesinden nasıl farklıdır?

ISO değerlendirmesi kuruluşa yönelik risklere bakar; DPIA, verileri işlenen kişilere yönelik risklere bakar. Kontrolleri ve kanıtları paylaşırlar ve iyi bir güvenlik programı DPIA'nın önlemler bölümünü besler.

Anpheros Platform

Sandbox'ta ücretsiz deneyin

İlk FHIR çağrınız 5 dakikada. Hasta izniyle yerleşik HL7 FHIR R4 API: sandbox'ta deneyin, ardından kendi uygulamanızı veya klinik sisteminizi bağlayın.

Ücretsiz sandbox oluşturun Geliştirici kılavuzlarını okuyun →

Ücretsiz · 30 sentetik hasta · kart gerekmez

Bu rehber bilgilendirme amaçlıdır ve tıbbi muayenenin yerini tutmaz. Sağlığınızla ilgili kararlar için doktorunuzla konuşun. Acil bir durumda yerel acil numarasını arayın (Avrupa’da 112).

Yazan

Anpheros Ekibi

Anpheros, hasta kontrolünde olan ve herhangi bir klinik ile paylaşılabilecek, AB merkezli bir HL7 FHIR R4 platformu üzerinde tıbbi kayıtlar oluşturur. Bu rehberler, sağlığınızı anlamanıza ve düzenlemenize yardımcı olur; doktorunuzun yerini tutmaz.

Anpheros Hakkında →