Kişisel sağlık verisi, kişinin fiziksel veya ruhsal sağlığı, tanı ve tedavisi, kullandığı ilaçlar, laboratuvar sonuçları, genetik özellikleri, engellilik durumu ve aldığı sağlık hizmetleri hakkında bilgi veren verilerdir. 6698 sayılı Kişisel Verilerin Korunması Kanunu sağlık verilerini özel nitelikli kişisel veri olarak kabul eder. Bunun nedeni, bu bilgilerin açıklanmasının ayrımcılık, mahremiyet ihlali, ekonomik zarar ve kişilik haklarına ağır müdahale riski taşımasıdır.
Her sağlık bilgisi özel nitelikli veri midir?
Bir bilginin sağlık durumu hakkında doğrudan veya dolaylı anlamlı bilgi vermesi önemlidir. Teşhis, reçete ve tahlil sonucu açık örneklerdir. Hastane randevusu, belirli bir klinik ziyaret kaydı veya engellilik raporu gibi bilgiler de bağlama göre sağlık verisi niteliği taşıyabilir. Verinin yalnız hastane sisteminde bulunması değil, içeriğinin kişiyi sağlık açısından tanımlaması belirleyicidir.
Sağlık verisi hangi hukuki sebeplerle işlenebilir?
Özel nitelikli verilerin işlenmesinde KVKK’nın güncel hükümleri uygulanır. Açık rıza bazı durumlarda hukuki dayanak olabilir ancak sağlık hizmetinin yürütülmesi her zaman yalnız rızaya bağlanmaz. Koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri, sağlık hizmetlerinin planlanması ve yönetimi gibi kanunda öngörülen şartlar somut işlem bakımından ayrıca değerlendirilir. Her veri işleme faaliyeti için amaç, gereklilik ve ölçülülük kontrolü yapılmalıdır.
Aydınlatma ile açık rıza aynı şey midir?
Hayır. Aydınlatma, kişiye verisinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiği ve hakları hakkında bilgi verilmesidir. Açık rıza ise belirli bir işlem için özgür iradeyle verilen onaydır. Hukuki dayanağı zaten kanundan doğan bir işlemde gereksiz açık rıza alınması, veri işleme şartlarının doğru belirlenmediğini gösterebilir. Aydınlatma yükümlülüğü ise kural olarak devam eder.
Hasta dosyasına kimler erişebilir?
Erişim görev ve ihtiyaçla sınırlı olmalıdır. Bir sağlık çalışanının aynı kurumda çalışması, bütün hasta dosyalarını görme hakkı vermez. Tedavi, bakım, faturalama veya yetkili idari süreç için gerekli kişiler rol bazlı erişimle sınırlandırılmalıdır. Erişim loglarının tutulması ve olağan dışı erişimlerin izlenmesi veri güvenliği bakımından önemlidir.
E-Nabız ve dijital sistemlerde hangi riskler vardır?
Merkezi ve kurumsal sağlık sistemleri tedavi devamlılığı açısından önemli fayda sağlar ancak yetkisiz erişim, hesap paylaşımı, zayıf parola, yanlış kişiye belge gönderme, ekran görüntüsü alma veya güvenli olmayan mesajlaşma kanalları veri ihlaline yol açabilir. Teknik güvenlik kadar personel eğitimi ve yetki yönetimi de gereklidir.
Sağlık verisi işveren veya sigortacıyla paylaşılabilir mi?
Bu tür paylaşımlar amaç ve hukuki dayanak bakımından ayrı değerlendirilmelidir. İşverenin çalışanın bütün sağlık geçmişine sınırsız erişimi yoktur. Sigorta ilişkisinde de risk değerlendirmesi veya tazminat incelemesi için gereken veriyle sınırlılık önemlidir. Veri minimizasyonu, erişim ve saklama süresi kuralları uygulanmalıdır.
Sağlık verisi ihlalinde ne yapılmalıdır?
Yetkisiz erişim, yanlış alıcıya gönderim, veri kaybı veya sistem saldırısı halinde öncelikle ihlalin kapsamı ve etkisi tespit edilmeli, erişim kapatılmalı ve deliller korunmalıdır. KVKK ve Kurulun veri ihlali bildirim düzeni çerçevesinde gerekli bildirimler değerlendirilir. İhlal yalnız bilişim biriminin sorunu değildir. Hukuk, bilgi güvenliği ve sağlık yönetimi birlikte hareket etmelidir.
Hasta hangi haklara sahiptir?
KVKK kapsamında kişi verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, belirli şartlarda düzeltme veya silme isteme ve hukuka aykırı işleme nedeniyle zarar görmüşse giderim talep etme haklarına sahiptir. Sağlık mevzuatındaki hasta dosyasına erişim hakları da ayrıca uygulanır.
Sık Sorulan Sorular
Doktor hastanın sonucunu aile grubuna gönderebilir mi?
Hastanın iradesi, mahremiyet ve hukuki dayanak gözetilmelidir. Yakın olmak tek başına sınırsız erişim sağlamaz.
Sağlık verisi anonim hale gelirse KVKK uygulanmaz mı?
Gerçek ve geri döndürülemez anonimleştirme kişisel veri niteliğini ortadan kaldırabilir. Sadece isim silmek her zaman anonimleştirme değildir.
Çalışanın hastalık raporu işverene verilebilir mi?
İş ilişkisinin gerektirdiği bilgi ile ayrıntılı sağlık verisinin kapsamı aynı değildir. Gereklilik ve ölçülülük değerlendirilmelidir.
“Sağlık verisinde güvenlik, yalnız dosyanın dışarı sızmaması değildir. Kurum içinde kimin hangi hastanın hangi bilgisine neden eriştiğinin de açıklanabilir olması gerekir.” — Av. Mehmet Uğur BABUŞCU
Resmi kaynaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu, Kişisel Verileri Koruma Kurulu kararları ve rehberleri, Hasta Hakları Yönetmeliği ve ilgili sağlık verisi mevzuatı.
Bu metin genel hukuki bilgilendirme amaçlıdır. Sağlık verisinin işlenme şartı somut amaç ve veri akışına göre ayrı belirlenmelidir.