Sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca özel nitelikli kişisel veri olarak tanımlanır ve işlenmeleri kural olarak ilgili kişinin açık rızasına bağlıdır. Ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin finansmanının planlanması amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlar tarafından açık rıza aranmaksızın işlenebilir.
Veri sahibinin, verisinin işlenme amacını bilerek verdiği özgür irade beyanıdır.
Kamu sağlığı ve tedavi hizmetleri gibi durumlarda rıza aranmaksızın veri işlenebilir.
Sağlık personeli, verileri işlerken yasal sır saklama yükümlülüğüne tabidir.
Sağlık Verisi İşleme Şartları ve İstisnalar
Sağlık verilerinin işlenmesinde temel kural, veri sahibinin bilgilendirilmiş ve özgür iradesine dayalı açık rızasının alınmasıdır. Sağlık hizmetinin doğası gereği her aşamada rıza almak mümkün olmadığından, kanun koyucu belirli istisnalar getirmiştir.
Açık rıza, verinin hangi amaçla ve kimler tarafından işleneceğini bilerek verilen onayı ifade eder; genel bir onay metni bu şartı karşılamaz. İstisnai hallerde ise kamu sağlığının korunması veya tıbbi tedavi hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altındaki hekimler ve yetkili sağlık kuruluşları, veri sahibinin rızası olmaksızın verileri işleyebilir.
Aydınlatılmış Onam ile Tıbbi Uygulama Kusuru Ayrımı
Uygulamada aydınlatılmış onam ile tıbbi uygulama kusuru kavramları sıklıkla birbirine karıştırılmaktadır. Aydınlatılmış onam, hastanın yapılacak müdahalenin riskleri ve alternatifleri hakkında bilgilendirilip onay vermesini içeren hukuki bir süreçtir; bu sürecin eksikliği, müdahale tıbben kusursuz olsa dahi hukuki sorumluluk doğurabilir.
Tıbbi uygulama kusuru ise hekimin tıp biliminin güncel standartlarına aykırı davranarak ihmal veya dikkatsizlik sonucu hastanın zarar görmesine neden olmasıdır. Bu durum tıbbi bir değerlendirme konusudur ve genellikle bilirkişi incelemesi gerektirir. Her tıbbi zarar malpraktis değildir; literatürde öngörülebilir olan komplikasyonlar hekimin kusuru olarak değerlendirilmez.
“Av. Mehmet Uğur BABUŞCU
Sağlık verilerinin işlenmesinde en sık karşılaşılan hata, aydınlatılmış onam formlarının genel ve matbu metinlerden oluşmasıdır. KVKK uyarınca rızanın belirli bir işleme faaliyetine özgü olması şarttır. Ayrıca, tıbbi bir müdahale sonrası oluşan zararın komplikasyon mu yoksa malpraktis mi olduğu ayrımı, aydınlatma yükümlülüğünün yerine getirilip getirilmediğine göre hukuki sonuç değiştirir. Veri güvenliği ve tıbbi standartlar arasındaki bu ince çizgiyi korumak, hem hasta hakları hem de sağlık kuruluşlarının sorumluluğu açısından kritik bir öneme sahiptir.”
Kamu ve Özel Sağlık Kuruluşlarında Veri İşleme Süreçleri
Sağlık verilerinin işlenmesinde kamu ve özel kuruluşlar arasında temel bir ayrım bulunmamakla birlikte, süreç yönetimi ve denetim mekanizmaları farklılık gösterebilir. Kamu sağlık kuruluşları, Sağlık Bakanlığı’nın merkezi sistemleri üzerinden verileri işlerken, özel sağlık kuruluşları kendi veri işleme politikalarını KVKK ve ilgili yönetmeliklere uygun olarak oluşturmakla yükümlüdür.
Özel kuruluşlar, verileri işlerken sır saklama yükümlülüğü kapsamında teknik ve idari tedbirleri almak zorundadır. Bu tedbirler arasında erişim kayıtlarının tutulması ve verilerin şifrelenmesi gibi güvenlik önlemleri yer alır. Veri sorumluları, bir ihlal durumunda bunu ilgili kurula bildirmekle yükümlüdür.
Sağlık Verilerinin İşlenmesinde Sır Saklama Yükümlülüğü ve Sınırları
Sağlık verilerinin işlenmesi sürecinde görev alan hekimler, hemşireler, eczacılar ve diğer sağlık personeli, 1219 sayılı Tababet ve Şuabatı Sanatlarının Tarzı İcrasına Dair Kanun ile Hasta Hakları Yönetmeliği uyarınca mutlak bir sır saklama yükümlülüğü altındadır. Bu yükümlülük, hastanın mahremiyetini korumayı amaçlayan temel bir etik ve hukuki kural olup, verilerin yalnızca tedavi süreciyle sınırlı olarak ve yetkili kişilerle paylaşılmasını zorunlu kılar. Sır saklama yükümlülüğü, sağlık personelinin iş akdi sona erse dahi devam eden, zamanaşımına uğramayan ve ancak kanunla açıkça izin verilen hallerde esnetilebilen bir sorumluluktur.
Hukuki bir zorunluluk bulunmadıkça veya hastanın açık rızası alınmadıkça, sağlık verilerinin üçüncü kişilerle paylaşılması hukuka aykırı veri işleme teşkil eder. İstisnai olarak, adli makamların talepleri, bulaşıcı hastalıkların bildirimi veya kamu sağlığını tehdit eden acil durumlar gibi mevzuatta açıkça düzenlenen hallerde, sır saklama yükümlülüğü kamu yararı lehine sınırlandırılabilir. Bu tür durumlarda dahi, paylaşılan verinin kapsamı ‘gerektiği kadar’ ilkesiyle sınırlı tutulmalı ve verinin işlenme amacı dışına çıkılmamalıdır.
Kişisel Sağlık Verileri Hakkında Yönetmelik Kapsamında Veri Güvenliği
Kişisel Sağlık Verileri Hakkında Yönetmelik, sağlık verilerinin dijital ortamlarda işlenmesi, saklanması ve aktarılması süreçlerinde veri sorumlularının alması gereken teknik ve idari tedbirleri detaylandırmaktadır. Sağlık kuruluşları, verilerin yetkisiz erişime, sızıntıya veya kayba karşı korunması amacıyla siber güvenlik protokollerini uygulamakla yükümlüdür. Bu kapsamda, veriye erişim yetkisi yalnızca görev tanımı gereği o veriye ihtiyaç duyan personelle sınırlandırılmalı ve her türlü erişim işlemi, denetlenebilir bir log kaydı sistemine kaydedilmelidir.
Veri sorumluları, sağlık verilerinin işlenmesi sırasında kullanılan yazılımların güncelliğini sağlamak ve veri işleme süreçlerini düzenli olarak denetlemekle sorumludur. Özellikle bulut tabanlı sağlık sistemlerinde veya merkezi veri tabanlarında, verilerin şifrelenmesi ve anonimleştirilmesi, veri güvenliğinin sağlanması için temel bir gerekliliktir. Eğer bir veri ihlali gerçekleşirse, veri sorumlusu bu durumu gecikmeksizin ilgili kurula bildirmeli ve ihlalden etkilenen kişilere yönelik gerekli bilgilendirme süreçlerini başlatmalıdır. İdari tedbirler kapsamında ise, personelin veri güvenliği ve hasta mahremiyeti konusunda düzenli eğitime tabi tutulması, hukuki sorumluluğun yerine getirilmesinde kritik bir kontrol noktasıdır.
Veri İşleme Faaliyetlerinde ‘Amaçla Sınırlılık’ İlkesi
Sağlık verilerinin işlenmesinde temel alınan ‘amaçla sınırlılık’ ilkesi, verinin yalnızca toplanma amacı olan tıbbi teşhis, tedavi veya bakım hizmetlerinin yürütülmesi için kullanılabileceğini ifade eder. Örneğin, bir hastanın tedavi süreci için alınan kan tahlili sonuçları, hastanın açık rızası olmaksızın sigorta şirketlerine, işverenlere veya pazarlama faaliyetleri yürüten üçüncü taraflara aktarılamaz. Bu ilke, sağlık verisinin işlenmesinde hukuki dayanağın meşruiyetini belirleyen en önemli kriterdir ve amacı aşan her türlü veri işleme faaliyeti, KVKK kapsamında hukuka aykırı kabul edilir.
Uygulamada, sağlık kuruluşlarının sunduğu hizmetlerin finansmanının planlanması veya sağlık hizmetlerinin yönetimi gibi amaçlarla verilerin işlenmesi, ancak anonimleştirme yöntemleri kullanılarak gerçekleştirilebilir. Verinin anonimleştirilmesi, verinin artık belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi işlemidir. Eğer veriler anonimleştirilemiyorsa, bu verilerin işlenmesi için mutlaka ilgili kişinin açık rızası alınmalı veya kanunda öngörülen diğer hukuki sebeplerin varlığı ispatlanmalıdır. Veri sorumlusunun, işlediği verinin hangi amaçla toplandığını ve bu amacın hukuki dayanağını her zaman belgeleyebilmesi, olası bir denetim veya uyuşmazlık durumunda temel savunma aracıdır.
Sık Sorulan Sorular
Sağlık verilerim izinsiz paylaşılırsa ne yapmalıyım?
Öncelikle ilgili sağlık kuruluşuna başvurarak verinin silinmesini veya düzeltilmesini talep edebilirsiniz. Sonuç alamazsanız Kişisel Verileri Koruma Kurumu’na şikayette bulunabilirsiniz.
Hekimim komplikasyon oluştuğunu söylüyor, tazminat alabilir miyim?
Komplikasyon, tıbbi standartlara uygun bir müdahalede meydana gelen öngörülebilir risktir. Ancak müdahale öncesi aydınlatma yapılmadıysa veya hekimin kusuru varsa tazminat hakkı doğabilir.
Veri ihlali durumunda bildirim süresi nedir?
Veri sorumluları, bir ihlal durumunda bunu tespit ettikleri andan itibaren mevzuatta öngörülen süre içerisinde Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür.