Sağlık verilerinde aydınlatma ve açık rıza; sağlık kuruluşunun, hastanın özel nitelikli kişisel verisi olan sağlık bilgilerini işlemeden önce hastayı verinin işlenme amacı, yöntemi ve hakları konusunda bilgilendirmesi (aydınlatma) ve bu işleme faaliyetine hastanın özgür iradesiyle onay vermesidir (açık rıza). Sağlık verilerinde aydınlatma, hastanın bilgilendirilme hakkının bir parçası olup verinin işlenmesi için ön koşuldur; açık rıza ise bu verilerin işlenmesine verilen olumlu irade beyanıdır. Ancak, kanunlarda açıkça öngörülen hallerde, örneğin kamu sağlığının korunması veya tıbbi teşhis ve tedavi hizmetlerinin yürütülmesi gibi durumlarda, açık rıza aranmaksızın veri işlenebilir.
Aydınlatma ve Açık Rıza ile Tıbbi Uygulama Kusurunun Ayrımı
Uygulamada en sık yapılan hata, tıbbi müdahale öncesi alınan aydınlatılmış onam ile kişisel veri işleme rızasını birbirine karıştırmaktır. Tıbbi uygulama onamı, hekimin yapacağı cerrahi müdahale veya tedaviye dair riskleri anlatıp hastanın vücut bütünlüğüne müdahale izni almasıdır. Bu süreç, 1219 sayılı Kanun ve Hasta Hakları Yönetmeliği kapsamında değerlendirilir.
Kişisel veri rızası ise hastanın tıbbi kayıtlarının, tahlil sonuçlarının veya görüntüleme verilerinin dijital sistemlere kaydedilmesi, paylaşılması veya işlenmesi için verilen izindir. Tıbbi uygulama kusuru, hekimin standartlara aykırı müdahalesiyle ilgilidir; veri rızası ise bu müdahale sırasında oluşan verinin yönetimi ve gizliliği ile ilgilidir.
Kamu ve Özel Sağlık Kuruluşlarında Başvuru Farklılıkları
Kamu sağlık kuruluşlarında veri işleme faaliyetleri genellikle kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi hukuki sebebine dayanır. Bu nedenle, kamu hastanelerinde çoğu veri işleme süreci için hastadan ayrıca açık rıza alınması gerekmez; ancak aydınlatma yükümlülüğü her halükarda devam eder.
Özel sağlık kuruluşları ise sundukları hizmetin niteliğine göre, özellikle pazarlama veya hizmet geliştirme faaliyetlerinde hastadan açık rıza almak zorundadır. Başvuru süreçlerinde, özel kuruluşlara karşı KVKK kapsamında veri sorumlusuna başvuru yolu izlenirken, kamu kuruluşlarında idari başvuru yolları önceliklidir.
“Av. Mehmet Uğur BABUŞCU
Sağlık verilerinde aydınlatma ve açık rıza süreçlerinde en kritik ayrım, tıbbi müdahale onamı ile veri işleme izninin hukuki dayanaklarının farklı olmasıdır. Kamu hastanelerinde veri işleme faaliyetleri genellikle kanuni görevler kapsamında yürütüldüğünden açık rıza aranmazken, özel kuruluşlarda rıza kapsamı hizmetin niteliğine göre değişebilir. Hastaların, tedavi süreçlerini aksatmadan verilerinin işlenmesine dair haklarını kullanabilmeleri için aydınlatma metinlerini dikkatle incelemeleri ve veri sorumlusuna başvuru yollarını doğru yönetmeleri gerekmektedir.”
Veri İhlallerinde Görevli Merci ve Başvuru Süreci
Kişisel verilerle ilgili bir ihlal veya şikayet durumunda görevli merci Kişisel Verileri Koruma Kurumu’dur. Başvuru sürecinde izlenmesi gereken adımlar şöyledir:
- İlgili sağlık kuruluşuna yazılı olarak başvurulmalıdır.
- Sağlık kuruluşu, başvuruyu mevzuatta öngörülen süreler içinde cevaplandırmak zorundadır.
- Cevap verilmezse veya cevap yetersiz bulunursa, sürenin bitiminden itibaren belirlenen süre içinde Kurum’a şikayette bulunulabilir.
Uygulamada Dikkat Edilmesi Gerekenler
Sağlık verilerinin anonimleştirilmesi, verinin kimliğiyle eşleştirilemeyecek hale getirilmesi, işlenmesini kolaylaştırır ancak bu işlem geri döndürülemez olmalıdır. Ayrıca, tedavi hizmeti, kişisel verilerin işlenmesine rıza verilmesi şartına bağlanamaz. Rıza geri alınsa dahi, kanuni zorunluluk gereği tutulması gereken tıbbi kayıtlar saklanmaya devam eder.
Sağlık Verilerinin İşlenmesinde Hukuki Dayanaklar ve İstisnalar
Sağlık verilerinin işlenmesi, Kişisel Verilerin Korunması Kanunu uyarınca özel nitelikli kişisel veri kategorisinde değerlendirildiğinden daha sıkı koruma rejimine tabidir. Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altında bulunan sağlık personeli veya yetkili kurum ve kuruluşlar tarafından verilerin işlenmesi için açık rıza şartı aranmaz. Bu istisna, tıbbi hizmetin kesintisiz sürdürülebilmesi için zorunlu olan kayıt tutma faaliyetlerini kapsar.
Buna karşılık, sağlık verilerinin tıbbi hizmetin doğrudan yürütülmesi dışındaki amaçlarla, örneğin bilimsel araştırmalar, ilaç geliştirme süreçleri veya ticari amaçlı analizler için kullanılması durumunda açık rıza alınması zorunludur. Sağlık kuruluşu, bu tür bir işleme faaliyetine başlamadan önce hastaya verinin hangi amaçla kullanılacağını, kimlerle paylaşılabileceğini ve rızanın geri alınması durumunda sürecin nasıl etkileneceğini açıkça bildirmekle yükümlüdür. Aydınlatma metni, hastanın anlayabileceği sade bir dille hazırlanmalı ve veri işleme faaliyetinin her bir aşamasını ayrı ayrı kapsamalıdır.
Elektronik Sağlık Kayıtlarında Güvenlik ve Erişim Yetkisi
Elektronik ortamda tutulan sağlık verilerine erişim, yalnızca hizmetin sunulmasıyla doğrudan ilgili olan sağlık personeli ile sınırlandırılmalıdır. Sağlık kuruluşları, hastanın verilerine kimin, ne zaman ve hangi amaçla eriştiğini kayıt altına alan loglama sistemlerini kurmakla yükümlüdür. Bu teknik tedbirler, verinin yetkisiz kişilerin eline geçmesini engellemek ve olası bir veri ihlali durumunda sorumluluğun tespit edilmesini sağlamak için zorunludur.
Hasta, kendi sağlık verilerine erişim hakkını kullanarak hangi bilgilerin işlendiğini, bu bilgilerin kimlerle paylaşıldığını ve verilerin güncelliğini sorgulayabilir. Sağlık kuruluşu, hastanın bu yöndeki taleplerini mevzuatta öngörülen usullere uygun şekilde ve makul bir süre içerisinde karşılamak zorundadır. Veri sorumlusu olan sağlık kuruluşu, hastanın verilerine erişim talebini reddederse, ret gerekçesini somut hukuki dayanaklarla birlikte yazılı olarak bildirmelidir. Hastanın verilerinin eksik veya hatalı işlendiğini düşünmesi halinde, verilerin düzeltilmesini veya silinmesini talep etme hakkı da saklıdır.
Veri İşleme Faaliyetlerinde İspat Yükümlülüğü ve Belgelendirme
Sağlık kuruluşları, aydınlatma yükümlülüğünü yerine getirdiklerini ve açık rıza aldıklarını ispat etmekle yükümlüdür. Açık rızanın, belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması şarttır; bu nedenle rıza beyanının genel ve kapsamı belirsiz ifadeler içermesi hukuken geçersiz kabul edilir. Rıza beyanının yazılı olması veya elektronik ortamda doğrulanabilir bir yöntemle alınması, ileride doğabilecek uyuşmazlıklarda ispat kolaylığı sağlar.
Tıbbi müdahale öncesinde alınan onam formları ile kişisel veri işleme rızası içeren formların birbirinden ayrı belgeler olarak düzenlenmesi, hukuki karışıklıkları önlemek adına tercih edilen bir yöntemdir. Eğer sağlık kuruluşu, verilerin üçüncü taraflarla paylaşılacağını öngörüyorsa, bu paylaşımın hangi amaçla ve hangi güvenlik standartları çerçevesinde yapılacağını aydınlatma metninde detaylandırmalıdır. Hastanın rızasını geri alması durumunda, sağlık kuruluşu veri işleme faaliyetini derhal durdurmalı, ancak kanuni saklama süreleri gereği tutulması zorunlu olan tıbbi kayıtları mevzuata uygun şekilde muhafaza etmeye devam etmelidir.
Sık Sorulan Sorular
Sağlık verilerim için rıza vermezsem tedavi reddedilebilir mi?
Hayır, tedavi hizmeti kişisel verilerin işlenmesine rıza verilmesi şartına bağlanamaz.
Hangi belgelerle başvuru yapabilirim?
Başvuru yaparken kimlik bilgileri, ihlale konu olan durumun özeti ve varsa ilgili sağlık kuruluşundan alınan belgeler yeterlidir.
Verdiğim rızayı geri alabilir miyim?
Evet, KVKK kapsamında verilen açık rıza her zaman geri alınabilir; ancak kanuni saklama yükümlülükleri saklıdır.