Sağlık Verileri ve Hasta Mahremiyeti: Klinikler İçin Temel Hukuki Riskler
Güncelleme tarihi: 3 gün önce
Sağlık verisi neden özel nitelikli veridir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, sağlık verilerini özel nitelikli kişisel veriler arasında düzenler. Sağlık verisi yalnız teşhis veya tahlil sonucundan ibaret değildir; kişinin fiziksel veya ruhsal sağlık durumuna, aldığı sağlık hizmetine ve tedavi sürecine ilişkin bilgiler de bu kapsamda değerlendirilebilir.
Kişisel Verileri Koruma Kurumunun rehberlerinde hastane veya klinik bilgisi, ön teşhis, teşhis, tetkik, reçete ve tedavi bilgilerinin sağlık verisi niteliği taşıyabileceği açıklanmaktadır.
2024 sonrası işleme şartları
KVKK’nın özel nitelikli kişisel verilerin işlenmesine ilişkin 6’ncı maddesi 2024 yılında değiştirildi. Bu değişiklikten sonra sağlık verilerinin işlenmesinde yalnız açık rıza üzerinden düşünmek yeterli değildir; Kanunda sayılan diğer hukuki işleme şartları da somut faaliyet bakımından ayrıca değerlendirilmelidir.
Hangi hukuki sebebin uygulanacağı; veriyi kimin, hangi amaçla, hangi görev veya yetki kapsamında işlediğine göre belirlenir. Açık rıza alınması gereken durumlarla, kanuni veya mesleki yükümlülüğe dayanan işleme faaliyetleri birbirinden ayrılmalıdır.
Veri minimizasyonu ve erişim yetkisi
Sağlık kuruluşlarında her çalışanın tüm hasta verilerine erişmesi gerekli değildir. Erişim yetkileri görev tanımı ve hizmet ihtiyacıyla sınırlı tutulmalı; hangi kullanıcının hangi veriye ne zaman eriştiği mümkün olduğunca kayıt altına alınmalıdır.
Gereğinden fazla verinin toplanması veya işlenmesi, kişisel verilerin belirli, açık ve meşru amaçlarla ve ölçülü şekilde işlenmesi ilkeleriyle bağdaşmayabilir.
Mesajlaşma uygulamaları ve ekran görüntüleri
Sağlık verilerinin kişisel telefonlar, mesajlaşma uygulamaları veya ekran görüntüleri yoluyla paylaşılması özellikle dikkat gerektirir. Hızlı iletişim ihtiyacı, verinin gereksiz veya yetkisiz kişilerle paylaşılmasını hukuka uygun hâle getirmez.
KVKK Kurulu kararlarında sağlık raporlarının ve özel nitelikli verilerin internet veya sosyal medya üzerinden yetkisiz paylaşımı veri güvenliği yükümlülüğü bakımından ihlal konusu olabilmektedir.
Hasta mahremiyeti ile veri koruma aynı alan değildir
Hasta mahremiyeti sağlık hukukundan, kişisel verilerin korunması ise KVKK ve ilgili mevzuattan doğan birbirini tamamlayan yükümlülüklerdir. Aynı olay her iki alan bakımından da sonuç doğurabilir.
Örneğin bir sağlık çalışanının görevi gereği erişebildiği bilgiye ulaşması veri sisteminde teknik olarak mümkün olsa bile, bu veriyi görev dışı amaçla kullanması veya üçüncü kişilere açıklaması ayrıca hukuki sorun doğurabilir.
Yurt dışına veri aktarımı ve hizmet sağlayıcılar
Bulut hizmetleri, yabancı sunucular, çevrimiçi randevu sistemleri veya uluslararası yazılım sağlayıcıları kullanıldığında kişisel verilerin yurt dışına aktarım kuralları ayrıca gündeme gelebilir.
Veri sorumlusu ile veri işleyen arasındaki sözleşmeler, teknik ve idari tedbirler ile aktarımın hukuki dayanağı birlikte değerlendirilmelidir. 2024 yılında yurt dışına aktarım rejiminde de önemli değişiklikler yapılmıştır.
Saklama, silme ve olay yönetimi
Sağlık kayıtlarının ne kadar süre saklanacağı yalnız KVKK’ya göre değil, sağlık mevzuatı ve ilgili kayıt yükümlülükleri birlikte değerlendirilerek belirlenir. Saklama zorunluluğu sona erdiğinde kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin kurallar gündeme gelir.
Veri ihlali şüphesi doğduğunda olayın kapsamının hızlı biçimde belirlenmesi, logların korunması, ilgili veri ve kişilerin tespiti ve gerekli bildirim yükümlülüklerinin değerlendirilmesi önemlidir.
Tanıtım amacıyla sağlık verisi kullanımı
Hasta görüntüsü, tedavi sonucu, sağlık raporu veya benzeri verilerin tanıtım amacıyla kullanılması hem sağlık hizmetlerinde tanıtım kuralları hem de kişisel verilerin korunması bakımından ayrıca değerlendirilmelidir.
Açık rıza bulunması her durumda sınırsız kullanım yetkisi anlamına gelmez; ilgili sağlık mevzuatındaki tanıtım yasakları ve KVKK’nın genel ilkeleri birlikte dikkate alınmalıdır.
Kaynak ve güncellik notu
Bu yazı 6698 sayılı Kişisel Verilerin Korunması Kanunu, 2024 sonrası değişiklikler ve Kişisel Verileri Koruma Kurumunun Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi ile Kurul kararları dikkate alınarak hazırlanmıştır.
Metin genel hukuki bilgilendirme amacı taşır; somut veri işleme faaliyeti bakımından veri kategorisi, amaç, hukuki sebep, aktarım ve saklama koşulları ayrıca incelenmelidir.
Aydınlatma yükümlülüğü ile açık rıza aynı değildir
KVKK bakımından ilgili kişiye veri işleme faaliyeti hakkında bilgi verilmesi anlamındaki aydınlatma yükümlülüğü ile açık rıza farklı hukuki kurumlardır. Her veri işleme faaliyetinde açık rıza alınması gerekmez; ancak veri sorumlusu ilgili kişiyi mevzuatta öngörülen kapsamda bilgilendirmekle yükümlü olabilir.
Açık rızanın gerekli olduğu bir durumda ise rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir.
Hasta talepleri ve veri sorumlusu süreçleri
İlgili kişiler, KVKK kapsamında kendileriyle ilgili kişisel veriler hakkında veri sorumlusuna başvuru haklarına sahiptir. Sağlık kuruluşlarının bu başvuruları kimlerin değerlendireceğini, kimlik doğrulamanın nasıl yapılacağını ve hangi kayıtların hangi hukuki çerçevede paylaşılabileceğini önceden belirlemesi önemlidir.
Hasta dosyasına erişim hakkı ile kişisel verilerin korunmasına ilişkin başvuru hakları kesişebilse de dayanakları ve kapsamları her zaman aynı değildir.
Teknik ve idari tedbirler
Sağlık verilerinin korunmasında yalnız yazılı politika hazırlanması yeterli değildir. Kullanıcı yetkileri, güçlü kimlik doğrulama, log kayıtları, yedekleme, cihaz güvenliği, erişim sonlandırma, çalışan eğitimi ve veri ihlali müdahale planı gibi teknik ve idari tedbirler birlikte ele alınmalıdır.
Özel nitelikli kişisel verilerin yüksek riskli niteliği, alınacak tedbirlerin de işlenen verinin miktarı ve niteliğine uygun şekilde belirlenmesini gerektirir.
Araştırma, eğitim ve tanıtım kullanımları
Sağlık verisinin tedavi amacıyla hukuka uygun biçimde işlenmiş olması, aynı verinin eğitim, bilimsel araştırma, tanıtım veya sosyal medya amacıyla serbestçe kullanılabileceği anlamına gelmez. Yeni kullanım amacı için ayrıca hukuki dayanak ve veri koruma ilkeleri değerlendirilmelidir.
Mümkün olan durumlarda anonimleştirme veya kişiyi belirlenebilir olmaktan çıkaran yöntemlerin kullanılması veri koruma riskini azaltabilir; ancak gerçek anonimleştirme ile yalnız isim kaldırma aynı şey değildir.
Hasta hakları, sağlık kuruluşlarının sorumluluğu ve GETAT uygulamalarına ilişkin diğer hukuki açıklamalara sağlık hukuku sayfamızdan ulaşabilirsiniz.
Sağlık verilerinin korunmasına ilişkin genel açıklamalar, Sağlık Verileri ve KVKK sayfasında ayrıca yer almaktadır.
Doğrudan resmî kaynaklar
2018/143 sayılı karar, eczanenin sağlık verisini üçüncü kişiye aktarmasına ilişkin somut bir örnektir ve 2024 değişikliklerinden önce verilmiştir. Kararda aktarılan eski m.6 metni güncel işleme şartlarının yerine kullanılmamalıdır.
Yorumlar