Sağlık Verilerinin Gizliliği: KVKK Kapsamı ve Başvuru Yolları

Sağlık verileri, kişisel veriler arasında en hassas kategoriyi oluşturur. Bu veriler, kişinin istihdamından sigorta ilişkilerine, aile hayatından sosyal çevresine kadar geniş bir alanda sonuç doğurabilir.

Mevzuat bu nedenle sağlık verilerini özel nitelikli kişisel veri olarak sınıflandırır ve daha sıkı bir koruma rejimine tabi tutar.

Hangi veriler kapsamdadır

Sağlık verisi kavramı geniş yorumlanır:

• Teşhis ve tanı bilgileri,
• Tedavi ve ilaç kayıtları,
• Laboratuvar ve görüntüleme sonuçları,
• Genetik veriler,
• Engellilik ve iş göremezlik oranı bilgileri,
• Psikiyatrik değerlendirmeler,
• Gebelik ve üreme sağlığı bilgileri,
• Bağımlılık kayıtları,
• Kan grubu ve biyometrik sağlık verileri,
• Randevu ve hastane başvuru kayıtları (dolaylı olarak sağlık durumunu gösterdiği ölçüde).

Reçete kayıtları ve ilaç kullanım bilgileri de bu kapsamdadır; çünkü teşhise işaret eder.

İşleme şartları

Özel nitelikli kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenemez.

Rıza aranmaksızın işlenebilecek hâller (sağlık verileri bakımından):

• Kamu sağlığının korunması,
• Koruyucu hekimlik,
• Tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi,
• Sağlık hizmetleri ile finansmanının planlanması ve yönetimi.

Bu hâllerde işleme, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından yapılabilir.

Açık rızanın nitelikleri:

• Belirli bir konuya ilişkin olması,
• Bilgilendirmeye dayanması,
• Özgür iradeyle açıklanması,
• Hizmet alma koşuluna bağlanmaması,
• Her zaman geri alınabilir olması.

Hastane kaydı sırasında imzalatılan genel muvafakat metinleri, bu koşulları karşılamadığı ölçüde geçerli bir açık rıza oluşturmaz. Özellikle veri paylaşımı ve ticari iletişim için ayrı rıza alınması gerekir.

Aydınlatma yükümlülüğü

Veri sorumlusu, kişisel veri işlemeden önce ilgili kişiyi bilgilendirmek zorundadır.

Aydınlatma metninde bulunması gerekenler:

• Veri sorumlusunun kimliği,
• Verilerin hangi amaçla işlendiği,
• Kimlere ve hangi amaçla aktarılabileceği,
• Veri toplamanın yöntemi ve hukuki sebebi,
• İlgili kişinin hakları.

Aydınlatma ile açık rıza ayrı metinler olmalıdır. Tek bir belgede birleştirilmesi, rızanın geçerliliğini tartışmalı hâle getirir.

Sır saklama yükümlülüğü

Sağlık meslek mensuplarının sır saklama yükümlülüğü, KVKK’dan bağımsız ve ondan daha eski bir yükümlülüktür.

Kapsamı:

• Hekim, diş hekimi, eczacı, hemşire, ebe ve diğer sağlık personeli,
• Sağlık kuruluşunun idari personeli,
• Yükümlülük, hastanın ölümünden sonra da devam eder,
• Meslekten ayrılma hâlinde de sürer.

İhlal hâlinde:

• Disiplin sorumluluğu,
• Tazminat sorumluluğu,
• Ceza sorumluluğu doğar.

Uygulamada karşılaşılan sorunlar

1. İşveren erişimi

İşveren, çalışanın işe uygunluğunu değerlendirmek için gerekli olan bilgiyle sınırlı erişime sahiptir.

• Teşhis ve tedavi ayrıntılarına erişim yetkisi bulunmaz,
• Değerlendirme iş yeri hekimi tarafından yapılır,
• İşverene yalnızca “uygundur / uygun değildir / şartlı uygundur” biçiminde sonuç bildirilir,
• İşe giriş sağlık muayenesinde de aynı sınır geçerlidir.

İşverenin, çalışanın hastalık teşhisini öğrenmesi ve bunu personel dosyasında tutması hukuka aykırıdır. Bu bilginin işten çıkarma gerekçesi olarak kullanılması ise ayrıca ayrımcılık teşkil eder.

2. Yakınlara bilgi verilmesi

Hastanın rızası olmaksızın yakınlarına bilgi verilmesi kural olarak mümkün değildir.

• Hastanın kimlere bilgi verilebileceğini belirlemesi ve bunun kayda geçirilmesi gerekir,
• Bilinci kapalı hastada, yaşamsal karar gerektiren hâller bakımından istisnalar bulunur,
• Küçük ve kısıtlılar bakımından veli veya vasiye bilgi verilir.

3. e-Nabız ve merkezi kayıt sistemleri

Sağlık kayıtlarının merkezi sistemlerde tutulması, hasta bakımından hem kolaylık hem risk doğurur.

Hastanın kullanabileceği kontroller:

• Hekim erişim izni yönetimi. Kayıtlara hangi hekimlerin erişebileceğinin sınırlandırılması,
• Erişim kayıtlarının (log) görüntülenmesi. Verilerinize kimin, ne zaman eriştiğinin denetlenmesi,
• Veri paylaşımı tercihlerinin güncellenmesi.

Erişim kayıtlarının incelenmesi, yetkisiz erişim iddialarının ispatında en güçlü delildir. İzinsiz erişim tespit edildiğinde bu kayıtların ekran görüntüsü alınmalı ve gecikmeksizin başvuruda bulunulmalıdır.

4. Sigorta şirketlerinin talepleri

Sigorta şirketleri, poliçe düzenlerken veya tazminat başvurusunda sağlık verisi talep eder.

Sınırlar:

• Talep, sözleşme kapsamıyla sınırlı olmalıdır,
• Geçmişe dönük tüm sağlık kayıtlarının talep edilmesi ölçülü değildir,
• Rızanın kapsamı açıkça belirlenmelidir,
• Verilen rıza, üçüncü kişilerle sınırsız paylaşımı kapsamaz.

5. Kayıt ve görüntü alınması

Muayene ve müdahale sırasında hastanın izni olmaksızın fotoğraf veya video kaydı yapılamaz.

• Eğitim veya tanıtım amacıyla kullanım için ayrı ve açık rıza gerekir,
• Sosyal medyada paylaşım için ayrıca rıza alınmalıdır,
• Kimlik gizlenmiş olsa dahi, kişinin belirlenebilir olduğu hâllerde rıza aranır,
• Estetik müdahalelerde öncesi-sonrası görüntülerinin paylaşımı bu kapsamda değerlendirilir.

Veri sahibinin hakları

İlgili kişi, veri sorumlusuna başvurarak:

1. Kişisel verisinin işlenip işlenmediğini öğrenme,
2. İşlenmişse buna ilişkin bilgi talep etme,
3. İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme,
6. Şartların oluşması hâlinde verilerin silinmesini veya yok edilmesini isteme,
7. Düzeltme, silme ve yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin otomatik sistemler yoluyla analiz edilmesi suretiyle aleyhine bir sonuç doğmasına itiraz etme,
9. Hukuka aykırı işleme nedeniyle zararının giderilmesini talep etme haklarına sahiptir.

Önemli sınırlama. Sağlık verileri bakımından silme talebi, mevzuatta öngörülen saklama süreleri nedeniyle sınırlı olarak karşılanabilir. Hasta dosyalarının belirli süre saklanması zorunludur.

Başvuru ve şikâyet süreci

1. Veri sorumlusuna başvuru (zorunlu ilk adım).

• Yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle yapılır,
• Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırır,
• Başvuru ücretsizdir; ayrıca bir maliyet gerektiriyorsa Kurul’un belirlediği tarifedeki ücret alınabilir.

2. Kurul’a şikâyet.

Başvurunun reddi, yetersiz cevap verilmesi veya süresinde cevap verilmemesi hâlinde:

• Cevabı öğrendiği tarihten itibaren otuz gün,
• Her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyet edilir.

Veri sorumlusuna başvuru yapılmaksızın doğrudan Kurul’a şikâyet yolu kapalıdır. Bu husus uygulamada sıkça atlanır.

3. Tazminat davası. Hukuka aykırı işleme nedeniyle uğranılan maddi ve manevi zararın giderilmesi için dava açılabilir. Kurul’a şikâyet, dava açma hakkını ortadan kaldırmaz.

4. Ceza şikâyeti. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, ele geçirilmesi veya yok edilmemesi suçları bakımından savcılığa şikâyet.

Veri ihlali bildirimi

Sağlık kuruluşlarında yaşanan veri ihlallerinde (siber saldırı, yetkisiz erişim, kayıt kaybı) veri sorumlusunun yükümlülükleri:

• İhlali öğrendiği tarihten itibaren yetmiş iki saat içinde Kurul’a bildirim,
• İlgili kişilere en kısa sürede bildirim,
• İhlalin etkilerini azaltacak önlemlerin alınması,
• Olayın kayda geçirilmesi.

İlgili kişi bakımından bu bildirim, hakların kullanılması için başlangıç noktasıdır.

Değerlendirme

Sağlık verilerinin korunmasında sonucu belirleyen üç unsur vardır: aydınlatma metni ile açık rızanın ayrı belgeler hâlinde ve kapsamı belirli biçimde alınması, merkezi sağlık kayıtlarındaki erişim kayıtlarının düzenli denetlenmesi ve ihlal hâlinde önce veri sorumlusuna başvurulup otuz ile altmış günlük şikâyet sürelerinin gözetilmesi.

Süreç değerlendirmesi için sağlık hukuku sayfamızı inceleyebilirsiniz.