Genetik Verilerin İşlenmesinde Temel İlkeler ve Bilgilendirme
Kişisel Verileri Koruma Kurumu tarafından Ekim 2023 tarihinde yayımlanan rehber ile genetik verileri konu alan çalışmaların stratejik sonuçlar doğurabileceğine dikkat çekilmiş; bu verilerin işlenmesinde geçerli genel ilkeler, işleme şartları, veri sorumlularının yükümlülükleri ile teknik ve idari tedbirler belirlenmiştir. Genetik verilerin işlenmesi sürecinde, açık rıza şartının aranıp aranmadığına bakılmaksızın veri sahiplerinin her durumda bilgilendirilmesi gerekir.
Kişisel verilerin korunması mevzuatı uyarınca kişisel verisi işlenen gerçek kişi ilgili kişi olarak tanımlanmaktadır. Genetik verilerin işlenmesi faaliyetlerinde ise genetik irtibat ve biyolojik bağlar nedeniyle yalnızca örneği veya verisi alınan kişinin değil, ilgili kişinin akrabalarının da verilerinin işlenmiş sayılabileceği göz önünde bulundurulmalıdır.
Açık Rıza ve Hizmet Şartı Dayatması Yasağı
Genetik verilerin işlenmesinde açık rızanın gerektiği durumlarda, bir ürün veya hizmetten yararlanılması açık rıza verilmesi koşuluna bağlanamaz. Örneğin bir diyet hizmetinin sunulması, ilgiliden gıda intoleransı testi yapılması şartına tabi tutulamaz.
Genetik Test Merkezleri, Ruhsat Şartı ve Veri Sorumluluğu
Genetik Hastalıklar Değerlendirme Merkezleri Yönetmeliği m. 18 uyarınca, mevzuat kapsamında ruhsat veya faaliyet belgesi alınmadan genetik test faaliyetinde bulunulamaz. Genetik hastalıkların teşhisi, tedavi yanıtlarının saptanması, hastalıktan sorumlu genin tespiti veya hastalıklara yatkınlık ve hassasiyetin belirlenmesine yönelik testlerin gerçekleştirilmesi belirli şartlara bağlanmıştır. Bu testler yalnızca tıbbi gereklilik durumlarında veya tıbbi amaçlı bilimsel araştırmalar için ve ilgilisine uygun genetik danışmanlık hizmeti sunulması kaydıyla münhasıran merkezlerde yapılabilir. Bu merkezlerin bağlı bulunduğu, veri işleme amaç ve vasıtalarını belirleyen üniversiteler ve bakanlıklar veri sorumlusu sıfatını haizdir.
34178 sayılı GENETİK HASTALIKLAR DEĞERLENDİRME MERKEZLERİ YÖNETMELİĞİ m. 18Kaynağı aç
Veri sorumlusu sıfatı yalnızca sağlık bakanlığı veya üniversitelerle sınırlı değildir. Yürütülen faaliyetin niteliğine ve somut olayın özelliklerine göre eğitim ve rehabilitasyon merkezleri, belediyeler, sağlık hizmeti sunan diğer kurum ve kuruluşlar, kamu kurumları ve sigorta şirketleri de genetik veriler bakımından veri sorumlusu konumunda yer alabilir.
Genetik değerlendirme merkezlerinde düzenlenen her tetkik raporunun klinik yorum ve genetik danışmanlık notu içermesi zorunludur. Preimplantasyon genetik tanı ve prenatal tanı uygulamalarında tıbbi endikasyon bulunmaksızın sırf cinsiyet tayini amacıyla inceleme yapılamaz. Preimplantasyon tetkik raporlarına cinsiyet anomalisi dışındaki durumlarda cinsiyet belirtilemez ve bu kurala aykırı hareket eden merkezin ruhsatı iptal edilir. Ayrıca merkezlerde tıbbi nedenler haricinde STR veya diğer polimorfik işaretleyiciler kullanılarak kimliklendirme yapılamaz; tıbbi bir zorunluluk bulunması durumunda ise hekimin imzalı notu aranır ve ilgilinin bilgilendirilmiş açık rızası alınır.
Bilimsel Araştırmalarda Genetik Verilerin İşlenmesi
6698 sayılı Kanun m. 28/1-c düzenlemesi uyarınca; millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni ve ekonomik güvenliğin zedelenmemesi, özel hayatın gizliliği ile kişilik haklarına aykırılık teşkil etmemesi veya suç oluşturmaması şartıyla kişisel verilerin sanat, tarih, edebiyat ya da bilimsel gayelerle veya ifade özgürlüğü kapsamında işlenmesi halinde Kanun hükümleri uygulanmaz.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 28Kaynağı aç
Kişisel Sağlık Verileri Hakkında Yönetmelik düzenlemeleri uyarınca da genetik veriler, kişilik hakları ile özel hayatın gizliliği ihlal edilmeksizin ve suç teşkil etmeyecek biçimde bilimsel amaçlarla işlenebilir. Bu çerçevede işlenen verilerin veri sahibiyle ilişkilendirilemeyecek şekilde muhafaza edilmesi şarttır. Ayrıca yürütülen bilimsel araştırma ile ulaşılmak istenen sonuç bakımından genetik verilerin işlenmesinin zorunlu olması, veri işlemenin amaçla bağlantılı, sınırlı ve ölçülü kalması ve belirlenen imha politikalarına tam uyum sağlanması gerekir.
Kimliksizleştirme ve Teknik Güvenlik Tedbirleri
Genetik veri ile ilgili kişi arasındaki irtibatın kesilmesinin mümkün olmadığı kabulü karşısında verinin tam anlamıyla anonim hale getirilmesi tartışmalı kabul edilmektedir. Bu kapsamda genetik verilerin doğum tarihi veya lokasyon gibi etiketlerle değil, veri ile sahibi arasındaki irtibatı kesecek şifreli etiketlerle saklanması suretiyle kimliksizleştirilmesi önerilmektedir. Böylece ilgili kişi ancak şifreyi bilenler tarafından tespit edilebilir.
Uygulanacak teknik güvenlik tedbirleri kapsamında genetik verilerin bulut bilişim ortamlarında barındırılmaması tavsiye edilmektedir. Analiz programlarının gerektirdiği hallerde bulut sistemlerinin kullanılması zorunlu hale gelirse, bu ortamlarda işlenen tüm verilerin kayda bağlanması ve sistem erişimlerinde iki kademeli kimlik doğrulama mekanizmalarının işletilmesi gerekir.
Bilişim sistemlerinde canlı kullanıma alınacak yazılımlar ve sistem değişiklikleri için yürütülecek testlerin gerçek olmayan verilerle yapılması esastır. Test çalışmalarının gerçek dışı verilerle gerçekleştirilmesinin fiilen mümkün olmadığı hallerde ise veri minimizasyonu ilkesine uyularak yalnızca zorunlu olan asgari veri hacmi kullanılmalıdır.
Veri Koruma Etki Değerlendirmesi ve Yurt Dışına Aktarım
Genetik verilerin işlenmesinde yüksek risk ihtimalinin bulunduğu süreçler için veri sorumlularının Veri Koruma Etki Değerlendirmesi (DPIA) yürütmeleri ve mahremiyet temelli tasarım ilkelerini benimsemeleri tavsiye edilmektedir. Veri Koruma Etki Değerlendirmesi Türk veri koruma mevzuatında müstakil bir yasal zorunluluk olarak düzenlenmemiş olmakla birlikte, işleme süreçlerinin yaratabileceği riskleri öngörmek ve bunlara uygun teknik ve idari tedbirleri belirlemek amacıyla önerilen etkili bir yöntemdir.
Genetik verilerin saklandığı sunucuların yurt dışında bulunması kişisel verilerin yurt dışına aktarımı hükmündedir. 6698 sayılı Kanun m. 9 uyarınca kişisel veriler, Kanunun 5 inci ve 6 ncı maddelerindeki işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya kuruluş hakkında yeterlilik kararı bulunması halinde aktarılabilir. Yeterlilik kararının bulunmaması halinde ise aynı işleme şartlarının varlığı ve ilgili kişinin aktarım yapılan ülkede haklarını kullanabilmesi ile etkili kanun yollarına başvurabilmesi kaydıyla; imzalanmasından itibaren beş iş günü içinde Kuruma bildirilecek standart sözleşme, Kurul tarafından onaylanan bağlayıcı şirket kuralları veya Kurulun izin verdiği yazılı bir taahhütname gibi uygun güvencelerin sağlanmasıyla yurt dışına aktarım yapılabilir. Yeterlilik kararının ve uygun güvencelerin sağlanamadığı durumlarda ise arızi olmak kaydıyla bilgilendirilmiş açık rıza veya Kanunda belirtilen istisnai hallere dayanılarak aktarım yürütülebilir; ancak bu arızi aktarım halleri kamu kurumlarının kamu hukukuna tabi faaliyetlerine uygulanmaz. Türkiye'nin veya ilgili kişinin menfaatinin ciddi zarar göreceği hallerde ise kamu kurumunun görüşü ve Kurul izni aranır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Genetik veriler tamamen anonim hale getirilebilir mi?
Genetik verilerin kişiyle olan biyolojik bağı nedeniyle tam anlamıyla anonimleştirilmesi tartışmalı görülmekte; doğum tarihi veya lokasyon yerine şifreli etiketler kullanılarak kimliksizleştirme yöntemiyle saklanması önerilmektedir.
Bir hizmetin verilmesi genetik test yaptırma koşuluna bağlanabilir mi?
Açık rızanın gerektiği durumlarda bir ürün veya hizmetten yararlanılması açık rıza şartına bağlanamaz; örneğin diyet danışmanlığı hizmeti verilmesi gıda intoleransı testi yaptırılması şartına dayatılamaz.
Genetik verilerin yabancı sunucularda tutulması yurt dışına aktarım sayılır mı?
Genetik verilerin tutulduğu sunucuların yurt dışında yer alması kişisel verilerin yurt dışına aktarımı niteliğindedir ve 6698 sayılı Kanun m. 9 hükmünde öngörülen aktarım usullerine ve güvencelerine tabidir.
Preimplantasyon ve prenatal incelemelerde cinsiyet belirtilebilir mi?
Preimplantasyon genetik tanı ve prenatal tanı uygulamalarında tıbbi endikasyon olmaksızın sırf cinsiyet tayini amacıyla inceleme yapılamaz. Preimplantasyon tetkik raporlarında ise cinsiyet anomalisi dışındaki durumlarda cinsiyet belirtilemez; bu kurala aykırı hareket eden merkezin ruhsatı iptal edilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy