Kişisel sağlık verisi, kimliği belirli veya belirlenebilir gerçek kişinin beden ve ruh sağlığına dair her türlü bilgiyi ve o kişiye verilen sağlık hizmetine ilişkin bilgileri ifade eder. Kişisel Sağlık Verileri Hakkında Yönetmelik, 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde Sağlık Bakanlığının merkez ve taşra birimleri, bunlara bağlı sağlık hizmeti sunucuları ile bağlı ve ilgili kuruluşların iş ve uygulamalarında izlenecek usul ve esasları belirler. Kapsam, kişisel sağlık verisi işleyen özel hukuk gerçek ve tüzel kişileri ile kamu hukuku tüzel kişilerinin, Bakanlığın yürüttüğü süreç ve uygulamalara ilişkin faaliyetlerini de içine alır.
Dayanak, tanımlar ve işleme ilkeleri
Yönetmelik, 3359 sayılı Sağlık Hizmetleri Temel Kanunu ile 1 sayılı Cumhurbaşkanlığı Teşkilatı Hakkında Cumhurbaşkanlığı Kararnamesinin 378 inci maddesinin altıncı fıkrası ve 508 inci maddesine dayanır. Yönetmelikte karşılığı bulunmayan kavramlar için Kanundaki tanımlar ve Kurumun ikincil düzenlemelerindeki tanımlar geçerlidir. Kişisel veriler işlenirken öncelikle Kanunun 4 üncü maddesindeki genel ilkelere, bunun yanında Kanundaki diğer esaslara uyulur. Yönetmelikte düzenlenmemiş bir konuda ise Kanun ve ilgili ikincil düzenlemeler uygulanır.
Zorlama yasağı, ortam tedbirleri ve aydınlatma
Sağlık hizmetinin sunulması için gerekli haller dışında kimse, geçmiş sağlık verilerinin listesini vermeye veya göstermeye zorlanamaz. Sağlık hizmeti sunucuları banko, gişe ve masa gibi alanlarda yetkisiz kişilerin bulunmasını önler. Aynı anda birbirine yakın hizmet alanların, başkasının kişisel verisini duymasını, görmesini, öğrenmesini veya ele geçirmesini engelleyecek fiziki, teknik ve idari tedbirler de alınır.
Tahlil ve tetkik sonucu gibi basılı belgelerde kısmi kimliksizleştirme veya maskeleme uygulanır. Belgenin yetkisiz bir kişinin eline geçmesi halinde sahibinin kolayca anlaşılamaması için ayrıca tedbir alınır. Aydınlatma, Kanunun 10 uncu maddesine ve Kurumun 10/3/2018’de 30356 sayı ile yayımladığı Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e uygun biçimde yerine getirilir.
Hizmet sunumunda erişim
Sağlık hizmetinde görevli kişiler, ilgili kişinin sağlık verilerine yalnızca verilecek hizmetin gerektirdiği ölçüde erişebilir. e-Nabız hesabı olanların verilerine, kişinin kendi gizlilik tercihleri çerçevesinde ulaşılır. Kişi, bu tercihler ve sonuçları hakkında ayrıntılı biçimde bilgilendirilir. Gizlilik tercihi nedeniyle geçmiş verilerin görüntülenememesi sağlık hizmetinde aksaklık veya zarar doğurursa Bakanlık bundan sorumlu tutulmaz.
e-Nabız hesabı olmayanların sağlık verilerine erişim, Kanunun 6 ncı maddesinin üçüncü fıkrasındaki istisnai amaçlarla sınırlıdır. Bu sınır içinde kayıtlı aile hekiminin erişiminde süre sınırı yoktur. Randevu alınan hekim, yalnızca randevunun alındığı gün ve alınan hizmetle doğrudan bağlantılı işlemler bitene kadar erişebilir. Kişinin giriş yaptığı sunucuda görevli hekimlerin erişimi yirmi dört saatle sınırlıdır. Yatış yapılan sunucudaki hekimler ise hasta taburcu olana kadar erişebilir. Bu süreler, hesabı olmayanlar için öngörülen istisnai amaç sınırının dışına genel bir hekim yetkisi olarak genişletilemez.
Üçüncü fıkradaki erişim kuralları, Bakanlığın sağlık hizmeti ihtiyaçlarına göre ve Kanunun 6 ncı maddesinin üçüncü fıkrası kapsamında Genel Müdürlükçe yeniden değerlendirilebilir. Böyle bir değerlendirme yapılırsa aydınlatma yükümlülüğünün gerekleri de sağlanır. Geçmiş verilerine hiç kimsenin ulaşmasını istemeyen kişiye e-Nabız üzerinden gizlilik tercihi sunulur. Tercih kullanıldığında geçmiş verilere ancak kişinin bildirdiği telefon numarasına gönderilen kodun hekimle paylaşılması ve hekimin kodu sisteme girmesi halinde erişilebilir.
Başkalarınca görülmesi veya bilinmesi halinde kişinin sosyal hayatını ve ruh sağlığını olumsuz etkileme riski taşıyan, mahremiyet düzeyi daha yüksek kişisel sağlık verilerini Bakanlık belirler. Sağlık personelinin bu verilere erişimine ölçülü kısıtlar getirilebilir.
Merkezi sistemde eşleştirme yetkisi
Sağlık hizmeti sunucularının merkezi sağlık veri sistemine kimliksizleştirerek gönderdiği verileri, ilişkisel veri tabanı aracılığıyla kişilere bağlama yetkisi verilecek kişileri Bakanlığın birim amirleri ayrı ayrı belirler ve Genel Müdürlükten yetkilendirilmelerini ister. Her birim amiri kendi biriminden en fazla üç kişi için talepte bulunabilir.
Birim amirinin talebi üzerine Genel Müdürlükçe yetkilendirilen kullanıcı, yetkiyi yalnızca sağlık hizmetleri ile bunların finansmanının planlanması ve yönetimi, denetleme ve düzenleme görevleri kapsamında kullanabilir. Kullanım, kişisel veri koruma mevzuatının ilkelerine uygun olmalıdır.
Çocuk kayıtları ve hasta yakınları
Ebeveynler, çocuklarının sağlık kayıtlarına ayrıca onay aranmaksızın e-Nabız üzerinden erişebilir. Ayırt etme gücüne sahip çocuk, sağlık geçmişine ebeveyn erişimini e-Nabız üzerinden izne bağlayabilir. Boşanmada velayet kendisine bırakılmayan taraf, çocuğun ve velinin yararı gözetilerek, kişisel verilerin korunması mevzuatına uygun biçimde ve Genel Müdürlüğün belirlediği sınırlar içinde çocuğun sağlık verilerine erişebilir.
Kişisel sağlık verileri hasta yakınlarıyla paylaşılırken Kanun ilkelerine aykırı düşülmez. Paylaşımda ayrıca 1/8/1998’de 23420 sayı ile yayımlanan Hasta Hakları Yönetmeliğinin 18 inci maddesinin üçüncü fıkrası gözetilir.
Avukat, mirasçı ve gizlilik kararı
Avukat, müvekkilinin sağlık verilerini genel vekâletnameye dayanarak isteyemez. Aktarım için düzenlenen vekâletnamede, ilgili kişinin özel nitelikli kişisel verilerinin işlenmesi ve aktarılması konusunda açık rızasını gösteren özel bir hüküm bulunmalıdır.
Ölmüş kişinin sağlık verilerini almaya, veraset ilamını gösteren yasal mirasçılar tek başlarına yetkilidir. Bu veriler en az yirmi yıl saklanır. Saklama süresinin hangi andan başlayacağı Yönetmelikte ayrıca gösterilmemiştir.
Hakkında gizlilik kararı bulunan kişinin verilerinin gizlenmesi, yargı makamının müzekkeresi üzerine il sağlık müdürlüğünce yerine getirilir. Müdürlüğün işlemi Kimlik Paylaşım Sistemine de yansır. Gizlilik kararını yalnızca görevi gereği bilmesi gereken kişilerin görmesi için gerekli teknik ve idari tedbirler alınır.
Sehven kayıt, düzeltme ve imha
Kendisi hakkında yanlışlıkla oluşturulan sağlık verisinin düzeltilmesini isteyen kişi, verinin oluşturulduğu sağlık hizmeti sunucusunun bağlı olduğu il sağlık müdürlüğüne başvurur. Müdürlük, ilgili sunucuda yaptığı incelemede kaydın sehven oluşturulduğu sonucuna varırsa resmi yazıyla Genel Müdürlüğe başvurarak düzeltme ister.
Genel Müdürlüğün tesis ettiği düzeltme, sağlık hizmeti sunucusunun kendi veri tabanında da yapılır. Genel Müdürlük, sunucuların oluşturdukları verileri kendilerinin düzeltebileceği tarihi belirler ve bu tarihi ihtiyaca göre günceller. Belirlenen tarihten sonra oluşan verileri ilgili sunucu, bu tarihten önce oluşanları ise il sağlık müdürlüğünün talebi üzerine Genel Müdürlük düzeltir. Somut tarih Yönetmelikte sabit bir takvim günü olarak yazılmamıştır.
Kişisel veriler imha edilirken Kanunun 7 nci maddesi uygulanır. Buna ek olarak, 28/10/2017’de 30224 sayı ile yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik de gözetilir.
Yurt içi ve yurt dışı aktarım
Kişisel sağlık verilerinin yurt içinde aktarımında Kanunun 8 inci maddesi, yurt dışına aktarımında Kanunun 9 uncu maddesi uygulanır. Kanunun 8 inci maddesinin ikinci fıkrasının (b) bendi, üçüncü fıkrası ve 28 inci maddesi kapsamındaki kamu kurum ve kuruluşlarına aktarım için protokol yapılır. Protokolde kişisel veri koruma mevzuatının genel ilkeleri, veri güvenliğine ilişkin hükümler ve hangi verilerin aktarılacağı belirtilir. Teknik altyapı uygunsa aktarım KamuNET üzerinden gerçekleştirilir.
Aktarım talebini, istenen verilerin ilgili olduğu Bakanlık birimi Kanun ve ilgili diğer mevzuat yönünden değerlendirir. Değerlendirmenin sonucuna göre işlemi Genel Müdürlük kurar.
Bilimsel amaç ve herkese açma
Kanunun 28 inci maddesinin birinci fıkrasının (b) bendi kapsamında veri sorumlusunun anonim hale getirdiği kişisel sağlık verileriyle bilimsel çalışma yapılabilir. Aynı fıkranın (c) bendi kapsamında ise kişisel sağlık verileri, ilgili kişilerin özel hayatının gizliliğini veya kişilik haklarını ihlal etmemek ya da suç oluşturmamak şartıyla, alınacak teknik ve idari tedbirler içinde bilimsel amaçla işlenebilir.
Bu konuya ayrılmış bir internet sitesi üzerinden herkesin erişimine açmaya ilişkin usul ve esasları Bakanlık belirler.
Veri güvenliği ve özel nitelikli veriler
Veri güvenliğinde Kanunun 12 nci maddesindeki yükümlülüklere uyulur. Teknik ve idari tedbirler alınırken Kurumun hazırladığı Kişisel Veri Güvenliği Rehberi esas alınır. İşlenen kişisel veriler kanuna aykırı yollarla başkalarınca elde edilirse veri sorumlusunun Kurula bildirimi, Kanun hükümleri ile Kurulun bu konudaki düzenleyici işlemlerine göre yapılır. Bildirimin süresi ve şekli Yönetmelikte ayrıca yazılmamıştır.
Bakanlığın merkez ve taşra teşkilatı ile bağlı ve ilgili kuruluşlarındaki bilgi güvenliği süreçleri, Genel Müdürlüğün hazırladığı Bilgi Güvenliği Politikaları Yönergesi ile belirlenir. Özel nitelikli kişisel veriler işlenirken ayrıca Kanunun 6 ncı maddesinin dördüncü fıkrası ve 22 nci maddesinin birinci fıkrasının (ç) bendi uyarınca Kurulun ikincil düzenlemelerindeki yeterli önlemlere uyulur.
Aykırılık halinde işlem
Yönetmelikle korunan kişisel verilere ilişkin suçlar ve kabahatler için Kanunun 17 nci ve 18 inci maddelerine göre işlem yapılır. Yönetmelik gereklerini yerine getirmeyen kamu görevlisi bağlı olduğu disiplin amirliğine bildirilir; varsa yetkisi iptal edilir. Gerçek kişiler ve özel hukuk tüzel kişileri hakkında ilgili mevzuata göre işlem yapılır.
Merkezi sağlık veri sistemine, Bakanlığın belirlediği usul ve esaslara uygun veri göndermeyen sağlık hizmeti sunucusu hakkında 3359 sayılı Sağlık Hizmetleri Temel Kanununun Ek 11 inci maddesinin üçüncü fıkrasına göre işlem kurulur.
Önceki yönetmelik ve yürürlük
20/10/2016’da 29863 sayı ile yayımlanan Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik artık uygulanmaz. Kişisel Sağlık Verileri Hakkında Yönetmelik ise yayımlandığı gün yürürlüğe girer.
Sık sorulan sorular
Kişisel sağlık verisi neyi kapsar?
Kimliği belirli veya belirlenebilir gerçek kişinin beden ve ruh sağlığına ilişkin her türlü bilgi ile kendisine sunulan sağlık hizmetine dair bilgileri kapsar.
Geçmiş sağlık verileri istenebilir mi?
Sağlık hizmetinin sunulması için gerekli durumlar dışında hiç kimse, geçmiş sağlık verilerinin dökümünü vermeye veya göstermeye zorlanamaz.
e-Nabız hesabı yoksa hekim verilere nasıl erişir?
Hesabı olmayan kişinin verilerine erişim, Kanunun 6 ncı maddesinin üçüncü fıkrasındaki istisnai amaçlarla sınırlıdır. Bu sınır içinde aile hekiminde süre sınırı yoktur; randevu hekiminde erişim randevu günü ve bağlantılı işlemlerin bitmesiyle, giriş yapılan sunucudaki hekimlerde yirmi dört saatle, yatışta ise taburcuya kadar sınırlıdır.
Avukat genel vekâletle sağlık verisi isteyebilir mi?
Hayır. Genel vekâletname yeterli değildir. Vekâletnamede, özel nitelikli kişisel verilerin işlenmesi ve aktarılmasına ilişkin açık rızayı gösteren özel hüküm bulunmalıdır.
Ölen kişinin sağlık verilerine kim ulaşabilir?
Veraset ilamını ibraz eden yasal mirasçılar münferit olarak yetkilidir. Ölmüş kişinin sağlık verileri en az yirmi yıl saklanır.
Sehven yazılan sağlık verisi nasıl düzeltilir?
İlgili kişi, kaydın oluşturulduğu sağlık hizmeti sunucusunun bağlı olduğu il sağlık müdürlüğüne başvurur. Sehven oluşturma sonucuna varılırsa müdürlük resmi yazıyla Genel Müdürlükten düzeltme ister. Genel Müdürlüğün işlemi sunucunun kendi veri tabanında da yapılır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy