Sağlık ve cinsel hayata dair kişisel veriler; kamu sağlığını koruma, koruyucu hekimlik, tıbbi teşhis ile bakım ve tedavi işlemlerini yürütme ya da sağlık hizmetleri ve finansmanını planlayıp yönetme amacıyla gerekli olması şartıyla, sır saklama yükümlülüğünü haiz kişiler veya yetkili kılınan kurumlarca ilgilinin açık rızası aranmadan işlenebilmektedir. Verilerin temini esnasında veri sorumluları ya da yetkilendirdikleri kimseler; veri sorumlusu ile varsa temsilcisinin kimliği, verilerin hangi gayeyle işlendiği ve aktarılabileceği, aktarım yapılan taraflar, veri toplama yöntemi ve hukuki gerekçesi konusunda ilgilileri bilgilendirmekle mükelleftir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Özel Nitelikli Kişisel Verilerin İşlenme ve Aktarılma Esasları
6698 sayılı Kanun kapsamında kişilerin sağlığı, cinsel hayatı, biyometrik ile genetik verileri özel nitelikli kişisel veri sayılmakta olup bu verilerin işlenmesi kural olarak yasaktır. Özel nitelikli verilerin işlenmesi; ilgilinin açık rızasının bulunması, kanunlarda açıkça öngörülmesi veya fiili imkânsızlık dolayısıyla rızasını açıklayamayacak durumda bulunan ya da rızasına hukuki geçerlilik tanınmayan kimsenin kendisinin veya bir başkasının hayatı yahut beden bütünlüğünün korunması için zorunlu olması durumlarında mümkündür.
Kamu sağlığının muhafazası, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım süreçlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması kaydıyla, sır saklama borcu altında bulunan şahıslar veya yetkili kuruluşlar özel nitelikli sağlık verilerini işleyebilir. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik ile sosyal yardım alanlarındaki yasal yükümlülüklerin yerine getirilmesi için zorunlu olan hallerde de bu veriler işleme konusu yapılabilir. Bu işleme süreçlerinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli tedbirlerin eksiksiz uygulanması yasal zorunluluktur.
Kişisel veriler esasen ilgili kişinin açık rızası olmaksızın aktarılamaz. Bununla beraber, 6698 sayılı Kanunun 5 inci maddesinin ikinci fıkrasındaki hallerde veya Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemler alınmak kaydıyla 6 ncı maddesinin üçüncü fıkrasında yer alan şartların mevcudiyeti durumunda, ilgilinin açık rızası aranmaksızın veri aktarımı gerçekleştirilebilir. Kişisel verilerin aktarılmasına dair diğer kanunlarda yer alan özel hükümler ise saklı tutulmuştur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 8Kaynağı aç
Sağlık Kuruluşlarında Veri Güvenliği ve Sır Saklama Yükümlülüğü
Veri sorumlusu, kişisel bilgilerin hukuka aykırı biçimde işlenmesini ve bu bilgilere haksız surette erişilmesini önlemek ile muhafazasını temin etmek üzere uygun güvenlik seviyesini sağlayacak gerekli her türlü teknik ve idari tedbiri almak mecburiyetindedir. Verilerin kendi adına üçüncü bir kişi tarafından işlenmesi durumunda, veri güvenliği tedbirlerinin hayata geçirilmesinden veri sorumlusu diğer kişiyle birlikte müştereken sorumlu tutulur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu sır saklama yükümlülüğü, ilgililerin görevlerinden ayrılmasından sonra da devam eder.
Sağlık hizmeti veren kurumlar; banko, gişe ve vezne gibi alanlarda yetkisi bulunmayan üçüncü şahısların bulunmasını önleyecek ve yakın konumda bekleyenlerin birbirine ait bilgileri öğrenmesini, duymasını veya görmesini engelleyecek mekânsal, idari ve teknik tedbirleri hayata geçirir. Hasta tahlil ve tetkik sonuçlarını barındıran basılı materyaller üzerinde ise kısmi kimliksizleştirme veya maskeleme usulleri tatbik edilir.
Geçmiş Sağlık Kayıtlarının İstenmesi Sınırı
Sağlık hizmeti sunumu için gerekli olan haller haricinde, hiç kimse geçmiş sağlık verilerinin dökümünü sunmaya veya göstermeye zorlanamaz.
Veri İhlali Bildirimi
İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin anlaşılması hâlinde, veri sorumlusu bu durumu gecikmeksizin ve en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirir. Kişisel Verileri Koruma Kurulu lüzum görmesi durumunda bu ihlali internet sitesinde veya uygun bulacağı bir başka yolla kamuoyuna ilan edebilir.
İlgili Kişinin Hakları ve Verilerin İmhası
6698 sayılı Kanunun 11 inci maddesi uyarınca herkes, veri sorumlusuna başvurarak kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, kişisel verileri işlenmişse bilgi talep etme, verilerin işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarılan üçüncü kişileri bilme, eksik veya yanlış verilerin düzeltilmesini isteme ve silinmesini ya da yok edilmesini talep etme haklarına sahiptir.
Bireyler, kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analizi sebebiyle aleyhlerine çıkan sonuçlara itiraz etme ve hukuka aykırı işleme neticesinde maruz kaldıkları zararların giderilmesini talep etme yetkisine sahiptir. Verilerin işlenmesini gerektiren şartların ortadan kalkması durumunda ise söz konusu bilgiler veri sorumlusunca kendiliğinden veya ilgilinin talebi üzerine silinir, imha edilir ya da kimliği tespit edilemez biçimde anonim duruma getirilir.
Sağlık verileri ilgilinin açık rızası olmadan hangi amaçlarla işlenebilir?
Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis ile bakım ve tedavi işlemlerinin sürdürülmesi veya sağlık hizmetleri ile finansmanının planlanıp yönetilmesi amacıyla gerekli olması kaydıyla, sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurumlarca rıza aranmaksızın işlenebilir.
Kişiler geçmiş sağlık verilerini göstermeye zorlanabilir mi?
Sağlık hizmeti sunumu için gerekli olan durumlar haricinde hiç kimse geçmiş sağlık verilerinin dökümünü sunmaya veya göstermeye zorlanamaz.
Sağlık kuruluşlarında basılı tahlil sonuçları nasıl korunur?
Sağlık hizmeti sunucuları, tahlil ve tetkik sonuçları gibi kişisel sağlık verilerini içeren basılı materyaller üzerinde gerekli kısmî kimliksizleştirme veya maskeleme tedbirlerini uygulamakla yükümlüdür.
Veri ihlali durumunda bildirim süresi nedir?
Verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu Kanun gereğince en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy