Sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi uyarınca özel nitelikli kişisel veri kategorisinde yer alır. Bir kişinin fiziksel veya ruhsal sağlığına ilişkin her türlü bilgi bu tanım içerisinde değerlendirilmekte olup kavram oldukça geniş bir uygulama alanına sahiptir.
Özel Nitelikli Kişisel Veri Olarak Sağlık Bilgilerinin İşlenme Şartları
6698 sayılı Kanun'un 6. maddesinin birinci fıkrasına göre kişilerin sağlığı, cinsel hayatı, biyometrik ve genetik verileri özel nitelikli kişisel veriler arasında sayılmıştır. Bu verilerin işlenmesi kural olarak yasak olup kanunda açık rızanın bulunması veya maddede öngörülen istisnai işleme şartlarının gerçekleşmesi hâlinde işlenebilmesi mümkündür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
6698 sayılı Kanun'un 6. maddesi uyarınca sağlık verilerinin; sır saklama yükümlülüğü altındaki kişiler veya yetkili mercilerce kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi, bakım hizmetleri ile sağlık hizmetlerinin planlanması ve finansmanı amaçlarıyla açık rıza aranmaksızın işlenmesi mümkündür. Ayrıca fiili imkânsızlık nedeniyle rızasını açıklayamayan ya da rızasına geçerlilik tanınmayan kimselerin hayatı veya beden bütünlüğünün korunması zorunluluğunda da bu veriler işlenebilir.
Sağlık verileri işlenirken mevzuatta öngörülen genel ilkelerin tümüne eksiksiz uyulması gerekir. Bu kapsamda verilerin hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel tutulması, belirli, açık ve meşru amaçlar güdülerek işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile gerekli süre kadar muhafaza edilmesi şarttır.
Sağlık Hizmeti Sunucularının Yükümlülükleri ve Teknik Tedbirler
21.06.2019 tarihli ve 30808 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Kişisel Sağlık Verileri Hakkında Yönetmelik; Sağlık Bakanlığı'nın merkez ve taşra teşkilatı ile bağlı sağlık hizmeti sunucuları ve ilgili kuruluşlarının süreçlerinde uyulması gereken usul ve esasları düzenlemektedir.
Sağlık hizmeti sunumu açısından zorunlu olan durumlar haricinde hiç kimse sağlık verilerini paylaşmaya zorlanamaz. Sağlık tesisleri, hastalara ait tüm verilerin mahremiyetini temin etmek ve korumak amacıyla gerekli her türlü tedbiri almakla yükümlüdür.
Veri sorumluları, kişisel verilerin hukuka aykırı biçimde işlenmesini ve bu verilere yetkisiz erişilmesini önlemek ile verilerin güvenli muhafazasını sağlamak üzere uygun güvenlik düzeyini temin edecek idari ve teknik tedbirleri uygulamak zorundadır. Bununla birlikte özel nitelikli kişisel verilerin işlenmesi sürecinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin eksiksiz alınması kanuni bir zorunluluktur.
Elektronik ortamda yürütülen e-Nabız kişisel sağlık kaydı sisteminde işlenen kişisel veriler bakımından veri sorumlusu sıfatı T.C. Sağlık Bakanlığı'na aittir.
Aydınlatma Metni, Açık Rıza ve Yurt Dışı Veri Aktarımı
Hasta aydınlatma metinlerinde veri sorumlusunun kimliği, işlenen veri kategorileri, veri işleme amaçları, hukuki sebepler, verilerin aktarılabileceği kişi veya kuruluşlar, toplama yöntemleri ve ilgili kişilerin kanuni hakları açıkça yer almalıdır.
Sağlık verilerinin işlenmesinde açık rızaya başvurulduğu durumlarda rızanın belirli bir konuya ilişkin olması, aydınlatmaya dayanması ve özgür iradeyle verilmesi aranır. Sağlık hizmetinden faydalanmanın peşin şartı hâline getirilen geniş kapsamlı ve belirsiz rıza formları hukuki geçerlilik tartışması yaratmaktadır.
Sağlık verilerinin yurt dışındaki doktor, sigorta şirketi, sağlık turizmi kuruluşu, yabancı laboratuvar veya yurt dışı merkezli bulut depolama ve CRM sistemlerine aktarılması hâlinde 6698 sayılı Kanun'un 9. maddesindeki şartların sağlanması zorunludur. Kanundaki işleme şartlarından birinin varlığı yanında aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması hâlinde veri sorumluları ve veri işleyenler yurt dışına aktarım yapabilir. Yeterlilik kararının bulunmadığı hâllerde ise işleme şartı ve ilgili kişinin hak arama imkânının korunması koşuluyla standart sözleşme veya bağlayıcı şirket kuralları gibi güvenceler sağlanmalıdır. Standart sözleşme yönteminin tercih edilmesi durumunda, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi emredici bir kuraldır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Çalışanların Sağlık Verileri ve İşveren Sorumluluğu
İşverenler çalışanlarına ait sağlık verilerini yalnızca iş ilişkisinin gereklilikleri, iş sağlığı ve güvenliği, sosyal güvenlik bildirimleri, bordro, izin süreçleri ve kanuni yükümlülükler doğrultusunda ve bu amaçlarla sınırlı ölçüde işleyebilir. Çalışanın hastalık tanısı, kullandığı ilaçlar veya özel tıbbi bilgileri yetkisi bulunmayan kurum içi yöneticiler veya üçüncü kişilerle paylaşılamaz.
Veri İhlalleri ile Hukuki ve Cezai Yaptırımlar
Veri sorumluları, gerçekleşen bir veri ihlalini öğrendikleri tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Bu süre içerisinde bildirim yapılamaması hâlinde gecikmenin haklı gerekçelerinin Kurula sunulması gerekir. İhlalden etkilenen kişilerin belirlenmesiyle birlikte durumun ilgili kişilere de makul olan en kısa sürede bildirilmesi zorunludur.
5237 sayılı Türk Ceza Kanunu'nun 136. maddesinin birinci fıkrası kapsamında yetkisiz olarak kişisel verileri aktaran, yayan veya temin eden kişilere iki yıldan dört yıla kadar hapis cezası öngörülmüştür. İlgili fiilin konusunu Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kaydedilen beyan ve görüntülerin oluşturması durumunda verilecek yaptırım bir kat artırılır. Kanun ayrıca kişisel verilerin hukuka aykırı kaydedilmesini de müstakil bir suç tipi olarak düzenlemiştir.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
Sağlık verilerinin hukuka aykırı olarak işlenmesi ya da yetkisiz biçimde ifşa edilmesi durumunda veri sorumlusunun maddi ve manevi tazminat sorumluluğu doğabilir. Sağlık verilerinin kişinin en mahrem alanına ilişkin olması sebebiyle ihlal hâllerinde manevi zararın gerçekleşme ihtimali oldukça yüksektir.
İlgili Kişinin Hakları ve Sağlık Verilerinin Silinmesi
Sağlık verisi işlenen ilgili kişiler; verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve bunların amaca uygun kullanılıp kullanılmadığını sorma, verilerin aktarıldığı üçüncü kişileri bilme, hatalı verilerin düzeltilmesini isteme, şartları oluştuğunda silinmesini veya yok edilmesini talep etme ve hukuka aykırı işleme dolayısıyla uğradıkları zararın giderilmesini isteme haklarına sahiptir.
Sağlık tesislerinin mevzuat gereği tıbbi kayıtları belirli sürelerle muhafaza etme yükümlülükleri bulunduğundan, hastalara ait sağlık verilerinin silinmesi talepleri doğrudan yerine getirilemeyebilir. Silme talebinin uygulanamadığı durumlarda veri sorumlusu, ilgili veriyi hangi mevzuat hükmüne ve hukuki sebebe dayanarak saklamaya devam ettiğini ilgilisine bildirmekle yükümlüdür.
Sağlık verileri açık rıza aranmaksızın hangi amaçlarla işlenebilir?
Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetleri ve finansmanının planlanması amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca açık rıza olmaksızın işlenebilir.
e-Nabız sistemindeki kişisel sağlık verilerinin sorumlusu kimdir?
e-Nabız kişisel sağlık kaydı sisteminde işlenen kişisel veriler yönünden veri sorumlusu sıfatı T.C. Sağlık Bakanlığı'na aittir.
Sağlık verisi ihlali durumunda bildirim süresi ne kadardır?
Veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalı, 72 saatin aşılması durumunda gecikme gerekçesini açıklamalı ve etkilenen kişilere durumu makul olan en kısa sürede bildirmelidir.
Hastalara ait sağlık verileri silme talebi üzerine doğrudan silinir mi?
Sağlık kuruluşlarının mevzuattan doğan tıbbi kayıt saklama yükümlülükleri bulunması sebebiyle silme talepleri doğrudan yerine getirilemeyebilir; bu durumda veri sorumlusu hangi mevzuat ve hukuki sebebe dayanarak saklama yaptığını açıklamakla yükümlüdür.
Sağlık verilerinin hukuka aykırı olarak başkasına verilmesi veya ele geçirilmesinin cezası nedir?
5237 sayılı Türk Ceza Kanunu'nun 136. maddesi uyarınca kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişiye iki yıldan dört yıla kadar hapis cezası verilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy