Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmelik, 19.02.2022 tarihli ve 31755 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Düzenlemenin temel amacı, Sosyal Güvenlik Kurumu tarafından görev ve yetkileri kapsamında elde edilen verilerin işlenmesinde uyulacak usul ve esasları belirlemektir.
Yönetmeliğin Kapsamı ve Veri Kategorileri
Yönetmelik; kişisel veriler, kişisel sağlık verileri ile ticari sır niteliğindeki verilerin işlenmesi, bu verilere erişim, veri sorumlularının görev ve yükümlülükleri, ilgili kişinin verilerine ilişkin talepleri ile kurum veya kuruluşların verilere erişim ve veri aktarımı taleplerine dair düzenlemeleri kapsar. Bu kapsam; Sosyal Güvenlik Kurumu, Kurum personeli, kişisel verileri işlenen gerçek kişiler, bilgi işlem sistemleri yazılım ve donanımı ile dosyalama hizmeti sunanlar, Kurum faaliyetleri çerçevesinde veri işleyen kamu ve özel hukuk süjeleri, Kurum adına veri işleyenler ile veri aktarılan kişi ve kuruluşları içine alır.
Kurum bünyesindeki veri varlığı esasen kişisel veriler, ilgililerin bedensel ve ruhsal durumları ile sunulan sağlık yardımlarına ilişkin kişisel sağlık verileri ve kamunun veya rakiplerin erişimine açılması durumunda işletmenin ticari geleceğine ve iktisadi etkinliğine zarar verebilecek nitelikteki ticari sırlardan meydana gelir.
Veri İşleme İlkeleri ve Temel Yükümlülükler
Yönetmeliğin 5. maddesi doğrultusunda Kurum; 5502 ve 5510 sayılı Kanunlar ile 4 sayılı Cumhurbaşkanlığı Kararnamesi kapsamındaki görevlerini yerine getirirken dürüstlük ve hukuka uygun davranma, verilerin doğruluğunu ve gerektiğinde güncelliğini sağlama, meşru ve belirli gayeler gütme, işlendikleri amaç doğrultusunda sınırlı ve ölçülü kalma ile kanuni mühlet veya gerekli süre boyunca saklama prensiplerine riayet eder.
39383 sayılı SOSYAL GÜVENLİK KURUMU NEZDİNDEKİ VERİLERİN KORUNMASINA VE İŞLENMESİNE İLİŞKİN YÖNETMELİK m. 5Kaynağı aç
Kişisel verilerin, kişisel sağlık verilerinin ve ticari sır niteliğindeki verilerin işlenmesinde Kişisel Verileri Koruma Kurulu tarafından yapılan düzenlemelere uyulması zorunludur. Bununla birlikte veri aktarımında 5502 sayılı Sosyal Güvenlik Kurumuna İlişkin Bazı Düzenlemeler Hakkında Kanunun 35 inci maddesi hükmü saklı tutulmuştur.
Kurumla sözleşmeli sağlık hizmeti sunucuları, Kurum adına işledikleri kişisel sağlık verilerini Kurum veri kayıt sistemine aktarmakla yükümlüdür. Sağlık hizmeti sunucularının sözleşme kapsamında Kurum adına işledikleri bu kişisel sağlık verilerini Kurum veri kayıt sistemi dışında herhangi bir yere kopyalamaları veya aktarmaları kesin olarak yasaktır.
Sır Saklama, Sistem Güvenliği ve Erişim Şartları
Kurum adına verileri işleyen veya görevi gereği bu verilere erişen herkes sır saklama yükümlülüğü altındadır. Bu kişiler, veri gizliliğinin sağlanması amacıyla Kurum ve Kişisel Verileri Koruma Kurulu tarafından belirlenen önlemlere uymakla yükümlüdür. Kişisel verilerin, kişisel sağlık verilerinin ve ticari sırların bulunduğu veri kayıt sistemine erişim izni verilebilmesi için yetkilendirme dahilinde kullanıcı tanımlanması şarttır. Tanımlama ve yetkilendirmeye ilişkin her türlü işlem kayıt altına alınarak muhafaza edilir; yetkilendirme, kayıt ve muhafazaya dair usuller veri sorumlusu tarafından belirlenir.
Kullanıcı tanımlaması ve yetkilendirmesi tamamlanmış personelin verilere erişimi; verilerin üçüncü taraflara sunulmaması, açıklanmaması ve Kurum ile Kurul tarafından öngörülen güvenlik yükümlülüklerine uyulması koşuluyla veri aktarımı olarak değerlendirilmez. Ayrıca veri işleyenlerin yürüttükleri hizmetin doğası gereği kayıt sisteminde yaptıkları sorgular da aktarım sayılmaz.
Kullanıcı tanımlaması ve yetkilendirmesi gerçekleştirilmiş Kurum personeli verilere yalnızca görevlendirildiği belirli amaçlarla erişebilir. Bu amaçlar; sağlık faturalarının incelenerek bedellerinin ödenmesi, Kurum alacaklarının tahsili ve takibi, kontrol, denetim ve teftiş işleri, veri işleme faaliyetleri, mevzuattaki kontrol parametrelerinin sisteme aktarımı ve izlenmesi, hizmetlerin analizi, risk ve istatistik çalışmaları yapılması, sosyal güvenlik politikalarının oluşturulması ile Hizmet Sunumu Genel Müdürlüğü bünyesindeki yazılım geliştirme ve sistem işletim süreçleridir.
Kullanıcı tanımlaması ve yetkilendirmesi yapılmaksızın Kurum personelinin görevi kapsamında talep ettiği verilere erişimi, ancak ilgili mevzuat biriminin onayı sonrasında Hizmet Sunumu Genel Müdürlüğü tarafından uygun veri paylaşım metoduyla personelin bağlı olduğu birime iletilmesi suretiyle gerçekleştirilebilir. Erişim yetkileri personelin görev süresi ve kapsamı ile sınırlıdır; yetkinin sona ermesini gerektiren bir durum meydana geldiğinde yetkinin kaldırılması işlemleri personelin görev yaptığı birimce derhal yerine getirilir.
Verilerin Üçüncü Kişilere, Mercilere ve Kamu Kurumlarına Aktarımı
Kurum, kişisel verileri ile kişisel sağlık verilerini ilgilinin kendisine, ilgilinin noter onaylı muvafakatiyle veya e-Devlet uygulaması üzerinden kimlik teyidi yapılarak izin verilen kişilere aktarabilir. Veriler ayrıca mahkeme kararı ile kişinin sağlık verilerine erişim izninde yetkilendirilmiş kişilere veya müvekkili tarafından verilen özel vekâletnamede kişisel veriler ile kişisel sağlık verilerini talep edebileceğine dair açık yetki bulunan avukata aktarılabilir ya da Kurum tarafından gerekçesi açıklanarak veri talepleri reddedilebilir.
Yargı mercileri ile infaz kurumlarının kişisel verilere ve kişisel sağlık verilerine dair istemleri taşra teşkilatına iletilir. İlgili taşra birimleri yetkileri dahilinde veri kayıt sisteminden doğrudan temin edemedikleri kayıtları Hizmet Sunumu Genel Müdürlüğü vasıtasıyla temin ederek talepte bulunan yargı veya infaz mercisine ulaştırır.
Kamu kurum ve kuruluşlarının kişisel sağlık verisi haricindeki kişisel veri, anonim veri veya ticari sır taleplerinde yasal dayanağın Kuruma sunulacak yazılı başvuruda gösterilmesi zorunludur. Kamu kurumlarınca yöneltilen tek seferlik kişisel veriler ile ticari sır mahiyetindeki veriler talepte bulunan idarenin konuşlu olduğu il müdürlüğü tarafından karşılanır; il müdürlüğünün sistem üzerinden doğrudan temin edemediği bu kapsamdaki kayıtlar Yönetmelik esaslarına göre sağlanarak ilgili mercie tevdi edilir. Sürekli nitelik taşıyan kişisel veriler ile ticari sırların aktarımı ise Kurum ile talepte bulunan makam arasında mevzuat birimi koordinasyonunda akdedilecek aktarım protokolüne tabidir. Elde edilen veriler talep gayesi dışında kullanılamayacağı gibi çoğaltılamaz, satılamaz, üçüncü kişilere devredilemez.
Veri Sorumlusunun Sorumluluğu, Denetim ve İhlal Bildirimi
Veri sorumlusu, veri güvenliğinin sağlanmasına ilişkin tedbirlerin alınması hususunda veri işleyenler ile müştereken sorumludur. Veri sorumlusu ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen düzenlemelerin uygulanmasını temin etmek amacıyla gerekli denetimleri yapmak veya yaptırmakla yükümlüdür.
Verileri işleme salahiyetine sahip olanlar, görevleri nedeniyle bu verilere erişim sağlayanlar ve veri sorumluları öğrendikleri kayıtları kanuni düzenlemelere aykırı şekilde başkalarıyla paylaşamaz ve belirlenen işleme gayesi haricinde kullanamazlar. Sır saklamaya ve gizliliğe dair bu mükellefiyet, personelin görevden ayrılmasından sonraki dönemde de geçerliliğini muhafaza eder.
Verilerin hukuka aykırı yollarla elde edilmesi durumunda ihlal bildirim süresi nedir?
Yönetmelik uyarınca tutulan verilerin hukuka aykırı yollarla yetkisiz kişilerin eline geçtiğinin tespit edilmesi halinde veri sorumlusu, bu ihlali gecikmeksizin ve en geç 72 saat zarfında Kişisel Verileri Koruma Kurulu'na, etkilenen kişiler belirlendikten sonra da ilgili şahıslara makul olan en kısa sürede bildirir.
Sağlık Bakanlığı SGK bünyesindeki kişisel sağlık verilerini hangi amaçlarla alabilir?
Kurum, elindeki kişisel sağlık verilerini kamusal sağlığın korunması, koruyucu hekimlik uygulamaları, tanı, teşhis, tedavi ve bakım süreçlerinin idaresi, sunulan sağlık hizmetlerinin uygunluk denetimi ile sağlık finansmanının planlanması hedefleriyle talep gelmesi durumunda Sağlık Bakanlığı'na aktarır.
Avukatlar müvekkillerine ait verileri Kurumdan hangi koşulda talep edebilir?
Müvekkil tarafından verilen özel vekâletnamede avukatın kişisel veriler ile kişisel sağlık verilerini talep edebileceğine dair açık yetkinin yer alması halinde Kurum verileri avukata aktarabilir veya gerekçesini açıklayarak veri taleplerini reddedebilir.
SGK personelinin sisteme erişimi hangi şartlarda veri aktarımı sayılmaz?
Personelin verilere erişimi, bilgilerin üçüncü kişilere verilmemesi, açıklanmaması ve Kurum ile Kişisel Verileri Koruma Kurulu tarafından belirlenen veri güvenliği yükümlülüklerine uyulması kaydıyla veri aktarımı olarak değerlendirilmez.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy