Yabancı hastaya ait sağlık verisinin yurt dışına aktarılmasında 6698 sayılı Kanun m. 9 üç ayrı yol öngörür. Yeterlilik kararı varsa aktarım, m. 5 veya m. 6'daki şartlardan biriyle yapılabilir. Yeterlilik kararı yoksa ilgili kişinin haklarını kullanma ve etkili kanun yoluna başvurma imkânı ile uygun güvencelerden biri aranır. Bu iki yol da yoksa aktarım ancak arızi olmak ve m. 9/6'daki hâllerden biri bulunmak kaydıyla mümkündür; bu fıkrada m. 5 veya m. 6 şartı ayrıca yazılmamıştır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Özel nitelikli verinin işlenme şartları
6698 sayılı Kanun m. 6/3, özel nitelikli kişisel verilerin işlenmesini kural olarak yasaklar. Aynı fıkrada sayılan hâller bu yasağın istisnasıdır. İlgili kişinin açık rızası bunlardan biridir. Kanunlarda açıkça öngörülmesi de ayrı bir işleme şartıdır; hangi kanunun hangi işlemi öngördüğü somut düzenlemeye göre belirlenir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Rızasını fiilen açıklayamayacak durumda olan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması zorunluysa özel nitelikli veri işlenebilir. Zorunluluk şartı hükümde yer alır; her tedavi ilişkisinin kendiliğinden bu kapsamda olduğu sonucu çıkmaz.
İlgili kişinin alenileştirdiği kişisel veri, alenileştirme iradesine uygun olması hâlinde işlenebilir. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması da ayrı bir istisnadır. Bu bentlerde alenileştirme iradesine uygunluk ve zorunluluk ayrıca aranır.
Sağlık hizmetine ilişkin işleme, m. 6/3'te ayrıca sınırlanmıştır. İstisna, sır saklama yükümlülüğü bulunan kişiler ile yetkili kurum ve kuruluşlara tanınır. Kapsam; kamu sağlığını koruma, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakımın yürütülmesi, ayrıca sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amaçlarıyla ve ancak gerekli olması hâlinde geçerlidir. Sıfat, amaç ve gereklilik birlikte aranır.
İşleme şartlarından birinin bulunması, ayrıca aranan güvenlik şartını ortadan kaldırmaz. Özel nitelikli kişisel verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması da şarttır. Hangi önlemlerin belirlendiği bu hükümde tek tek sayılmaz.
Yurt dışına aktarımın üç ayrı yolu
6698 sayılı Kanun m. 9/1'e göre kişisel veriler, m. 5 veya m. 6'daki şartlardan birinin varlığı ve aktarım yapılacak ülke, ülke içindeki sektörler veya uluslararası kuruluş hakkında yeterlilik kararı bulunması hâlinde yurt dışına aktarılabilir. Aktarımı veri sorumluları ve veri işleyenler yapabilir.
Yeterlilik kararını Kurul verir ve Resmî Gazete'de yayımlar. Kurul, ihtiyaç duyması hâlinde ilgili kurum ve kuruluşların görüşünü alır. Karar en geç dört yılda bir değerlendirilir. Değerlendirme sonucunda veya gerekli görülen başka hâllerde Kurul, kararı ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir. Belirli bir ülke ya da sektör için verilmiş karar, bu hükümden ayrıca çıkmaz.
Yeterlilik kararı yoksa aktarım, m. 5 veya m. 6 şartlarından birine, ilgili kişinin aktarım yapılacak ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânına ve uygun güvencelerden birine bağlıdır. Kurulca ilan edilen standart sözleşme bu güvencelerdendir. Sözleşme; veri kategorileri, aktarım amaçları, alıcı ve alıcı grupları, alıcının teknik ve idari tedbirleri ile özel nitelikli veriler için ek önlemler gibi hususları içerebilir.
Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir. Süre, sözleşmenin imzalandığı tarihten işlemeye başlar.
Yeterlilik kararının bulunmaması ve m. 9/4'teki uygun güvencelerden herhangi birinin sağlanamaması durumunda aktarım ancak arızi olmak kaydıyla ve yalnızca m. 9/6'daki hâllerden biriyle yapılabilir. Arızi yol, ilk iki yolun yokluğuna bağlanmıştır.
Arızi hâllerden biri, ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesidir. Bu rıza, m. 9/6'nın arızi aktarım düzeni içinde yer alır.
Diğer arızi hâller de kendi şartlarına bağlıdır. Bunlar; ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin istemi üzerine sözleşme öncesi tedbirlerin uygulanması için zorunluluk, ilgili kişi yararına veri sorumlusu ile başka bir gerçek veya tüzel kişi arasındaki sözleşmenin kurulması ya da ifası için zorunluluk, üstün kamu yararı için zorunluluk ve bir hakkın tesisi, kullanılması veya korunması için zorunluluktur. Bir başka hâl, fiilî imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişi bakımındadır: aktarım, o kişinin kendisinin ya da bir başkasının hayatının veya beden bütünlüğünün korunması için zorunlu olmalıdır.
Ayrıca kamuya veya meşru menfaati bulunan kişilere açık bir sicilden aktarım da arızi hâller arasındadır. Bunun için ilgili mevzuatta sicile erişmek üzere gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi gerekir. Bu bent de yeterlilik kararının ve uygun güvencenin bulunmaması ile arızi olma şartına bağlıdır.
M. 9/6'nın açık rıza, sözleşme ifası ve ilgili kişi yararına sözleşme bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz. Sınırlama bu üç bentle ve belirtilen faaliyetlerle sınırlıdır; açık rızaya dayanan arızi aktarım yolu da bu sınırın içindedir.
Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da Kanundaki güvenceler sağlanır ve m. 9 hükümleri uygulanır. Uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği durumlarda aktarım, ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yapılabilir.
Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlardaki hükümler saklıdır. M. 9'un uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.
Veri güvenliği, denetim ve bildirim
Veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve muhafazayı sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak zorundadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenirse, veri sorumlusu bu tedbirlerin alınması hususunda o kişilerle birlikte müştereken sorumludur. Müşterek sorumluluk bu fıkrada tedbirlerin alınmasına ilişkindir.
Veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ve veri işleyenler, öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülük görevden ayrıldıktan sonra da sürer.
İşlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde durumu kendi internet sitesinde veya uygun gördüğü başka bir yöntemle ilan edebilir. Hüküm belirli bir gün sayısı değil, en kısa süre ifadesini kullanır.
Ceza sorumluluğu ve kişilik hakkının korunması
5237 sayılı Türk Ceza Kanunu m. 135/1 uyarınca hukuka aykırı olarak kişisel verileri kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir. Kişisel verinin siyasi, felsefi veya dini görüşe, ırki kökene, hukuka aykırı olarak ahlaki eğilime, cinsel yaşama, sağlık durumuna veya sendikal bağlantıya ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır. Artırım kaydetme suçunun birinci fıkrasına bağlıdır ve yalnızca sağlık veya cinsel yaşam verileriyle sınırlı değildir.
5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç
M. 136/1, kişisel veriyi hukuka aykırı biçimde başkasına verme, yayma veya ele geçirme fiillerini cezalandırır. Bu fiiller için hapis cezası iki yıldan dört yıla kadardır. Suçun konusu Ceza Muhakemesi Kanunu m. 236'nın beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler ise ceza bir kat artırılır. Artırım yalnızca bu kayıtlara özgüdür.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
M. 135 ve m. 136'daki suçlar, kamu görevlisinin görevinin verdiği yetkiyi kötüye kullanmasıyla veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse verilecek ceza yarı oranında artırılır. Hüküm, her hekimin, sağlık çalışanının veya aracının her işlemde bu nitelikli hâli oluşturduğunu ayrıca saymaz.
5237 sayılı TÜRK CEZA KANUNU m. 137Kaynağı aç
Kişilik hakkı zedelenen kişi, 6098 sayılı Türk Borçlar Kanunu m. 58 uyarınca uğradığı manevi zarara karşılık manevi tazminat isteyebilir. Hâkim, bu tazminatın yerine başka bir giderim biçimine karar verebilir veya bunu tazminata ekleyebilir; özellikle saldırıyı kınayan bir karar verebilir ve kararın yayımlanmasına hükmedebilir. Madde, maddi tazminatı düzenlemez ve görevli mahkemeyi belirtmez.
6098 sayılı TÜRK BORÇLAR KANUNU m. 58Kaynağı aç
Sağlık verisi yalnızca açık rızayla mı işlenir?
Hayır. Açık rıza, 6698 sayılı Kanun m. 6/3'teki işleme hâllerinden biridir. Kanunda açıkça öngörülme, alenileştirme iradesine uygunluk, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve hayat veya beden bütünlüğünün korunması için zorunluluk ayrı hâllerdir. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk da bu hâllerdendir. Sır saklama yükümlülüğü altındaki kişi veya yetkili kurum, sayılan sağlık amaçları için gerekli olması hâlinde işleyebilir. Ayrıca siyasi, felsefi, dini veya sendikal amaçlı vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşlar; mevzuata ve amaçlarına uygun, faaliyet alanıyla sınırlı, üçüncü kişilere açıklamamak ve belirli kişilere yönelik olmak kaydıyla işleyebilir. Kurulca belirlenen yeterli önlemler de alınır.
Yeterlilik kararı yoksa standart sözleşme yeterli midir?
Yeterlilik kararı yoksa m. 5 veya m. 6 şartı, ilgili kişinin haklarını kullanma ve etkili kanun yoluna başvurma imkânı ve uygun güvencelerden biri birlikte aranır. Kurulca ilan edilen standart sözleşme bu güvencelerden biridir ve imzadan itibaren beş iş günü içinde Kuruma bildirilir.
Açık rıza her yurt dışı aktarımda kullanılabilir mi?
Muhtemel riskler hakkında bilgilendirme üzerine verilen açık rıza, m. 9/6'daki arızi aktarım hâllerinden biridir. Bu yol, yeterlilik kararının ve m. 9/4'teki uygun güvencelerin sağlanamaması durumunda ve aktarımın arızi olması kaydıyla gündeme gelir. Kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerinde bu bent uygulanmaz.
Veri ihlali belirli bir gün içinde mi bildirilir?
6698 sayılı Kanun m. 12/5, kanuni olmayan yollarla elde etme hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurula bildirmesini öngörür. Kurul gerekirse bunu ilan edebilir.
Sağlık verisini hukuka aykırı kaydetmenin cezası nedir?
Türk Ceza Kanunu m. 135/1'de ceza bir yıldan üç yıla kadar hapistir. Verinin sağlık durumuna veya cinsel yaşama ilişkin olması hâlinde birinci fıkra uyarınca verilecek ceza yarı oranında artırılır. Aynı artırım, hükümde sayılan diğer özel veri kategorileri için de geçerlidir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy