Sağlık Verilerinin İşlenmesi

Sağlık Verisi Neden Özel Nitelikli Veridir?

KVKK m.6/1 uyarınca kişilerin sağlığı, cinsel hayatı ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Tahlil sonuçları, reçeteler, raporlar, tanı bilgileri, engellilik durumu ve ilaç kullanımı bu kapsamdadır.

Bu verilerin ifşası kişiyi ayrımcılığa ve ciddi mağduriyete uğratabileceğinden kanun sıkı bir rejim öngörür: m.6/3 uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır ve yalnız sayılan hâllerde mümkündür.

Özel nitelikli veriler işlenirken ayrıca Kişisel Verileri Koruma Kurulunca belirlenen yeterli önlemlerin alınması şarttır (m.6/4). Hukuki sebep bulunması tek başına yeterli değildir.

Sağlık Verisi Hangi Şartlarla İşlenebilir?

KVKK m.6/3 uyarınca sağlık verisi; ilgili kişinin açık rızası, kanunlarda açıkça öngörülmesi, rızasını açıklayamayacak kişinin hayatının korunması için zorunluluk veya bir hakkın tesisi ve korunması için zorunluluk hâllerinde işlenebilir.

Sağlık sektörüne özgü şart m.6/3-e’dir: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması. Hastane ve hekimin tedavi için veri işlemesi bu dayanağa oturur.

İşverenler bakımından m.6/3-f önemlidir: istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olan sağlık verisi işlenebilir. Bu sınırı aşan işlemler, örneğin işe alımda gereksiz ayrıntılı sağlık sorgusu, ancak geçerli bir açık rızayla mümkün olabilir.

Sağlık Verisi Başkalarına Aktarılabilir mi?

KVKK m.8/1 uyarınca kişisel veriler ilgili kişinin açık rızası olmaksızın aktarılamaz. Ancak m.8/2-b uyarınca yeterli önlemler alınmak kaydıyla m.6/3’te sayılan şartlardan birinin bulunması hâlinde açık rıza aranmaz.

Örneğin hastanenin tedavi amacıyla laboratuvara veya sevk edilen başka bir sağlık kuruluşuna veri iletmesi, m.6/3-e kapsamında değerlendirilebilir. Buna karşılık sağlık verisinin pazarlama amacıyla üçüncü kişilere verilmesi bu şartlara girmez.

Aktarımın da amaçla sınırlı olması gerekir. Diğer kanunlarda aktarıma ilişkin hükümler saklıdır (m.8/3); sağlık mevzuatındaki özel düzenlemeler ayrıca kontrol edilmelidir.

Veri Sorumlusu Hangi Güvenlik Tedbirlerini Almalıdır?

KVKK m.12/1 uyarınca veri sorumlusu, verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin eden her türlü teknik ve idari tedbiri almak zorundadır.

Veriler veri sorumlusu adına başka bir kişi tarafından işleniyorsa (örneğin bulut hizmeti veya laboratuvar yazılımı sağlayıcısı), tedbirlerin alınmasından veri sorumlusu bu kişilerle müştereken sorumludur (m.12/2). Veri sorumluları ve veri işleyenler öğrendikleri verileri amaç dışında kullanamaz ve bu yükümlülük görevden ayrıldıktan sonra da sürer (m.12/4).

Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirir (m.12/5). Sağlık verisi sızıntıları, özel nitelik nedeniyle bu bildirim yükümlülüğünün en kritik uygulama alanıdır.

Hasta Olarak Haklarınız ve Başvuru Yolu

KVKK m.11 uyarınca herkes veri sorumlusuna başvurarak verisinin işlenip işlenmediğini öğrenme, amacını ve aktarıldığı üçüncü kişileri bilme, yanlış verinin düzeltilmesini ve şartları varsa silinmesini isteme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme hakkına sahiptir.

Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle yapılır; veri sorumlusu talebi en geç otuz gün içinde kural olarak ücretsiz sonuçlandırır (m.13). Başvuru yapılmadan Kurula şikâyet yoluna gidilemez.

Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edilebilir; kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır (m.14).

Sağlık Kuruluşları ve İşverenler İçin Kontrol Listesi

Hangi sağlık verisini hangi hukuki sebebe dayanarak işlediğinizi süreç bazında belirleyin; teşhis ve tedavi dışındaki amaçlar (pazarlama, memnuniyet anketi gibi) için ayrı bir dayanak gerektiğini unutmayın. Açık rıza alınacaksa aydınlatmadan ayrı ve belirli bir konuya özgü olarak alın.

Sağlık verilerine erişimi yetki bazında sınırlandırın, erişim kayıtlarını tutun ve düzenli denetleyin. Hizmet aldığınız yazılım ve bulut sağlayıcılarıyla veri güvenliği yükümlülüklerini içeren sözleşmeler yapın.

Bir sızıntı fark edildiğinde bildirim sürecini gecikmeden başlatın; ilgili kişilere ve Kurula yapılacak bildirimlerin içeriğini ve tarihini kayıt altına alın. Hasta başvurularını otuz günlük süre içinde yazılı olarak cevaplayın.

Sıkça Sorulan Sorular

Sağlık verisi özel nitelikli veri midir?

Evet. Kişilerin sağlığına ilişkin veriler özel nitelikli kişisel veridir (KVKK m.6/1).

Hastane tedavi için açık rıza almak zorunda mı?

Hayır. Sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis ve tedavi amacıyla gerekli işleme için açık rıza aranmaz (KVKK m.6/3-e).

İşveren çalışanın sağlık raporunu işleyebilir mi?

İş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülükler için zorunlu olduğu ölçüde işleyebilir (KVKK m.6/3-f).

Sağlık verim başka kuruma aktarılabilir mi?

Açık rıza ya da yeterli önlem alınarak m.6/3’teki şartlardan biri varsa aktarılabilir (KVKK m.8).

Sağlık verim sızdırılırsa bana haber verilir mi?

Veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirmek zorundadır (KVKK m.12/5).

Başvuruma kaç gün içinde cevap verilmeli?

En geç otuz gün içinde (KVKK m.13).

Doğrudan Kurula şikâyet edebilir miyim?

Hayır. Önce veri sorumlusuna başvuru yolu tüketilmelidir (KVKK m.14/2).

Kurula şikâyet süresi ne kadar?

Cevabı öğrendiğiniz tarihten itibaren otuz, her hâlde başvurudan itibaren altmış gün (KVKK m.14).

Sağlık verim hukuka aykırı işlendi, tazminat isteyebilir miyim?

Evet. Zararın giderilmesini isteme hakkınız ve genel hükümlere göre tazminat hakkınız saklıdır (KVKK m.11, 14/3).