Sağlık sektörü, özel nitelikli kişisel veri işleme açısından KVKK'nın en hassas alanlarından biridir. Hastaneler, klinikler, laboratuvarlar ve diğer sağlık kuruluşları büyük ölçüde sağlık verisi işlemektedir. Bu rehberde, sağlık sektöründe KVKK uyumu için dikkat edilmesi gereken temel hususlar genel çerçevede ele alınmaktadır.
Sağlık Verisi Nedir?
KVKK madde 6'ya göre sağlık verileri özel nitelikli kişisel veriler arasında sayılmaktadır. Hastalık geçmişi, tedavi bilgisi, tahlil sonuçları, radyoloji görüntüleri, reçete bilgileri ve benzeri tüm sağlığa ilişkin veriler bu kapsamdadır. Özel nitelikli verilerin işlenmesi, Kanunda öngörülen istisnalar dışında açık rızaya bağlıdır. Sağlık verisi için KVKK madde 6'da bazı istisnalar da düzenlenmiştir; örneğin kamu sağlığının korunması amacıyla işleme gibi durumlar.
Sağlık Sektöründe Veri Sorumlusu
Hastaneler, özel sağlık kuruluşları, serbest çalışan hekimler ve diğer sağlık hizmeti sağlayıcıları kişisel veri işlediklerinde veri sorumlusu sıfatı taşır. Veri sorumlusu, aydınlatma yükümlülüğü, uygun güvenlik tedbirleri ve ilgili kişi taleplerine yanıt verme gibi yükümlülüklere tabidir. Sağlık kuruluşlarında sıkça kullanılan yazılım firmaları, bulut hizmet sağlayıcıları ve laboratuvar aracıları veri işleyen olarak değerlendirilebilir.
Aydınlatma ve Açık Rıza
Hasta kaydı, randevu, muayene ve tedavi süreçlerinde hasta bilgilendirilmeli ve gerekli hallerde açık rıza alınmalıdır. Aydınlatma metninde veri sorumlusu kimliği, işleme amaçları, hukuki sebepler, saklama süresi, veri aktarımı ve ilgili kişi hakları yer almalıdır. Hukuki yükümlülük veya istisna kapsamında işleme yapılıyorsa açık rıza gerekmez; ancak bu durumun somut olarak tespiti için hukuk danışmanı görüşü alınması önerilir. Detaylı bilgi için sağlık verisi rehberimizi inceleyebilirsiniz.
Saklama Süreleri ve Mevzuat
Sağlık verileri, ilgili mevzuatta öngörülen süreler boyunca saklanmalıdır. Hasta dosyalarının saklanma süresi Türk Tabipleri Birliği ve sağlık mevzuatında düzenlenmiştir. Genel olarak hastane kayıtlarının uzun süre saklanması zorunludur; bu süreler aydınlatma metninde belirtilmelidir.
Güvenlik ve Gizlilik
Sağlık verileri yüksek hassasiyet taşıdığından, teknik ve idari tedbirler özenle alınmalıdır. Erişim yetkilendirmesi, şifreleme, fiziksel güvenlik ve personel eğitimi önem taşır. Veri ihlali durumunda veri ihlali bildirimi yükümlülüğü hatırda tutulmalıdır.
Randevu ve Web Sitesi
Online randevu alan ve hasta bilgisi toplayan web siteleri de KVKK kapsamındadır. Doktor ve klinik şablonumuz bu tür siteler için örnek teşkil edebilir. İletişim formu, randevu formu ve çerez kullanımı için aydınlatma yapılması önerilir.
VERBİS ve Kayıt Yükümlülüğü
Sağlık kuruluşlarının VERBİS kayıt yükümlülüğü olup olmadığı, işlenen veri türü ve işleme koşullarına göre değerlendirilir. Detaylı bilgi için VERBİS rehberimizi inceleyebilirsiniz.