Sağlık Verisi: Özel Nitelikli Kişisel Veri Hakkında Genel Bilgi
Uyarı: Bu metin bilgilendirme amaçlı şablondur; mevzuata uyum için hukuk danışmanına başvurun.
KVKK madde 6, özel nitelikli kişisel verilerin işlenmesini daha sıkı koşullara bağlamaktadır. Sağlık verisi de özel nitelikli kişisel veri kapsamındadır. Bu tür verilerin işlenmesi, genel kişisel verilere göre farklı hukuki sebepler ve ek güvenlik önlemleri gerektirebilir. Bu yazıda sağlık verisi kavramı, işleme koşulları ve doktor/klinik web siteleri için pratik çıkarımlar hakkında genel çerçeve sunulmaktadır. Sağlık sektöründe faaliyet gösterenlerin mutlaka hukuk danışmanı ve gerekirse sağlık hukuku uzmanına başvurması önerilir; bu metin kesin hukuki tavsiye niteliğinde değildir. Sağlık verisi işleme, Kişisel Verileri Koruma Kurulu kararları ve sağlık mevzuatı ile birlikte değerlendirilmelidir.
Önemle vurgulanmalıdır ki sağlık verisi işleyen kurumlar için ek teknik ve idari tedbirler alınması gerekmektedir. Kişisel Verileri Koruma Kurulunun bu konudaki kararları ve Sağlık Bakanlığı mevzuatı incelenmelidir. Randevu formlarında yalnızca randevu için gerekli minimum veri toplanması (veri minimizasyonu), gereksiz sağlık bilgisi alanlarının kaldırılması önerilir. Online danışmanlık veya tele-tıp hizmeti sunanlar için platform seçimi, veri işleyen sözleşmeleri ve şifreleme gereksinimleri ayrıca değerlendirilmelidir.
Özel Nitelikli Kişisel Veri Nedir?
KVKK madde 6’ya göre özel nitelikli kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek veya vakıf üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik önlemleriyle ilgili veriler ile biyometrik ve genetik verilerdir. Bu verilerin işlenmesi, Kanunun 5. ve 6. maddelerinde belirtilen istisnalar dışında açık rıza veya Kanunun öngördüğü diğer sebeplere bağlıdır. Özel nitelikli verilerin işlenmesi, genel kişisel verilere göre daha kısıtlı hukuki sebeplere dayanır. Sağlık verisi, özel nitelikli veriler arasında en yaygın işlenen kategorilerden biridir; bu nedenle sağlık sektöründe faaliyet gösterenlerin KVKK'ya özel dikkat göstermesi önerilir.
Sağlık Verisi Özelinde
Sağlık verisi, kişinin fiziksel veya ruhsal sağlık durumuna ilişkin her türlü bilgiyi kapsayabilir: hastalık geçmişi, teşhis, tedavi bilgileri, ilaç kullanımı, laboratuvar sonuçları, randevu notları vb. Sağlık verisinin işlenmesi, KVKK madde 6/2 ve 6/3 hükümleri ile Kişisel Verileri Koruma Kurulunun ilgili kararları çerçevesinde değerlendirilir. Sağlık verisinin işlenmesinde açık rıza veya Kanunun öngördüğü istisnalar (örneğin sağlık hizmetlerinin yürütülmesi, sır saklama yükümlülüğü çerçevesinde) söz konusu olabilir. Hangi hukuki sebebin sizin faaliyetinize uygulanacağı, somut duruma göre belirlenmelidir; bu konuda mutlaka hukuk danışmanına danışmanız tavsiye edilir. Randevu formunda yalnızca "randevu tarihi" ve "şikayet kısa özeti" gibi minimum bilgi alınması, veri minimizasyonu ilkesi açısından önerilebilir; ancak "şikayet" alanı sağlık verisi sayılabileceğinden dikkatli olunması gerekir.
Sır Saklama Yükümlülüğü ve Kamu Sağlığı
Sağlık personelinin sır saklama yükümlülüğü, Türk Ceza Kanunu ve ilgili mevzuatla düzenlenmiştir. KVKK madde 6/3’te, sağlık verilerinin sır saklama yükümlülüğü altında olan kişilerce kamu sağlığının korunması amacıyla işlenebileceği belirtilmektedir. Bu istisnanın sizin durumunuza uyup uymadığı, faaliyetinizin kapsamına bağlıdır; kesin değerlendirme hukuk danışmanı tarafından yapılmalıdır.
Ek Güvenlik Önlemleri
Kişisel Verileri Koruma Kurulu, özel nitelikli kişisel verilerin işlenmesinde ek teknik ve idari güvenlik önlemleri alınması gerektiğini belirten kararlar yayımlamıştır. Bu önlemler arasında erişim yetkilendirmesi, şifreleme, güvenli veri saklama ve yetkisiz erişime karşı koruma sayılabilir. Sağlık verisi işleyen kurumların bu kararları inceleyerek kendi altyapılarını buna göre düzenlemesi önerilir.
Sağlık verilerinin elektronik ortamda saklanması halinde, veritabanı şifrelemesi, erişim loglarının tutulması, yetkili personel dışında erişimin engellenmesi gibi önlemler alınmalıdır. Kağıt ortamındaki hasta dosyalarının güvenli dolap veya odada saklanması, yetkisiz kişilerin erişiminin önlenmesi de idari tedbirler kapsamındadır. Veri ihlali durumunda Kurula ve ilgili kişilere bildirim yükümlülüğü bulunabileceği unutulmamalıdır. Sağlık verisi işleyen tüm personelin KVKK ve gizlilik konusunda eğitilmesi, bilinçlendirilmesi genel olarak önerilir.
Doktor ve Klinik Web Siteleri
Doktor veya klinik web sitelerinde randevu formu, iletişim formu veya online danışmanlık hizmeti sunuluyorsa, toplanan veriler arasında sağlıkla ilgili bilgiler (şikayet, hastalık öyküsü vb.) bulunabilir. Randevu formunda "Randevu nedeni" veya "Şikayet" alanı varsa, girilen bilgi sağlık verisi sayılabilir. Bu durumda aydınlatma metni özel nitelikli veri işlemesine özgü unsurları içermeli, açık rıza veya Kanunun öngördüğü istisnalar netleştirilmelidir. Alternatif olarak randevu formunda yalnızca ad, telefon, tercih edilen tarih gibi sağlık verisi içermeyen alanlar bırakılabilir; detaylı bilgi yüz yüze muayenede alınabilir. Bu tercih veri minimizasyonu ilkesiyle uyumludur. Web sitesi hosting ve form verilerini işleyen taraflar (veri işleyen) ile sözleşmelerin KVKK'ya uygun hale getirilmesi, şifreli bağlantı (HTTPS) kullanılması, sunucu erişimlerinin kısıtlanması gibi teknik önlemler alınması tavsiye edilir. Sağlık verisi işleyen her kurumun mutlaka uzman hukuk danışmanı ile çalışması önerilir. Bu durumda aydınlatma metninde hangi verilerin toplandığı, işleme amacı, hukuki sebep ve güvenlik önlemleri açıkça belirtilmelidir. Randevu için yalnızca ad, telefon ve tarih tercihi alınıyorsa, bu veriler sağlık verisi sayılmayabilir; ancak formda "şikayetiniz" veya "hastalığınız" gibi alanlar varsa sağlık verisi işleniyor olabilir. Bu ayrımın netleştirilmesi için hukuk danışmanına başvurulması önerilir. Online danışmanlık veya telemedicine hizmeti sunuluyorsa, görüntülü görüşme platformunun veri işleyen sıfatı, yurt dışı aktarım riski ve ek güvenlik önlemleri ayrıca değerlendirilmelidir.
Sağlık Verisi Saklama ve Silme
Sağlık verilerinin saklama süresi, sağlık mevzuatı, mesleki yükümlülükler ve tıbbi kayıt saklama süreleri ile birlikte belirlenir. Hekimler ve sağlık kurumları için hasta kayıtlarının belirli süre saklanması yasal zorunluluk olabilir; bu süreler Türk Tabipleri Birliği, Sağlık Bakanlığı ve ilgili mevzuatla düzenlenir. Silme talebi geldiğinde yasal saklama süresi dolmamışsa, veri sorumlusu talebi reddedebilir veya süre dolana kadar erteleyebilir. Bu durumda ret gerekçesinin ilgili kişiye yazılı olarak bildirilmesi gerekir. Online randevu formundan toplanan ve sonradan hasta dosyasına aktarılmayan geçici veriler için farklı saklama süreleri uygulanabilir; bu ayrımın aydınlatma metninde netleştirilmesi önerilir. Hasta kayıtlarının belirli süre saklanması yasal zorunluluk olabilir. KVKK madde 7 kapsamında silme, yok etme veya anonimleştirme talepleri, bu yasal saklama süreleriyle çakışabilir; bu durumda hukuki değerlendirme gerekir. Sağlık verisi işleyen kurumların veri saklama ve imha politikası oluşturması, bu politikayı aydınlatma metninde özetlemesi genel olarak önerilir.
Sonuç
Sağlık verisi işleme, KVKK'nın en hassas alanlarından biridir. Özel nitelikli veriler için açık rıza veya Kanunun öngördüğü istisnaların doğru uygulanması, ek güvenlik önlemlerinin alınması ve aydınlatma metninin kapsamlı hazırlanması genel olarak önerilir. Sağlık sektöründe faaliyet gösterenlerin, bu konuda mutlaka uzman hukuk danışmanı ile çalışması tavsiye edilir.