Sağlık Kuruluşları ve Özel Nitelikli Veri: KVKK Yükümlülükleri

Sağlık kuruluşları, hasta sağlık verilerini yalnızca 6698 sayılı KVKK'nın 6. maddesinde sayılan işleme şartlarından birine dayanarak işleyebilir. Sağlık verisi; kişinin cinsel hayatına ilişkin veriler, genetik ve biyometrik veriler gibi özel nitelikli kişisel veri kategorisindedir ve kural olarak işlenmesi yasaktır, ancak Kanunda sayılan istisnai hallerde işlenebilir. Hastaneler, poliklinikler, tıp merkezleri, laboratuvarlar, görüntüleme merkezleri, eczaneler ve ağız-diş sağlığı kliniklerinin temel yükümlülüğü şudur: işledikleri sağlık verisi için geçerli bir hukuki sebep belirlemek, Kişisel Verileri Koruma Kurulu'nun öngördüğü yeterli teknik ve idari tedbirleri almak, ilgili kişiyi aydınlatmak ve şartları taşıyorlarsa VERBİS'e kayıt olmak.

İşleme şartları bakımından 1 Haziran 2024 tarihinde yürürlüğe giren köklü bir değişiklik vardır. 7499 sayılı Kanun ile KVKK'nın 6. maddesi yeniden düzenlenmiş, sağlık ve cinsel hayata ilişkin verilerin diğer özel nitelikli verilerden ayrı tutulduğu eski rejim kaldırılmıştır. Eski metinde sağlık verileri; ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişilerce açık rıza aranmaksızın işlenebiliyordu. Yeni düzenlemede tüm özel nitelikli veriler aynı işleme şartlarına tabidir ve verinin işlenebileceği haller genişletilmiştir.

1 Haziran 2024 sonrası geçerli olan işleme şartları şunlardır: ilgilinin açık rızasının bulunması; kanunlarda açıkça öngörülmesi; fiili imkansızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması; ilgili kişinin alenileştirdiği verilerle sınırlı olmak üzere işlenmesi; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin finansmanı ve yönetimi amacıyla işlenmesi; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması; siyasi, felsefi, dini veya sendikal amaçlarla kurulan kar amacı gütmeyen kuruluşların faaliyetleri kapsamında ve mevzuata uygun olarak işlenmesi. Bir sağlık kuruluşu için pratikte en sık başvurulan sebep, sır saklama yükümlülüğü altındaki sağlık personeli eliyle teşhis ve tedavi amaçlı işlemedir; bu durumda açık rıza aranmaz.

Bu noktada sık yapılan bir hata, teşhis ve tedavi süreci için hastadan ayrıca açık rıza almaya çalışmaktır. Tedavi amaçlı işleme zaten kanuni bir işleme şartına dayandığından, hizmetin sunulması için açık rıza şart koşulamaz. KVKK, bir hizmetin verilmesini açık rıza şartına bağlamayı hukuka aykırı bulmaktadır. Açık rıza; ancak tedavi dışı amaçlar için, örneğin pazarlama, bilgilendirme mesajları veya zorunlu olmayan aktarımlar için gündeme gelir. Tedavi sürecinin işlenmesi ile bu ikincil amaçların rızası birbirinden ayrı, özgür iradeyle ve ayrı ayrı ele alınmalıdır.

Açık rızanın geçerli olması için üç unsurun birlikte bulunması gerekir: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Matbu bir sözleşmenin içine gömülü, genel ve şarta bağlı bir onay ifadesi geçerli açık rıza sayılmaz. Aydınlatma yükümlülüğü ile açık rıza da farklı işlemlerdir. Sağlık kuruluşu; verinin hangi hukuki sebeple, hangi amaçla işlendiğini, kimlere aktarılabileceğini ve ilgili kişinin haklarını içeren aydınlatma metnini, işleme başlamadan önce hastaya sunmak zorundadır. Aydınlatma, işleme açık rızaya dayanmasa dahi yerine getirilmesi gereken bağımsız bir yükümlülüktür.

Özel nitelikli veri işleyen her sağlık kuruluşu, Kişisel Verileri Koruma Kurulu'nun 31/01/2018 tarihli ve 2018/10 sayılı kararında belirtilen yeterli önlemleri almakla yükümlüdür. Bu karara göre alınması gereken tedbirler arasında özel nitelikli veri güvenliğine ilişkin sistemli ve ayrı bir politika ile prosedür oluşturmak; bu verilere erişen çalışanlara düzenli eğitim vermek ve gizlilik sözleşmeleri imzalamak; erişim yetkilerini kişi bazında tanımlayıp periyodik olarak denetlemek; verilerin bulunduğu elektronik ortamlarda kriptografik yöntem kullanmak, şifreleme anahtarlarını güvenli ve farklı ortamlarda saklamak, işlem kayıtlarını loglamak ve uzaktan erişimde en az iki kademeli kimlik doğrulama uygulamak yer alır. Fiziksel ortamda ise yangın, su baskını, hırsızlık gibi risklere karşı yeterli güvenlik önlemleri ve fiziksel erişim kontrolü sağlanmalıdır.

Aynı 2018/10 sayılı karar, özel nitelikli verilerin aktarımına da somut kurallar getirir. Sağlık verisi e-posta ile aktarılacaksa şifreli biçimde kurumsal e-posta adresi veya Kayıtlı Elektronik Posta (KEP) hesabı üzerinden gönderilmelidir. Taşınabilir bellek, CD, DVD gibi ortamlarla aktarımda veriler kriptografik yöntemlerle şifrelenmelidir. Farklı fiziksel ortamlardaki sunucular arasında aktarım VPN veya sFTP yöntemiyle yapılmalıdır. Kağıt ortamındaki belgeler ise gizlilik dereceli evrak formatında gönderilmelidir. Bu kurallar, laboratuvar sonuçlarının hastaya iletilmesinden sigorta şirketine fatura gönderimine kadar günlük iş akışlarını doğrudan etkiler.

Sağlık sektörü, KVKK'nın yanında sektöre özel mevzuata da tabidir. Sağlık Bakanlığı'nın Kişisel Sağlık Verileri Hakkında Yönetmeliği; kişisel sağlık verisi işleyen özel ve kamu tüzel kişilerinin yükümlülüklerini, verilerin merkezi sistemlere aktarımını ve e-Nabız üzerinden hastanın kendi güvenlik tercihlerini düzenler. Yönetmelik, sağlık verilerine yalnızca sınırlı sağlık personelinin, belirli süre ve amaçla erişebileceğini öngörür; örneğin hastanın başvurduğu hekim, ilgili sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanana kadar erişebilir. Ayrıca sağlık kuruluşları; veri işleme faaliyetlerini ilgili sağlık mevzuatındaki saklama süreleriyle uyumlu yürütmek ve amacı ortadan kalkan verileri silmek, yok etmek veya anonim hale getirmekle yükümlüdür.

Kurumsal düzeyde her sağlık kuruluşunun bir kişisel veri işleme envanteri hazırlaması, buna dayalı saklama ve imha politikası oluşturması ve veri güvenliği ihlali durumunda Kurul'a ve etkilenen ilgili kişilere gecikmeksizin bildirim yapması gerekir. Kurul kararları, sağlık verisinin bir işleme şartına dayanmadan üçüncü kişiye aktarılmasını hukuka aykırı bulmuş ve idari para cezası uygulamıştır. VERBİS bakımından ise yıllık çalışan sayısı ve mali bilanço eşiklerinin altında kalan veri sorumluları dahi, ana faaliyet konusu özel nitelikli veri işleme olduğunda kayıt yükümlülüğü altına girebilir; sağlık kuruluşlarının çoğu bu nedenle VERBİS'e kayıtlı olmak durumundadır. Eşik değerler değişebildiğinden mevcut durumun kvkk.gov.tr üzerinden teyit edilmesi gerekir.

Uygulamada dikkat edilmesi gereken riskli alanlar bellidir ve çoğu kurumda tekrarlayan hatalara yol açar: hasta çağrı ekranlarında ve reçetelerde ad-soyad ile tanı bilgisinin birlikte görünür olması, WhatsApp gibi kurumsal olmayan kanallarla tetkik sonucu paylaşılması, hasta memnuniyeti veya kampanya amaçlı arama ve mesajların açık rıza olmadan gönderilmesi, arşiv ve laboratuvar alanlarına yetkisiz fiziksel erişim, veri işleyen konumundaki dış hizmet sağlayıcılarla (yazılım, arşivleme, çağrı merkezi) yazılı veri işleme sözleşmesi yapılmaması. Bu alanların bir uyum programı çerçevesinde gözden geçirilmesi, hem ihlal riskini hem de olası idari para cezalarını azaltır.

Kuruluşunuzun sağlık verisi işleme süreçlerinin güncel KVKK yükümlülükleriyle uyumlu olup olmadığını görmek istiyorsanız, KVKK Danışman ücretsiz bir ön değerlendirme sunar. İşleme şartlarınızı, aydınlatma ve açık rıza metinlerinizi, 2018/10 sayılı karar kapsamındaki teknik ve idari tedbirlerinizi ve VERBİS durumunuzu birlikte gözden geçirebiliriz.

Randevu Al