Dijital Sağlık Kayıtlarının Hukuki Korunması ve Veri İhlalleri

Dijital Sağlık Kayıtlarının Hukuki Korunması ve Veri Mahremiyeti

Sağlık sektöründe dijitalleşme; tanı ve tedavi süreçlerini hızlandırırken, "özel nitelikli kişisel veri" olarak kabul edilen tıbbi bilgilerin güvenliği konusunu hukuk sisteminin merkezine yerleştirmiştir. Hastaneler, klinikler ve dijital sağlık platformları tarafından tutulan kayıtlar; bireyin en mahrem bilgilerini içermesi sebebiyle, genel verilere oranla çok daha sıkı bir koruma rejimine tabidir. Türkiye'de bu süreç, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili ikincil mevzuat ile düzenlenmektedir. Veri güvenliğinin ihlali, kurumlar için ağır idari para cezalarına, çalışanlar için ise hapis cezalarına yol açabilmektedir. Hak kaybını önlemek adına sürece dair hukuki destek alınması tavsiye edilir.

Dijital Sağlık Verilerinin Hukuki Statüsü

KVKK m. 6 uyarınca sağlık verileri, öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete yol açabilecek "özel Nitelikli Kişisel Veri" kategorisindedir. Bu verilerin işlenmesi, kural olarak ilgili kişinin açık rızasına bağlıdır.

İstisnai Haller: Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla; sır saklama yükümlülüğü altında bulunan kişiler (hekimler) veya yetkili kurumlar tarafından açık rıza aranmaksızın işlenebilir.
E-Nabız ve Merkezi Sistemler: Sağlık Bakanlığı tarafından yönetilen sistemlerdeki verilerin paylaşıma açılması, hastanın dijital onay ve mahremiyet tercihlerine göre şekillenmelidir.

Veri Sorumlusu Olarak Sağlık Kurumlarının Yükümlülükleri

Hastaneler ve özel muayenehaneler "Veri Sorumlusu" sıfatıyla, işledikleri verilerin hukuka aykırı olarak erişilmesini önlemekle yükümlüdür:

Aydınlatma Yükümlülüğü: Verilerin hangi amaçla işleneceği, kimlere aktarılabileceği ve veri sahibinin hakları konusunda hastaya şeffaf bilgi verilmelidir.
Veri Güvenliği (Teknik ve İdari Tedbirler): Siber saldırılara karşı güvenlik duvarları, şifreleme yöntemleri ve personel yetki matrisleri oluşturulmalıdır.
VERBİS Kaydı: Belirli kriterleri aşan sağlık kuruluşlarının, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt yaptırarak veri kategorilerini beyan etmesi zorunludur.
Veri İhlal Bildirimi: Herhangi bir siber saldırı veya veri sızıntısı durumunda, durumun tespitinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapılması yasal bir önem arz etmektedir.

Veri İhlali Durumunda Hastaların Hakları ve Tazminat Süreci

Dijital sağlık kayıtlarına yetkisiz erişim sağlanan veya verileri hukuka aykırı şekilde paylaşılan hastalar, KVKK m. 11 çerçevesinde şu haklara sahiptir:

Verilerinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme.
Verilerin işlenme amacına uygun kullanılıp kullanılmadığını denetleme.
Hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini (maddi ve manevi tazminat) talep etme.

Manevi Tazminat: Sağlık verilerinin ifşası, kişinin mahremiyetini ve kişilik haklarını doğrudan zedelediği için yargı organları, somut olayın özelliklerine göre yüksek tutarlı manevi tazminatlara hükmedebilmektedir. Hak kaybını önlemek adına sürece dair hukuki destek alınması tavsiye edilir.

Türk Ceza Kanunu Açısından Müeyyideler

Kişisel sağlık verilerinin korunması sadece idari değil, aynı zamanda cezai bir konudur. Türk Ceza Kanunu (TCK) kapsamında şu suçlar gündeme gelebilir:

Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme (TCK m. 136): Kişisel verileri hukuka aykırı olarak başkasına veren veya ele geçiren kişi, 2 yıldan 4 yıla kadar hapis cezası ile cezalandırılır.
Nitelikli Hal (TCK m. 137): Bu suçun sağlık personeli gibi belirli bir meslek ve sanatın sağladığı kolaylıktan yararlanarak işlenmesi halinde ceza yarı oranında artırılır.
Verileri Yok Etmeme (TCK m. 138): Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistemden silmeyenler cezai sorumluluk altındadır.

Sıkça Sorulan Sorular

Doktorum benden izin almadan tahlil sonuçlarımı başka bir meslektaşına danışabilir mi? Tıbbi teşhis ve tedavi amacıyla, sır saklama yükümlülüğü altındaki sağlık profesyonelleri arasında veri paylaşımı belirli sınırlar dahilinde mümkündür; ancak bu paylaşımın hastanın tedavi süreciyle sınırlı ve ölçülü olması gerekir.

Hastaneden ayrılan bir personel hasta listesini yanında götürürse ne olur? Bu durum hem İş Kanunu uyarınca haklı nedenle fesih sebebidir hem de TCK m. 136 kapsamında "verileri hukuka aykırı ele geçirme" suçunu oluşturur. Kurumun da veri güvenliğini sağlayamadığı gerekçesiyle KVKK tarafından idari para cezasına çarptırılması muhtemeldir.

WhatsApp üzerinden röntgen veya tahlil sonucu gönderilmesi güvenli mi? Kişisel Verileri Koruma Kurulu, sunucuları yurt dışında bulunan anlık mesajlaşma uygulamaları üzerinden hassas sağlık verilerinin paylaşılmasını, yeterli güvenlik önlemi alınmadığı takdirde hukuka aykırı bulabilmektedir. Kurumsal ve şifreli kanalların tercihi tavsiye edilir.

YASAL UYARI (DISCLAIMER): Bu içerik, dijital sağlık kayıtlarının korunması ve veri mahremiyeti hakkında genel bilgilendirme amacıyla hazırlanmış olup, somut bir olaya yönelik hukuki mütalaa veya tavsiye niteliği taşımamaktadır. Bilişim hukuku ve kişisel verilerin korunması mevzuatı son derece teknik detaylar, kurul kararları ve hak düşürücü süreler içerdiğinden, olası hak kayıplarının önlenmesi için bir hukuki destek alınması tavsiye edilir.

Yasal Uyarı: Bu içerik, teknolojik imkanlar desteğiyle hazırlanmış bir bilgilendirme metnidir. Sitede yer alan veriler genel bilgilendirme amaçlı olup, hukuki tavsiye veya mütalaa teşkil etmez. Mevzuat ve yargı kararları zamanla değişkenlik gösterebileceğinden, buradaki bilgilerin doğruluğu ve güncelliği noktasında kesinlik arz etmeyebilir. Olası hak kayıplarının önlenmesi adına, sürecin takibi için bir avukattan hukuki yardım alınması önem arz etmektedir. Sitedeki bilgilere dayanarak gerçekleştirilen işlemlerden doğabilecek sorumluluk kullanıcıya aittir.