Sağlık sektörü, bireylerin en hassas verilerinin işlendiği ve saklandığı alanların başında gelmektedir. Özel hastaneler, sundukları teşhis ve tedavi hizmetlerinin doğası gereği her gün binlerce hastanın mahrem bilgilerine erişmektedir. Bu durum, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında özel hastanelerin üzerine çok ciddi hukuki ve idari yükümlülükler yüklemektedir. Kanun kapsamında “özel nitelikli kişisel veri” olarak kabul edilen sağlık verilerinin korunması, hem hasta haklarının güvence altına alınması hem de hastane işletmeleri ile hekimlerin hukuki sorumluluktan kaçınması adına hayati bir önem taşımaktadır.
1. Sağlık Verilerinin “Özel Nitelikli Veri” Statüsü ve İşlenme Şartları
6698 sayılı KVKK’nın 6. maddesi uyarınca, kişilerin sağlığına ve cinsel hayatına ilişkin veriler özel nitelikli kişisel veri olarak tanımlanmıştır. Bu verilerin işlenmesi, diğer kişisel verilere kıyasla çok daha sıkı şartlara bağlanmıştır. Sağlık verileri, kural olarak ancak ilgili kişinin açık rızası alınarak işlenebilir. Ancak kanun koyucu, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, koruyucu hekimlik gibi kamu sağlığını ilgilendiren özel durumlarda, sır saklama yükümlülüğü altındaki kişiler (hekimler ve sağlık personeli) tarafından açık rıza aranmaksızın da bu verilerin işlenmesine izin vermiştir. Burada dikkat edilmesi gereken husus, verilerin yalnızca tedavi amacı ve sınırları içinde işlenmesidir.
2. Aydınlatma Yükümlülüğü ve Açık Rıza Dengesi
Özel hastanelerde en sık düşülen hatalardan biri, aydınlatma yükümlülüğü ile açık rıza alma sürecinin birbirine karıştırılmasıdır. KVKK m. 10 çerçevesinde hastaneler, başvuran her hastayı kişisel verilerinin hangi amaçla işleneceği, kimlere aktarılabileceği ve haklarının neler olduğu konusunda bilgilendirmekle yükümlüdür. Aydınlatma yükümlülüğü, hastanın onayından bağımsız, mutlak bir hukuki görevdir. Açık rıza ise, veri işleme faaliyetinin kanundaki istisnalara girmediği (örneğin hastanenin tanıtım amacıyla hastanın fotoğrafını veya tedavi sürecini sosyal medyada paylaşmak istemesi gibi) durumlarda özgür iradeyle verilen rızayı ifade eder. Rızanın geçerli olabilmesi için belirli bir konuya ilişkin, bilgilendirmeye dayanan ve şüpheye yer bırakmayacak açıklıkta olması şarttır.
3. Hasta Mahremiyeti ve Teknik-İdari Tedbirler
Sağlık Bakanlığı tarafından yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik ve KVKK Kurulu rehberleri doğrultusunda, özel hastanelerin alması gereken hem idari hem de teknik tedbirler bulunmaktadır. Hastanın mahremiyet hakkı, yalnızca dijital veri tabanlarının güvenliğini değil, fiziksel ortamdaki gizliliği de kapsar. Bu bağlamda dikkat edilmesi gereken temel kurallar şunlardır:
- Erişim Yetkilendirmesi: Hastaların tıbbi dosyalarına sadece tedaviyi üstlenen hekim ve ilgili sağlık personeli erişebilmelidir. Temizlik, güvenlik veya idari personelin bu verilere erişimi kesinlikle kısıtlanmalıdır.
- Fiziksel Güvenlik: Hasta arşivleri, tahlil sonuçları ve reçeteler gibi fiziksel evraklar kilitli dolaplarda saklanmalı ve yetkisiz kişilerin erişimine kapatılmalıdır.
- Bilgi Paylaşımı Sınırları: Hastanın durumu hakkında yakınlarına veya üçüncü kişilere bilgi verilirken, hastanın rızası ya da kanuni temsilcisinin onayı aranmalıdır. Telefonla yapılan bilgi taleplerinde kimlik doğrulaması yapılmadan veri paylaşılmamalıdır.
4. Mevzuata Aykırılığın Hukuki ve Cezai Sonuçları
KVKK uyumunun ihlal edilmesi durumunda, hastaneleri ve hekimleri ciddi yaptırımlar beklemektedir. Türk Ceza Kanunu’nun (TCK) 135 ila 140. maddeleri arasında düzenlenen “Kişisel Verilerin Kaydedilmesi” ve “Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme” suçları kapsamında, hapis cezaları öngörülmüştür. Ayrıca, hukuka aykırı veri işleme veya sızıntı durumlarında, 6098 sayılı Türk Borçlar Kanunu’nun (TBK) 49. maddesi uyarınca hastanın maddi ve manevi tazminat davası açma hakkı saklıdır. Yargıtay’ın yerleşik içtihatlarında da vurgulandığı üzere, hasta ile hastane/hekim arasındaki ilişki güven esasına dayanır ve hekimin sır saklama yükümlülüğü ile hastanın mahremiyet hakkının ihlal edilmesi, ağır bir kusur kabul edilerek tazminat sorumluluğunu doğurur.
Sonuç
Özel hastanelerde KVKK uyumu, yalnızca hukuki bir zorunluluk değil, aynı zamanda hastaların kuruma duyduğu güvenin temel taşıdır. Sürecin başarıyla yürütülmesi için hastanelerin düzenli risk analizleri yapması, personeline sürekli eğitimler vermesi ve veri envanterlerini güncel tutması gerekmektedir. Hem hekimlerin hem de hastane yönetimlerinin, verinin işlenmesinden imha edilmesine kadar geçen tüm süreçlerde hukuki sınırlara sadık kalması, olası cezai ve hukuki uyuşmazlıkların önüne geçecektir.
Anahtar Kelime : kvkk uyum kurallari
