Teknolojinin gelişmesiyle birlikte sağlık sektörü de büyük bir dijital dönüşüm yaşamaktadır. Hekimlerin hastalarına dair tanı, tedavi, reçete ve tahlil sonuçlarını hızlıca kaydedip analiz edebilmesi, hastaların ise bu verilere kolayca erişebilmesi büyük bir kolaylık sağlamaktadır. Ancak bu dijitalleşmenin arkasında, hukuki açıdan en hassas konulardan biri olan “sağlık verilerinin korunması” yatmaktadır. Bu kapsamda muayenehaneler, hastaneler ve klinikler tarafından sıklıkla tercih edilen bulut sistemleri akıllara önemli bir soruyu getirmektedir: Sağlık verilerinin bulut sistemlerinde saklanması hukuka uygun mu? Bu yazıda, hekimler ve hastalar için bu konunun hukuki sınırlarını ve uyulması gereken şartları inceliyoruz.
Sağlık Verisi Nedir ve Neden Özeldir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca kişisel veriler, genel ve özel nitelikli olmak üzere ikiye ayrılır. Kişilerin sağlık durumu, geçirdiği hastalıklar, tahlil sonuçları, genetik bilgileri ve hatta randevu kayıtları “özel nitelikli kişisel veri” kapsamında değerlendirilir. Bu veriler, ifşa edilmesi durumunda kişinin sosyal veya mesleki hayatında ayrımcılığa maruz kalmasına ya da mağdur olmasına yol açabilecek niteliktedir. Bu nedenle kanun koyucu, sağlık verilerinin işlenmesini ve saklanmasını genel verilere kıyasla çok daha sıkı şartlara bağlamıştır. Sağlık Bakanlığı tarafından Resmi Gazete’de yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik de bu verilerin güvenliğine ilişkin usul ve esasları detaylı şekilde belirlemiştir.
Bulut Sistemlerinde Saklama: Hukuki Çerçeve ve Şartlar
Bir hekimin veya sağlık kuruluşunun, hasta verilerini kendi yerel bilgisayarı yerine internet tabanlı bir bulut depolama servisinde saklaması, hukuki olarak bu verilerin üçüncü bir tarafa (bulut sağlayıcısına) aktarılması anlamına gelir. KVKK kapsamında bulut sağlayıcı firmalar genellikle “veri işleyen” sıfatına sahip olur. Sağlık verilerinin bu sistemlerde saklanmasının hukuka uygun olabilmesi için belirli yasal şartların yerine getirilmesi zorunludur.
KVKK’da yapılan güncel düzenlemeler doğrultusunda, sağlık verileri kural olarak ilgilinin (hastanın) açık rızası olmaksızın işlenemez. Ancak sır saklama yükümlülüğü altındaki hekimler veya yetkili sağlık kurumları tarafından; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla açık rıza aranmaksızın da işlenebilir. Fakat bu hukuki işleme şartının bulunması, verilerin bulut sistemine doğrudan aktarılabileceği anlamına gelmez. Burada en büyük hukuki sınır, bulut sunucularının fiziksel konumudur.
Yurt Dışı Veri Aktarımı Engeli
Dünya genelinde yaygın olarak kullanılan birçok popüler bulut depolama servisinin (Google Drive, Dropbox, iCloud, Microsoft OneDrive vb.) sunucuları yurt dışında yer almaktadır. KVKK m. 9 uyarınca, kişisel verilerin yurt dışına aktarılması çok sıkı kurallara tabidir. Verilerin yurt dışındaki sunucularda saklanması, hukuken “yurt dışına aktarım” kabul edilir. Kişisel Verileri Koruma Kurulu’nun güncel rehberleri ve kararları uyarınca, yeterlilik kararı bulunmayan veya uygun güvencelerin (örneğin taraflar arasında imzalanacak standart sözleşmelerin) sağlanmadığı durumlarda, hastanın bu konuda açık rızası alınmadan yabancı bulut sistemlerinin kullanılması hukuka aykırıdır.
Hekimlerin ve Sağlık Kuruluşlarının Alması Gereken Önlemler
Hekimlerin ve sağlık kuruluşlarının idari, hukuki ve cezai yaptırımlarla karşılaşmaması için bulut teknolojilerini kullanırken şu adımlara dikkat etmesi gerekir:
- Yerli Sunucu Tercihi: Verilerin yurt dışına çıkmasını önlemek adına, fiziksel sunucuları ve veri merkezleri Türkiye sınırları içinde bulunan yerli bulut servis sağlayıcıları tercih edilmelidir.
- Kriptografik Şifreleme: KVKK’nın teknik tedbirler kılavuzunda belirtildiği üzere, bulut sisteminde saklanan tüm sağlık verileri güçlü şifreleme yöntemleriyle (kriptografi) korunmalıdır. Şifre çözme anahtarlarının kontrolü yalnızca veri sorumlusunda (hekimde/kuruluşta) olmalıdır.
- Veri İşleyen Sözleşmesi: Bulut firması ile yapılacak sözleşmede, veri güvenliğine ilişkin sorumluluklar, sızıntı durumunda yapılacaklar ve hizmet sonlandığında verilerin güvenli bir şekilde yok edileceği taahhüt edilmelidir.
- Aydınlatma Yükümlülüğü: Hastalara verilerinin hangi bulut sisteminde, hangi güvenlik önlemleriyle saklandığına dair açık ve anlaşılır bir aydınlatma yapılmalıdır.
Yargıtay ve Anayasa Mahkemesi Kararlarının Yaklaşımı
Anayasa Mahkemesi, Anayasa’nın 20. maddesinde düzenlenen “Özel Hayatın Gizliliği ve Kişisel Verilerin Korunmasını İsteme Hakkı” çerçevesinde, sağlık verilerinin korunmasına üst düzey bir hassasiyet göstermektedir. Yargıtay’ın yerleşik içtihatlarında da vurgulandığı üzere, hekimlerin hastalarına karşı sır saklama ve özen yükümlülüğü bulunmaktadır. Gerekli teknik önlemler alınmadan, hukuka aykırı şekilde bulut sistemlerinde saklanan verilerin siber bir saldırı sonucu sızdırılması durumunda, hekimlerin hem Türk Borçlar Kanunu kapsamında tazminat sorumluluğu (6098 s. TBK m. 49) hem de Türk Ceza Kanunu kapsamında “Kişisel Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme” (5237 s. TCK m. 136) suçundan cezai sorumluluğu doğabilecektir.
Sonuç olarak; sağlık verilerinin bulut sistemlerinde saklanması teknik olarak mümkündür ancak bunun hukuka uygun olabilmesi için sunucuların Türkiye’de bulunması, gelişmiş şifreleme yöntemlerinin kullanılması ve KVKK’nın öngördüğü teknik-idari tedbirlerin eksiksiz alınması şarttır.
Anahtar Kelime : bulut saglik verileri
