Dijital çağda sağlık verileri, en hassas kişisel bilgilerimiz arasında yer almaktadır. Hastaneler, klinikler ve diğer sağlık kuruluşları, bu verileri siber saldırılara karşı korumakla yükümlüdür. Ancak artan siber tehditler, zaman zaman veri sızıntılarına yol açabilmekte ve bu durum, hem hastalar hem de hekimler için ciddi hukuki sonuçlar doğurabilmektedir. Bir siber saldırı sonucu sağlık verileriniz sızdırıldığında, kişilik haklarınızın ihlali nedeniyle tazminat talep etme hakkınız bulunmaktadır.
Siber Saldırı ve Veri Sorumlusunun Hukuki Sorumluluğu
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, sağlık hizmeti sunucuları (hastaneler, klinikler vb.) “veri sorumlusu” sıfatını taşır. Bu sıfat, hastaların kişisel sağlık verilerini her türlü tehdide karşı koruma yükümlülüğünü de beraberinde getirir. Veri sorumlusu, siber saldırıları önlemek için gerekli tüm teknik ve idari tedbirleri almak zorundadır. Bu tedbirler arasında güncel güvenlik duvarları, şifreleme yöntemleri, sızma testleri ve personel eğitimleri gibi birçok unsur yer alır.
Yargıtay’ın yerleşik içtihatlarına göre, veri sorumlusunun bu özen yükümlülüğünü yerine getirmemesi ve bu nedenle bir veri sızıntısı yaşanması, hukuka aykırı bir fiil olarak kabul edilir. Siber saldırı sonucu verilerin sızdırılması durumunda, veri sorumlusu olan sağlık kuruluşunun kusurlu olduğu varsayılır. Bu durumda sağlık kuruluşu, sızıntının önlenmesi için tüm tedbirleri aldığını ispat etmedikçe, ortaya çıkan zarardan sorumlu olacaktır.
Tazminat Davasının Hukuki Dayanakları
Siber saldırı sonrası veri sızıntısından zarar gören hastaların açacağı tazminat davaları, temel olarak Türk Borçlar Kanunu’nun haksız fiil sorumluluğuna ilişkin maddelerine ve Türk Medeni Kanunu’nun kişilik haklarının korunmasına dair hükümlerine dayanır. Kişisel sağlık verileri, kişinin mahremiyetinin ve kişilik haklarının en önemli parçalarından biridir. Bu verilerin izinsiz olarak üçüncü kişilerin eline geçmesi, kişinin manevi olarak zarar görmesine, huzur ve sükununun bozulmasına neden olabilir.
- Maddi Tazminat: Veri sızıntısı nedeniyle somut, ölçülebilir bir maddi kayba uğranılmışsa (örneğin, dolandırıcılık sonucu yaşanan finansal kayıplar) bu zarar talep edilebilir.
- Manevi Tazminat: Sağlık verilerinin ifşa olması nedeniyle yaşanan elem, keder, utanç ve endişe gibi manevi zararlar için manevi tazminat talep edilebilir. Yargıtay kararlarında, kişisel verilerin hukuka aykırı olarak ifşa edilmesinin, tek başına kişilik haklarına bir saldırı oluşturduğu ve manevi tazminatı gerektirebileceği kabul edilmektedir.
Dava Sürecinde Dikkat Edilmesi Gerekenler
Veri sızıntısı yaşandığını öğrendiğinizde, öncelikle ilgili sağlık kuruluşuna başvurarak durum hakkında bilgi talep etmeniz ve verilerinizin akıbetini sormanız önemlidir. Veri sorumlusu olan sağlık kurumu, KVKK gereğince sızıntıyı tespit ettikten sonra en geç 72 saat içinde durumu Kişisel Verileri Koruma Kurumu’na (Kurul) ve ilgili kişilere bildirmekle yükümlüdür. Bu bildirim, açılacak bir dava için önemli bir delil niteliği taşır.
Tazminat davası, haksız fiilin ve zararın öğrenildiği tarihten itibaren belirli zamanaşımı sürelerine tabidir. Bu nedenle, hak kaybı yaşamamak için bir an önce uzman bir sağlık hukuku avukatından destek almak kritik öneme sahiptir. Dava sürecinde, siber saldırının varlığı, sağlık kuruluşunun güvenlik önlemlerindeki yetersizliği ve sızıntı nedeniyle uğranılan manevi zarar gibi hususların ispatlanması gerekecektir.
Sonuç
Siber saldırılar sonucu yaşanan sağlık verisi sızıntıları, hem hastaların mahremiyetini ihlal eden hem de sağlık kuruluşlarını ciddi hukuki ve idari yaptırımlarla karşı karşıya bırakan önemli bir sorundur. Veri güvenliğini sağlamak, sağlık hizmeti sunucularının asli bir görevidir. Bu görevin ihmal edilmesi neticesinde zarara uğrayan hastaların, kişilik haklarının korunması ilkesi çerçevesinde maddi ve manevi tazminat talep etme hakları kanunlar ve Yargıtay içtihatları ile güvence altına alınmıştır.
Anahtar Kelime : sağlık verisi gizliliği
