Günümüzde sağlık hizmetlerinin dijitalleşmesi, hasta verilerinin takibini ve tedavi süreçlerini kolaylaştırırken, bu verilerin siber saldırılara ve hırsızlıklara karşı açık hale gelmesine de neden olmaktadır. Tıbbi geçmiş, tahlil sonuçları, genetik bilgiler ve kimlik bilgileri gibi unsurları barındıran hasta verileri, hukukumuzda özel nitelikli kişisel veri olarak kabul edilmektedir. Bu hassas verilerin çalınması veya yetkisiz kişilerin eline geçmesi durumunda, hastanelerin hukuki, cezai ve idari sorumlulukları gündeme gelmektedir. Hem hekimleri hem de hastaları yakından ilgilendiren bu süreç, Türk hukukunda katı kurallara bağlanmıştır.
Hasta Verilerinin Korunmasında Hukuki Altyapı
Hasta verilerinin korunması, başta Anayasa olmak üzere çeşitli kanunlar ve yönetmeliklerle güvence altına alınmıştır. T.C. Anayasası’nın 20. maddesinde düzenlenen “özel hayatın gizliliği” hakkı, kişisel verilerin korunmasını da içerir. Sağlık Bakanlığı Hasta Hakları Yönetmeliği uyarınca da hastanın mahremiyetine saygı gösterilmesi temel bir haktır. En somut yasal dayanak ise 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK). KVKK kapsamında sağlık verileri, ifşa edilmesi durumunda mağduriyete yol açabilecek nitelikte olduğundan özel nitelikli kişisel veri kabul edilir. KVKK m. 12 uyarınca veri sorumlusu olan hastaneler, verilerin hukuka aykırı olarak erişilmesini önlemek amacıyla her türlü teknik ve idari tedbiri almakla yükümlüdür.
KVKK Kapsamında Alınması Gereken Önlemler
Kişisel Verileri Koruma Kurulu rehberleri ve yasal düzenlemeler uyarınca, sağlık kuruluşlarının alması gereken teknik ve idari tedbirlerden bazıları şunlardır:
- Hasta veri tabanlarına erişim yetkilerinin sınırlandırılması ve iki aşamalı doğrulama sistemlerinin kullanılması,
- Personelin veri güvenliği ve hasta mahremiyeti konusunda düzenli olarak eğitilmesi,
- Bilgi işlem altyapısında düzenli olarak siber güvenlik sızma testlerinin yapılması,
- Verilerin şifrelenerek saklanması ve harici ortamlara aktarımının kontrol altında tutulması.
Veri İhlalinde Hastanenin Hukuki Sorumluluğu
Bir hastaneden veri çalınması durumunda sorumluluk, “sözleşmeye aykırılık” ve “haksız fiil” hükümlerine dayanır. Hasta ile hastane arasındaki tedavi sözleşmesi, hastaneye hastanın sırlarını saklama borcu yükler.
Kusursuz Sorumluluk ve Özen Borcu
Hastaneler, çalışanlarının işlemlerinden de sorumludur. 6098 sayılı Türk Borçlar Kanunu’nun (TBK) 66. maddesinde düzenlenen “adam çalıştıranın sorumluluğu” ve 116. maddesindeki “yardımcı kişilerin fiillerinden sorumluluk” hükümleri uyarınca, hastane yönetimi çalışanlarının kusurlarından ötürü kusursuz sorumluluk esasına göre mesul tutulur. Hastane, gerekli tüm idari ve teknik denetimleri yaptığını ve siber güvenlik altyapısını eksiksiz kurduğunu kanıtlayamadığı sürece bu sorumluluktan kurtulamaz.
Maddi ve Manevi Tazminat Yükümlülüğü
Hasta verilerinin çalınması, kişilik haklarının ihlalidir. TBK m. 49 (Haksız Fiil) ve TBK m. 56 çerçevesinde, verileri çalınan ve bundan manevi zarar gören hastalar, hastane aleyhine manevi tazminat davası açabilirler. Ayrıca, veri hırsızlığı nedeniyle oluşan finansal zararlar da maddi tazminat davası yoluyla talep edilebilir.
Yargıtay ve Anayasa Mahkemesi Kararları Işığında Değerlendirme
Yargıtay’ın yerleşik içtihatlarında, sağlık kuruluşlarının “profesyonel birer organizasyon” olduğu ve sıradan bir işletmeden daha yüksek bir özen borcu (objektif özen yükümlülüğü) altında bulundukları vurgulanmaktadır. Hastanelerin veri güvenliği sistemlerini güncel tutmamaları veya sistem açıklarını zamanında kapatmamaları “hizmet kusuru” olarak kabul edilir.
Anayasa Mahkemesi de bireysel başvuru kararlarında, kişilerin tıbbi verilerinin rızaları dışında üçüncü kişilerin eline geçmesini özel hayata saygı hakkının ihlali olarak değerlendirmektedir. Dolayısıyla, siber saldırıya uğrayan bir hastanenin “Biz saldırıyı önleyemedik” savunması, gerekli teknolojik önlemleri almadığı sürece hukuk düzeninde kabul görmemektedir.
Sonuç
Hasta verilerinin çalınması, hastaneler için sadece prestij kaybı değil, aynı zamanda çok ağır hukuki, idari ve finansal yaptırımları beraberinde getiren bir süreçtir. Hastanelerin siber güvenlik önlemlerini sürekli güncellemeleri yasal bir zorunluluktur. Hak kaybına uğramamak adına hem hastaların hem de sağlık kuruluşu yöneticilerinin bu süreçlerde uzman bir sağlık hukuku avukatından destek alması büyük önem taşımaktadır.
Anahtar Kelime : hastane veri sorumlulugu
