Hastane Bilgi Yönetim Sistemleri (HBYS), sağlık hizmetlerinin dijitalleşmesinde merkezi bir rol oynamaktadır. Ancak bu dijitalleşme, hasta verilerinin güvenliği konusunda ciddi sorumlulukları da beraberinde getirmektedir. HBYS üzerinden gerçekleşebilecek bir veri sızıntısı, hastaların en mahrem bilgilerinin ifşa olmasına yol açabilir ve bu durum, hem hastaneler hem de hastalar için önemli hukuki sonuçlar doğurabilir. Bu yazıda, HBYS sızıntılarının hukuki boyutunu, hasta ve hekimlerin hak ve yükümlülüklerini anlaşılır bir dille ele alacağız.
Kişisel Sağlık Verisinin Hukuki Niteliği ve Korunması
Kişisel sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında “özel nitelikli kişisel veri” olarak kabul edilmektedir. Bu veri kategorisi, kişilerin ırkı, etnik kökeni, siyasi düşüncesi gibi en hassas bilgilerini içerdiği için kanun tarafından daha sıkı bir korumaya tabi tutulmuştur. Sağlık verilerinin işlenmesi, kural olarak ilgili kişinin “açık rızasına” bağlıdır. Ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis ve tedavi gibi amaçlarla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlar tarafından açık rıza aranmaksızın işlenebilir.
Hastane ve Veri İşleyenlerin Sorumlulukları
Hastaneler, KVKK uyarınca “veri sorumlusu” sıfatını taşır. Bu sıfat, hastanelere, kendi bünyelerindeki HBYS’nin güvenliğini sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Sağlık Bakanlığı tarafından yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik de sağlık kuruluşlarını, hastaya ait tüm verilerin mahremiyetini korumakla yükümlü kılmıştır. Bir veri sızıntısı meydana geldiğinde, hastanenin bu tedbirleri alıp almadığı, hukuki sorumluluğun tespitinde kilit rol oynar.
Hastaneler, HBYS yazılımını sağlayan teknoloji şirketleri ile de çalışmaktadır. Bu şirketler ise “veri işleyen” konumundadır. Veri işleyenler de veri güvenliğini sağlamakla yükümlüdür. Sızıntının, yazılım veya altyapıdaki bir güvenlik zafiyetinden kaynaklanması durumunda, ilgili teknoloji firmasının da sorumluluğu gündeme gelecektir.
Veri Sızıntısı Mağdurlarının Hukuki Hakları
HBYS sızıntısı nedeniyle sağlık verileri ifşa olan hastaların başvurabileceği birden fazla hukuki yol bulunmaktadır. Bu yollar, hem cezai hem de hukuki sorumluluğu kapsamaktadır.
- Maddi ve Manevi Tazminat Davası: Kişilik haklarının bir parçası olan özel hayatın gizliliği, veri sızıntısı ile ihlal edilmiş olur. Mağdurlar, bu ihlal nedeniyle uğradıkları maddi zararlar (örneğin iş kaybı, tedavi masrafları) ve manevi zararlar (elem, keder, itibar zedelenmesi) için hastaneye ve diğer sorumlulara karşı tazminat davası açabilirler. Yargıtay’ın yerleşik içtihatlarında, kişisel verilerin hukuka aykırı olarak ifşa edilmesinin manevi tazminat gerektireceği kabul edilmektedir.
- Ceza Hukuku Kapsamında Şikayet: Türk Ceza Kanunu (TCK), kişisel verileri hukuka aykırı olarak kaydetmeyi, ele geçirmeyi veya yaymayı suç olarak düzenlemiştir. Verilerin “sağlık verisi” gibi özel nitelikli olması, cezanın ağırlaştırıcı bir sebebidir. Mağdurlar, Cumhuriyet Savcılığı’na suç duyurusunda bulunarak sızıntıdan sorumlu olan kişilerin cezalandırılmasını talep edebilirler.
- Kişisel Verileri Koruma Kurumu’na Başvuru: Veri sızıntısından etkilenen kişiler, Kişisel Verileri Koruma Kurumu’na (KVKK) şikayette bulunabilirler. Kurum, yaptığı inceleme sonucunda veri sorumlusu olan hastaneye ciddi idari para cezaları uygulayabilir.
Hekimlerin Sır Saklama Yükümlülüğü
Hekimler ve diğer sağlık personeli, meslekleri gereği öğrendikleri hasta sırlarını saklamakla yükümlüdür. Bu yükümlülük, HBYS üzerindeki verilere erişirken de devam eder. Yetkisiz bir şekilde hasta verilerine erişmek veya bu verileri üçüncü kişilerle paylaşmak, hem disiplin sorumluluğunu hem de cezai sorumluluğu doğurur. Bir sızıntının, hastane personelinin ihmali veya kastı sonucu meydana gelmesi, ilgili personelin kişisel sorumluluğunu da gündeme getirecektir.
Önleyici Tedbirler ve Sonuç
HBYS sızıntılarının önlenmesi için hastanelerin siber güvenlik altyapılarını sürekli güncel tutmaları, personel eğitimlerine önem vermeleri ve KVKK kapsamında öngörülen teknik ve idari tedbirleri eksiksiz uygulamaları zorunludur. Hastalar ise, e-Nabız gibi sistemler üzerinden kendi veri paylaşım ayarlarını kontrol ederek ve kişisel bilgilerinin kimlerle paylaşıldığı konusunda bilinçli olarak mahremiyetlerini korumada aktif rol oynayabilirler.
Sonuç olarak, HBYS kaynaklı bir veri sızıntısı, basit bir teknik aksaklığın ötesinde, hastaların en temel haklarını ihlal eden ciddi bir hukuki olaydır. Mağdurların, haklarını arama konusunda yasal yollara başvurmaları, hem kendi zararlarının tazmini hem de sağlık sektöründe veri güvenliği standartlarının yükseltilmesi açısından büyük önem taşımaktadır.
Anahtar Kelime : sağlık hukuku
