Sağlık sektörü, dijitalleşmenin en yoğun yaşandığı ve bu doğrultuda bilgi güvenliğinin en kritik önem taşıdığı alanların başında gelmektedir. Hastanelerde teşhis, tedavi ve idari süreçlerin hızlıca yürütülmesini sağlayan Hastane Bilgi Yönetim Sistemleri (HBYS), bireylerin en hassas bilgilerini barındırır. Hukuki açıdan “özel nitelikli kişisel veri” olarak kabul edilen sağlık verilerinin bu dijital sistemlerde nasıl korunduğu, hem hekimlerin hem de hastaların yasal hak ve yükümlülüklerini doğrudan etkilemektedir.
Hukuki Dayanaklar: KVKK ve Sağlık Mevzuatı
Türkiye Cumhuriyeti Anayasası’nın 20. maddesinde güvence altına alınan özel hayatın gizliliği hakkı, sağlık verilerinin korunmasının anayasal temelini oluşturmaktadır. Bununla birlikte, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), sağlık verilerini özel nitelikli kişisel veri kategorisinde sınıflandırarak daha sıkı koruma kurallarına tabi tutmuştur. Ayrıca Sağlık Bakanlığı tarafından yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik ve Resmi Gazete’de yürürlüğe giren ilgili mevzuatlar, HBYS kullanan sağlık kuruluşlarının uyması gereken yasal çerçeveyi net olarak çizmektedir.
Veri Sorumlusu Olarak Sağlık Kuruluşlarının Yükümlülükleri
HBYS üzerinde işlem yapan her hastane, tıp merkezi veya muayenehane, KVKK kapsamında “veri sorumlusu” sıfatına sahiptir. Bu kapsamda, veri güvenliğini sağlamak amacıyla hem idari hem de teknik tedbirleri almak zorundadırlar:
- Teknik Tedbirler: Yetkisiz erişimleri engellemek amacıyla güçlü şifreleme yöntemlerinin kullanılması, sistem sızma testlerinin düzenli aralıklarla yapılması, log (erişim) kayıtlarının güvenli ve değiştirilemez bir şekilde tutulması ve güncel siber güvenlik yazılımlarının kullanılması zorunludur.
- İdari Tedbirler: Hastane çalışanlarına (hekim, hemşire, bilgi işlem personeli vb.) veri güvenliği ve hasta mahremiyeti konusunda düzenli eğitimler verilmelidir. Personel ile gizlilik sözleşmeleri imzalanmalı ve her çalışanın yalnızca görevi gereği ihtiyaç duyduğu verilere erişebileceği bir yetki matrisi oluşturulmalıdır.
Yargı Kararları Işığında Sorumluluk ve Cezai Müeyyideler
Veri güvenliği yükümlülüklerine aykırı hareket edilmesi, ciddi hukuki, cezai ve idari yaptırımları beraberinde getirir. KVKK uyarınca, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyen kurumlar hakkında Kişisel Verileri Koruma Kurulu tarafından yüksek miktarlarda idari para cezaları uygulanabilmektedir.
Meselenin cezai boyutu ise Türk Ceza Kanunu (TCK) kapsamında ele alınmaktadır. TCK’nın ilgili maddeleri uyarınca, kişisel verilerin hukuka aykırı olarak kaydedilmesi, yayılması veya ele geçirilmesi hapis cezası gerektiren birer suç teşkil eder. Yargıtay’ın yerleşik içtihatlarında da önemle vurgulandığı üzere, hastaların rızası veya kanuni bir zorunluluk olmaksızın sağlık verilerinin üçüncü kişilerle paylaşılması, paylaşan personelin ve sistem güvenliğini sağlamayan kurumun cezai ve hukuki sorumluluğunu doğurur. Ayrıca, veri sızıntısı sebebiyle zarar gören hastalar, 6098 sayılı Türk Borçlar Kanunu’nun haksız fiil sorumluluğuna ilişkin hükümleri uyarınca maddi ve manevi tazminat talebinde bulunma hakkına sahiptir.
Hekimler ve Hastalar İçin Pratik Öneriler
HBYS güvenliği, yalnızca hastanelerin bilgi işlem birimlerinin değil, sistem kullanan hekimlerin ve sisteme verilerini emanet eden hastaların da dikkat etmesi gereken ortak bir konudur:
Hekimler ve Sağlık Çalışanları İçin:
- HBYS giriş şifrelerinizi kesinlikle iş arkadaşlarınızla veya asistanlarınızla paylaşmayın.
- Sistem başında olmadığınız anlarda bilgisayar ekranınızı mutlaka kilitli konumda bırakın.
- Hastaya ait verileri, hastanın açık rızası veya mevzuatın izin verdiği durumlar dışında hiçbir dijital platformda (örneğin anlık mesajlaşma uygulamalarında) paylaşmayın.
Hastalar İçin:
- Sağlık kuruluşlarına verdiğiniz kişisel ve tıbbi bilgilerin doğruluğundan emin olun ve KVKK kapsamındaki aydınlatma metinlerini dikkatlice okuyun.
- Bilgilerinize yetkisiz erişim sağlandığını veya verilerinizin sızdırıldığını düşündüğünüz durumlarda, öncelikle veri sorumlusu hastaneye başvurarak bilgi talep etme hakkınızı kullanın.
Sonuç
Hastane Bilgi Yönetim Sistemlerinde veri güvenliği, yalnızca yasal bir zorunluluk değil, hekim ile hasta arasındaki güven ilişkisinin de en temel taşıdır. Mevzuata uyumun eksiksiz sağlanması, hem hastaların mahremiyet hakkını korur hem de sağlık kuruluşlarını ağır tazminat ve ceza davalarından muhafaza eder.
Anahtar Kelime : veri guvenligi yukumlulukleri
