Sağlık sektörü, dijitalleşmenin en hızlı yaşandığı ve en hassas verilerin işlendiği alanların başında gelmektedir. Hastaneler, poliklinikler ve hekimler; hastaların tıbbi geçmişlerinden kimlik bilgilerine kadar geniş bir yelpazede “özel nitelikli kişisel veri” işlemektedir. Teknolojinin tıp alanına entegrasyonu süreçleri kolaylaştırırken, siber güvenlik risklerini de beraberinde getirmektedir. Sağlık kuruluşlarına yönelik siber saldırılar ve veri ihlalleri, yalnızca operasyonel aksaklıklara yol açmamakta, aynı zamanda ciddi hukuki ve cezai sorumlulukları beraberinde getirmektedir.
Hukuki Çerçeve: Kişisel Verilerin Korunması ve Sağlık Verileri
Türkiye Cumhuriyeti Anayasası’nın 20. maddesinde güvence altına alınan kişisel verilerin korunması hakkı, sağlık alanında çok daha sıkı kurallara tabidir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, kişilerin sağlık verileri özel nitelikli kişisel veri olarak sınıflandırılmıştır. Bu verilerin işlenmesi, kanunda belirtilen istisnalar dışında, ancak ilgilinin açık rızası çerçevesinde mümkündür. Sağlık Bakanlığı tarafından yayımlanan yönetmelikler ve bilgi güvenliği kılavuzları da hastanelerin uyması gereken asgari standartları yasal olarak belirlemektedir.
Veri Sorumlusu Olarak Hastanelerin Yükümlülükleri
KVKK kapsamında veri sorumlusu olan sağlık kuruluşları, veri güvenliğini sağlamak amacıyla gerekli her türlü idari ve teknik tedbiri almakla yükümlüdür. Bu tedbirler şu şekilde özetlenebilir:
- Teknik Tedbirler: Ağ güvenliğinin sağlanması, sızma testlerinin düzenli yapılması, veri şifreleme yöntemlerinin kullanılması ve siber güvenlik yazılımlarının güncellenmesi.
- İdari Tedbirler: Personelin veri güvenliği konusunda eğitilmesi, hastane çalışanları ile gizlilik sözleşmelerinin imzalanması ve veri erişim yetkilerinin sınırlandırılması.
Yargıtay’ın yerleşik içtihatlarında da vurgulandığı üzere, veri sorumlusunun gerekli özen yükümlülüğünü yerine getirmemesi, ortaya çıkan ihlallerde kusursuz sorumluluk veya hizmet kusuru kapsamında değerlendirilmektedir. Bu durum, sağlık kuruluşunun hukuki tazminat yükümlülüğünü doğrudan tetiklemektedir.
Siber Saldırı ve Veri İhlali Durumunda Yönetim Süreci
Olası bir siber ihlal durumunda, hastane yönetimlerinin hızlı ve planlı hareket etmesi yasal bir zorunluluktur. İhlal yönetimi süreci şu adımlardan oluşmalıdır:
- Hızlı Müdahale: İhlalin kaynağı saptanmalı ve sızıntı derhal durdurulmalıdır.
- KVKK Bildirimi: Veri sorumlusu, ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür.
- İlgili Kişilere Bildirim: Verileri ihlal edilen hastalara, durumun kapsamı ve alınabilecek önlemler hakkında makul bir sürede bilgi verilmelidir.
İhlallerin Hukuki ve Cezai Sonuçları
Sağlık verilerinin sızdırılması durumunda, hem kurumlar hem de veri güvenliğinden sorumlu personel için ciddi yaptırımlar söz konusudur. 5237 sayılı Türk Ceza Kanunu (TCK) uyarınca, kişisel verileri hukuka aykırı olarak yayma veya ele geçirme suçları hapis cezası ile yaptırıma bağlanmıştır. Suçun sağlık mesleği mensubu tarafından işlenmesi ise kanunen nitelikli hal kabul edilmektedir.
Ayrıca, zarar gören hastalar, uğradıkları maddi ve manevi zararların tazmini için 6098 sayılı Türk Borçlar Kanunu’nun (TBK) haksız fiil sorumluluğuna (m. 49) dayanarak tazminat davası açabilirler. Yargıtay kararlarında, hassas sağlık verilerinin sızdırılmasının kişinin manevi bütünlüğüne ağır bir tecavüz oluşturduğu ve manevi tazminat gerektirdiği kabul edilmektedir. İdari açıdan ise Kişisel Verileri Koruma Kurulu tarafından teknik ve idari tedbirleri almayan kurumlara ciddi idari para cezaları uygulanmaktadır.
Sonuç
Hastanelerde siber güvenlik, yalnızca teknik bir konu değil; hasta haklarının ve hekim-hasta gizliliğinin korunması için hayati bir hukuki yükümlülüktür. Sağlık kuruluşlarının proaktif bir yaklaşımla yasal mevzuata tam uyumlu siber güvenlik politikaları geliştirmesi ve bunları sürekli denetlemesi gerekmektedir.
Anahtar Kelime : veri ihlali hastane
