Günümüzde sağlık sektörü, dijitalleşmenin sunduğu kolaylıklardan en üst düzeyde faydalanmaktadır. Hekimler; hasta geçmişlerini, tahlil sonuçlarını, reçeteleri ve tedavi planlarını çoğunlukla bilgisayarlarında veya klinik bilgi sistemlerinde muhafaza etmektedir. Ancak, bu dijital kolaylık bazı riskleri de beraberinde getirmektedir. Bir hekimin bilgisayarının çalınması, sadece maddi bir kayıp değil, aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında ciddi bir “veri ihlali” durumudur. Bu tür bir olay karşısında hekimlerin hem cezai hem de idari yaptırımlarla karşılaşmaması için atması gereken kritik adımlar bulunmaktadır.
Hırsızlık Olayının KVKK Açısından Niteliği
KVKK uyarınca, kişilerin sağlık verileri “özel nitelikli kişisel veri” statüsündedir. Kanun koyucu, bu verilerin ifşa olmasının ilgili kişiler üzerinde ayrımcılık veya mağduriyet yaratma riski taşıması sebebiyle, korunmalarına yönelik çok daha sıkı tedbirler öngörmüştür. Bir hekimin veya kliniğin bilgisayarının çalınması, bu verilerin yetkisiz üçüncü kişilerin eline geçmesi riskini doğurur. Dolayısıyla, hırsızlık vakası hukuken doğrudan bir “kişisel veri ihlali” olarak kabul edilir ve veri sorumlusu sıfatını haiz hekimin kanuni yükümlülüklerini tetikler.
Veri İhlali Durumunda Hekimin Hukuki Yükümlülükleri
Bilgisayarı çalınan veya kaybolan bir hekimin, idari yaptırımlarla ve tazminat davalarıyla karşı karşıya kalmaması adına zaman kaybetmeden gerçekleştirmesi gereken yasal prosedürler mevcuttur.
1. Kolluk Kuvvetlerine ve Cumhuriyet Başsavcılığına Başvuru
Bilgisayarın çalındığının fark edildiği an, vakit kaybetmeksizin en yakın emniyet birimine veya Cumhuriyet Başsavcılığına müracaat edilmelidir. Hırsızlık olayına dair resmi bir şikayet dilekçesi verilmeli ve olayın gerçekleştiği ana dair kolluk tutanağı tutulmalıdır. Bu tutanak, ilerleyen süreçte Kişisel Verileri Koruma Kurulu (Kurul) nezdinde yapılacak savunmalarda ve idari süreçlerde, olayın mücbir bir sebepten kaynaklandığını ve iyi niyetle gerekli hukuki yollara başvurulduğunu ispatlayan en önemli resmi belgedir.
2. Kişisel Verileri Koruma Kuruluna (KVKK) Bildirim (72 Saat Kuralı)
Resmi Gazete’de yayımlanan Kurul kararları ve 6698 sayılı Kanun’un 12. maddesi uyarınca, veri sorumluları meydana gelen veri ihlallerini en kısa sürede Kurula bildirmekle yükümlüdür. Kurulun yerleşik kararlarında bu süre, ihlalin öğrenildiği andan itibaren fiili olarak 72 saat olarak belirlenmiştir. Hekim, bilgisayarının çalındığını öğrendiği andan itibaren 72 saat içerisinde Kurulun resmi internet sitesi üzerinden ihbar formunu doldurarak bildirimde bulunmalıdır. Bu bildirimde; ihlalden etkilenen hasta sayısı, ihlal edilen veri kategorileri ve alınan önlemler detaylandırılmalıdır.
3. İlgili Kişilere (Hastalara) İhlal Bildirimi Yapılması
Kanun, sadece Kurulun değil, verileri çalınan hastaların da durumdan haberdar edilmesini zorunlu kılmaktadır. Bilgisayarı çalınan hekim, verileri ele geçirilen veya geçirilme ihtimali olan hastalarına makul bir süre içinde bildirimde bulunmalıdır. Bu bildirim; e-posta, SMS veya doğrudan telefon araması ile yapılabilir. Bildirimin amacı, hastaların kendi güvenlikleri için gerekli önlemleri almalarını sağlamaktır. Bildirimde ihlalin ne zaman gerçekleştiği, hangi verilerin etkilendiği ve hastaların alabileceği önlemler açıkça belirtilmelidir.
Hukuki Sorumluluk ve Yargıtay İçtihatları
Hekimin bilgisayarının çalınması durumunda, idari para cezalarının yanı sıra hastaların maddi veya manevi tazminat davası açma hakkı da doğabilir. 6098 sayılı Türk Borçlar Kanunu’nun genel hükümlerine ve Yargıtay’ın yerleşik içtihatlarına göre; hekimler, hastalarına karşı yüksek bir özen yükümlülüğü altındadır. Yargıtay’ın istikrar kazanmış kararlarında, hekimlerin hastalarının sırlarını saklama ve verilerini güvenli bir şekilde muhafaza etme borcu olduğu, bu borca aykırı hareket edilmesinin tazminat sorumluluğunu doğuracağı sıklıkla vurgulanmaktadır. Eğer hekim, bilgisayarındaki verileri şifrelememiş, yedeklememiş veya gerekli güvenlik önlemlerini almamışsa, “özen yükümlülüğünü ihlal” ettiği gerekçesiyle kusurlu bulunabilir ve tazminat ödemekle karşı karşıya kalabilir.
Geleceğe Yönelik Alınması Gereken Teknik Tedbirler
Bu tür hukuki ve idari yaptırımlarla karşılaşmamak adına hekimlerin şimdiden alması gereken bazı teknik tedbirler şunlardır:
- Disk Şifreleme (BitLocker vb.): Bilgisayar çalınsa dahi, sabit diskin şifreli olması durumunda verilerin üçüncü kişilerce okunması engellenir. Bu durum, veri ihlalinin etkisini sıfıra indirebilir.
- Güçlü Parola Politikaları: Bilgisayar açılışında ve kullanılan klinik yazılımlarında karmaşık parolalar tercih edilmelidir.
- Bulut Yedekleme ve Senkronizasyon: Verilerin düzenli olarak güvenli bulut sistemlerinde veya harici ünitelerde yedeklenmesi, veri kaybı yaşanmasını önler.
Sonuç olarak; hekimlerin bilgisayarlarının çalınması durumunda hızlı reaksiyon göstermesi, kolluk kuvvetlerine başvurması, 72 saat içinde KVKK Kuruluna ve etkilenen hastalara bildirim yapması yasal bir zorunluluktur. Alınacak teknik önlemler ise hem veri güvenliğini sağlayacak hem de olası bir hırsızlık durumunda hekimin hukuki sorumluluğunu en aza indirecektir.
Anahtar Kelime : hekim bilgisayar çalınma
