Kişisel sağlık verileri, bir bireyin en mahrem ve hassas bilgileri arasında yer alır. Bu verilerin korunması, hasta haklarının temel bir parçasını oluştururken, bu bilgileri işleyen hekimler ve sağlık kuruluşları için de ciddi hukuki sorumluluklar doğurmaktadır. Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), sağlık verilerini “özel nitelikli kişisel veri” olarak sınıflandırarak bu alanda son derece katı bir koruma rejimi benimsemiştir. Bu yazıda, kişisel sağlık verilerinin ihlalinin ne anlama geldiği, bu ihlaller karşısında hukuki, idari ve cezai sorumluluklar detaylı bir şekilde ele alınacaktır.
Kişisel Sağlık Verisi Nedir ve Neden Özel Niteliklidir?
Kişisel sağlık verisi, bir bireyin fiziksel veya ruhsal sağlığına ilişkin her türlü bilgiyi ifade eder. Hastalık geçmişi, tahlil sonuçları, kullanılan ilaçlar, genetik bilgiler, tıbbi müdahaleler, randevu kayıtları ve hatta bir kişinin engellilik durumu gibi tüm bilgiler bu kapsama girer. KVKK, bu tür verileri özel nitelikli (hassas) veri olarak kabul eder. Bunun temel sebebi, bu bilgilerin ifşa olması durumunda kişilerin ayrımcılığa uğrama veya mağduriyet yaşama riskinin yüksek olmasıdır. Bu nedenle, bu verilerin işlenmesi genel kişisel verilere kıyasla çok daha sıkı kurallara bağlanmıştır.
Sağlık Verilerinin İşlenmesinde Temel Kural: Açık Rıza
Kişisel sağlık verilerinin işlenmesindeki ana ilke, ilgili kişinin “açık rızası”nın alınmasıdır. Açık rıza, kişinin yeterli düzeyde bilgilendirilmeye dayanan ve özgür iradesiyle verdiği onayı ifade eder. Ancak, kanun bu kurala önemli istisnalar getirmiştir. Aşağıdaki durumlarda, sır saklama yükümlülüğü altında bulunan hekim, sağlık personeli veya yetkili kurumlar tarafından hastanın açık rızası aranmaksızın sağlık verileri işlenebilir:
- Kamu sağlığının korunması
- Koruyucu hekimlik faaliyetleri
- Tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi
- Sağlık hizmetleri ile finansmanının planlanması ve yönetimi
Bu istisnalar, sağlık hizmetlerinin aksamadan yürütülebilmesi için gereklidir. Ancak bu durum, veri güvenliği yükümlülüğünü ortadan kaldırmaz. Sağlık hizmeti sunucuları, bu süreçlerde dahi verilerin korunması için gerekli tüm teknik ve idari tedbirleri almak zorundadır.
Veri İhlali ve Sorumluluğun Doğması
Kişisel sağlık verilerinin ihlali, bu verilerin yetkisiz kişilerce görülmesi, paylaşılması, değiştirilmesi veya yok edilmesi gibi birçok farklı şekilde ortaya çıkabilir. Örneğin, bir hastanın tahlil sonuçlarının rızası olmadan üçüncü bir kişiyle paylaşılması, hasta dosyalarına yetkisiz erişim sağlanması veya verilerin siber saldırı sonucu çalınması ciddi birer veri ihlalidir. Bu gibi durumlarda sorumluluk, “veri sorumlusu” sıfatını taşıyan sağlık kurumuna (hastane, poliklinik, muayenehane) ve işlemi gerçekleştiren personele aittir.
İhlal Durumunda Ortaya Çıkan Sorumluluk Türleri
Sağlık verilerinin ihlali, sorumlular için üç temel alanda ciddi sonuçlar doğurur:
1. İdari Sorumluluk (KVKK Yaptırımları)
Kişisel Verileri Koruma Kurulu (Kurul), veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyen veri sorumluları hakkında yüksek miktarlarda idari para cezaları uygulama yetkisine sahiptir. Bu cezalar, aydınlatma yükümlülüğünün yerine getirilmemesinden, veri güvenliğine ilişkin gerekli tedbirlerin alınmamasına kadar geniş bir yelpazedeki ihlalleri kapsar. Kurul ayrıca, hukuka aykırı veri işleme faaliyetlerinin durdurulması gibi ek tedbir kararları da alabilir.
2. Cezai Sorumluluk (Türk Ceza Kanunu)
Kişisel sağlık verilerinin hukuka aykırı olarak kaydedilmesi, paylaşılması veya ele geçirilmesi, Türk Ceza Kanunu (TCK) kapsamında suç teşkil eder. TCK’nın 135. ve 136. maddeleri, kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi fiillerine hapis cezası öngörmektedir. Suçun konusunun sağlık verisi gibi özel nitelikli bir veri olması, cezanın ağırlaştırıcı bir sebebi olarak kabul edilir. Bu suçların bir kamu görevlisi veya belirli bir mesleği icra eden kişi (hekim gibi) tarafından görevinin verdiği yetki kötüye kullanılarak işlenmesi de cezayı artıran bir başka nitelikli haldir.
3. Hukuki Sorumluluk (Tazminat Yükümlülüğü)
Kişisel sağlık verilerinin ihlali nedeniyle maddi veya manevi bir zarara uğrayan kişiler, genel hukuk mahkemelerinde tazminat davası açma hakkına sahiptir. Örneğin, bir kişinin HIV pozitif olduğu bilgisinin hukuka aykırı şekilde ifşa edilmesi sonucu işini kaybetmesi maddi zarara, toplum içinde küçük düşürülmesi ise manevi zarara yol açabilir. Yargıtay’ın yerleşik içtihatlarında da kişilik haklarının ihlalinden doğan manevi zararın giderilmesi gerektiği prensibi benimsenmiştir.
Sonuç
Kişisel sağlık verilerinin korunması, dijitalleşen sağlık hizmetlerinde hem hastalar hem de hekimler için en öncelikli konulardan biridir. Sağlık kuruluşları ve çalışanları, KVKK ve ilgili mevzuatın getirdiği yükümlülükleri eksiksiz bir şekilde yerine getirmeli, veri güvenliğini sağlamak için gerekli tüm teknik ve idari önlemleri almalıdır. Veri ihlallerinin idari para cezaları, hapis cezaları ve tazminat davaları gibi ağır sonuçlar doğurabileceği unutulmamalıdır. Hasta mahremiyetine gösterilen özen, aynı zamanda hekim ile hasta arasındaki güven ilişkisinin de temelini oluşturur.
Anahtar Kelime : sağlık hukuku hasta verileri
