Sağlık sektörü, bireylerin en hassas bilgilerinin işlendiği ve saklandığı alanların başında gelir. Tıbbi teşhisler, tahlil sonuçları, reçeteler ve genetik bilgiler gibi veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında özel nitelikli kişisel veri olarak kabul edilir. Bu verilerin hukuka aykırı şekilde başkalarının eline geçmesi veya ifşa olması durumu ise veri ihlali olarak tanımlanır. Sağlık kuruluşları (hastaneler, tıp merkezleri, klinikler ve muayenehaneler) kanun önünde “veri sorumlusu” sıfatına sahiptir ve olası bir ihlal durumunda hızlıca aksiyon almakla yükümlüdür.
Sağlık Kuruluşlarında Veri İhlali Nedir?
Bir sağlık kuruluşunda hastaların tıbbi kayıtlarının yetkisiz kişilerce ele geçirilmesi, e-nabız veya klinik yönetim yazılımı şifrelerinin çalınması, hasta listelerinin rıza dışı paylaşılması ya da fiziksel arşivdeki hasta dosyalarının kaybolması gibi durumlar veri ihlali teşkil eder. Bu ihlaller, hastaların mahremiyet hakkını doğrudan zedelediği için KVKK nezdinde en yüksek koruma standartlarına tabidir.
KVKK Veri İhlali Bildirim Süreci Nasıl İşler?
6698 sayılı Kanun’un 12. maddesinin 5. fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu’na (Kurul) bildirmesi zorunludur. Resmi Gazete’de yayımlanan Kurul kararları çerçevesinde, bu bildirim için belirlenen kritik süre 72 saattir. Bu sürenin aşılması ciddi idari yaptırımları beraberinde getirebilir.
1. İhlalin Tespit Edilmesi ve Kontrol Altına Alınması
Olası bir siber saldırı veya fiziksel hırsızlık durumunda sağlık kuruluşu, ihlali öncelikle teknik düzeyde durdurmalıdır. Sistemlerin izole edilmesi, şifrelerin değiştirilmesi ve sızıntı kaynağının kapatılması ilk adımdır. Eş zamanlı olarak hukuk departmanı veya danışman sağlık hukuku avukatı ile iletişime geçilmelidir.
2. Kişisel Verileri Koruma Kurulu’na Bildirim Yapılması
İhlalin tespit edilmesinden itibaren 72 saat içinde KVKK’nın resmi internet sitesinde yer alan “Veri İhlali Bildirim Formu” doldurularak Kurul’a bildirim yapılmalıdır. Bu formda şu bilgilerin yer alması zorunludur:
- İhlalin ne zaman gerçekleştiği ve nasıl tespit edildiği,
- İhlalden etkilenen hasta ve çalışan grupları,
- Etkilenen kişisel veri ve özel nitelikli kişisel veri kategorileri,
- İhlalin olası sonuçları ve kuruluş tarafından alınan önlemler.
3. İlgili Kişilere (Hastalara) Bildirim Yapılması
Veri sorumlusu, ihlalden etkilenen hastaları da makul olan en kısa sürede bilgilendirmelidir. Bu bildirim, sağlık kuruluşunun internet sitesinde duyuru yayımlanması veya etkilenen hastalara doğrudan e-posta/SMS gönderilmesi şeklinde yapılabilir. Bildirimde, hastaların haklarını arayabilmeleri için hangi verilerinin etkilendiği açıkça belirtilmelidir.
Yasal Sorumluluklar ve Yaptırımlar
KVKK kapsamında veri ihlali bildirim yükümlülüğünün yerine getirilmemesi veya veri güvenliğinin sağlanamaması durumunda sağlık kuruluşlarına yüksek miktarda idari para cezaları uygulanmaktadır. Bunun yanı sıra Türk Ceza Kanunu (TCK) hükümleri uyarınca kişisel verileri hukuka aykırı olarak ele geçiren, yayan veya depolayan kişiler için hapis cezası öngörülmüştür.
Ayrıca, Yargıtay’ın yerleşik içtihatlarında da vurgulandığı üzere, hasta verilerinin ifşası hekim ile hasta arasındaki güven ilişkisini sarsmaktadır. Bu doğrultuda, 6098 sayılı Türk Borçlar Kanunu (TBK) çerçevesinde hastaların sağlık kuruluşuna ve hekime karşı maddi ve manevi tazminat davası açma hakları saklıdır. Sağlık Bakanlığı’nın hasta hakları yönetmelikleri de bu mahremiyet hakkını en üst düzeyde korumaktadır.
Sonuç ve Öneriler
Sağlık kuruluşlarında veri güvenliği sadece teknik bir detay değil, aynı zamanda hukuki bir zorunluluktur. Olası bir veri ihlali anında kaos yaşamamak adına tüm klinik ve hastanelerin önceden hazırlanmış bir “Veri İhlali Müdahale Planı” bulunmalıdır. Hekimlerin ve sağlık personelinin düzenli aralıklarla KVKK eğitimi alması, siber güvenlik önlemlerinin güncellenmesi ve uzman bir sağlık hukuku avukatı eşliğinde süreçlerin denetlenmesi, hem hastaların haklarını koruyacak hem de kuruluşu ağır yasal yaptırımlardan kurtaracaktır.
Anahtar Kelime : veri ihlali bildirimi
