Modern tıp uygulamaları ve sağlık turizminin hızla gelişmesi, hastaların tıbbi kayıtlarının ve sağlık verilerinin dijital ortamda işlenmesini ve sıklıkla sınır ötesine aktarılmasını zorunlu kılmaktadır. Ancak sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca “özel nitelikli kişisel veri” statüsündedir ve korunması Anayasal bir güvence altındadır. 2024 yılında mevzuatta yapılan köklü reformlar ve Resmi Gazete’de yayımlanan yeni yönetmelikler, özellikle hekimler, klinikler ve hastalar açısından sağlık verilerinin yurt dışına aktarılmasında yeni bir hukuki dönemi başlatmıştır.
Sağlık Verisi Nedir ve Neden Hassastır?
Kişilerin beden ve ruh sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili veriler sağlık verisi olarak kabul edilir. KVKK’nın 6. maddesi kapsamında bu veriler, ifşa edilmesi durumunda kişinin ayrımcılığa maruz kalma veya mağdur olma riskini taşıyan “özel nitelikli” verilerdir. 2024 yılında yürürlüğe giren kanun değişiklikleriyle birlikte, sağlık verilerinin işlenme şartları Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu hale getirilmiştir. Bu doğrultuda; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altındaki kişiler (hekimler) veya yetkili kurumlar tarafından bu verilerin açık rıza aranmaksızın işlenmesi kolaylaştırılmıştır. Ancak işlenen bu verilerin yurt dışına gönderilmesi, çok daha sıkı kurallara tabidir.
Yurt Dışına Veri Aktarımında Yeni Mevzuat: 2024 Reformu
Geçmişte yurt dışına veri aktarımı büyük ölçüde hastanın “açık rızasına” dayanmaktaydı. Ancak açık rızanın her an geri çekilebilmesi, sağlık turizmi yapan klinikler ve hastaneler için operasyonel süreçleri güvencesiz hale getirmekteydi. 10 Temmuz 2024 tarihli Resmi Gazete’de yayımlanarak yürürlüğe giren “Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik” ile birlikte, aktarım süreçleri daha sürdürülebilir ve kurumsal mekanizmalara bağlanmıştır. Yeni düzende, KVKK’nın 9. maddesi uyarınca üç kademeli bir aktarım rejimi benimsenmiştir:
- Yeterlilik Kararı: Kişisel Verileri Koruma Kurulu (Kurul) tarafından veri aktarılacak ülkenin veya sektörün yeterli korumaya sahip olduğuna dair bir karar verilmişse, veriler ek bir onay gerekmeksizin aktarılabilir.
- Uygun Güvenceler: Yeterlilik kararının bulunmadığı durumlarda; tarafların “Standart Sözleşme” imzalaması, “Bağlayıcı Şirket Kuralları” belirlemesi veya Kuruldan izin alınan bir taahhütname hazırlaması gerekir. Sağlık sektöründe en sık tercih edilen yöntem Kurul tarafından yayımlanan standart sözleşmelerdir. Bu sözleşmeler imzalandıktan sonra 5 iş günü içinde Kurula bildirilmek zorundadır.
- Arızi (İstisnai) Aktarım: Süreklilik arz etmeyen, tek seferlik durumlarda (örneğin acil tıbbi müdahale için yurt dışındaki bir uzman hekimle hasta verilerinin paylaşılması gerektiğinde) açık rıza veya diğer istisnai haller çerçevesinde veri aktarılabilir.
Hekimler ve Sağlık Kuruluşları İçin Kritik Uyarılar
Birçok sağlık kuruluşu ve hekim, farkında olmadan sağlık verilerini yurt dışına aktararak KVKK’yı ihlal etmektedir. Yurt dışı menşeili bulut depolama servisleri (Google Drive, Dropbox, AWS), yabancı tabanlı e-posta sağlayıcıları veya anlık mesajlaşma uygulamaları (WhatsApp, Telegram) üzerinden hasta verilerinin, tahlil sonuçlarının veya röntgenlerin paylaşılması hukuken bir “yurt dışına aktarım” faaliyetidir. Bu sunucuların fiziksel olarak Türkiye dışında bulunması, yasal güvenceler (standart sözleşmeler gibi) sağlanmadığı takdirde ciddi idari para cezalarına yol açmaktadır.
Anayasa Mahkemesi ve Yargıtay’ın yerleşik içtihatlarında da açıkça vurgulandığı üzere, bireylerin tıbbi geçmişi ve sağlık durumuna dair mahremiyet hakları temel hak ve özgürlüklerin en hassas halkasını oluşturur. Bu verilere yetkisiz erişim sağlanması veya hukuka aykırı şekilde yurt dışına transfer edilmesi, sadece idari yaptırımları değil; Türk Ceza Kanunu kapsamında “kişisel verileri hukuka aykırı olarak verme veya ele geçirme” suçundan kaynaklanan cezai sorumlulukları da beraberinde getirmektedir.
Sonuç
Sağlık turizminde uluslararası rekabet gücünü korumak ve hastalara güvenli bir tedavi süreci sunmak isteyen hekimler ve klinikler, veri akış haritalarını acilen güncellemelidir. Kullanılan dijital sistemlerin sunucu konumları tespit edilmeli, yabancı partnerlerle Kurul onaylı standart sözleşmeler akdedilmeli ve süreçlerin mevzuata uyumu bir sağlık hukuku uzmanı eşliğinde yürütülmelidir. Unutulmamalıdır ki, sağlık verilerinin güvenliği en az tıbbi tedavinin başarısı kadar hayati önem taşır.
Anahtar Kelime : sağlık verisi yurt dışı
