Teknolojinin hızla gelişmesi, sağlık sektöründe de dijitalleşmeyi kaçınılmaz hale getirmiştir. Günümüzde hekimler ve sağlık kuruluşları; hasta kayıtlarını tutmak, tetkik sonuçlarını saklamak ve randevuları organize etmek amacıyla sıklıkla bulut tabanlı yazılımları tercih etmektedir. Ancak bu pratik yöntemin arkasında, hukuki açıdan son derece hassas bir sınır bulunmaktadır: sağlık verilerinin yurt dışındaki bulut sistemlerine aktarılması. Hastaların en mahrem bilgilerini içeren bu verilerin sınır ötesi sunucularda saklanması, hem hekimler hem de hastalar açısından ciddi hukuki sorumluluklar doğurmaktadır.
Sağlık Verilerinin Hukuki Niteliği ve Mahremiyeti
Hukukumuzda kişisel veriler genel olarak korunurken, sağlık verilerine ayrı bir hassasiyet gösterilmiştir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında sağlık verileri, “özel nitelikli kişisel veri” olarak kabul edilir. Bu durum, sağlık verilerinin sıradan bir iletişim bilgisine kıyasla çok daha sıkı korunmasını gerektirir. Anayasa Mahkemesi kararlarında da vurgulandığı üzere, bireylerin tıbbi geçmişi, tahlil sonuçları ve tanı bilgileri, kişisel mahremiyetin en çekirdek alanını oluşturur. Dolayısıyla bu verilerin işlenmesi ve saklanması, yalnızca kanunun çizdiği dar sınırlar çerçevesinde mümkündür.
Bulut Sistemi Kullanmak Bir “Yurt Dışı Aktarımı” mıdır?
Birok hekim veya klinik yöneticisi, kullandıkları yazılımların sunucularının nerede olduğunu bilmeden veri kaydı yapabilmektedir. Ancak dünya genelinde popüler olan pek çok bulut depolama servisi ve hasta takip yazılımının sunucuları Türkiye sınırları dışında yer almaktadır. Hukuki açıdan, Türkiye’deki bir hastanın sağlık verisinin, sunucusu yurt dışında bulunan bir bulut sistemine kaydedilmesi, bu verilerin yurt dışına aktarılması anlamına gelir. Yargıtay’ın yerleşik içtihatlarında da belirtildiği üzere, verinin fiziki olarak sınır dışına çıkarılması ile yurt dışı kaynaklı bir bulut sistemine yüklenmesi arasında hukuken hiçbir fark yoktur.
Yeni Hukuki Dönem: Standart Sözleşmeler ve Güvenceler
Kişisel verilerin yurt dışına aktarılmasına ilişkin usul ve esaslarda Resmi Gazete’de yayımlanarak yürürlüğe giren yasal değişikliklerle birlikte köklü bir reform gerçekleştirilmiştir. Eski uygulamada ağırlıklı olarak “açık rıza” mekanizmasına dayanarak yapılan aktarımlar, yeni dönemde yerini daha kurumsal ve sistematik güvencelere bırakmıştır. KVKK’nın güncel 9. maddesi uyarınca, sağlık verilerinin yurt dışındaki bulut sistemlerine aktarılabilmesi için şu yollardan birinin varlığı aranmaktadır:
- Yeterlilik Kararı: Verinin aktarılacağı ülkenin, Kişisel Verileri Koruma Kurulu tarafından güvenli ülke ilan edilmiş olması.
- Uygun Güvenceler (Standart Sözleşmeler): Yeterlilik kararının bulunmadığı durumlarda, veri sorumlusu ile yurt dışındaki veri işleyen arasında Kurul tarafından ilan edilen standart sözleşmelerin imzalanması. Bu sözleşmelerin imzalanmasından itibaren 5 iş günü içinde Kurul’a bildirilmesi yasal bir zorunluluktur.
- Bağlayıcı Şirket Kuralları: Ortaklar veya grup şirketleri arasında onaylanmış kurumsal kuralların bulunması.
Hekimler ve Sağlık Kuruluşları İçin Uyum Rehberi
Hekimlerin ve sağlık kuruluşu yöneticilerinin idari yaptırımlarla karşı karşıya kalmaması adına bulut teknolojilerini kullanırken şu adımları izlemesi gerekmektedir:
- Veri Haritası Çıkarın: Kullanılan hasta takip, muhasebe veya e-posta sistemlerinin sunucularının Türkiye’de mi yoksa yurt dışında mı yer aldığını kesin olarak tespit edin.
- Yerli Alternatifleri Değerlendirin: Mümkünse sunucuları tamamen Türkiye sınırları içerisinde bulunan, yerli bulut ve yazılım çözümlerini tercih edin.
- Sözleşmesel Güvenceleri Tamamlayın: Yurt dışı merkezli bir bulut servisi kullanılacaksa, mutlaka mevzuata uygun standart sözleşme süreçlerini tamamlayın ve yasal bildirim sürelerine riayet edin.
- Teknik Tedbirleri Alın: Buluttaki verilere erişimi sınırlandırın, güçlü şifreleme (kriptografi) yöntemleri kullanın ve veri güvenliği politikalarını hayata geçirin.
Sonuç ve Hukuki Müeyyideler
Sağlık verilerinin mevzuata aykırı şekilde yurt dışındaki bulut sistemlerinde saklanması, veri sorumlusu olan hekimler ve sağlık kuruluşları için ciddi idari para cezalarının yanı sıra Türk Ceza Kanunu kapsamında kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçunun oluşmasına da zemin hazırlayabilir. Hasta mahremiyetinin korunması ve hukuki güvenliğin sağlanması adına, dijitalleşme adımlarının uzman bir sağlık hukuku perspektifiyle atılması büyük önem arz etmektedir.
Anahtar Kelime : sağlık verisi aktarımı
