Dijitalleşen sağlık sektörü, hasta süreçlerini hızlandırmak ve sağlık hizmetlerine erişimi kolaylaştırmak amacıyla tahlil sonuçlarının SMS veya e-posta yoluyla iletilmesi uygulamasını yaygınlaştırmıştır. Hem hekimler hem de hastalar açısından büyük pratiklik sağlayan bu yöntem, hukuki açıdan son derece hassas dengeler üzerine kuruludur. Hastanın en mahrem bilgileri arasında yer alan sağlık verilerinin kontrolsüzce paylaşılması, ciddi hukuki, cezai ve idari yaptırımlara yol açabilmektedir. Peki, SMS ve e-posta ile tahlil sonucu gönderilmesi hukuka uygun mudur? Bu sorunun yanıtını, Türk sağlık mevzuatı ve kişisel verilerin korunması hukuku çerçevesinde ele almak gerekir.
Sağlık Verilerinin Hukuki Niteliği: Özel Nitelikli Kişisel Veri
Anayasa’nın 20. maddesiyle güvence altına alınan özel hayatın gizliliği ve kişisel verilerin korunması hakkı, sağlık alanında çok daha sıkı kurallara tabidir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, bireylerin sağlık verileri “özel nitelikli kişisel veri” statüsündedir. Kanun’un 6. maddesi uyarınca, bu tür verilerin işlenmesi ve aktarılması, genel nitelikli verilere göre çok daha sıkı şartlara bağlanmıştır. Sağlık verileri, prensip olarak ancak ilgili kişinin açık rızası bulunması halinde işlenebilir. Açık rıza bulunmadığı takdirde ise Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Sağlık Verileri Hakkında Yönetmelik ve ilgili kanun hükümleri kapsamında; ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altındaki kişiler (hekimler, sağlık personeli vb.) veya yetkili kurumlar tarafından işlenebilmektedir.
SMS ve E-Posta ile Gönderim Hukuka Uygun mu?
Tahlil sonuçlarının hastaya SMS veya e-posta yoluyla doğrudan iletilmesi, ilk bakışta teşhis ve tedavi sürecinin bir parçası gibi görünse de veri güvenliği ve veri aktarımı yönünden ciddi riskler barındırmaktadır. Kişisel Verileri Koruma Kurulu’nun yerleşik kararlarında ve ilke kararlarında vurgulandığı üzere, tahlil sonuçlarının doğrudan, maskelenmeden ve şifresiz bir şekilde e-posta veya SMS ile gönderilmesi tek başına hukuka aykırılık teşkil edebilir.
1. Veri Güvenliği ve Yanlış Kişiye Gönderim Riski
KVKK’nın 12. maddesi, veri sorumlularına (hastaneler, klinikler, hekimler) kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla her türlü teknik ve idari tedbiri alma yükümlülüğü yüklemektedir. Tahlil sonuçlarının yanlış girilen bir telefon numarasına SMS ile gönderilmesi veya yanlış bir e-posta adresine iletilmesi, hassas verilerin yetkisiz üçüncü kişilerin eline geçmesine sebep olur. Bu durum, veri güvenliği ihlali anlamına gelir. Kişisel Verileri Koruma Kurulu, iletişim bilgilerinin teyit edilmeden yapılan bu tür paylaşımlarını açık bir veri ihlali olarak kabul etmekte ve ilgili sağlık kuruluşlarına ciddi idari para cezaları uygulamaktadır. Bu doğrultuda, veri sorumlularının iletişim bilgilerini doğrulamak adına gerekli teyit mekanizmalarını kurması hukuki bir zorunluluktur.
2. Yurt Dışına Veri Aktarımı Engeli
Sağlık kuruluşları tarafından kullanılan kurumsal e-posta altyapılarının (Gmail, Outlook vb.) sunucularının yurt dışında bulunması durumunda, tahlil sonuçlarının e-posta ile gönderilmesi hukuken “yurt dışına veri aktarımı” niteliği taşımaktadır. KVKK’nın 9. maddesine göre, özel nitelikli kişisel verilerin yurt dışına aktarılabilmesi için hastanın bu aktarıma ilişkin spesifik ve özgür iradeye dayalı açık rızasının alınmış olması veya kanunda öngörülen diğer hukuki mekanizmaların işletilmesi şarttır. Aksi takdirde, yabancı sunucular üzerinden yapılan her e-posta gönderimi doğrudan kanun ihlali sayılacaktır.
Hekimler ve Sağlık Kuruluşları İçin Uyum Rehberi
Tahlil sonuçlarının dijital kanallarla paylaşılması sürecini hukuka uygun hale getirmek amacıyla sağlık kuruluşlarının ve hekimlerin şu adımlara dikkat etmesi gerekir:
- Aydınlatma ve Açık Rıza Ayrımı: Hastaya öncelikle veri işleme süreci hakkında detaylı bir aydınlatma yapılmalıdır. Tahlil sonuçlarının e-posta veya SMS ile gönderilmesi talep ediliyorsa, bu işlem için hastadan mutlaka “ayrı ve özgür iradeye dayalı” bir açık rıza alınmalıdır. Tedavi hizmetinin sunulması, bu rızanın verilmesi şartına bağlanmamalıdır.
- İletişim Bilgilerinin Doğrulanması: Kişisel Verileri Koruma Kurulu’nun ilke kararlarına uygun olarak, SMS veya e-posta gönderimi öncesinde hastanın beyan ettiği iletişim bilgilerinin doğruluğu (tek kullanımlık doğrulama kodu gönderme vb. yöntemlerle) teyit edilmelidir.
- Veri Maskeleme ve Şifreleme: Tahlil sonuçları doğrudan metin olarak veya şifresiz PDF eki olarak gönderilmemelidir. Bunun yerine, sonuçların şifreli bir dosya halinde gönderilmesi veya tahlil raporunda hastanın kimlik bilgilerinin maskelenmesi tercih edilmelidir.
- Güvenli Hasta Portalları Kullanımı: En güvenli yöntem, hastaya doğrudan veri göndermek yerine, Sağlık Bakanlığı’nın e-Nabız sistemi entegrasyonu kullanmak veya hastanenin kendi güvenli hasta portalı (e-sonuç) üzerinden, iki aşamalı doğrulama ile sonuçlara erişim sağlamaktır.
Sonuç olarak; tahlil sonuçlarının SMS ve e-posta ile gönderilmesi, gerekli idari ve teknik güvenlik tedbirleri alınmadığı, hastanın açık rızası bulunmadığı ve iletişim bilgi doğrulamaları yapılmadığı sürece hukuka aykırıdır. Sağlık kuruluşlarının idari para cezaları, Yargıtay’ın yerleşik içtihatlarında da kabul edilen tazminat davaları ve Türk Ceza Kanunu kapsamındaki yaptırımlarla karşı karşıya kalmaması adına, KVKK ve Sağlık Bakanlığı mevzuatına tam uyumlu bir veri aktarım politikası benimsemesi hayati önem arz etmektedir.
Anahtar Kelime : tahlil sonucu gönderimi
