Dijitalleşen sağlık dünyasında hekimler, klinikler ve hastaneler; hasta kayıtlarını yönetmek, randevuları organize etmek ve tedavi süreçlerini takip etmek için bulut tabanlı yazılımları sıklıkla tercih etmektedir. Ancak bu yazılımların ve veri depolama hizmetlerinin sunucularının (server) fiziki olarak yurt dışında bulunması, hukuki açıdan son derece kritik bir soruyu beraberinde getirir: Yurt dışındaki sunucularda hasta verisi saklanabilir mi?
Hasta Verisinin Hukuki Niteliği Nedir?
Hukuki açıdan tüm kişisel veriler aynı koruma düzeyine tabi değildir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, bireylerin sağlık durumlarına, tedavilerine, tahlil sonuçlarına ve hatta randevu geçmişlerine ilişkin her türlü bilgi özel nitelikli kişisel veri olarak kabul edilir. Özel nitelikli kişisel veriler, ifşa edildiğinde kişinin ayrımcılığa maruz kalmasına veya mağduriyetine yol açabilecek nitelikte olduğundan, kanun koyucu tarafından çok daha sıkı güvenlik önlemleriyle korunmuştur. Yargıtay’ın yerleşik içtihatlarında da önemle vurgulandığı üzere, hekimin hasta sırlarını saklama yükümlülüğü hem mesleki etik kuralların hem de hukuki sorumluluğun temelini oluşturmaktadır. Bu sırrın dijital ortamlardaki güvenliği de aynı sorumluluğun doğrudan bir parçasıdır.
Yurt Dışı Sunucularda Veri Saklamak “Veri Aktarımı” mıdır?
Bir kliniğin veya hekimin, hastalarına ait verileri yurt dışı merkezli bir bulut sistemine (örneğin Google Drive, iCloud, AWS veya yurt dışı menşeli klinik yönetim yazılımları) yüklemesi, hukuki olarak bu verilerin yurt dışına aktarılması anlamına gelir. Sunucunun sınır ötesinde olması, verinin Türkiye Cumhuriyeti sınırları dışına çıkması sonucunu doğurur ve doğrudan KVKK’nın sınır ötesi veri aktarımı kurallarına tabi olur. Dolayısıyla, “Ben veriyi sadece saklıyorum, kimseyle paylaşmıyorum” argümanı hukuken geçersizdir; depolama işleminin kendisi bir veri işleme ve aktarım faaliyetidir.
Yeni Dönem: KVKK Değişiklikleri ve Sınır Ötesi Aktarım
Resmi Gazete’de yayımlanarak yürürlüğe giren yasal düzenlemeler ve Kişisel Verileri Koruma Kurumu (KVKK) kararları doğrultusunda, yurt dışına veri aktarım usulleri köklü bir değişikliğe uğramıştır. Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyum sağlama amacı taşıyan bu yeni dönemde, hasta verilerinin yurt dışındaki sunucularda saklanabilmesi için aşamalı bir hukuki rejim öngörülmüştür:
- Yeterlilik Kararı: Verilerin aktarılacağı ülkede yeterli bir veri koruma mevzuatının ve uygulamasının bulunduğuna dair Kişisel Verileri Koruma Kurulu tarafından verilmiş bir “yeterlilik kararı” bulunmalıdır.
- Uygun Güvenceler (Standart Sözleşmeler): Yeterlilik kararının bulunmadığı durumlarda, veri sorumlusu (hekim veya klinik) ile yurt dışındaki veri işleyen (bulut sağlayıcısı) arasında Kurul tarafından ilan edilen “Standart Sözleşme” modellerinden biri imzalanmalıdır. Bu sözleşmenin imzalanmasını takip eden beş iş günü içinde Kurum’a bildirilmesi yasal bir yükümlülüktür.
- İstisnai (Arızi) Haller: Sistemli ve sürekli olmayan, tek seferlik durumlar için bazı istisnalar bulunsa da, hastaların klinik kayıtlarının düzenli olarak yabancı sunucularda depolanması bu istisna kapsamına girmez. Dolayısıyla sürekli depolama faaliyetleri için mutlaka uygun güvencelerin sağlanması gerekir.
Sağlık Bakanlığı Mevzuatı ve Yerel Sunucu Önceliği
Yurt dışında hasta verisi saklama konusundaki tek otorite KVKK değildir. Sağlık Bakanlığı tarafından yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik ve ilgili resmi duyurular, sağlık hizmeti sunucularının uyması gereken özel kuralları belirler. Sağlık Bakanlığı’nın yerleşik uygulamaları ve bilgi güvenliği rehberleri uyarınca, birinci derece sağlık verilerinin ve hasta mahremiyetini ilgilendiren kayıtların Türkiye sınırları içerisindeki güvenli veri merkezlerinde (yerel sunucularda) tutulması esas alınmaktadır. Kamu sağlığının korunması ve teşhis-tedavi süreçlerinin kesintisiz yürütülmesi amacıyla, ulusal veri güvenliği politikalarına uyulması yasal bir zorunluluktur.
Hekimler ve Klinikler İçin Pratik Tavsiyeler
Yasal yaptırımlarla ve yüksek idari para cezalarıyla karşı karşıya kalmamak adına hekimlerin ve sağlık kuruluşlarının şu adımları atması önem arz etmektedir:
- Yerli Alternatifleri Tercih Edin: Hasta yönetim yazılımları seçilirken, sunucularının Türkiye sınırları içerisinde fiziki olarak konumlandırıldığından ve yerli veri merkezleri kullanıldığından emin olunmalıdır. Bu, en güvenli ve hukuki açıdan en az risk barındıran yöntemdir.
- Açık Rıza ve Aydınlatma Metinlerini Güncelleyin: Yurt dışı sunucu kullanımı kaçınılmaz ise, hastaların tedavi öncesinde bu durum hakkında açıkça bilgilendirilmesi ve yasalara uygun aydınlatılmış onamlarının/açık rızalarının alınması gerekir. Ancak unutulmamalıdır ki, yeni yasal düzenlemeler ışığında tek başına açık rıza, sürekli ve sistematik veri aktarımlarında her zaman yeterli bir hukuki zemin oluşturmayabilir.
- Hukuki Danışmanlık Alın: Kullanılan dijital sistemlerin KVKK ve Sağlık Bakanlığı mevzuatına uyumluluk denetimlerini bir sağlık hukuku uzmanı eşliğinde gerçekleştirmek, gelecekte doğabilecek tazminat ve veri ihlali davalarının önüne geçececektir.
Sonuç olarak, yurt dışındaki sunucularda hasta verisi saklamak tamamen imkansız olmamakla birlikte, son derece sıkı ve karmaşık hukuki prosedürlere bağlanmıştır. Hastaların mahremiyet hakkını korumak ve yasal yaptırımlardan kaçınmak için ulusal mevzuata tam uyumlu yerel sunucu çözümlerine yönelmek en rasyonel yaklaşımdır.
Anahtar Kelime : hasta verisi saklama
