Hasta verisi, 6698 sayılı KVKK kapsamında özel nitelikli kişisel veri sayılır. Klinik ve muayenehaneler bu veriyi işlerken hastayı aydınlatmalı, işleme dayanağını belirlemeli, erişimi yetkiyle sınırlamalı, teknik ve idari güvenlik önlemlerini almalı ve saklama ile imha sürecini yazılı bir düzene bağlamalıdır. Bu yükümlülükler hekimin kendisi için de kuruma bağlı çalışan personel için de geçerlidir.
Hasta verisi neden özel nitelikli sayılır?
Sağlığa ilişkin veriler, kişinin özel hayatının en hassas alanına dair bilgi taşır. Kanun bu nedenle sağlık verisini diğer kişisel verilerden ayırır ve daha sıkı bir koruma rejimine bağlar. Sıradan bir iletişim bilgisinin aksine, bir tanı, tedavi planı ya da laboratuvar sonucunun yetkisiz kişilerce öğrenilmesi hastanın itibarı ve özel hayatı bakımından geri alınması güç sonuçlar doğurabilir.
Uygulamada sağlık verisi yalnızca hasta dosyasıyla sınırlı değildir. Şunlar da bu kapsamda değerlendirilebilir:
- Randevu kayıtları ve hangi birime başvurulduğu bilgisi.
- Görüntüleme, tahlil ve rapor çıktıları.
- Telefon ve mesajlaşma uygulamalarında paylaşılan tedavi fotoğrafları.
- Sigorta ve ödeme süreçlerinde iletilen tanı bilgileri.
- Güvenlik kamerası görüntüleri gibi hastanın sağlık durumunu dolaylı olarak ortaya koyabilecek kayıtlar.
Bu yüzden klinikte hangi verinin nerede, kimde ve hangi amaçla bulunduğunun bilinmesi, uyumun ilk adımıdır.
Klinik hangi yükümlülüklerin muhatabıdır?
Sağlık hizmeti sunan kişi veya kurum, kural olarak "veri sorumlusu" sıfatını taşır. Bu sıfat, verinin hangi amaçla ve hangi yöntemle işleneceğine karar veren kişiye aittir. Veri sorumlusunun başlıca yükümlülükleri genel olarak şöyle özetlenebilir:
- Aydınlatma: Hasta, verisinin hangi amaçla işlendiği, kimlere aktarılabileceği ve haklarının neler olduğu konusunda bilgilendirilmelidir. Konuyu KVKK aydınlatma metni nedir ve nasıl hazırlanır yazımızda ayrıca ele alıyoruz.
- Hukuka uygun işleme: Sağlık verisinin işlenmesi için kanunda sayılan şartlardan birinin bulunması gerekir. Bu şartlar, ilgili kişinin açık rızası dışında, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlar bakımından sınırlı olarak ve belirli kişilerce işlenmesi biçiminde düzenlenmiştir. Hangi şartın somut işleme faaliyetine uyduğu ayrıca değerlendirilmelidir.
- Veri güvenliği: Verinin hukuka aykırı işlenmesini, erişilmesini ve kaybını önlemeye yönelik uygun teknik ve idari tedbirler alınmalıdır.
- Başvuruların yanıtlanması: Hastanın kendi verisine ilişkin bilgi talepleri kanunda öngörülen süre içinde yanıtlanmalıdır.
- Kurul düzenlemelerine uyum: Kişisel Verileri Koruma Kurulu'nun ilgili kararları ve rehberleri, özellikle özel nitelikli veri bakımından takip edilmelidir.
Veri sorumluları ayrıca, kanunda ve ikincil mevzuatta öngörülen hâllerde Veri Sorumluları Siciline kayıt gibi yükümlülüklerin kendileri bakımından doğup doğmadığını kontrol etmelidir. Bu değerlendirme, kurumun ölçeğine ve faaliyetine göre değişebilir.
Güvenlik önlemleri pratikte nasıl uygulanır?
Veri güvenliği, yalnızca bir yazılım meselesi değildir. Uygulamada ihlallerin önemli bir bölümü, bilgisayarda açık bırakılan ekranlar, paylaşılan şifreler ya da kontrolsüz mesajlaşma gibi günlük alışkanlıklardan kaynaklanır. Klinik için makul bir önlem seti genel olarak şunları içerebilir:
- Rol bazlı yetkilendirme: Her çalışan yalnızca görevi için gerekli veriye erişmelidir.
- Kişiye özel kullanıcı adı ve güçlü şifre; ortak hesap kullanımından kaçınma.
- Erişim kayıtlarının tutulması ve düzenli aralıklarla gözden geçirilmesi.
- Düzenli yedekleme ve yedeklerin de korunması.
- Fiziksel dosyaların kilitli dolaplarda tutulması, bekleme alanında hasta bilgisi görünmemesi.
- Hasta verisinin kişisel telefonlarda ve kontrolsüz mesajlaşma gruplarında paylaşılmaması.
- Personelin göreve başlarken ve sonrasında düzenli olarak bilgilendirilmesi, gizlilik taahhüdü alınması.
Bu önlemler, kurumun büyüklüğüne ve işlediği veri hacmine göre ölçeklenebilir. Küçük bir muayenehane için sade ama gerçekten uygulanan bir düzen, ayrıntılı ama işletilmeyen bir prosedürden daha değerlidir.
Veri paylaşımı ve aktarımlarda nelere dikkat edilmeli?
Klinikler çoğu zaman verileri üçüncü kişilerle paylaşmak zorunda kalır: laboratuvarlar, sigorta şirketleri, bulut tabanlı kayıt yazılımı sağlayıcıları ve muhasebe hizmeti verenler gibi. Her aktarımda ayrı bir değerlendirme yapılması gerekir.
- Aktarımın hukuki dayanağı ve amacı belirlenmeli, gereğinden fazla veri paylaşılmamalıdır.
- Veriyi sizin adınıza işleyen hizmet sağlayıcılarla yazılı sözleşme yapılmalı; güvenlik ve gizlilik yükümlülükleri bu sözleşmede açıkça düzenlenmelidir.
- Yazılım veya bulut hizmeti yurt dışında bulunan sunucularda veri işliyorsa, yurt dışına aktarıma ilişkin kanundaki rejim ayrıca incelenmelidir.
- Hastanın yakınlarına, işverenine veya üçüncü kişilere bilgi verilmesi talepleri, hastanın rızası ve yetkili temsil durumu doğrulanmadan karşılanmamalıdır.
Yurt dışı aktarım ve veri işleyen sözleşmeleri teknik ve hukuki yönü olan konulardır; her somut olay için ayrıca değerlendirilmelidir.
Saklama, imha ve ihlal hâlinde ne yapılır?
Hasta dosyalarının ne kadar saklanacağı, sağlık mevzuatında ayrıca düzenlenmiş olabilir. Bu nedenle KVKK'daki imha yükümlülüğü ile sağlık mevzuatındaki saklama süreleri birlikte okunmalıdır. Kurum, hangi verinin ne kadar saklanacağını bir saklama ve imha politikasıyla yazılı hâle getirmeli; süre dolduğunda verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi sürecini kayıt altına almalıdır. Hasta dosyası düzeni için hasta dosyası ve rıza belgeleri nasıl düzenlenmeli yazımıza bakılabilir.
Bir veri ihlali öğrenildiğinde ise genel olarak şu adımlar izlenir:
- İhlalin kapsamı ve etkilenen kişiler belirlenir, ihlal durdurulur.
- Olay, tarih ve alınan önlemlerle birlikte iç kayıtlara geçirilir.
- Kanunda öngörülen süre içinde Kurula ve gerekiyorsa etkilenen kişilere bildirim yapılır.
- Benzer bir ihlalin tekrarını önleyecek düzeltici önlemler alınır.
Bildirim süresi gibi konularda güncel mevzuatın ve Kurul kararlarının kontrol edilmesi önemlidir. Kurumsal düzeyde uyum çalışması için kurumsal KVKK uyum rehberi yazımız genel bir çerçeve sunar.
Sonuç
Klinikte hasta verisinin korunması; aydınlatma, hukuka uygun işleme, yetkili erişim, güvenlik önlemleri, aktarım kontrolü ve saklama-imha düzeninin bir arada işletilmesini gerektirir. Önemli olan, kâğıt üzerindeki bir uyum dosyasından çok, günlük çalışma alışkanlıklarına yerleşmiş bir düzen kurmaktır.
Bu yazı genel bilgilendirme amaçlıdır; mevzuat ve uygulama somut olaya göre değişebilir ve yazı hukuki danışmanlık yerine geçmez.
Sağlık kuruluşlarında veri envanteri çıkarılırken hazırlanacak belgeler genellikle şunlardır: hasta kayıt ve randevu süreçlerinin listesi, kullanılan yazılımların ve hizmet sağlayıcıların sözleşmeleri, çalışan yetki matrisi ile mevcut aydınlatma ve saklama metinleri. Antalya KVKK avukatı ile yapılacak bir incelemede bu belgeler çalışmanın temelini oluşturur; kayıt ve rıza süreçleri bakımından ise Antalya sağlık hukuku avukatı görüşü birlikte değerlendirilebilir.
Kendi durumunuza özgü bir değerlendirme için ön görüşme talep edebilirsiniz.