Sağlık Verileri ve KVKK: Hasta Kayıtlarına Erişim Hakkı ve Gizlilik Yükümlülüğü

Tanı, tedavi, tahlil sonuçları, reçeteler ve hasta dosyasındaki diğer bilgiler, kişinin en hassas verileri arasındadır. Bu verilerin hukuka aykırı şekilde paylaşılması, kişiler üzerinde telafisi güç sonuçlar doğurabilir. Bu yazıda sağlık verilerinin hukuki korumasını, hastaların kayıtlarına erişim hakkını ve sağlık kuruluşlarının temel yükümlülüklerini ele alıyoruz.

Sağlık verisi özel nitelikli kişisel veridir

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesinin birinci fıkrası, kişilerin sağlığına ilişkin verileri; ırk, din, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler gibi diğer bazı verilerle birlikte "özel nitelikli kişisel veri" olarak sayar. Bu veriler, kişiler hakkında ayrımcılığa yol açma riski nedeniyle daha sıkı bir korumaya tabidir.

2024 değişikliğiyle işleme şartları

7499 sayılı Kanun ile 2 Mart 2024 tarihinde yapılan değişiklikle KVKK'nın 6. maddesinin üçüncü fıkrası yeniden düzenlenmiştir. Buna göre özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; ancak sayılan hâllerde mümkündür. Sağlık verileri bakımından öne çıkan şartlar şunlardır:

• İlgili kişinin açık rızasının bulunması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması.

Son şart, hekimler ve sağlık kuruluşlarının tedavi amacıyla yürüttüğü veri işleme faaliyetlerinin temel dayanağıdır. Ancak bu şart, verilerin tedavi dışındaki amaçlarla (örneğin pazarlama veya üçüncü kişilerle paylaşım) kullanılmasına imkân vermez. Ayrıca maddenin dördüncü fıkrası uyarınca özel nitelikli verilerin işlenmesinde Kişisel Verileri Koruma Kurulu'nun belirlediği yeterli önlemlerin alınması şarttır.

Hastanın kayıtlarına erişim hakkı

Hasta Hakları Yönetmeliği'nin 16. maddesine göre hasta, sağlık durumu ile ilgili bilgilerin bulunduğu dosyayı ve kayıtları doğrudan ya da vekili veya kanuni temsilcisi aracılığıyla inceleyebilir ve bir suretini alabilir; bu kayıtlar yalnızca hastanın tedavisiyle doğrudan ilgili olanlar tarafından görülebilir. Danıştay 15. Dairesi, E. 2014/5076, K. 2015/2184 sayılı kararında, bu düzenlemenin ve Bilgi Edinme Hakkı Kanunu'nun 10. maddesinin ihlal edildiğini tespit etmiştir.

Hastalar ayrıca KVKK'nın 11. maddesi uyarınca, veri sorumlusu olan sağlık kuruluşuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme gibi haklarını kullanabilir. Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırmakla yükümlüdür.

Gizlilik yükümlülüğü

Hasta Hakları Yönetmeliği'nin 23. maddesi, sağlık hizmetinin verilmesi sebebiyle edinilen bilgilerin kanunla izin verilen hâller dışında hiçbir şekilde açıklanamayacağını öngörür. Hekimlerin ve sağlık personelinin meslek sırrını koruma yükümlülüğü, ayrıca ceza hukuku ve meslek kuralları bakımından da güvence altındadır.

Uygulamada sık karşılaşılan riskler

• Tahlil sonuçlarının veya hasta görüntülerinin anlık mesajlaşma uygulamaları üzerinden kontrolsüz şekilde paylaşılması,
• Hastane bilgi sistemlerinde tedaviyle ilgisi olmayan personelin hasta kayıtlarını görüntüleyebilmesi,
• Hasta yakınlarına hastanın izni olmadan bilgi verilmesi,
• Sağlık verilerinin yurt dışında bulunan bulut hizmetlerinde KVKK'nın 9. maddesine uygun güvenceler olmadan saklanması,
• Aydınlatma metinlerinin bulunmaması veya veri işleme faaliyetlerini gerçeğe uygun yansıtmaması.

Sağlık kuruluşları için temel adımlar

• Veri işleme faaliyetlerinin envanterinin çıkarılması ve hukuki dayanaklarının belirlenmesi,
• Hastalara açık ve anlaşılır aydınlatma metni sunulması,
• Hasta kayıtlarına erişimin görev ve yetkiye göre sınırlandırılması ve erişim kayıtlarının tutulması,
• Personelin gizlilik ve veri güvenliği konusunda düzenli olarak bilgilendirilmesi,
• Veri ihlali hâlinde ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirim yapılmasına ilişkin bir iç prosedür oluşturulması.

Sonuç

Sağlık verilerinin korunması, hem hastaların özel hayatının gizliliği hem de sağlık kuruluşlarına duyulan güvenin temelidir. Hastalar kayıtlarına erişim ve verilerinin korunması konusunda kanuni haklara sahipken, sağlık kuruluşlarının da bu verileri yalnızca hukuka uygun amaçlarla ve gerekli güvenlik önlemlerini alarak işlemesi gerekir.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz.