Hasta Verilerinin Korunması: Kvkk Ve Gdpr Kapsamında Sağlık Verisi Yönetimi
Giriş
- yüzyılda sağlık hizmetlerinin dijitalleşmesi, hasta verilerinin korunmasını her zamankinden daha önemli bir hale getirmiştir. Elektronik sağlık kayıtları (EHR), uzaktan tanı sistemleri, yapay zeka tabanlı medikal karar destek yazılımları gibi yenilikçi sistemler, kişisel sağlık verilerinin daha geniş ölçekte işlenmesini sağlamaktadır. Bu bağlamda, Türkiye’de Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa’da Genel Veri Koruma Tüzüğü (GDPR), sağlık verilerinin güvenliğini sağlamak için kritik düzenlemeler sunmaktadır.
Kvkk Ve Gdpr Nedir?
KVKK (Kişisel Verilerin Korunması Kanunu)
6698 sayılı KVKK, Türkiye’de kişisel verilerin işlenmesini düzenleyen temel yasadır. Sağlık verileri, kanun kapsamında “özel nitelikli kişisel veri” olarak sınıflandırılır ve yüksek düzeyde koruma altındadır.
GDPR (General Data Protection Regulation)
Avrupa Birliği’nin 2016 yılında yürürlüğe giren GDPR tüzüğü, tüm AB vatandaşlarının verilerinin korunmasını sağlar. Türkiye’de faaliyet gösteren, ancak AB vatandaşlarının verisini işleyen kuruluşlar da bu düzenlemeye tabidir.
Sağlık Verisi Nedir Ve Neden Kritiktir?
Sağlık verisi, bir bireyin fiziksel veya ruhsal sağlığına ilişkin her türlü bilgi olarak tanımlanır. Bunlar:
- Tıbbi geçmiş
- Tanı ve tedavi bilgileri
- Biyometrik veriler
- Genetik analizler
- Görüntüleme sonuçları (MR, BT, röntgen vb.)
- Reçete bilgileri gibi detayları içerir.
Bu veriler, hem teşhis ve tedavi süreçlerinde hem de sağlık sistemlerinin stratejik planlamasında büyük öneme sahiptir. Ancak kötüye kullanımı durumunda bireyin mahremiyeti ağır biçimde ihlal edilebilir.
Sağlık Verilerinin İşlenmesinde Temel İlkeler
KVKK ve GDPR kapsamında sağlık verileri aşağıdaki ilkelere uygun şekilde işlenmelidir:
- Hukuka ve dürüstlük kurallarına uygunluk
- Belirli, açık ve meşru amaçlar için işlenme
- Veri minimizasyonu: Yalnızca gerekli olan verinin toplanması
- Doğruluk ve güncellik
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
- İlgili mevzuatla belirlenen süre kadar muhafaza edilme
Açık Rıza ve İstisnai Durumlar
Açık Rıza
KVKK’ya göre sağlık verileri, ancak açık rıza ile işlenebilir. Bu rıza:
- Bilgilendirilmiş olmalı
- Belirli olmalı
- Özgür iradeye dayanmalıdır
İstisnalar
Hekim–hasta ilişkisi, acil durumlar, kamu sağlığının korunması, epidemiyolojik izlem gibi durumlarda açık rıza olmaksızın veri işlenmesine izin verilir. Ancak bu işlemler de denetlenebilirlik ve veri güvenliği ilkelerine bağlıdır.
Veri Güvenliği Yükümlülükleri
KVKK’ya göre veri sorumluları;
- Teknik ve idari tedbirler almak
- Risk analizleri yapmak
- Erişim yetkilendirmesi yapmak
- Log kayıtlarını saklamak
- Gerekli durumlarda VERBİS kaydı yaptırmakla yükümlüdür.
GDPR kapsamında;
- Data Protection Officer (DPO) ataması
- Veri İhlal Bildirimi (72 saat içinde)
- Etki Değerlendirme Raporları (DPIA) hazırlanması gereklidir.
Sağlık Kuruluşlarının Sorumlulukları
Hastaneler, klinikler, laboratuvarlar ve dijital sağlık girişimleri;
- Hasta verilerini şifreli sistemlerde saklamalı
- Bulut altyapısı kullanıyorsa AB veya KVKK’ya uygun sağlayıcılarla çalışmalı
- Yetkisiz erişimleri denetlemeli
- Hasta mahremiyetini ihlal etmeyecek iç politika ve eğitimleri uygulamalıdır
Uluslararası Veri Aktarımı ve Uyum
GDPR ve KVKK kapsamında, hasta verilerinin yurt dışına aktarımı yalnızca şu koşullarda mümkündür:
- Açık rıza alınması
- Yeterli korumanın bulunduğu ülkelere aktarım
- Taahhütnameler ve SCC (Standart Sözleşme Maddeleri) ile güvence altına alınmış veri transferleri
Güncel Gelişmeler ve Dijital Sağlıkta Veri Yönetimi
- Yapay zeka tabanlı tanı sistemleri KVKK ve GDPR kapsamında “otomatik karar verme sistemleri” kategorisine girer. Bu sistemlerin şeffaflığı ve denetlenebilirliği zorunludur.
- Blockchain teknolojisi hasta verilerinin güvenli paylaşımı için alternatif çözümler sunmaktadır.
- Türkiye’de e-Nabız, Avrupa’da eHealth Digital Service Infrastructure (eHDSI) gibi platformlar veriye dayalı sağlık hizmetlerinde güvenliği artırmayı hedefler.
Sonuç ve Öneriler
KVKK ve GDPR, yalnızca yasal zorunluluk değil; aynı zamanda dijital sağlıkta etik bir gerekliliktir. Sağlık girişimleri, hastaneler ve geliştiriciler;
- Sürekli güncellenen eğitimler,
- Etik kurullarla koordinasyon,
- Denetlenebilir sistemler,
- Risk temelli güvenlik yaklaşımları ile hasta verilerini korumalıdır.
Sık Sorulan Sorular (SSS)
1. Sağlık verisi nedir? Hangi bilgiler bu kapsama girer?
Sağlık verisi, bireyin fiziksel veya ruhsal sağlığına ilişkin her türlü bilgi olup, tanı, tedavi, reçete, test sonuçları gibi detayları içerir.
2. KVKK’ya göre sağlık verisi hangi şartlarla işlenebilir?
Ancak açık rıza ile işlenebilir. Rıza yoksa kamu sağlığı gibi istisnai koşullar sağlanmalıdır.
3. GDPR ve KVKK arasında fark var mı?
GDPR daha kapsamlı ve uluslararasıdır. KVKK, Türkiye’ye özeldir. Ancak temel ilkeler benzerlik gösterir.
4. Sağlık verilerinin yurt dışına aktarımı nasıl yapılabilir?
Yeterli korumaya sahip ülkelere veya açık rıza ile SCC çerçevesinde aktarım yapılabilir.
5. Hastaneler hasta verilerini nasıl korumalıdır?
Şifreleme, erişim yetkileri, sızma testleri, iç denetim, personel eğitimi ve güvenli altyapı ile koruma sağlanmalıdır.