Sağlık bilgileriniz özel nitelikli kişisel veridir; hastane ve sağlık çalışanları bu verileri yalnızca kanunda sayılan amaçlarla, yeterli önlemler alarak işleyebilir (KVKK m. 6). Hastaneden verileriniz hakkında bilgi isteyebilir, kayıtlarınızın kopyasını talep edebilir, düzeltme veya koşulları varsa silme isteyebilirsiniz; hastane başvurunuzu en geç otuz gün içinde sonuçlandırmak zorundadır (KVKK m. 11 ve 13). Kayıtlarınıza yalnızca görev ve yetkisi olan kişiler, amaçla sınırlı olarak erişebilir (KVKK m. 4, 6 ve 12).
Bu yazı, sağlık verilerinin hangi şartlarla işlenebildiğini, hastanenin bilgilendirme ve güvenlik yükümlülüklerini, dosya kopyası ve veri erişim taleplerinin nasıl yapılacağını, hastane çalışanının merak için dosyanıza bakması ve yakınlarınıza bilgi verilmesi hâllerini, ret veya cevapsızlık durumunda Kurula şikâyeti ve tazminat yollarını anlatır.
Bu yazıda
- Sağlık verisi ve işleme şartları
- Hastane kimdir: veri sorumlusu mu, veri işleyen mi?
- Bilgilendirme ve veri aktarımı
- Dosyamın kopyasını isteyebilir miyim?
- Hastane çalışanı merak için dosyama bakabilir mi?
- Doktor hastalığımı yakınıma söyleyebilir mi?
- Başvuru, süre, ret ve Kurula şikâyet
- Düzeltme, silme, otomatik analiz ve tazminat
- Güvenlik, ihlal bildirimi ve yurt dışı aktarım
- Kaynaklar
Sağlık bilgilerim özel nitelikli kişisel veri midir?
Evet. Kişilerin sağlığı, cinsel hayatı, biyometrik ve genetik verileri gibi bilgiler özel nitelikli kişisel veridir. Bu verilerin işlenmesi kural olarak yasaktır; ancak kanunda sayılan şartlar varsa mümkündür ve ayrıca Kurulun belirlediği yeterli önlemler alınmalıdır (KVKK m. 6). Sağlık alanında en sık kullanılan şart şudur: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olduğunda sağlık verilerini işleyebilir. Hastanenin tedavi için sağlık verinizi işlemesi bu yüzden açık rıza olmadan da mümkündür; ama bu yetki yalnızca sayılan amaçlarla sınırlıdır.
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin, kendisinin veya başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması hâlinde de özel nitelikli kişisel veri açık rıza olmadan işlenebilir; bilinci kapalı hastanın verisinin işlenmesi bu kapsamdadır. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğunda da işleme mümkündür.
Hastane mi doktor mu veri sorumlusu sayılır?
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir; veri işleyen ise onun adına verileri işleyendir. Hangisinin kim olduğu somut yapıya bağlıdır (KVKK m. 3). Genel olarak hastane kayıt sistemini yöneten kurum olarak veri sorumlusu, çalışan hekimler ve sağlık personeli ise bu sistem içinde görev yapan kişiler olarak değerlendirilir; muayenehanesinde kendi kayıt sistemini işleten bir hekim ise kendisi veri sorumlusu olabilir.
Hastane beni veri işleme konusunda bilgilendirmek zorunda mı?
Evet. Veri sorumlusu, verilerin elde edilmesi sırasında kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını bildirmekle yükümlüdür (KVKK m. 10). Hastane bilgilerinizi başka bir kuruma verecekse, kişisel veriler ilgili kişinin açık rızası olmaksızın aktarılamaz; kanunda sayılan istisnalar varsa ve özel nitelikli veriler için yeterli önlemler alınmışsa rıza aranmadan da aktarılabilir (KVKK m. 8). Hangi kuruma ve hangi amaçla aktarıldığını hastaneden sorabilirsiniz.
Hastane dosyamın kopyasını isteyebilir miyim?
Hasta kayıtlarına erişim ve örnek alma hakkı, Hasta Hakları Yönetmeliğindeki ilgili usule göre kullanılabilir; bunun yanında KVKK’daki bilgi talep hakkınız da vardır (KVKK m. 11). Başvurunuzda hangi belgeleri istediğinizi açıkça belirtin: epikriz, ameliyat notu, tetkik ve görüntüleme sonuçları, rapor, hemşire gözlem formu, onam belgeleri gibi. Kayıtları aldığınızda değiştirmeden saklayın; eksik verilen bölümler için yazılı cevap isteyin. Bu kayıtlar sonradan bir şikâyet, bilirkişi incelemesi veya dava için temel delildir.
Hastanenin hakkımdaki verileri öğrenmek için başvurabilir miyim?
Herkes veri sorumlusuna başvurarak verisinin işlenip işlenmediğini, işlenmişse buna ilişkin bilgi talebini, işlenme amacını ve aktarıldığı üçüncü kişileri öğrenebilir. Başvuruyu yazılı veya Kurulun belirlediği yöntemlerle yapabilirsiniz (KVKK m. 11 ve 13).
Hastane çalışanı dosyama merak için bakabilir mi?
Hayır. Veri erişimi görev, amaç ve yetkiyle sınırlı olmalıdır; teknik erişimin mümkün olması işlemi otomatik olarak uygun kılmaz. Kişisel verilerin amaçla bağlantılı, sınırlı ve ölçülü işlenmesi ilkesi (KVKK m. 4), sağlık verilerinin işlenme şartları (m. 6) ve hukuka aykırı erişimi önleme yükümlülüğü (m. 12) birlikte uygulanır. Veri sorumluları ve veri işleyen kişiler, öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder (m. 12/4). Hukuka aykırı biçimde kişisel veri kaydeden, başkasına veren, yayan veya ele geçiren kişi hakkında Türk Ceza Kanunu hükümleri de uygulanabilir (TCK m. 135 ve 136).
Yetkisiz erişim şüphesi için hastaneye belirli sorularla yazılı başvurun: dosyama hangi tarihlerde, hangi kullanıcılar tarafından, hangi amaçla erişildi? Cevabı saklayın.
Doktor hastalığımı eşime veya yakınıma söyleyebilir mi?
Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz; sağlık verileri özel nitelikli olduğundan kanundaki istisnalar dışında üçüncü kişilere açıklanamaz (KVKK m. 8 ve 6). Yakınlık tek başına açıklama yetkisi vermez; hangi yakınınıza bilgi verilebileceğini hastaneye yazılı bildirebilirsiniz. Hastanın bilinci kapalıysa verinin işlenmesi için fiili imkânsızlık ve hayatın korunması şartı ayrıca değerlendirilir.
Başvuru, süre, ret ve Kurula şikâyet
Veri sorumlusu başvurudaki talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır; işlemin ayrıca maliyeti varsa Kurulca belirlenen tarifedeki ücret alınabilir (KVKK m. 13). Başvurunun reddedilmesi, cevabın yetersiz bulunması veya cevap verilmemesi hâllerinde, veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyet edebilirsiniz. Veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyette bulunulamaz (KVKK m. 14). Bu yüzden önce hastaneye başvurup tarihli bir kayıt tutun, sonra gerekirse otuz ve altmış günlük süreleri takip edin. Ayrıntılı usul için KVKK başvuru ve şikâyet yazımıza bakabilirsiniz.
Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık hâlinde veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir; Kurulun kararına uymayanlar idari yaptırımla karşılaşır (KVKK m. 15 ve 18).
Düzeltme, silme, otomatik analiz ve tazminat
- Düzeltme ve silme: Verilerin eksik veya yanlış işlenmesi hâlinde düzeltilmesini isteyebilirsiniz. İşlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini, yok edilmesini veya anonim hâle getirilmesini de talep edebilirsiniz; diğer kanunlardaki saklama yükümlülükleri saklıdır (KVKK m. 11 ve 7). Başka kanunlarda saklama yükümlülükleri bulunabileceğinden silme talebi her zaman sonuç vermeyebilir.
- Otomatik analiz: İlgili kişi, işlenen verilerin yalnızca otomatik sistemlerle analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkına sahiptir.
- Tazminat: Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır; ilgili kişi kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğramışsa zararın giderilmesini de talep edebilir (KVKK m. 14 ve 11).
Güvenlik, ihlal bildirimi ve yurt dışı aktarım
Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak ve gerekli denetimleri yapmak veya yaptırmak zorundadır. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir (KVKK m. 12).
Sağlık verisinin yurt dışındaki bir hastaneye gönderilmesi için işleme şartlarından birinin bulunması ve yeterlilik kararının varlığı aranır; yeterlilik kararı yoksa kanundaki uygun güvencelerden birinin sağlanması ve ilgili kişinin haklarını kullanma imkânı gerekir (KVKK m. 9). Ayrıntılar için yurt dışına veri aktarımı yazımıza bakabilirsiniz.
Sık yapılan hatalar
- Hastaneden gelen cevabı veya başvuru kanıtını saklamamak.
- Hastaneye başvurmadan doğrudan Kurula şikâyet etmeye çalışmak.
- Kayıtların kopyalarını aldıktan sonra özgün biçimini bozmak veya eksik sayfaları fark etmemek.
- Yakınlara bilgi verilmesini istemediğinizi hastaneye yazılı bildirmemek.