Hastaneye her gittiğinizde bir iz bırakırsınız. Adınız, doğum tarihiniz, şikâyetiniz, uygulanan tetkikler, konan tanı, yazılan ilaçlar, geçmiş hastalık öykünüz… Bunların tamamı kişisel sağlık verisi kapsamına girer. Ve bu veriler, yalnızca bir dosya içindeki satırlar değil; hukuk sisteminin en güçlü koruma zırhını giydirdiği, en hassas kişisel bilgiler arasında yer alır.
Türk hukuku bu verileri “özel nitelikli kişisel veri” olarak sınıflandırır ve genel kişisel verilere kıyasla çok daha katı bir koruma rejimi uygular. Buna karşın her gün kişisel sağlık verisi ihlalleri yaşanmakta; eczaneler yanlış kişilerle bilgi paylaşmakta, hastaneler hasta görüntülerini tanıtım amaçlı kullanmakta, sağlık sistemleri yeterince güvenli tutulmamaktadır. Bu ihlallerin her biri hem idari yaptırım hem de bireysel tazminat davası konusu olabilmektedir.
Kişisel Sağlık Verisi Nedir?
Kişisel sağlık verisi, bir bireyin fiziksel ya da zihinsel sağlık durumuna ilişkin her türlü bilgiyi kapsar. 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 6. maddesi, sağlık verilerini ırk, etnik köken, siyasi düşünce, dini inanç gibi diğer hassas kategorilerle birlikte “özel nitelikli kişisel veri” olarak tanımlamış ve bu kategoriye en katı koruma rejimini uygulamıştır.
Kişisel sağlık verisi kapsamına giren bilgiler şunlardır:
- Tanı bilgileri (konan hastalık teşhisi)
- Uygulanan tedaviler ve ameliyat kayıtları
- İlaç reçeteleri ve ilaç kullanım geçmişi
- Laboratuvar ve görüntüleme sonuçları
- Psikolojik ve psikiyatrik değerlendirmeler
- Genetik veriler ve biyometrik sağlık bilgileri
- Kronik hastalık, engellilik ve bağımlılık kayıtları
- Cinsel sağlık verileri
Kişisel sağlık verisi, bu kapsamın genişliğiyle düşünüldüğünde, bir kişi hakkında öğrenilmesi en büyük zarar potansiyeli taşıyan bilgi kategorisini oluşturmaktadır. İşverenin sağlık durumunuzu öğrenmesi, sigorta şirketinin ilaç geçmişinize ulaşması ya da aile içi bir anlaşmazlıkta psikiyatrik tedavi kaydınızın karşı tarafa sızması; bu verilerin korunmamasının yol açabileceği somut zararların yalnızca birkaç örneğidir.
Hukuki Çerçeve: Hangi Düzenlemeler Uygulanır?
Kişisel sağlık verisinin korunması birden fazla yasal düzenleme tarafından güvence altına alınmaktadır:
6698 Sayılı KVKK: Temel veri koruma kanunudur. Kişisel sağlık verisini özel nitelikli veri olarak sınıflandırır; rıza olmaksızın işlenmesini yasaklar; ihlallere idari para cezası ve hukuki sorumluluk öngörür.
Anayasa Madde 17 ve 20: Özel hayatın gizliliği ve kişisel verilerin korunması, anayasal güvence altındadır. Anayasa Mahkemesi’ne bireysel başvuru hakkı bu güvenceden kaynaklanmaktadır.
Türk Ceza Kanunu Madde 135-140: Kişisel verileri hukuka aykırı olarak kaydetmek, ele geçirmek ya da yaymak suç olarak düzenlenmiştir. Sağlık verisi söz konusu olduğunda ceza ağırlaştırıcı nitelik taşıyabilir.
1219 Sayılı Tababet Kanunu ve İlgili Yönetmelikler: Hekimin sır saklama yükümlülüğünü ve hasta kayıtlarının gizliliğini düzenler.
Kişisel Sağlık Verileri Hakkında Yönetmelik (Sağlık Bakanlığı): Sağlık verilerinin işlenmesi, saklanması ve aktarılmasına ilişkin özel kurallar içerir.
Kişisel Sağlık Verisi Kimler Tarafından İşlenebilir?
KVKK’nın 6. maddesinin 3. fıkrası, sağlık verilerinin kural olarak açık rıza olmaksızın işlenemeyeceğini, ancak belirli koşullarda rıza aranmayacağını belirtir. Bu istisnai haller şöyledir:
- Kamu sağlığının korunması amacıyla
- Koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla
- Sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla
Ancak bu hallerin her birinde, veriyi işleyen kişi sır saklama yükümlülüğü altında bulunmak zorundadır. Yani yalnızca sağlık personeli bu istisnadan yararlanabilir; ticari bir kuruluş, işveren ya da bir üçüncü kişi bu gerekçeyle kişisel sağlık verisine erişemez.
Kişisel sağlık verisini işleyebilecek başlıca aktörler şunlardır: hekimler, hemşireler, eczacılar, sağlık kuruluşları, SGK (sağlık finansmanı kapsamında), ilgili kamu kurumları ve sır saklama yükümlülüğü altında çalışan sağlık bilişim uzmanları.
Açık Rıza Şartı: Ne Zaman Gerekli, Ne Zaman Geçersiz?
Kişisel sağlık verisi söz konusu olduğunda açık rıza, yalnızca yukarıdaki istisnai hallerin dışında kalan amaçlar için gereklidir. Ancak uygulamada rızanın hukuka uygun biçimde alınıp alınmadığı sıkça tartışma konusu olmaktadır.
KVKK’nın “açık rıza” tanımı üç unsuru zorunlu kılar: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Özellikle hastanelerin randevu formlarına ya da muayene sırasında imzalatılan formlara yerleştirilen genel ve geniş kapsamlı rıza metinleri, Kişisel Verileri Koruma Kurulu’nun (KVKK Kurulu) denetimleri sonucunda defalarca hukuka aykırı bulunmuştur.
Sağlık hizmetinin açık rıza şartına bağlanması da hukuka aykırı olarak değerlendirilmektedir; bir sağlık kuruluşunun internet sitesinden randevu alınırken tanıtım ve duyurular için veri işlemeye onay verilmesini zorunlu tutması ve bu onay olmadan randevu tamamlanmaması, KVKK Kurulu tarafından hukuka aykırı bulunmuştur. Kişisel sağlık verisi üzerinde rıza, hiçbir zaman hizmete erişimin ön koşulu haline getirilemez. Hastanın sağlık hizmeti alabilmesi için pazarlama amaçlı veri işlemeyi kabul etmek zorunda bırakılması, KVKK’nın özgür irade ilkesini açıkça ihlal etmektedir.
Vaka Örneği: Özel bir hastane, e-Nabız ve muayene kayıtlarına dayanan hasta verilerini, hasta rızası olmaksızın hedefli reklam sistemlerine aktarmıştır. Hasta, rahatsızlığına ilişkin reklamların sosyal medya akışında belirmeye başlaması üzerine durumu fark etmiş ve KVKK’ya şikâyette bulunmuştur. KVKK Kurulu bu başvuru üzerine kişisel sağlık verisi ihlali tespit etmiş ve ilgili hastane hakkında idari para cezası uygulamıştır.
e-Nabız ve Dijital Sistemlerdeki Sağlık Verisi Riskleri
Türkiye’de kişisel sağlık verisi, büyük ölçüde dijital ortamlarda tutulmaktadır. e-Nabız, MHRS (Merkezi Hekim Randevu Sistemi), HBYS (Hastane Bilgi Yönetim Sistemi) ve SGK sistemleri bu ortamların başında gelmektedir.
Bu sistemlerin geniş kullanıcı kitlesine ve entegre yapısına sahip olması, aynı zamanda önemli güvenlik açıklarını beraberinde getirir. Uygulamada karşılaşılan kişisel sağlık verisi ihlallerinin başlıca biçimleri şunlardır:
- Yetkisiz erişim: Hekimin e-Nabız şifresinin asistanı tarafından kullanılması
- Veri aktarımı ihlalleri: Hasta dosyalarının güvensiz kanallarla iletilmesi
- Aşırı veri toplama: Randevu sistemi üzerinden gereksiz kişisel veri toplanması
- Veri sızıntısı: Sistem güvenlik açığı nedeniyle hasta bilgilerinin üçüncü kişilere erişilir hale gelmesi
KVKK Kurulu’nun 2023/695 sayılı kararında, daha önce hiç sağlık hizmeti almadığı bir özel tıp merkezinin, ilgili kişinin sağlık verilerini e-Nabız sistemi üzerinden görüntülemesi incelenmiş; bu görüntülemenin hekimin yetkisinin asistanı tarafından kullanılması suretiyle gerçekleştiği ortaya çıkmış ve veri sorumlusu hakkında 200.000 TL idari para cezası uygulanmasına karar verilmiştir. Karar için tıklayınız.
Sağlık Verilerinin Üçüncü Kişilerle Paylaşılması
Kişisel sağlık verisi, hangi koşullarda üçüncü kişilerle paylaşılabilir? Bu sorunun yanıtı büyük ölçüde “kimin, hangi amaçla talep ettiğine” bağlıdır.
Mahkeme kararı ile: Dava sürecinde talep edilen sağlık kayıtları, KVKK’nın 8. maddesi uyarınca açık rıza aranmaksızın aktarılabilir. Ancak bu aktarımın da güvenli kanallar aracılığıyla yapılması ve gereksiz veri ifşasından kaçınılması zorunludur.
KVKK Kurulu’nun 2023/1578 sayılı kararında, ilgili kişinin hasta dosyasında yer alan özel nitelikli kişisel verilerinin mahkemeye aktarılması meşru görülmüş; ancak aktarım faaliyetlerinde gizlilik esaslarına riayet edilmek suretiyle uygun gönderim yöntemlerinin seçilmesi gerektiği vurgulanmıştır. Karar için tıklayınız.
Eczane aracılığıyla: Eczacılar da kişisel sağlık verisini işleyen veri sorumlusu konumundadır ve bu verilerle ilgili sır saklama yükümlülüğü taşırlar. KVKK Kurulu’nun 2018/143 sayılı kararında, doktor kontrolünde ilaç kullanan bir kişinin sağlık verilerinin, ilaçları temin ettiği eczane tarafından herhangi bir işleme şartına dayanılmadan üçüncü bir kişiyle paylaşılması hukuka aykırı bulunmuş ve veri sorumlusu eczane hakkında idari para cezası uygulanmıştır. Karar için tıklayınız.
Gazete veya medyaya: Kişisel sağlık verisi, haber amacıyla bile olsa, kişilik haklarını ihlal etmeyecek biçimde ve kamu yararı titizlikle denetlenerek yayımlanabilir. Aksi durum, hem KVKK ihlali hem de kişilik haklarına saldırı niteliği taşır. KVKK Kurulu’nun 2023/767 sayılı kararında, sağlık verilerini içeren özel nitelikli kişisel verilerin gazete haberinde yayımlanmasında; haberin kamu ilgi ve yararı taşıması, gerçek ve güncel olması, öz ile biçim arasındaki dengenin korunması koşullarının birlikte değerlendirilmesi gerektiği vurgulanmıştır. Karar için tıklayınız.
Reklam ve Tanıtım Amacıyla Sağlık Verisi Kullanımı
Özel sağlık kuruluşlarının hasta verilerini reklam ve tanıtım amacıyla kullanması, son yıllarda ciddi hukuki sorunlara yol açmaktadır. Hasta görselleri, tedavi sonuçları ve sağlık bilgilerinin sosyal medyada paylaşılması bu ihlalin en yaygın biçimlerini oluşturmaktadır.
KVKK Kurulu’nun 2023/787 sayılı kararında, bir hastanenin reklam ve tanıtım faaliyetleri kapsamında hastalardan imzalatılan onam formlarında sağlık verileri dahil kişisel verilerin işlenmesine açık rıza alınması hukuka aykırı bulunmuş; söz konusu kişisel verilerin aydınlatılmış onam formları aracılığıyla pazarlama amacıyla işlenmesi ve sosyal medyada paylaşılması, ölçülülük ilkesi ile sektörel düzenlemelere aykırılık gerekçesiyle değerlendirilmiştir.
Vaka Örneği: Bir plastik cerrahi kliniği, ameliyat öncesi ve sonrası fotoğrafları hastanın sosyal medya paylaşımına “izin verdiğine” dair genel bir kutu işaretlemesine dayanarak kendi tanıtım hesaplarından yayımlamıştır. Ancak KVKK Kurulu incelemesinde bu rızanın belirli ve bilgilendirilmiş olmadığı, dolayısıyla kişisel sağlık verisi ihlali oluşturduğu tespit edilmiş ve hastaya tazminat hakkı doğmuştur.
Kişisel Sağlık Verisi İhlallerinde Başvuru Yolları
Kişisel sağlık verisi ihlali yaşayan bir hasta, aşağıdaki yollara başvurabilir:
- KVKK Kurulu’na Şikâyet: İhlali öğrenmeden itibaren şikâyet hakkı doğar. Kurul, veri sorumlusuna idari para cezası uygulayabilir ve ihlal edilen verilerin silinmesini emredebilir.
- Adli Yargıda Tazminat Davası: Kişilik haklarının ihlali, manevi tazminat talebine konu edilebilir. Türk Medeni Kanunu’nun 24-25. maddeleri, kişilik haklarına saldırı durumunda tazminat ve dava açma hakkını güvence altına almaktadır.
- Ceza Şikâyeti: TCK 135-140. maddeler kapsamında kişisel sağlık verisini hukuka aykırı biçimde kaydeden, ele geçiren ya da yayan kişi hakkında suç duyurusunda bulunulabilir.
- Anayasa Mahkemesi’ne Bireysel Başvuru: İç hukuk yollarının tükenmesinin ardından, özel hayatın gizliliği (AY m. 20) temelinde Anayasa Mahkemesi’ne bireysel başvuru yolu açıktır.
Sağlık Kuruluşlarının Yükümlülükleri
Kişisel sağlık verisi işleyen sağlık kuruluşları, KVKK uyarınca aşağıdaki yükümlülükleri yerine getirmek zorundadır:
- VERBİS’e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yaptırmak
- Hastalar için ayrıntılı aydınlatma metni hazırlamak ve sunmak
- Sağlık verisi içeren sistemleri güvenli tutmak; güvenlik açıklarına karşı teknik ve idari tedbirler almak
- Çalışanlara kişisel verilerin korunması konusunda düzenli eğitim vermek
- Veri ihlali durumunda 72 saat içinde KVKK Kurulu’na bildirim yapmak
- Saklama sürelerine uymak ve süre dolan verileri imha etmek
Bu yükümlülüklerin yerine getirilmemesi, kişisel sağlık verisi ihlali niteliği kazanmakta ve hem idari para cezasına hem de bireysel tazminat davalarına zemin hazırlamaktadır.
Talep Edilebilecek Tazminat Kalemleri
Kişisel sağlık verisi ihlali nedeniyle açılacak davalarda talep edilebilecek başlıca tazminat kalemleri şunlardır:
Maddi Tazminat:
- İhlal sonucunda ortaya çıkan somut zararlar (işten çıkarılma, sigorta tazminatı kaybı, tedavi masrafları)
- Veri kullanımıyla elde edilen haksız ekonomik kazancın iadesi
- Üçüncü kişilere aktarılan veriler nedeniyle oluşan ekonomik kayıplar
Manevi Tazminat:
- Kişilik haklarının ihlali, özel hayatın gizliliğine saldırı nedeniyle duyulan üzüntü, kaygı ve utanç hissi
- Sosyal ve mesleki itibar kaybı
- Psikolojik bütünlüğün zarar görmesi
KVKK Kapsamında İdari Yaptırım:
- Veri sorumlusu hakkında 50.000 TL ila 1.000.000 TL arasında değişen idari para cezası (ihlalin niteliğine göre değişir)
- Hukuka aykırı işlenen kişisel sağlık verisinin silinmesi/imha edilmesi talebi
Kişisel sağlık verisi ihlali davalarında hem manevi tazminat hem de KVKK idari şikâyet yollarının eş zamanlı kullanılması, hak kaybını önlemek açısından büyük önem taşır. Bu konuda Manevi Tazminat ve Malpraktis Maddi Tazminat Davası Başlıklı başlıklı yazılar da incelenebilir.
Kişisel Sağlık Verisi ve Tıbbi Malpraktis İlişkisi
Kişisel sağlık verisinin ihlali, çoğu zaman bir tıbbi malpraktis sürecinin yan ürünü olarak ortaya çıkar. Yanlış kişiye ulaşan tanı raporu, yetkisiz erişime açık bırakılan ameliyat kaydı ya da güvensiz biçimde aktarılan psikiyatrik değerlendirme; hem bir KVKK ihlali hem de hasta haklarının çiğnenmesi anlamına gelir.
Öte yandan hasta dosyasına erişimin kısıtlanması ya da kaydın tahrif edilmesi, malpraktis davası sürecinde delil karartma şüphesi doğurabilir ve davayı tamamen farklı bir boyuta taşıyabilir.
Sıkça Sorulan Sorular (SSS)
Kişisel sağlık verisi nelerden oluşur?
Tanı, tedavi, ilaç, laboratuvar sonuçları, psikolojik değerlendirmeler, genetik veriler ve sağlıkla ilgili her türlü kayıt kişisel sağlık verisi kapsamındadır.
Hastane sağlık verilerimi rıza almadan kullanabilir mi?
Yalnızca doğrudan tedavinizle bağlantılı amaçlar için ve sır saklama yükümlülüğü altındaki personel tarafından kullanılabilir. Reklam, tanıtım veya araştırma gibi amaçlar için açık rıza zorunludur.
e-Nabız verilerimin izinsiz görüntülendiğini öğrendim, ne yapabilirim?
KVKK Kurulu’na şikâyette bulunabilir, savcılığa suç duyurusunda bulunabilir ve manevi tazminat davası açabilirsiniz.
Eczacı sağlık verilerimi başka birine verebilir mi?
Hayır. Eczacılar sır saklama yükümlülüğü altındadır; herhangi bir hukuki dayanak olmaksızın sağlık verisi aktarımı KVKK ihlali oluşturur.
Sağlık verilerim gazetede yayımlandı, ne yapabilirim?
Hem KVKK Kurulu’na başvurabilir hem de kişilik haklarının ihlali gerekçesiyle manevi tazminat davası açabilirsiniz.
KVKK şikâyeti ile tazminat davası aynı anda açılabilir mi?
Evet, bu iki yol birbirinden bağımsız olup eş zamanlı olarak yürütülebilir. KVKK şikâyeti idari nitelikteyken, tazminat davası medeni hukuk kapsamındadır.
Sağlık verisi ihlalinde zamanaşımı süresi ne kadardır?
KVKK uyarınca ihlali öğrenmeden itibaren 2 yıl, her hâlde 4 yıl içinde şikâyette bulunulabilir. Medeni hukuk tazminat davasında ise zarar ve faili öğrenmeden itibaren 2 yıl, her hâlde 10 yıl geçerlidir.
Sağlık verilerimi talep etme hakkım var mı?
Evet. KVKK’nın 11. maddesi uyarınca veri sorumlusuna başvurarak hangi verilerinizin işlendiğini, kimlerle paylaşıldığını ve ne amaçla kullanıldığını öğrenme hakkına sahipsiniz.
