Sağlık verileri ve KVKK: haklarınız neler?

Sağlık verisi neden "özel nitelikli"?

Kişisel Verileri Koruma Kurumu'na göre özel nitelikli kişisel veriler, öğrenildiğinde kişinin ayrımcılığa uğramasına ya da mağdur olmasına neden olabilecek verilerdir. Kanunda bu veriler sınırlı sayıda sayılmıştır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Kurum, bu listenin kıyas yoluyla genişletilemeyeceğini vurgular.

Sağlık verisi denince yalnızca tanılar akla gelmemelidir. Tahlil sonuçları, reçeteler, görüntüleme raporları, hastaneye başvuru kayıtları, kullanılan ilaçlar ve hatta bir sağlık uygulamasına girdiğiniz bazı bilgiler de bu kapsamda değerlendirilebilir.

Sağlık verileri hangi durumlarda işlenebilir?

Kurumun açıklamasına göre sağlık verileri; açık rızanın bulunması, kanunlarda açıkça öngörülmesi, kişinin rıza veremeyecek durumda olduğu hâllerde hayatının ya da beden bütünlüğünün korunması için zorunlu olması gibi belirli koşullarda işlenebilir. Bu koşullar arasında, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurum ve kuruluşlar tarafından işlenmesi de yer alır.

Bu, hekiminizin muayene sırasında sağlık bilgilerinizi kaydetmesinin ve tedaviniz için kullanmasının yasal bir dayanağı olduğu anlamına gelir. Ancak bu verilerin, tedavinizle ilgisi olmayan amaçlarla, örneğin reklam veya pazarlama için kullanılması ayrı bir değerlendirme gerektirir. Kurum ayrıca özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınmasının zorunlu olduğunu belirtir.

Hasta Hakları Yönetmeliği'nin 23. maddesi de sağlık hizmeti nedeniyle edinilen bilgilerin, kanunun izin verdiği durumlar dışında hiçbir şekilde açıklanamayacağını hükme bağlar.

KVKK'ya göre haklarınız

Kurumun "İlgili Kişinin Hakları" sayfasına göre KVKK'nın 11. maddesi kapsamında herkes veri sorumlusuna başvurarak şu haklarını kullanabilir:

1. Kişisel verilerinin işlenip işlenmediğini öğrenme
2. İşlenmişse buna ilişkin bilgi talep etme
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde ya da yurt dışında verilerinin aktarıldığı üçüncü kişileri bilme
5. Eksik ya da yanlış işlenmiş verilerin düzeltilmesini isteme
6. Kanunda öngörülen şartlar çerçevesinde verilerin silinmesini ya da yok edilmesini isteme
7. Düzeltme, silme ya da yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
8. Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda aleyhine bir sonuç çıkmasına itiraz etme
9. Kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme

Sağlık kayıtları açısından önemli bir not: Silme talebi her zaman karşılanmayabilir; çünkü sağlık kuruluşlarının bazı kayıtları mevzuat gereği belirli süreler boyunca saklama yükümlülüğü bulunabilir. Bu durumda veri sorumlusunun talebinizi gerekçesiyle yanıtlaması beklenir.

Önce veri sorumlusuna başvurun

Kurumun "Şikayet Hakkı" sayfasına göre ilgili kişiler, veri sorumlusuna başvurmadan doğrudan Kurula şikâyet yoluna gidemez. Yani ilk adım, verilerinizi işleyen kuruma, örneğin hastaneye, özel kliniğe, laboratuvara ya da sağlık uygulamasının sahibine başvurmaktır.

Başvurunuzda şunlara dikkat etmeniz yararlı olur:

• Kimliğinizi doğrulayacak bilgileri ekleyin.
• Talebinizi açıkça belirtin: "Hangi sağlık verilerimin işlendiğini ve hangi üçüncü kişilere aktarıldığını öğrenmek istiyorum" gibi.
• Varsa ilgili tarih, birim ve olay bilgilerini ekleyin.
• Başvurunuzun bir kopyasını ve teslim kaydını saklayın.

Pek çok sağlık kurumu, internet sitesinde KVKK başvuru formu ve başvuru yöntemlerini yayımlar. Kurumun aydınlatma metni, verilerinizin hangi amaçlarla işlendiğini anlamak için de iyi bir başlangıç noktasıdır.

Kurula şikâyet ve süreler

Kurumun "Şikayet Hakkı" sayfasına göre:

• Başvurunuz reddedilirse, verilen yanıtı yetersiz bulursanız ya da süresi içinde yanıt verilmezse Kurula şikâyette bulunabilirsiniz.
• Şikâyet süresi, veri sorumlusunun yanıtını öğrendiğiniz tarihten itibaren otuz gün, her hâlde başvuru tarihinden itibaren altmış gündür.
• Kurul, şikâyet tarihinden itibaren altmış gün içinde yanıt vermezse talep reddedilmiş sayılır; bu durumda idari yargı yoluna başvurulabilir.

Kişisel Verileri Koruma Kurumu'nun internet sitesinde şikâyetler için çevrim içi bir şikâyet modülü bulunur.

Hasta hakları birimi ile KVKK başvurusu arasındaki fark

Sağlık verilerinizle ilgili bir sorun yaşadığınızda iki farklı yol söz konusu olabilir:

• Hasta hakları birimi: Hasta Hakları Yönetmeliği kapsamında mahremiyet ve gizlilik ihlalleri gibi konularda kurum içinde başvuru yapabileceğiniz birimdir.
• KVKK başvurusu: Verilerinizin işlenmesiyle ilgili haklarınızı (bilgi alma, düzeltme, silme, aktarılan kişileri öğrenme) kullanmak için veri sorumlusuna yapılan başvurudur; sonuç alınamazsa Kurula şikâyet yolu açılır.

Durumunuza göre bu yollardan birini ya da her ikisini kullanabilirsiniz. Ciddi bir ihlal ve zarar söz konusuysa bir hukukçudan destek almanız önerilir.

Günlük hayatta sağlık verinizi korumak

• Tahlil sonuçlarınızı ve raporlarınızı paylaşırken yalnızca gerekli kişilerle ve güvenli yöntemlerle paylaşın.
• Sağlık uygulamalarını yüklemeden önce aydınlatma metnini ve gizlilik politikasını okuyun; hangi verilerin kimlerle paylaşıldığını kontrol edin.
• e-Nabız'da gizlilik ayarlarınızı gözden geçirin ve erişim kayıtlarını zaman zaman kontrol edin.
• Sosyal medyada kendinizin ya da başkalarının sağlık bilgilerini paylaşırken dikkatli olun.
• Telefonla sizden sağlık bilgisi, şifre ya da doğrulama kodu isteyen kişilere itibar etmeyin.