KVKK ve Kişisel Sağlık Verilerinin Korunması: 2024 Sonrası Çerçeve

Sağlık verileri, KVKK'nın 6. maddesinde sayılan özel nitelikli kişisel verilerdir; işlenmeleri daha dar şartlara ve ek güvenlik tedbirlerine bağlıdır. 1 Haziran 2024'te yürürlüğe giren değişiklikle sağlık verisi işlemenin hukuki zemini genişledi: artık yalnız "sır saklama yükümlülüğü altındaki kişilerce işleme" değil, sağlık hizmetinin planlanması ve finansmanı ile istihdam ve sosyal güvenlik yükümlülükleri de açık rıza olmadan işlemeye izin veriyor. Bu, hastanelerden sigorta şirketlerine, işverenlerden sağlık teknolojisi girişimlerine kadar geniş bir kesimi ilgilendiriyor.

Hangi veriler sağlık verisidir

• Tanı, tedavi, reçete, tahlil ve görüntüleme sonuçları
• Randevu kayıtları ve hasta dosyası içeriği
• Engellilik durumu, kronik hastalık bilgisi, alerji kaydı
• İş yeri hekimi raporları, işe giriş ve periyodik muayene sonuçları
• Sağlık sigortası kapsamı ve hasar kayıtları
• Sağlık ve fitness uygulamalarında toplanan nabız, uyku, adım gibi veriler, sağlık durumuna işaret ettiği ölçüde

Genetik ve biyometrik veriler ayrı birer özel nitelikli kategori olarak sayılır; sağlık verisiyle sık sık bir arada bulunur.

Hangi hallerde işlenebilir

Açık rıza dışında, sağlık verisi bakımından öne çıkan haller:

• Sağlık hizmeti sunumu: Koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri; sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından.
• Planlama ve finansman: Sağlık hizmetlerinin yönetimi, planlanması ve finansmanı; sigorta ve geri ödeme süreçleri bu kapsamdadır.
• İstihdam ve sosyal güvenlik: İş sağlığı ve güvenliği mevzuatından doğan yükümlülükler, SGK bildirimleri, rapor takibi.
• Kamu sağlığının korunması: Salgın yönetimi, ilaç ve tıbbi cihaz güvenliği gibi alanlar.
• Hayati tehlike: Rızasını açıklayamayacak durumdaki kişinin hayatının veya beden bütünlüğünün korunması.
• Bir hakkın tesisi, kullanılması veya korunması: Dava ve tazminat süreçlerinde zorunlu olduğu ölçüde.

Bu hallerin hiçbiri "sınırsız işleme" anlamına gelmez; veri, amacın gerektirdiği kadarıyla ve gereken kişilerle sınırlı olarak işlenir.

Ek güvenlik tedbirleri

Kurul'un özel nitelikli veriler için belirlediği yeterli önlemler, sağlık verisi işleyen her kuruluş için asgari çerçevedir:

• Konuya özel yazılı politika ve prosedür; düzenli çalışan eğitimi ve gizlilik taahhütnamesi
• Erişimin görev gereği ihtiyaç duyanlarla sınırlanması, yetki matrisi ve erişim loglarının tutulması
• Verilerin şifreli saklanması, şifre anahtarlarının ayrı ortamda tutulması
• Elektronik aktarımda şifreli iletişim; fiziksel aktarımda kapalı ve etiketli zarf, elden teslim
• Fiziksel arşivlerde yetkisiz girişe karşı korunan alanlar

Ana faaliyeti özel nitelikli veri işlemek olan kuruluşlar için VERBİS kayıt eşiği daha düşüktür: 10 çalışan veya 10 milyon TL bilanço. Klinikler, laboratuvarlar ve eczaneler pratikte bu kapsamdadır. Bkz. VERBİS rehberi.

Sağlık kuruluşlarının web siteleri

Hastane, klinik ve muayenehane siteleri, KVKK açısından iki ayrı riski aynı anda taşır:

1. Form verileri. Online randevu ve "size dönelim" formlarında şikayet veya branş bilgisi istenmesi, sağlık verisi toplamak demektir. Bu formlar için ayrı bir açık rıza alanı, ayrı bir aydınlatma ve daha sıkı erişim kontrolü gerekir. Formda tıbbi bilgi istememek, en basit risk azaltma yoludur.
2. Çerezler ve izleme. Bir kullanıcının hangi branş sayfasını gezdiği, tek başına sağlık durumuna işaret edebilir. Reklam pikselinin bu sayfalarda rıza alınmadan çalışması, özel nitelikli verinin üçüncü tarafa aktarılması anlamına gelir; bu sayfalarda rıza öncesi engelleme özellikle önemlidir.

Sitenizde hangi çerezlerin, özellikle hangi reklam piksellerinin çalıştığını görmek için ücretsiz tarama yapabilir, rıza gelmeden bunların çalışmasını rıza yönetimi ile engelleyebilirsiniz.

İşverenler için

Çalışanların sağlık raporları istihdam ve iş sağlığı yükümlülükleri kapsamında rıza aranmadan işlenebilir; ancak:

• Rapor içeriği (tanı) yerine, çalışmaya uygunluk sonucu kayda geçirilmelidir.
• Erişim, iş yeri hekimi ve zorunlu İK personeliyle sınırlanmalıdır; yönetici raporun tanısını görmemelidir.
• Saklama süreleri mevzuata bağlıdır; iş sağlığı kayıtlarında bu süreler uzundur.

Sıkça sorulan sorular

Hasta randevu formunda şikayet sormak yasak mı?

Yasak değil, ancak sağlık verisi topluyorsunuz demektir; ayrı rıza, ayrı aydınlatma ve ek güvenlik tedbirleri gerekir. Bilgiyi telefonla almak çoğu zaman daha az riskli bir yoldur.

Hasta verisini bulutta saklayabilir miyim?

Sağlık mevzuatındaki özel hükümler ve yurt dışına aktarım kuralları birlikte değerlendirilmelidir; sunucusu yurt dışında olan hizmetlerde aktarım güvencesi şarttır.

Randevu hatırlatma SMS'i için izin gerekir mi?

Hizmetin ifasına ilişkin bilgilendirme ile pazarlama içeriği ayrılmalıdır; kampanya içeren mesajlar ticari elektronik iletidir ve onay gerektirir.

Sağlık verisi ihlalinde ne yapmalıyım?

Diğer verilerde olduğu gibi 72 saat içinde Kurul'a bildirim ve etkilenen kişilere makul sürede haber verme yükümlülüğü vardır; özel nitelikli veri olması nedeniyle Kurul'un değerlendirmesi daha ağırdır.