NEFES DERGİSİ SAYI 33 / EKİM 2017

KİŞİSEL SAĞLIK VERİLERİ’NİN “MAHREMİYET HAKKI” KAPSAMINDA DEĞERLENDİRİLMESİ

Av. E. Ahşen Oktay Dinç / Sağlık Hukuku Uzmanı

Bireylerin “insan” olmaktan kaynaklı vazgeçilemez, devredilemez “YAŞAMA VE MADDİ –MANEVİ VARLIĞINI KORUMA VE GELİŞTİRME” hakları bulunmaktadır. (A.Y. m. 17.) Kişilik haklarından en önemlisi yaşama hakkıdır. Kişinin diğer hak ve özgürlükleri kullanabilmesi yaşama hakkının varlığına bağlıdır. Yaşama hakkı, kişinin sağlıklı ve eksiksiz bir beden varlığına sahip olması ve bunu sürdürmesi olarak nitelendirilir. Bu bağlamda Yaşama Hakkı ile Sağlık Hakkının birbirleri açısından önemli olduğu ve sağlıklı olma halinin yani sağlık hakkının da doğuştan kazanılan ve vazgeçilmez, devredilmez bir hak olduğu açıktır. Yaşama Hakkının içerisinde yer alan önemli bir parça olarak Sağlık Hakkı, Sağlık Hakkının önemli bir parçası olarak ise Hasta Hakkı

Bir Hasta Hakkı olarak “Mahremiyet Hakkı”

karşımıza çıkmaktadır. Sağlık hizmetlerinde insan haklarının uygulanması “hasta hakları” ile düzenlenmekte ve değerlendirilmektedir. Nitekim Hasta Hakları Yönetmeliği’nin “Amaç” başlıklı 1. maddesinde “hasta haklarının temel insan haklarının sağlık hizmetleri sahasındaki yansıması olduğu” belirtilmiştir. Mahremiyet Hakkı ise; ulusal ve uluslararası düzenlemelerde hasta hakkı olarak düzenlenen menfaatler bütünüdür. Hasta Hakları Yönetmeliği “Mahremiyete Saygı Gösterilmesi” başlıklı 21. Maddesinde “ hastanın mahremiyetine saygı gösterilmesi esastır” yönünde düzenleme yapılmış ve devamında mahremiyete saygı gösterilmesinin kapsamı sayılmış, ölümden sonrada mahremiyet korunmasının devam edeceği vurgulanmıştır.

Kişinin özel hayatına saygı, sağlık hizmetlerinde, daha çok kişinin sağlık hizmetlerinden yararlanma süreçleri ile ilgili bilgilere kişinin isteği dışında ulaşılamaması, kişinin sağlık hizmetlerinden yararlandığı süreçte bedensel mahremiyetine saygı gösterilmesini kapsamaktadır. Hastaya ait bilgi ve belgelerin arşivlenmesi ve bu arşivlerin gizliliği ya da hastadan öğrenilen sırların açıklanmaması kişiye ait bilgilere ulaşılmaması kapsamındadır.

Kişinin özel hayatına saygı ilkesinin en önemli sonucu olan Mahremiyet Hakkı, sağlık sunucuları ve hekimler açısından “gizlilik – sır saklama yükümlülüğü” olarak karşımıza çıkmaktadır. Kişinin insan olmasından kaynaklı insan hakkının yansıması olarak yaşama hakkı, sağlık hakkı ve hasta hakkı ile doğrudan bağlantısı dışında “Mahremiyet ve Gizlilik” kavramları sağlık hizmetlerinin özünü oluşturan hekim ile hasta arasındaki güven ilişkisinde önemli bir yere sahiptir.

Nitekim hasta olup da, hekime hastalığı ile ilgili bilgileri aktaran herkes, bu bilgilerin gizli kalacağı ve ilgisiz kişilere aktarılmayacağına güvenmelidir. Ancak bu suretle hekim ile hasta arasında bir güven ilişkisi oluşturulabilir. Bu güven ilişkisi hekimin faaliyetleri açısından önemli bir faktördür, zira şifa şansını artırmakta ve iyi bir sağlık sistemi için ön şartlardan birini oluşturmaktadır.

Kişisel Veri ile Mahremiyet Hakkı bağlantısı ve ilgili hukuki düzenlemeler

Hasta Hakları Yönetmeliği 21. Madde düzenlemesini de dikkate alarak mahremiyet hakkını beden mahremiyeti ya da veri mahremiyeti olarak kısaca 2 temel konu başlığı altında toplandığını belirtebiliriz. Mahremiyet hakkının; veri kısmı “kişisel veri” düzenlemeleri ile doğrudan bağlantılıdır.

Anayasa 20. Madde son fıkrasına 2010 yılında yapılan revizyon ile, kişisel verilerin korunmasına ilişkin hak Anayasa’ya eklenmiş ve Anayasal koruma getirilmiştir.

Kişisel Sağlık Verilerinin temelini insan olmaktan kaynaklı yaşam hakkı, yaşam hakkının alt bendi sağlık hakkı, sağlık hakkının alt bendi hasta hakkı ve bir hasta hakkı olarak mahremiyet hakkı oluşturduğu açıktır.

Kişisel Veri düzenlemelerinde de sır saklama yükümlülüğü – mahremiyet kavramları yer almaktadır.
Uluslararası belgeler, mukayeseli hukuk uygulamaları ve ülkemiz ihtiyaçları gözönüne alınarak 24.03.2016 tarihinde Resmi Gazete’de yayımlanan Kişisel Verilerin Korunması Kanunu (“KVKK”) ile “mahremiyet hakkı” ile doğrudan bağlantılı olan kişisel veri kavramına dair düzenlemeler yapılmış, kişisel verilerin çağdaş standartlarda işlenmesi ve koruma altına alınması amaçlanmıştır. Kanunkoyucu tarafından Kanunun en baştaki amaçlarından birinin “özel hayatın gizliliğini korumak” olduğu vurgulanmaktadır. 20.10.2016 tarihinde de sağlık verileri açısından “Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik” (“Kişisel Sağlık Verileri Yönetmelik”) yayınlanmıştır.

Kişisel Sağlık Verisi nedir?

Kişisel Veri; kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmaktadır. KVKK’nın gerekçesinde kişinin kimlik, iletişim, sağlık ve mali bilgileri ile özel hayatına, dini inancına ve siyasi görüşüne ilişkin bilgiler, kişisel veri olarak nitelendirildiği belirtilmiştir. KVKK’da ayrı özel nitelikli kişisel veri kavramı bulunmakta olup, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, biyometrik verisi veya haklarında verilen ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verilerinin, özel nitelikli kişisel veri olduğu belirtilmektedir. KVKK’nın 6. madde gerekçesinde “bu verilerin, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikte veriler olmaları dikkate alındığı, bu sebeple bu tür veriler özel nitelikli (hassas) veri olarak kabul edildiği” vurgulanmıştır.

Bu düzenlemeler incelendiğinde sağlık verilerinin özel nitelilikte kişisel veri kapsamında yer aldığı anlaşılmaktadır.

Kişisel Sağlık Verisinin işlenme şartları, işlenme amacı, aktarım ve silinme koşullları nelerdir?

Bir kişisel verinin işlenmesi kısaca; ilgili verinin otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, elde edilebilir hale getirilmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi olarak açıklanabilir. Kişisel Verilerin işlenmesinde genel ilkeler şu şekildedir;

• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Belirli, açık ve meşru amaçlar için işlenme ilkesi, veri sorumlusunun, veri işleme amacını açık ve kesin olarak belirlemesini ve bu amacın meşru olmasını zorunlu kılmaktadır. Veri sorumluları, belirttikleri bu amaçlar dışında, başka amaçlarla veri işlemeleri halinde, bu eylemlerinden dolayı Örneğin, bir hazır giyim mağazasının, müşterilerinin kimlik ve iletişim bilgilerini işlemesi meşru amaç kapsamındayken, kan gruplarını işlemesi meşru amaç kapsamında sorumlu olacaklardır. Amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. değerlendirilmeyecektir. Meşru amaç değerlendirilmesi esnasında kişisel veriler işlenirken işlenme amacının somut olaya göre ayrıntılı belirtilmesi gerekmektedir. Kişisel Verilerin işlenme şartları olarak ise KVKK’da ikili bir ayrım söz konusudur ;

• Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenmesi.
• Açık rıza aranmayan istisnai durumlar. Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür;
• Kanunlarda açıkça öngörülmesi.
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. İlgili kişinin kendisi tarafından alenileştirilmiş olması.
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Belirtilen düzenlemelerden de açıkça anlaşılacağı üzere Kişisel Verilerin işlenmesinde temel prensip ilk olarak “kişinin rızasının” alınmasıdır. Özel nitelikli verilerde ( yani kişisel sağlık verilerinde) de ilgilinin açık rızası olmadan işlenmesi yasaktır. Ancak özel nitelikli verilerde istisnai olarak belli durumlarda sır saklama yükümlülüğü altında bulunan kişi, kurum ve kuruluşlar tarafından rıza alınmadan işlenmesine izin verilmektedir. Bu durumlar Kanunda tahdidi olarak sayılmıştır.

• Kamu sağlığının korunması,
• Koruyucu hekimlik,
• Tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi,
• Sağlık hizmetlerinin planlanması,
• Yönetimi ve finansmanı,

amaçları ile rıza alınmadan sır saklama yükümlülüğü altında olan gerçek ve tüzel kişilerce işlenmeyebilir.

KVKK madde 6’da sağlık hizmetleri için getirilen bu istisna ile Temel Sağlık Hizmetleri Kanunu ve 663 sayılı Sağlık Bakanlığı Kuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararnamenin 8. ve 47. mMaddeleri dikkate alınarak Sağlık Bakanlığı tarafından Kişisel Sağlık Verileri Yönetmeliği yayınlanmıştır. Kişisel Sağlık Verileri Yönetmeliğinde de mahremiyet hakkı vurgusu yapılmıştır. Kişisel Sağlık Verileri Yönetmeliği 5. Maddesinin 4. Bendinde “ kişisel sağlık verilerini işleyen veya görevi gereği kişisel sağlık verilerine erişen herkesin bu verilerle ilgili olarak sır saklama yükümlülüğü altında oldukları belirtilmiştir.

Kişisel sağlık verilerinin işlendikten sonra aktarılması, silinmesi ya da silinmesinin ilgili tarafından talep edilmesi durumları da diğer kişisel verilere göre bazı istisnalara tabi tutulmuştur. Kişisel sağlık verileri işlendikten sonra sadece yetkili kişi ve kurumlara aktarımı yapılabilir. KVKK madde 28 de veri aktarımı hususunda bazı istisnalar belirtilmiştir. Bu istisnalar;

• Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi,
• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi,
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi,

olarak belirtilmiştir.

Kişisel Sağlık Verilerinin silinmesi ise; KVKK da belirtildiği gibi işlenmesini gerektiren sebebin ortadan kalkması halinde anonim hale getirilir ya da silinir. Ancak buradaki silinme KVKK’dan farklı olarak sadece sağlık kuruluşu kayıtlarından silinme olup, sağlık kuruluşu bu kayıtları eksiksiz olarak Sağlık Bakanlığı nezdindeki sisteme gönderecektir. Kayıtlar adli mercilere verilebilimesi ya da hakların korunabilmesi için Bakanlık nezdinde 10 yıl saklanacak ve hak tesisi, kullanımı, koruması ile adli merciye sunumu hariç dışarıya erişimi engellenecektir. Bu madde de diğer kanun hükümleri saklı tutulmuştur.

Kişisel Sağlık Verilerine ilişkin KVKK ve Kişisel Sağlık Verileri Yönetmeliği’nde belirtilen hususlara aykırı davranılması halinde ne gibi sonuçlar ile karşılaşırız?

Kişisel Sağlık Verilerinin KVKK’da ve Kişisel Sağlık Verileri Yönetmeliği’nde belirtilen meşru amaçlar olmadan kişinin hukuka uygun rızası alınmadan işlenmesi, aktarılması ya da silinmesi / yok edilmesi durumunda tazminat, ceza ve idari / disiplin sorumluluğu açısından değerlendirme yapılabilir.

KVKK’ ya aykırı bir durum mevcut ise; KVKK madde 18 kapsamında “Kabahat” olarak düzenlenen idari para cezalarına hükmedilebilecektir. Ayrıca ilgili eylem kamu kurumu personeli tarafından işlenmesi halinde disiplin sorumluluğu söz konusu olabilecektir. Somut veriler ile ortaya koyulabilen ihlal içeren eylemin olması disiplin ve idari para cezası açısından yeterli bir unsurdur. Ancak tazminat ve ceza hukuku sorumluluğu açısından eylem ihlalinde başka unsurlarında mevcudiyeti aranır. Tazminat sorumluluğu için ilgili ihlal sebebiyle kişide maddi ve/veya manevi zarar oluşması gerekir. Kusur sorumluluğu var ise eylemin kusur içermediğinin ispatlanamıyor olması gerekir. İhlal yanında kusur, zarar ve illiyet bağı aynı anda somut olayda var ise tazminata hükmedilebilir.

Ceza Hukuku açısından ise ilk olarak Türk Ceza Kanununda düzenlenen bir cezanın bulunması gerekir. Kişisel Verilere ilişkin maddeler TCK’da 135 -140 maddeleri arasında düzenlenmiştir. 2004 yılında yürürlüğe giren 5237 sayılı TCK’da meslek sırına yer verilmemiş ancak TCK m.134’de Özel Hayatın Gizliliğinin İhlali, TCK m. 135’de Kişisel Verilerin Kaydedilmesi ,TCK m. 136’da “Kişisel Verilerin Hukuka Aykırı Verme veya Ele Geçirme”, TCK m. 138’de “Verileri Yok Etme” suçları düzenlenmiştir. Eylemin bu suçları kapsaması halinde şikayet halinde suçun unsurları açısından değerlendirme soruşturma – kovuşturma evrelerinde yapılacaktır.

Sonuç olarak özetlemek gerekirse;

Sağlık verilerinin özel nitelikteki veriler olması sebebiyle sır saklama yükümlülüğü altında bulunan sağlık hizmet sunucularına, hekimleri ve diğer ilgilere “rıza alınmadan” belli durumlarda kişisel sağlık verilerinin işlenmesi konusunda istisnai düzenleme yapılmış olsa da , burada tarafların dikkat etmesi gereken en önemli hususun KVKK’nun düzenlenme amacı olan ÖZEL HAYATA SAYGI İLKESİ ile rıza alınmadan işlenen sağlık verisinin işlenme amacı arasındaki makul dengenin ölçülmesi olduğu kanaatindeyim. Bu hususun her somut olay için ayrı değerlendirilmesi, rıza alınmadan paylaşım gerekçesini ise somut destekleyici veriler ile ortaya koyulabilmesi gerekmektedir. Amacın ayrıntılı belirtilebilmesi ve kişinin hak ve özgürlükleri terazinin diğer tarafına eklendiği düşünülerek kabul edilebilir, ölçülü olması gerekmektedir.

Örneğin KVKK ‘nda yargı makamlarına kişisel verileri izin almadan işleme , yani kurumlardan talep etme, soruşturma – kovuşturma – yargılama safhalarında inceleyip hükme giden yolda dikkate alma hakkı verilmiştir. Ancak yargı mercii tarafından incelenen konu ile doğrudan bağlantısı olmayan, makul bir gerekçe bulunmayan bir sağlık verisinin ilgili merciler tarafından işlenmesi KVKK’nın özüne ve gerekçesine aykırılık oluşturacaktır.

Kişisel sağlık verileri açısından da sağlık çalışanlarına yüklenen sır saklama yükümlülüğü veri işleme ve aktarımı süreçlerinde ön planda tutulmalı, Kanunda istisnai düzenleme var denilerek olayın özü, gereklilik ve ölçülülük kıstasları incelenmeden kişisel sağlık verisi paylaşımı yapılmamalıdır. Çünkü hasta ile hekim, hasta ile hastane arasında özel hukuktan kaynaklanan hukuki niteliği vekalet sözleşmesi olan bir sözleşme kurulmuş olup, bu ilişkinin karşı tarafı olarak ilk önce hastaya izah etme, sadakat ve hesap verme yükümlülüğü söz konusu olacaktır. Kanunun amaçlarına aykırı talep olabileceği şüphe oluşturan durumlarda hastanın ayrıntılı bilgilendirilerek hukuka uygun rızasının alınması ve belgelerin bu şekilde yetkili olduğunu belirten makamlara ya da kişilere teslim edilmesi gerektiği kanaatindeyim. Son olarak; sır saklama yükümlülüğünü – mahremiyet hakkını vurgulayan ve özel hayatın gizliliğini korumayı amaçlayan KVKK’nın ve ilgili hukuki düzenlemelerin kanunun gerekçesine uygun uygulamaya yansıması hepimizin temennisidir.

KAYNAKÇA

Hatice Sarıtaş;” Hasta Hakları Açısından Hekim Sorumluluğu”, Bilge Yayınevi,Ankara:2006.

Gürkan Sert; “Tıp Etiği Ve Mahremiyet Hakkı”, Babil Yayınları, İstanbul: 2008.

Hakan Hakeri; “Tıp Hukuku Temel Bilgiler”, Seçkin Kitapevi, İstanbul: 2009, Güncellenmiş 2. Baskı.

İbrahim Ö. Kaboğlu; “Özgürlükler Hukuku –İnsan Haklarının Hukuksal Yapısı Üzerine Bir Deneme”,AFA Yayıncılık, İstanbul:1994.

Hamide Tacir; “Hastanın Kendi Geleceğini Belirleme Hakkı”,Oniki Levha Yayıncılık, İstanbul: 2001.

https://www.tbmm.gov.tr/sirasayi/ donem26/yil01/ss117.pdf h

ttp://www.inhak.adalet.gov.tr/inhak_ bilgi_bankasi/tematik_bilginotu/saglik/ Health%20(SA%C4%9ELIK).pdf