Sağlık Verisinin Tanımı ve Türleri

Sağlık veri türlerini, önemini ve GDPR ile KVKK gibi yasaların gizliliği nasıl koruduğunu keşfedin. Hassas sağlık bilgilerinin güvence altına alınmasındaki zorlukları öğrenin.

---

Kişisel sağlık verileri; bireylerin sağlık durumu, tıbbi geçmişi ve genetik bilgileri gibi çeşitli bilgileri kapsar. Bu veriler, bir bireyin sağlık hizmeti aldığında veya sağlık durumu hakkında bilgi edinildiğinde oluşturulur ve kaydedilir. Kişisel sağlık verileri, bir kişiyi doğrudan (ad, kimlik numarası gibi) veya dolaylı olarak (genetik bilgiler gibi) tanımlayan her türlü bilgiyi içerir.

Bu veriler genel olarak birkaç ana kategoriye ayrılır. İlki, yaş, cinsiyet ve doğum tarihi gibi temel bilgileri içeren demografik bilgilerdir. Tıbbi geçmiş; önceki hastalıklar, ameliyatlar, ilaçlar ve aşılar gibi bilgileri kapsar. Genetik bilgi de kişisel sağlık verilerinin önemli bir parçasıdır. Laboratuvar testleri ve görüntüleme sonuçları da bu verilerin bir parçasıdır. Ayrıca sigara veya alkol kullanımı, beslenme alışkanlıkları ve egzersiz örüntüleri gibi yaşam tarzı bilgileri de sağlık verilerinin önemli bileşenleridir.

Kişisel sağlık verilerinin korunması, bireylerin mahremiyeti ve güvenliği açısından büyük önem taşır. Bu bilgilere yetkisiz kişilerin erişmesi, bireylerin güvenliği ve mahremiyetine ciddi tehditler oluşturabilir. Bu nedenle kişisel sağlık verilerinin güvenli şekilde saklanması ve yalnızca yetkili kişilerce erişilebilir olması son derece önemlidir.

Sağlık Verisi Korumasının Önemi

Günümüzde dijital teknolojilerin hızla gelişmesi sağlık sektöründe köklü değişikliklere yol açmıştır. Elektronik sağlık kayıtları (ESK) ve telesağlık gibi yenilikler, sağlık hizmetlerinin daha hızlı, etkili ve geniş kitlelere ulaşmasını sağlamıştır. Sağlık verileri artık dijital platformlarda dünya genelinde toplanır, saklanır ve kolayca paylaşılır. Bu dijitalleşme; hastaların tedavi süreçlerini iyileştirme, sağlık hizmetlerine erişimi artırma ve tıbbi araştırmaları hızlandırma gibi birçok avantaj getirmiştir.

Ancak sağlık verilerinin dijital ortamda bu denli yaygın kullanımı, mahremiyet hakları ve veri güvenliği konusunda ciddi endişeler de doğurmuştur. Dijital sağlık verileri yalnızca hastalar ile doktorlar arasındaki iletişimi güçlendirmekle kalmaz; aynı zamanda sigorta şirketleri, ilaç şirketleri ve diğer üçüncü taraflar tarafından da erişilebilir hale gelir. Bu durum, sağlık verilerinin yetkisiz dinlenmesi, yetkisiz kullanımı veya ticari amaçlarla kötüye kullanılması risklerini ortaya çıkarır.

Sağlık verilerinin korunması; bireylerin mahremiyet haklarını güvence altına almak ve sağlık sistemlerinin bütünlüğünü sağlamak için kritik öneme sahiptir. Sağlık verileri ihlal edildiğinde, bunun sonuçları bireylerin kimlik hırsızlığından sağlık sistemlerinin bütünlüğüne verilen zarara kadar geniş bir yelpazede olumsuz olabilir. Bu nedenle sağlık verisi koruması, modern sağlık sistemlerinin sürdürülebilirliği ve güvenilirliği için vazgeçilmez bir gerekliliktir.

Bireysel Haklar ve Mahremiyet

Bireylerin sağlık verileri, mahremiyetin en önemli unsurlarından biri olarak kabul edilir. Bu veriler; bir kişinin fiziksel ve ruhsal durumu, tıbbi geçmişi ve genetik bilgileri gibi son derece kişisel bilgileri içerir. Sağlık verilerinin yetkisiz kişiler tarafından elde edilmesi veya paylaşılması bireylerin mahremiyet haklarını ciddi şekilde ihlal edebilir ve bu nedenle özel koruma gerektirir.

Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) gibi düzenlemeler, bireylerin sağlık verileri üzerindeki haklarını korur ve bu verilerin yalnızca açık rızalarıyla işlenmesini gerektirir. GDPR, sağlık verilerini "özel kategori veri" olarak sınıflandırır ve işlenmesi için katı kurallar koyar. Bu düzenlemeler, bireylerin sağlık verileri üzerindeki kontrolünü artırmayı ve bu verilerin korunmasını sağlamayı amaçlar.

Türkiye'de benzer bir düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile yürürlüğe girmiştir. KVKK; kişisel verilerin korunmasını sağlamak ve bu verilerin işlenmesine ilişkin kuralları belirlemek amacıyla çıkarılmıştır. Kanun, sağlık verilerini "özel nitelikli kişisel veri" olarak tanımlar ve bu verilerin işlenmesine ilişkin sıkı düzenlemeler getirir.

KVKK'ya göre sağlık verileri yalnızca veri sahibinin açık rızası ile veya kamu sağlığının korunması, tıbbi teşhis, tedavi ve bakım hizmetleri amacıyla işlenebilir. KVKK ayrıca sağlık verilerini işleyen kurumların, bu verilerin gizliliğini ve bütünlüğünü korumak için gerekli teknik ve idari tedbirleri almasını gerektirir. Türkiye'de sağlık verilerinin korunmasına ilişkin bu düzenlemeler; bireylerin mahremiyet haklarını koruma ve sağlık sistemine güveni sağlama hedefini taşır.

Türkiye'de sağlık verilerinin korunması 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile güvence altına alınmıştır. 2016'da yürürlüğe giren bu kanun; kişisel verilerin işlenmesi, saklanması ve paylaşılmasına ilişkin kuralları belirler ve sağlık verilerini "özel nitelikli kişisel veri" olarak sınıflandırır. KVKK sağlık verilerinin işlenmesine ilişkin sıkı kurallar koyar ve bu verilerin yalnızca veri sahibinin açık rızasıyla veya kamu sağlığının korunması, tıbbi teşhis ve tedavi hizmetleri için işlenmesine izin verir. Ayrıca veri güvenliği konusunda ciddi düzenlemeler getirilmiştir. Sağlık verisi işleyen kurumlar, bu verilerin gizliliğini ve bütünlüğünü korumak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Yargıtay 12. Ceza Dairesi'nin yakın tarihli bir kararında kişisel veri tanımı ayrıntılı olarak açıklanmıştır.

"Kimlik numarası, ad, soyad, doğum yeri ve tarihi, anne ve baba adı, sabıka kaydı, ikametgâh, eğitim durumu, meslek, banka hesap bilgileri, telefon numarası, e-posta adresi, kan grubu, medeni hal, parmak izi, DNA, biyolojik örnekler, cinsel ve ahlaki yönelim, sağlık bilgileri, etnik köken, siyasi, felsefi ve dini görüşler, sendika üyelikleri vb. kişinin kimliğini belirleyen veya belirlenebilir kılan, kişiyi toplumdaki diğer bireylerden ayırt eden ve onun niteliklerini ortaya çıkarmaya elverişli olan bilgilerdir."

Bu tanım, sağlık verisinin de kişisel veri kabul edildiğini ve böyle bir veriyi korumanın önemini vurgular. Yargıtay'ın bu kararı; Türkiye'de sağlık verilerinin korunmasına ilişkin hukuki dayanağın ne kadar güçlü olduğunu ve bu tür ihlallerin ciddi yaptırımlarla karşılaşabileceğini gösterir.

Kişisel Verileri Koruma Kurulu'nun 05/12/2018 tarihli ve 2018/1436 sayılı kararı; sağlık verisini 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesinde belirtilen işleme koşullarından birine dayanmaksızın üçüncü tarafa aktaran bir veri sorumlusu hakkında verilmiştir. Karar; doktor gözetiminde ilaç kullanan bir kişinin, ilaç aldığı eczanede özel sağlık verilerinin herhangi bir işleme koşulu olmaksızın üçüncü kişiyle paylaşıldığına ilişkin şikâyeti üzerine alınmıştır.

Kararda, KVKK'nın 6. maddesi 1. fıkrasında sağlık verisinin özel nitelikli kişisel veri olarak tanımlandığı ve veri sahibinin açık rızası olmadan bu tür verileri işlemenin yasak olduğu belirtilmiştir. Ayrıca aynı maddenin 3. fıkrasında, sağlık verilerinin sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, açık rıza aranmaksızın işlenebileceği hükme bağlanmıştır.

Öte yandan KVKK'nın 12. maddesinin 1. fıkrası, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu öngörür. Aynı maddenin 4. fıkrası ise veri sorumlularının, öğrendikleri kişisel verileri başkalarına açıklamayacaklarını ve işleme amacı dışında kullanmayacaklarını hükme bağlar. Bu kapsamda eczanenin, veri sahibinin sağlık verilerini 8. maddedeki koşulları karşılamadan üçüncü tarafa aktarması KVKK'nın 12. maddesinin 4. fıkrasına aykırılık oluşturduğundan, KVKK'nın 18. maddesi uyarınca veri sorumlusu eczane hakkında idari para cezası verilmesine karar verilmiştir.

Bu karar, sağlık verilerinin korunmasının ne kadar hassas ve önemli olduğunu vurgular. Sağlık verisi, korunması gereken en özel kişisel veri türlerinden biri olarak kabul edilir. Kişisel Verileri Koruma Kurulu'nun bu kararı; veri sorumlularının sağlık verilerini korumada ne kadar titiz olmaları gerektiğini ve bu verilerin yalnızca Kanun'da belirtilen koşullar altında işlenebileceğini açıkça göstermektedir.

Karar ayrıca kişisel verilerin işlenmesinde ve aktarılmasında "açık rıza" ilkesinin önemini vurgular ve sağlık verisinin veri sahibinin açık rızası olmadan paylaşılmasının ciddi bir ihlal sayıldığını ve cezai yaptırımların buna göre uygulandığını gösterir. Bu karar veri sorumluları için bir uyarı niteliğindedir ve veri güvenliğine ilişkin yükümlülüklerin ciddiye alınması gerektiğini vurgular.

Kişisel Sağlık Verilerinin Korunmasında Veri Sahibinin Hakları ve Veri Sorumlusunun Yükümlülükleri

Kişisel sağlık verilerinin korunmasında hem veri sahibinin hem de veri sorumlusunun çeşitli hak ve yükümlülükleri vardır. Veri sahibinin hakları arasında; sağlık verilerinin işlenmesine ilişkin bilgi talep etme, bu verilerin düzeltilmesini veya silinmesini isteme gibi temel haklar yer alır. Veri sahibi; sağlık verilerinin hangi amaçla toplandığı, nasıl işlendiği ve kimlerle paylaşıldığı hakkında bilgilendirilme hakkına sahiptir. Ayrıca işlenen verilerin doğruluğuna itiraz edebilir, güncellenmesini veya düzeltilmesini talep edebilir. Kişisel sağlık verilerinin korunması için kritik olan bu haklar, bireysel mahremiyeti güvence altına almayı amaçlar. Ayrıca veri sahibi; veriler hukuka aykırı işlenirse veya güvenliği sağlanamazsa uğradığı zararlar için tazminat talep etme hakkına sahiptir.

Bu süreçte kilit aktörler olan veri sorumluları, belirli yükümlülükleri yerine getirmek zorundadır. Bunlar arasında aydınlatma yükümlülüğü, veri sorumlularının birincil ve en önemli sorumluluklarından biridir. Bu yükümlülük; kişisel sağlık verilerinin toplanması sırasında veri işleme faaliyetlerine ilişkin açık, anlaşılır ve erişilebilir bilgileri veri sahibine sağlamayı içerir. Veri toplandığı andan itibaren sorumlular; işleme amacı, verinin kimlerle paylaşılacağı ve işleme faaliyetinin hukuki dayanağı hakkında veri sahibini bilgilendirmek zorundadır. Ayrıca kişisel verilerin veri sahibinden doğrudan elde edilmediği hallerde, veri sorumlularının makul bir süre içinde bu bilgileri veri sahibine iletmesi gerekir. Bu süreçte, veri işleme için alınan güvenlik tedbirlerine ilişkin ayrıntılar da dahil olmak üzere tüm bilgi paylaşım prosedürleri belirlenmiş kural ve ilkelere uymak zorundadır.

Veri sorumlularının bir diğer kritik yükümlülüğü veri güvenliğini sağlamaktır. Bu kapsamda veri sorumluları; kişisel sağlık verilerini yetkisiz erişim, ifşa, değiştirme veya silinmeye karşı korumak için tüm gerekli teknik ve idari tedbirleri almak zorundadır. Bu tedbirler; veri işleme sırasında ortaya çıkabilecek güvenlik açıklarını en aza indirmeyi ve verilerin bütünlüğünü sağlamayı amaçlar. Veri ihlali halinde veri sorumluları, etkilenen bireyleri ve Kişisel Verileri Koruma Kurumu'nu derhal bilgilendirmek zorundadır. Veri ihlallerinin hızlı ve etkili bildirimi, etkilenen bireylere verilen zararı en aza indirmek için alınan tedbirler arasındadır.

Son olarak veri sorumluları; Kişisel Verileri Koruma Kurumu tarafından tutulan Veri Sorumluları Sicili'ne (VERBİS) kayıt olmakla yükümlüdür. Bu sicil; veri sorumlularının işleme faaliyetlerinde şeffaflık ve denetim sağlamak amacıyla kurulmuştur. VERBİS'e kayıt yükümlülüğü, veri sorumlularının işledikleri sağlık verilerine ilişkin tüm süreçleri belgelemesini ve düzenli olarak güncellemesini gerektirir. Bu kayıt zorunluluğuna belirli istisnalar olsa da sağlık verisi işleyen kuruluşlar için bu istisnalar son derece sınırlıdır ve veri güvenliği sağlamak için dikkatlice değerlendirilmelidir. Veri sorumluları ile veri sahiplerinin bu hak ve yükümlülüklere uyması, kişisel sağlık verilerinin güvenli işlenmesini ve korunmasını sağlar. Kişisel verilerin korunmasına ilişkin mevzuat ve uygulamalar; bireysel mahremiyet ile toplumsal güvenliği güvence altına almayı hedefler. Bu nedenle hem veri sorumlularının hem de veri sahiplerinin bilinçli ve sorumlu davranması son derece önemlidir.

Güvenlik İhlallerinin Etkisi

Sağlık verilerinin güvenliği yalnızca bireysel mahremiyet için değil; aynı zamanda sağlık sistemlerinin güvenliği için de kritik öneme sahiptir. Sağlık verisi ihlalleri; kişisel bilgilerin ifşasına yol açabilir ve sağlık sistemleri içinde önemli güvenlik sorunlarına neden olabilir. Veri ihlali durumunda sızdırılan bilgiler; kötü niyetli kişilerce kimlik hırsızlığı, dolandırıcılık veya şantaj amacıyla kullanılabilir. Bu tür olaylar bireyler için mali ve duygusal zarara yol açar ve sağlık sistemine olan kamu güvenini sarsabilir.

Örneğin Amerika Birleşik Devletleri'ndeki Anthem Inc. 2015 veri ihlali, tarihteki en büyük sağlık verisi ihlallerinden biri olarak bilinir. Bu olayda yaklaşık 78,8 milyon bireyin kişisel sağlık bilgilerine (ad, doğum tarihi, Sosyal Güvenlik numarası ve adres dahil) yetkisiz kişilerce erişilmiştir. Sonuç olarak Anthem önemli hukuki sorunlarla karşılaşmış ve milyonlarca dolar tazminat ödemek zorunda kalmıştır. Bu olay sağlık verilerinin korunmasının kritik önemini vurgulamış ve sağlık hizmeti sağlayıcılarının sıkı veri güvenliği tedbirleri benimsemesi gerektiğinin altını çizmiştir.

Türkiye'de 2020'de benzer bir olay yaşanmıştır; özel bir hastanedeki bir çalışan, hasta sağlık verilerine yetkisiz erişmiş ve onayı olmadan üçüncü taraflarla paylaşmıştır. Bu olay Türkiye'de sağlık verilerinin korunması için güvenlik tedbirlerinin önemini vurgulamıştır. Kişisel Verileri Koruma Kurumu bu ihlali tespit etmiş ve hastaneye önemli bir idari para cezası uygulamıştır. Bu vaka, yalnızca teknik güvenlik tedbirlerinin yeterli olmadığını; sağlam bir hukuki ve etik çerçevenin de gerekli olduğunu göstermiştir. Bu tür veri ihlalleri yalnızca bireylerin mahremiyet haklarını ihlal etmekle kalmaz; aynı zamanda sağlık sistemlerinin bütünlüğünü de tehdit eder.

---

Kaynaklar

• Akıncı, Ayşe Nur. Avrupa Birliği Genel Veri Koruma Tüzüğünün Getirdiği Yenilikler ve Türk Hukuku Bakımından Değerlendirilmesi: Çalışma Raporu-6. T.C. Kalkınma Bakanlığı, Bilgi Toplumu Dairesi Başkanlığı, Yayın No: 2968, Haziran 2017.
• Orak, Beşir. Kişisel Sağlık Verilerinin Korunması. Hacettepe Üniversitesi, Sosyal Bilimler Enstitüsü, Özel Hukuk Anabilim Dalı, Ankara, 2019.
• Er, Ümit. Sağlık Hukuku. Savaş Yayınları, Ankara, 2008.
• Taştan, Fatma Gül. Türk Sözleşme Hukukunda Kişisel Verilerin Korunması. 12 Levha Yayıncılık, İstanbul, 2017.
• Dilek, Erdoğan Can. Kişisel Sağlık Verileri. Seçkin Yayıncılık, İstanbul, 2024.
• Akıncı, Ayşe Nur. "Avrupa Birliği Genel Veri Koruma Tüzüğünün Getirdiği Yenilikler ve Türk Hukuku Bakımından Değerlendirilmesi." T.C. Kalkınma Bakanlığı Çalışma Raporu-6, Haziran 2017, s. 159.
• Dülger, Murat Volkan. "Kişisel Sağlık Verilerinin İşlenmesi ve Korunmasına İlişkin Yönetmelikte Yapılan Değişiklikler ve Dikkat Edilmesi Gereken Hususlar." Academia.edu, erişim: 14.07.2023.
• Şimşek, Uğur. "Sağlık Hukukunda Aydınlatılmış Rıza." Dokuz Eylül Üniversitesi Hukuk Fakültesi Dergisi, Cilt 16, Özel Sayı, 2014, s. 3535-3556 (Yayın Yılı: 2015).