KVKK ve Hasta Mahremiyeti: Sağlıkta Gizliliğin Temel Taşı
Sağlık hizmetleri, insana dokunan en hassas alanlardan biridir. İnsanlar, sağlık sorunlarını çözmek için bir doktora veya sağlık kuruluşuna gittiklerinde, hem bedensel hem de ruhsal anlamda kendilerini açarlar. Bu süreçte paylaşılan bilgiler; yalnızca bir teşhis veya tedavi amacıyla değil, kişinin mahrem dünyasının en derin noktalarını ortaya çıkarabilir. İşte bu noktada hasta mahremiyeti ve KVKK kavramları devreye girer.
Her bireyin sağlık bilgileri, onun kimliğinin çok özel bir parçasıdır. Bu bilgilerin yanlış ellere geçmesi, hem psikolojik hem de sosyal açıdan ciddi sonuçlara yol açabilir. Örneğin bir hastanın HIV pozitif olduğunu veya psikiyatrik tedavi gördüğünü toplumun bilmesi, damgalanma ve ayrımcılığa neden olabilir. Bu yüzden sağlık verilerinin korunması, yalnızca yasal bir zorunluluk değil, aynı zamanda insani bir görevdir.
Sağlık Verileri Kişisel Veri midir?
Kesinlikle evet. Hatta KVKK açısından sağlık verileri, özel nitelikli kişisel veriler kategorisinde değerlendirilir. Bu, onların korunma derecesinin diğer kişisel verilere kıyasla daha sıkı olduğu anlamına gelir.
Basit bir örnekle açıklayalım:
- Bir kişinin adı-soyadı kişisel veridir.
- Ama o kişinin kan grubunu, tahlil sonuçlarını veya ameliyat kayıtlarını öğrenmek, çok daha özel ve hassas bir bilgiye erişmek demektir.
Özel nitelikli kişisel veriler, KVKK’nın 6. maddesine göre, ilgili kişinin açık rızası olmaksızın işlenemez. Ancak sağlık alanında, acil müdahale, halk sağlığının korunması gibi istisnai durumlarda bu veriler rıza olmadan da işlenebilir. Yine de, bu istisnalar suistimal edilemez; her işlem kayıt altına alınmalı ve gerekirse denetime açık olmalıdır.
Sağlık Verilerinin Kapsamı
Sağlık verileri denildiğinde yalnızca doktor muayenesi sırasında toplanan bilgiler akla gelmemelidir. Bunların kapsamı oldukça geniştir:
- Tıbbi geçmiş (geçirilmiş hastalıklar, ameliyatlar, tedaviler)
- Tanı ve teşhis bilgileri
- Tedavi planı ve ilaç bilgileri
- Laboratuvar ve görüntüleme sonuçları
- Psikolojik değerlendirme raporları
- Engellilik durumları
- Genetik bilgiler
Bu veriler, yalnızca teşhis, tedavi ve bakım amacıyla toplanabilir. “M.4.6’ya göre, hastanın tanı, tedavi ve bakım için gerekli olmadıkça ve ek olarak hasta izin vermedikçe, hastanın özel ve aile hayatına girilemez.” Bu hüküm, gereksiz yere merak gidermek veya bilgi toplamak amacıyla hasta verilerine erişmeyi kesin şekilde yasaklar.
Hasta Verilerinin Korunması
“Hastanın sağlık durumu, tanısı, prognozu, tedavisi hakkındaki ve kişiye özel diğer tüm bilgiler, ölümden sonra bile gizli olarak korunmalıdır.”
Bu ifade, tıp dünyasında etik bir ilke olarak yüzyıllardır kabul edilir. Ölümden sonra bile gizliliğin devam etmesi, bu verilerin yalnızca bireye değil, ailesine ve sevdiklerine dair hassas bilgiler içerdiğinin göstergesidir.
Hasta verilerinin korunması, birkaç temel prensip üzerine kuruludur:
- Erişim Yetkilendirmesi
Her sağlık çalışanı, görev tanımı doğrultusunda erişmesi gereken verilere ulaşabilir. Örneğin, laboratuvar teknisyeni yalnızca tahlil sonuçlarını görebilir, hastanın psikiyatri dosyasına erişemez.
- Teknik Güvenlik Önlemleri
Elektronik sağlık kayıtları, şifrelenmiş sunucularda saklanmalı ve yetkisiz erişimlere karşı korunmalıdır.
- Fiziksel Güvenlik Önlemleri
Kâğıt dosyalar kilitli dolaplarda tutulmalı, erişim alanı sınırlandırılmalıdır.
- Çalışan Eğitimi
En iyi sistemler bile, bilinçsiz kullanım sonucu veri ihlaline yol açabilir. Bu nedenle personel, hasta mahremiyeti konusunda düzenli olarak eğitilmelidir.
Sağlık Verilerinin İşlenmesinde Temel İlkeler
KVKK’ya göre sağlık verilerinin işlenmesinde şu temel ilkeler gözetilmelidir:
- Hukuka ve dürüstlük kurallarına uygun olma
- Doğru ve güncel olma
- Belirli, açık ve meşru amaçlarla işlenme
- Amaçla bağlantılı, sınırlı ve ölçülü olma (veri minimizasyonu)
- İlgili mevzuatta öngörülen süre kadar saklanma
Bu ilkeler yalnızca teorik değil, pratikte de uygulanmalıdır. Örneğin, “olur da lazım olur” diye her hastadan gereksiz bilgilerin toplanması veya saklanması, veri minimizasyonu ilkesine aykırıdır.
Yanlış Uygulamalara Örnekler
- Saç ekimi yapan bir kliniğin, danışanının fotoğrafını sosyal medyada paylaşması, açık rıza olmadan yasadışıdır.
- Yurt dışına veri aktarımı için alınan açık rızanın, sosyal medya paylaşımı için de geçerli sayılması yanlıştır. Her veri işleme amacı için ayrı rıza alınmalıdır.
- Eski hastaların dosyalarının, saklama süresi geçtiği halde sistemde tutulması veya çöpe atılması yerine imha edilmemesi, ciddi bir ihlaldir.
Veri Güvenliği ve Mahremiyetin Sağlanması için Pratik Adımlar
Hasta ve danışanların güvenini kazanmanın yolu, yalnızca doğru teşhis ve etkili tedaviden geçmez. Aynı zamanda onların size emanet ettiği en değerli varlıklarından biri olan kişisel sağlık verilerini güvence altına almaktan geçer. KVKK’ya uyum sağlamak, yalnızca yasal bir zorunluluk değil, aynı zamanda profesyonel bir itibar konusudur.
Aşağıda, bir sağlık kuruluşunun veri güvenliğini sağlaması için atması gereken adımları adım adım anlatıyorum:
Güçlü Veri Güvenliği Politikaları Oluşturmak
Bir sağlık kuruluşunun veri güvenliği politikasını yazılı hale getirmesi, hem çalışanlar hem de hastalar açısından şeffaflık sağlar. Bu politika:
- Hangi verilerin toplanacağını
- Nasıl saklanacağını
- Kimlerin erişebileceğini
- Hangi durumlarda imha edileceğini
- İhlal durumunda nasıl bir prosedür izleneceğini
net şekilde belirtmelidir.
Örneğin, bir hastanenin bilgi işlem departmanı, tüm verilerin günlük olarak yedeklenmesini, bu yedeklerin de şifrelenmiş harici depolarda saklanmasını zorunlu hale getirebilir.
Sosyal Medya Hesabımızı Takip Edebilirsiniz: Linkedin
