Hasta Sırrı ve Kişisel Sağlık Verileri: Mahremiyet İhlalinde Üç Ayrı Sorumluluk

Sağlık verisi, hukukumuzun en yüksek korumaya aldığı veri türlerinden biridir. Buna rağmen uygulamada iki yönlü bir kafa karışıklığı yaşanır: bir yanda paylaşılmaması gereken bilgi paylaşılır, diğer yanda verilmesi gereken kayıt “mahremiyet” gerekçesiyle verilmez.

İkinci durum, tıbbi uygulama hatası dosyalarında sık görülür: hasta veya yakını epikriz, görüntü ya da hemşire gözlem formu ister; kendisine “kişisel veri, veremeyiz” denir. Bu cevap çoğu zaman hatalıdır.

Bu rehber üç soruyu ayırıyor: sağlık verisi kimlerle paylaşılabilir, sır hangi hâllerde açıklanabilir ve ihlal edildiğinde hangi üç sorumluluk aynı anda doğar.

Kural: Sağlık Verisi Özel Nitelikli Veridir

Kişisel Verilerin Korunması Kanunu, kişilerin sağlığına ilişkin verileri; ırk, etnik köken, siyasi düşünce, inanç, dernek ve sendika üyeliği, cinsel hayat, ceza mahkûmiyeti ile biyometrik ve genetik veriler yanında özel nitelikli kişisel veri saymıştır. Kural olarak özel nitelikli verilerin ilgilinin açık rızası olmaksızın işlenmesi yasaktır.

Hasta Hakları Yönetmeliği ise sır saklama yükümlülüğünü tek cümlede kurar: sağlık hizmetinin verilmesi sebebiyle edinilen bilgiler, kanun ile müsaade edilen hâller dışında, hiçbir şekilde açıklanamaz.

Mahremiyetin Altı Bileşeni

Mahremiyete saygı, yalnızca “bilgiyi söylememek” değildir. Yönetmelik hakkın kapsamını altı başlıkta sayar:

Bu liste dosya bakımından işlevseldir: “kalabalık bir koridorda tanı söylendi”, “perde çekilmeden muayene yapıldı”, “yanımda kalmak isteyen yakınım gerekçesiz çıkarıldı” gibi şikâyetler, soyut bir rahatsızlık değil, sayılan bir hakkın ihlalidir. Bu tür şikâyetlerin götürüleceği yol için hasta hakları kurulu başvurusu rehberine bakınız.

Eğitim hastanesinde ayrıca rıza gerekir

Yönetmelik özel bir kural koyar: eğitim verilen sağlık kurum ve kuruluşlarında, hastanın tedavisi ile doğrudan ilgili olmayanların tıbbi müdahale sırasında bulunması gerekli ise, bunun için önceden veya tedavi sırasında hastanın ayrıca rızası alınır.

Bu, uygulamada en çok atlanan hükümlerden biridir. Genel rıza formuna atılan imza, gözlemci olarak bulunacak kişiler için ayrı bir rıza yerine geçmez.

En Çok Yanlış Bilinen Kural: Tedavi İçin Rıza Aranmaz

Sağlık kuruluşlarında sık duyulan “her veri işleme için açık rıza şarttır” bilgisi eksiktir. Kanun, sağlık ve cinsel hayata ilişkin veriler için rıza aranmayan bir istisna öngörmüştür:

Bu hükmün iki sonucu vardır:

Birincisi: hastanenin tedavi amacıyla veri işlemesi rızaya bağlı değildir. Dolayısıyla “rıza formunu imzalamazsanız işlem yapamayız” şeklindeki bir dayatma, veri işleme bakımından hukuki temelden yoksundur.

İkincisi ve daha önemlisi: istisna amaçla sınırlıdır. Sayılan amaçların dışına çıkan her işleme — tanıtım, pazarlama, araştırma, üçüncü kişiye aktarım — istisnanın kapsamı dışındadır ve açık rıza gerektirir.

Yönetmelik de aynı yönde bir kural içerir: araştırma ve eğitim amacıyla yapılan faaliyetlerde de hastanın kimlik bilgileri, rızası olmaksızın açıklanamaz.

Kim Görebilir, Kim Göremez?

Yönetmelik ölçütü nettir: hastanın dosyası ve kayıtları “sadece hastanın tedavisi ile doğrudan ilgili olanlar tarafından” görülebilir.

Tablodaki en çok tartışılan satır sonuncudan bir öncekidir: yakın olmak tek başına erişim hakkı doğurmaz. Buna karşılık hastanın rızasının alınamadığı hâller ile ölüm dosyalarında değerlendirme farklılaşır.

Hastanın Kendi Kaydına Erişimi Reddedilebilir mi?

Hayır. Yönetmelik açıktır: hasta, sağlık durumu ile ilgili bilgiler bulunan dosyayı ve kayıtları, doğrudan veya vekili ya da kanuni temsilcisi vasıtasıyla inceleyebilir ve bir suretini alabilir.

Buna ek olarak hastanın bir de düzeltme hakkı vardır: kayıtlarında eksik, belirsiz ve hatalı tıbbi ve şahsi bilgilerin tamamlanmasını, açıklanmasını, düzeltilmesini ve nihai sağlık durumuna uygun hâle getirilmesini isteyebilir. Bu hak; raporlara itiraz ve aynı veya başka kurumda yeni rapor düzenlenmesini isteme haklarını da kapsar.

Kayıt temininin pratik usulü için hasta dosyası nasıl alınır ve delil toplama rehberine; kayıtların sonradan değiştirilmesi iddiası için tıbbi kayıtların sonradan değiştirilmesi rehberine bakınız.

İhlalin Üç Ayrı Sonucu

Mahremiyet ihlali tek bir yaptırım doğurmaz. Aynı fiil, birbirinden bağımsız üç hattı birlikte harekete geçirebilir:

Cezai hat: iki ayrı artırım sebebi üst üste biner

İdari hat: kamu ile özel arasında fark vardır

Veri sorumlusu; verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ile muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edecek her türlü teknik ve idari tedbiri almak zorundadır. Ayrıca veri sorumluları ile veri işleyenler, öğrendikleri kişisel verileri görevden ayrılmalarından sonra da açıklayamaz ve amaç dışında kullanamaz.

Verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgilisine ve Kurula bildirir.

Kanunda öngörülen idari para cezaları, yükümlülüğe göre değişen alt ve üst sınırlar içinde uygulanır — örneğin veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler ile Kurul kararlarını yerine getirmeyenler bakımından ayrı aralıklar öngörülmüştür. Kanun metnindeki tutarlar her yıl güncellendiğinden, başvurudan önce yürürlükteki tutarların teyit edilmesi gerekir.

Sır Ne Zaman Açıklanabilir?

Sır saklama mutlak değildir. Yönetmelik istisnayı “kanun ile müsaade edilen hâller” olarak tanımlar. Başlıca hâller şunlardır:

• Kanunun izin verdiği hâller — bildirimi zorunlu hastalıklar, adli vakalar, kanunla öngörülen kayıt ve bildirimler.
• Adli mercilerin talebi — mahkeme veya savcılık tarafından usulüne uygun olarak istenen kayıtların verilmesi ihlal oluşturmaz.
• İdari soruşturma — yetkili incelemeciye, gizliliğe riayet edilerek.
• Hastanın kendisinin yetkilendirmesi — kapsamı belirli olmak kaydıyla.

Ters yöndeki yükümlülük: suçu bildirme

Sağlık mesleği mensubu bakımından, sır saklama ile gerilim içinde olan ayrı bir ceza hükmü bulunur:

Ayrıca gerçeğin meydana çıkmasını engellemek amacıyla bir suçun delillerini yok eden, silen, gizleyen, değiştiren veya bozan kişi bakımından ayrı bir suç düzenlenmiş olup, bu suçun kamu görevlisi tarafından göreviyle bağlantılı olarak işlenmesi hâlinde ceza yarı oranında artırılır. Tıbbi kayıt üzerinde yapılan müdahaleler bu hükümle birlikte değerlendirilir.

İhlal Hâlinde İzlenecek Yol ve Süreler

Veri koruma hattında doğrudan Kurula gidilemez; önce veri sorumlusuna başvurulması zorunludur.

Kanun ayrıca, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu açıkça belirtir. Yani idari süreç, tazminat davasının önünde bir engel değildir.

Veri sorumlusundan istenebilecekler arasında; verinin işlenip işlenmediğini öğrenme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve yapılan işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme bulunur.

Dilekçe Örneği 1 — Veri Sorumlusuna Başvuru

Dilekçe Örneği 2 — Kişisel Verileri Koruma Kuruluna Şikâyet

Dilekçe Örneği 3 — Cumhuriyet Başsavcılığına Şikâyet

Sık Yapılan Beş Hata

Sonuç

Sağlık verisi özel nitelikli veridir ve sır saklama yükümlülüğü ölümle sona ermez. Buna karşılık bu koruma, hastanın kendi kayıtlarına erişimini engellemek için kullanılamaz; yönetmelik inceleme ve suret alma hakkını açıkça tanır.

Tedavi amacıyla veri işleme, sayılan amaçlarla ve sır saklama yükümlülüğü altındaki kişilerce yapıldığında açık rıza gerektirmez; ancak istisna amaçla sınırlıdır ve bu sınırın dışına çıkan her paylaşım ihlaldir.

İhlalde üç hat birlikte işler: ceza yargılaması — üstelik bu suçların önemli bir kısmı şikâyete bağlı değildir ve meslekten yararlanma hâlinde ceza artırılır —, idari süreç — özel kuruluşta para cezası, kamuda disiplin — ve tazminat. Doğru sıra: kayıtları ve log dökümünü istemek, süreleri belgelemek, sonra üç hattı birlikte yürütmek.

Sıkça Sorulan Sorular

Sağlık verisi hangi kategoriye girer?

Kanun, kişilerin sağlığına ilişkin verileri özel nitelikli kişisel veri saymıştır. Özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi kural olarak yasaktır.

Hastaneye verdiğim bilgiler için her seferinde rıza gerekir mi?

Gerekmez. Sağlık ve cinsel hayata ilişkin veriler; kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetleri ve finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca açık rıza aranmaksızın işlenebilir. Ancak istisna bu amaçlarla sınırlıdır.

Hastanenin bana kendi dosyamı vermemesi hukuka uygun mu?

Değildir. Hasta, sağlık durumu ile ilgili bilgiler bulunan dosyayı ve kayıtları doğrudan veya vekili ya da kanuni temsilcisi vasıtasıyla inceleyebilir ve bir suretini alabilir.

Kayıtlarımdaki hatayı düzelttirebilir miyim?

Evet. Hasta; kayıtlarında eksik, belirsiz ve hatalı tıbbi ve şahsi bilgilerin tamamlanmasını, açıklanmasını, düzeltilmesini ve nihai sağlık durumuna uygun hâle getirilmesini isteyebilir. Bu hak, raporlara itiraz ve yeni rapor düzenlenmesini isteme haklarını da kapsar.

Kayıtlarımı kurumdaki her personel görebilir mi?

Göremez. Kayıtlar, sadece hastanın tedavisi ile doğrudan ilgili olanlar tarafından görülebilir. Aynı kurumda çalışıyor olmak tek başına erişim yetkisi vermez.

Eğitim hastanesinde muayeneme öğrenciler girebilir mi?

Eğitim verilen kurumlarda, hastanın tedavisi ile doğrudan ilgili olmayanların tıbbi müdahale sırasında bulunması gerekli ise, bunun için önceden veya tedavi sırasında hastanın ayrıca rızası alınır. Genel rıza formu bu rızanın yerine geçmez.

Ölen kişinin bilgileri serbestçe paylaşılabilir mi?

Paylaşılamaz. Yönetmelikte ölüm olayının mahremiyetin bozulması hakkını vermeyeceği açıkça düzenlenmiştir. Buna karşılık bu hüküm, hak sahiplerinin kayıtlara erişimini engellemek için kullanılamaz.

Mahremiyete saygı hakkı neleri kapsar?

Tıbbi değerlendirmelerin gizlilik içinde yürütülmesini, işlemlerin makul bir gizlilik ortamında yapılmasını, tıbben sakınca yoksa bir yakınının yanında bulunmasına izin verilmesini, tedaviyle doğrudan ilgili olmayanların bulunmamasını, gereksiz yere özel ve ailevi hayata müdahale edilmemesini ve sağlık harcamalarının kaynağının gizli tutulmasını kapsar.

Verimi izinsiz paylaşan kişiye hangi ceza verilir?

Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Suçun kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde ceza yarı oranında artırılır.

Şikâyetimden vazgeçersem dosya kapanır mı?

Kapanmayabilir. Kanun, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarını şikâyete bağlı suçlar arasından çıkarmıştır; bu fiiller re’sen soruşturulur.

Doğrudan Kişisel Verileri Koruma Kuruluna şikâyet edebilir miyim?

Edemezsiniz. Önce veri sorumlusuna başvurulması zorunludur. Veri sorumlusu talebi en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ret, yetersiz cevap veya cevapsızlık hâlinde cevabı öğrenme tarihinden itibaren otuz ve her hâlde başvurudan itibaren altmış gün içinde Kurula şikâyet edilebilir.

Kamu hastanesine idari para cezası verilir mi?

Verilmez. İdari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında işlenen eylemlerde, Kurulun bildirimi üzerine ilgililer hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

Hekimin savcılığa bildirim yapması sır ihlali midir?

Değildir. Görevini yaptığı sırada bir suçun işlendiği yönünde bir belirtiyle karşılaşmasına rağmen durumu yetkili makamlara bildirmeyen veya gecikme gösteren sağlık mesleği mensubu, bir yıla kadar hapis cezası ile cezalandırılır. Bildirim yapmak yükümlülüğün gereğidir.

İhlal sebebiyle tazminat isteyebilir miyim?

İsteyebilirsiniz. Kanun, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu açıkça belirtmiştir. İdari süreç tazminat davasının önünde engel değildir.