Özel hastaneler, tıp merkezleri ve poliklinikler, sundukları sağlık hizmetinin doğası gereği her gün binlerce hastanın en mahrem bilgilerini (hastalık geçmişi, tahlil sonuçları, genetik veriler, cinsel hayat bilgileri) sistemlerine kaydetmektedir. Bu durum, sağlık kuruluşlarını 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında en yüksek risk grubundaki "Veri Sorumluları" statüsüne sokmaktadır.

Sağlık kuruluşlarında gerçekleşen bir veri ihlali, standart bir ticari şirkete kıyasla çok daha ağır idari para cezalarıyla ve TCK kapsamında "Kişisel Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme" (TCK m. 136) suçlamalarıyla sonuçlanmaktadır. Bu makalede, özel hastanelerin KVKK yükümlülükleri ve idari yaptırım süreçleri incelenmiştir.

"Özel Nitelikli Kişisel Veri" Olarak Sağlık Verilerinin Hukuki Statüsü

KVKK Madde 6 uyarınca kişilerin ırkı, etnik kökeni, siyasi düşüncesi, dini, kılık ve kıyafeti, dernek/vakıf üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve biyometrik verileri "Özel Nitelikli Kişisel Veri" kabul edilir. Kanun koyucu, sağlık verilerinin işlenmesini istisnai durumlara bağlamış ve çok sıkı bir koruma rejimine tabi tutmuştur.

Kural olarak sağlık verileri; ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler (hekimler) veya yetkili kurumlar tarafından "ilgili kişinin açık rızası aranmaksızın" işlenebilir. Bunun dışındaki tüm ticari, reklam veya istatistiksel işlemler için hastanın kayıtsız şartsız "Açık Rızası" alınmak zorundadır.

Özel Hastanelerde En Sık Karşılaşılan KVKK İhlalleri

Kurul (KVKK) kararları ve idari yaptırım dosyaları incelendiğinde, hastanelerin sıklıkla düştüğü hukuki zafiyetler şunlardır:

Aydınlatma Metni ve Açık Rıza Formlarının Geçerlilik Şartları

Özel hastanelerin hasta kabul aşamasında imzalattığı tek sayfalık, genel geçer ve "Verilerimin her türlü amaçla işlenmesine ve aktarılmasına onay veriyorum" şeklindeki "Battaniye (Blanket) Rıza" metinleri hukuken geçersizdir. Aydınlatma yükümlülüğü, açık rıza şartına bağlanamaz (hizmet şartı yapılamaz). Hastanın, verilerinin hangi amaçla, kimlere, ne süreyle aktarılacağını net bir şekilde bilmesi ve bu onayı her an geri çekebileceğinin kendisine bildirilmesi yasal bir mecburiyettir.

Veri İhlali Durumunda Kurul Bildirimi ve İdari Para Cezaları

Özel hastanenin veritabanının hacklenmesi (Siber Saldırı), hasta dosyalarının çalınması veya yetkisiz bir personelin ünlü bir hastanın verilerini basına sızdırması durumunda, Hastane Yönetimi (Veri Sorumlusu) durumu en geç 72 saat içerisinde Kişisel Verileri Koruma Kuruluna bildirmek zorundadır.

KVKK'nın 18. maddesi uyarınca, veri güvenliğine ilişkin (KVKK m. 12) "yeterli idari ve teknik tedbirleri (sızma testi, DLP, log kaydı, personel eğitimi vb.)" almayan hastanelere, ihlalin boyutuna ve hastanenin cirosuna göre yeniden değerleme oranlarıyla her yıl artan ve milyonlarca Türk Lirasını bulan idari para cezaları uygulanmaktadır. Ayrıca zarar gören hastaların maddi ve manevi tazminat davaları açma hakkı saklıdır.