Kişisel Sağlık Verilerinin Korunması: Süreler, Deliller ve Hukuki Yollar

Bu makale tanı, tedavi, genetik, engellilik, ilaç, randevu ve diğer özel nitelikli sağlık verilerinin toplanması, kullanılması, paylaşılması ve saklanmasını inceler. İnceleme yalnız uyuşmazlık çıktıktan sonraki dava sürecini değil; işlemin kurulması, bildirim veya başvuru aşaması, delillerin hazırlanması, geçici koruma ihtiyacı ve kararın uygulanması gibi bağlantılı meseleleri de kapsar. Süreç, hastaneleri, klinikleri, hekimleri, laboratuvarları, sigorta şirketlerini, işverenleri ve hastaları doğrudan ilgilendirir.

Bu alandaki temel risk şudur: sağlık verisinin tedavi amacıyla elde edilmiş olması, kurum içinde sınırsız erişime veya reklam ve analiz için ikincil kullanıma izin vermez. Bu risk, yalnız davanın veya başvurunun reddedilmesi anlamına gelmez; kimi dosyalarda talebin başka bir hukuki yola dönüşmesine, delil gücünün zayıflamasına, teminat veya icra sorunlarına ve ilave yargılama giderlerine neden olabilir. İlk inceleme, iddia ile ulaşılmak istenen sonuç arasında hukuken kurulabilir bir bağ bulunup bulunmadığını da ortaya koymalıdır.

Dosyada hangi hükmün uygulanacağı, işlemin yapıldığı tarih ve tarafların hukuki sıfatı esas alınarak belirlenir.

• 6698 sayılı Kanun’un özel nitelikli veriler ve veri güvenliği hükümleri
• Kişisel Sağlık Verileri Hakkında Yönetmelik
• Sağlık Bakanlığı ve Kurulun güncel düzenleme ve kararları
• Hasta Hakları Yönetmeliği

Bu alanın genel kanuni çerçevesinde 1219 sayılı Tababet ve Şuabatı Sanatlarının Tarzı İcrasına Dair Kanun, 3359 sayılı Sağlık Hizmetleri Temel Kanunu, 1262 sayılı İspençiyari ve Tıbbi Müstahzarlar Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 6098 sayılı Türk Borçlar Kanunu ve 2577 sayılı İdari Yargılama Usulü Kanunu yer alır. Ancak maddelerin uygulanabilirliği olay ve işlem tarihine göre belirlenir. Yönetmelik, tebliğ, tarife, parasal sınır veya elektronik başvuru usulü gibi değişebilen düzenlemeler yayımdan ve somut başvurudan önce güncel resmî metinden yeniden kontrol edilmelidir.

• İşleme amacının sağlık hizmeti veya kanuni başka sebebe dayanması
• Özel nitelikli veriler için güncel işleme şartı ve ek tedbirlerin uygulanması
• Rol bazlı erişim, kayıt ve mahremiyetin sağlanması
• Aktarımın amaçla sınırlı ve güvenli yapılması
• Saklama ve imha sürelerinin belirlenmesi

Bu şartlardan birinin eksik olması, her dosyada aynı sonucu doğurmaz. Bazı eksiklikler tamamlanabilirken bazıları sürenin geçirilmesi, taraf sıfatının bulunmaması veya yanlış hukuki yolun seçilmesi nedeniyle esasa girilmesini engeller. Şartların olay tarihindeki mevzuata ve eldeki belgelere göre ayrı ayrı karşılanması gerekir.

İlgili kişi başvurusuna en geç otuz gün içinde cevap verilmelidir. Sağlık verilerinin saklama süresi tek değildir; tıbbi kayıt, fatura, arşiv ve özel mevzuat yükümlülükleri ayrı değerlendirilir. Saklama sebebi bittiğinde silme, yok etme veya anonimleştirme gerekir.

Kanunda öngörülen sürenin zamanaşımı mı yoksa hak düşürücü süre mi olduğu ve süre içinde hangi işlemin tamamlanması gerektiği belirlenmelidir. Hazırlığa başlanmış olması, başvurunun süresinde yapıldığı anlamına gelmez.

Kişisel veri şikâyeti Kişisel Verileri Koruma Kurumu; sağlık sistemi uygulaması Sağlık Bakanlığı; suç iddiası savcılık tarafından incelenebilir. Tazminat talepleri kamu veya özel hizmet niteliğine göre farklı yargı yoluna tabi olabilir.

Görev kamu düzenine ilişkin olabildiğinden tarafların anlaşmasıyla değiştirilemeyebilir. Yetki bakımından ise kesin yetki, genel yetki, sözleşmedeki yetki kaydı ve özel kanun hükümleri birlikte incelenir. Yanlış mercie başvurunun süreyi koruyup korumadığı ayrıca araştırılmalıdır. Bazı dosyalarda aktarım veya görevsizlik sonrası devam mümkün olsa bile, özel ve kısa süreli başvurularda bunun güvenli bir yöntem olduğu varsayılmamalıdır.

Bir belgenin varlığı kadar neyi ispatladığı ve karşı tarafça inkâr edildiğinde nasıl doğrulanacağı da önemlidir. Dosyada öncelikle şu kayıtlar aranmalıdır:

• Hasta bilgi yönetim sistemi logları
• Erişim yetki matrisi
• Aydınlatma ve rıza kayıtları
• Tedarikçi ve veri işleme sözleşmeleri
• Paylaşım ve dışa aktarma kayıtları
• Saklama-imha politikası
• Yetkisiz erişim olay dosyaları

Delil listesi kapalı değildir. Tanık, bilirkişi, keşif, kurum kayıtları, ticari defterler veya elektronik veriler uyuşmazlığın niteliğine göre kullanılabilir. Hukuka aykırı elde edilen kayıtların dosyaya sunulması ayrı bir sorumluluk doğurabileceği gibi delilin değerlendirme dışı bırakılmasına da yol açabilir. İspat yükü, hangi tarafın hangi hukuki vakıadan kendi lehine sonuç çıkardığı esas alınarak belirlenir.

Kurul uygulaması, hastane çalışanının teknik olarak sisteme erişebilmesini o kaydı incelemek için hukuki yetki saymaz. Tedavi ilişkisi olmayan hastanın dosyasına merak veya başka amaçla bakılması veri ihlali oluşturabilir. Tıbbi uyuşmazlıklarda değerlendirme, işlem tarihindeki bilimsel standart ve hastanın somut durumu üzerinden yapılır. Hasta dosyası, görüntüleme ve laboratuvar sonuçları, konsültasyon kayıtları, onam belgeleri ve sonraki tedavi süreci birlikte incelenir; bilirkişi raporunun gerekçeli ve dosyaya özgü olması aranır. Yüksek mahkeme veya bölge mahkemesi kararları, olayın tarihi, uygulanan hüküm ve kararın verildiği uyuşmazlıkla bağlantısı görülmeden emsal olarak kullanılmamalıdır. Bu makalede doğrulanmamış esas ve karar numarasına yer verilmemiştir; somut dosyada resmî karar veri tabanından güncel içtihat taraması ayrıca yapılmalıdır.

Bilimsel araştırma ve kamu sağlığı amacıyla veri kullanımı, anonimleştirme ile kodlama arasındaki fark nedeniyle tartışmalıdır. Kimlikle yeniden ilişkilendirme imkânı korunuyorsa veri anonim sayılmaz. Komplikasyon ile kusurlu uygulama arasındaki sınır, aydınlatmanın kapsamı ve organizasyon kusurunun bağımsız sorumluluk doğurup doğurmadığı temel tartışmalardır. İlaç ve tıbbi cihazlarda ruhsatlandırma ile ürün sorumluluğu birbirinden ayrı değerlendirilmelidir. Öğretideki görüşler, bağlayıcı bir kanun hükmü veya mahkeme kararı gibi sunulamaz. Buna rağmen kavramların sınırının belirlenmesi, farklı çözüm ihtimallerinin görülmesi ve mevzuatın amacına uygun yorum yapılması bakımından önemlidir. Kaynağı ve güncelliği doğrulanmayan isim veya eser atfı kullanılmamalıdır.

Dosyanın sağlıklı yürütülmesi için işlem sırasının baştan kurulması gerekir. Uygulamada izlenecek temel çalışma planı şöyledir:

1. Sağlık veri akışını sistem ve birim bazında haritalamak
2. Hekim, hemşire, çağrı merkezi ve tedarikçi erişimini sınırlamak
3. Hasta aydınlatma ve başvuru süreçlerini kurmak
4. Araştırma, sigorta ve işyeri paylaşımını ayrı değerlendirmek
5. Yurt dışı bulut veya laboratuvar aktarımını güncel rejime göre düzenlemek
6. İhlal ve yetkisiz erişim alarmı oluşturmak

Çalışma planı hazırlanırken asıl talep, geçici hukuki koruma, tahsil kabiliyeti ve kanun yolu ihtimali aynı anda değerlendirilmelidir.

İlk görüşmede yalnız olayın kısa anlatımıyla yetinilmemelidir. Kişisel Sağlık Verilerinin Korunması yönünden karar veya sözleşmenin tam metni, ekleri, tebligat kayıtları, yapılan ödemeler, karşı tarafın açıklamaları ve önceki başvurular kronolojik olarak incelenmelidir. Sağlık verisinin tedavi amacıyla elde edilmiş olması, kurum içinde sınırsız erişime veya reklam ve analiz için ikincil kullanıma izin vermez. Bu nedenle dosyaya yeni belge eklenirken belgenin hangi iddiayı ispatladığı ve usulün hangi aşamasında sunulabileceği açıkça belirlenmelidir.

Geçici hukuki koruma talep edilecekse, yalnız hakkın varlığına ilişkin açıklama yeterli olmayabilir. Gecikme nedeniyle doğabilecek somut zarar, karşı tarafın mal veya hukuki durumunda beklenen değişiklik ve talep edilen tedbirin ölçülülüğü belgelerle gösterilmelidir. Talebin kapsamı, esas davada istenebilecek sonucu peşinen sağlayacak şekilde ölçüsüz kurulmamalıdır.

• Tüm sağlık personeline aynı erişim yetkisini vermek
• Tedavi verisini reklam için ayrı hukuki sebep olmadan kullanmak
• İşverene ayrıntılı tanı bilgisi göndermek
• Kodlanmış veriyi anonim veri sanmak
• Saklama gerekçesi biten kayıtları süresiz tutmak

Bu hataların ortak sonucu, hukuken tartışılabilecek bir talebin usul engeline takılması veya delil değerinin zayıflamasıdır. Başvuru metninin uzun olması, yanlış tarafı, eksik talebi veya süresi geçmiş bir işlemi telafi etmez. Dosya, somut iddia–hukuki dayanak–delil–talep bağlantısı kurulacak şekilde hazırlanmalıdır.

Hukuki değerlendirme, yalnız dava açılabilir olup olmadığı sorusuyla sınırlı tutulmamalıdır. Kişisel Sağlık Verilerinin Korunması dosyasında ispat imkânı, süre, geçici koruma, ekonomik uygulanabilirlik ve kararın icrası aynı plan içinde ele alınmalıdır.

Yayımlanmış genel bilgi, dosyanın taraflarını, tarihlerini ve belgelerini içeren somut hukuki görüşün yerine geçmez. Bir hükmün güncel olması da tek başına uyuşmazlığa uygulanacağı anlamına gelmez; geçiş hükümleri, sözleşme tarihi, usul kazanımları ve önceki işlemler ayrıca incelenmelidir.