Sağlık hizmeti sunan kuruluşlar için hasta güvenliği, sadece tıbbi müdahalelerin başarısıyla sınırlı değildir. Dijitalleşen dünyada hastanın verisini korumak, hastanın sağlığını korumak kadar kritik bir etik ve hukuki yükümlülük haline gelmiştir. 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde klinik ve muayenehaneler, “Özel Nitelikli Kişisel Veri” işleyen veri sorumluları olarak en üst düzeyde sorumluluk altındadır.

Peki, bir klinik için “veri ihlali” sadece sistemin hacklenmesi midir? Yoksa farkında olmadan yapılan günlük pratikler de kliniğinizi 17 Milyon TL’yi aşan idari para cezalarıyla karşı karşıya bırakabilir mi?

Sağlık Verilerinin Hassasiyeti: Neden Hedeftesiniz?

KVKK’nın 6. maddesi uyarınca sağlık verileri, öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete yol açabilecek nitelikte verilerdir. Bu nedenle, bu verilerin işlenmesi için “açık rıza” veya kanunda sayılan sınırlı istisnalar (kamu sağlığının korunması, tıbbi teşhis vb.) gerekir. Ancak kliniklerde yapılan en büyük hata, tıbbi zorunluluk ile hukuki uyumu birbirine karıştırmaktır. Bir veriyi işlemenizin tıbben gerekli olması, onu hukuka aykırı şekilde saklayabileceğiniz veya paylaşabileceğiniz anlamına gelmez.

Klinik ve Sağlık Kuruluşlarında KVKK: Emsal Kararlar ve Risk Yönetimi Rehberi

Sağlık sektörü paydaşları için kişisel verilerin korunması, sadece teknik bir uyum süreci değil, aynı zamanda hekimlik etiğinin ve hukuki güvenliğin ayrılmaz bir parçasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca “özel nitelikli kişisel veri” kapsamında yer alan sağlık verileri, öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete yol açabilecek niteliktedir. Bu nedenle Kurul, sağlık verilerinin ihlali durumunda “tolerans eşiğini” en düşük seviyede tutmaktadır.

Peki, bir klinik sahibi veya hekim olarak hangi günlük pratikleriniz sizi milyonluk cezalarla karşı karşıya bırakabilir? İşte Kurul’un güncel kararları ışığında kritik uyarılar.

1. Reklam ve Bilgilendirme Amaçlı SMS Gönderimi

Kliniklerin en sık yaptığı hatalardan biri, randevu hatırlatma veya bilgilendirme adı altında açık rıza almaksızın reklam içerikli iletiler göndermektir.

Emsal Karar (Ref: 07/11/2019 Tarihli ve 2019/332 Sayılı Karar): Kurul, bir doktorun hastasının cep telefonuna rızası olmaksızın reklam içerikli mesaj göndermesi üzerine yaptığı incelemede; veri sorumlusu doktorun teknik ve idari tedbirleri almadığına hükmederek idari para cezası uygulamıştır.
Güncel Risk: Kurul, benzer bir konuda 11/05/2023 tarihli ve 2023/787 sayılı kararı ile bir hastanenin tanıtım faaliyetleri kapsamında açık rızayı hizmet şartına bağlamasını hukuka aykırı bularak 250.000 TL idari para cezası vermiştir.

2. Sosyal Medyada Hasta Görsellerinin Paylaşılması

“Öncesi-Sonrası” paylaşımları veya operasyon anı görselleri, sağlık turizmi ve klinik pazarlaması için yaygın kullanılsa da hukuki karşılığı oldukça ağırdır.

Emsal Karar (Ref: 29/06/2022 Tarihli ve 2022/630 Sayılı Karar): Bir hastanede çalışan doktorun, ameliyat sırasında çekilen fotoğrafları kendi şahsi sosyal medya hesabında paylaşması ihlal olarak değerlendirilmiştir. Kurul, hastanın hastaneye verdiği rızanın, doktorun şahsi hesabı için geçerli olmayacağını vurgulayarak doktora ceza uygulanmasına ve TCK kapsamında yargı yoluna gidilebileceğine işaret etmiştir.

3. e-Nabız Verilerine Yetkisiz Erişim

Hekimlerin veya personelin, tedavi amacı dışında merak veya başka saiklerle hastaların geçmiş sağlık kayıtlarına erişmesi ağır bir güvenlik ihlalidir.

Emsal Karar (Ref: 02/05/2023 Tarihli ve 2023/698 Sayılı Karar): Özel bir tıp merkezinde çalışan hekimin, daha önce hiç hizmet almamış bir kişinin e-Nabız verilerine eriştiği tespit edilmiştir. Veri sorumlusunun “T.C. numarası benzerliği” savunması kabul görmemiş; Kurul, sistemin amacı dışında kullanılması nedeniyle tıp merkezine 200.000 TL idari para cezası vermiştir.

4. Test Sonuçlarının Üçüncü Kişilerle Paylaşılması

Tahlil veya tetkik sonuçlarının hastanın kendisi yerine işverene, aile üyesine veya yanlış e-posta adresine gönderilmesi, veri güvenliğinin sağlanamadığının en net kanıtıdır.

Emsal Karar (Ref: 22/06/2022 Tarihli ve 2022/594 Sayılı Karar): Özel bir sağlık kuruluşunun, bir personelin bağımlılık yapıcı madde testi sonuçlarını ilgili kişinin açık rızası olmaksızın üçüncü bir kişinin e-posta adresine göndermesi sonucunda Kurul, özel nitelikli verilerin korunması için gerekli teknik ve idari tedbirlerin alınmadığına hükmederek ceza uygulamıştır.

Veri İhlali Bildiriminde “72 Saat” Kuralı

Yaşanan bir sızıntı veya hata durumunda sessiz kalmak, cezanın katlanmasına neden olur. Kurul’un 24/01/2019 tarihli ve 2019/10 sayılı kararı uyarınca; veri sorumluları, ihlali öğrendikleri andan itibaren en geç 72 saat içinde Kurul’a bildirimde bulunmak zorundadır. Bu sürenin aşılması, ihlalin kendisinden bağımsız bir ceza sebebidir.

İdari ve Teknik Tedbirler: Kliniğinizi Nasıl Korursunuz?

KVKK uyumu, web sitenize bir “Aydınlatma Metni” koymaktan ibaret değildir. Gerçek bir uyum süreci şu sacayağı üzerine kurulmalıdır:

Kişisel Veri İşleme Envanteri: Hangi veriyi, hangi hukuki sebeple, ne kadar süreyle sakladığınızın haritasını çıkarmalısınız. Envanteri olmayan bir klinik, karanlıkta yol almaya çalışmaktadır.
Veri İmha Politikası: Saklama süresi dolan hasta verilerinin (kanuni saklama süreleri bittikten sonra) güvenli bir şekilde yok edilmesi veya anonim hale getirilmesi gerekir.
Çalışan Eğitimleri: İhlallerin %60’tan fazlası insan kaynaklıdır. Personelinize “veri gizliliği” eğitimi vermeniz, olası bir ihlalde sizin “idari tedbir” aldığınızın en büyük kanıtıdır.
Açık Rıza ve Aydınlatma Metinleri: Hastalarınıza verilerini neden işlediğinizi net bir dille anlatmalı ve sadece hukuki zorunluluğun ötesine geçen işlemler (örneğin sosyal medyada “öncesi-sonrası” fotoğraf paylaşımı) için özgür iradeye dayalı açık rıza almalısınız.

Sonuç: Erken Tespit ve Önleyici Hukuk

Tıpta “erken teşhis hayat kurtarır” ilkesi, hukukta “önleyici hukuk” olarak karşılık bulur. KVKK uyum sürecini tamamlamış bir klinik, sadece milyonluk cezalardan korunmakla kalmaz; aynı zamanda hastalarının gözünde güvenilir ve profesyonel bir marka imajı inşa eder.

Unutulmamalıdır ki; bir veri ihlali sonrası ödenecek ceza ve yaşanacak prestij kaybı, uyum süreci için ayrılacak maliyet ve emekten kat kat fazladır. Kliniğinizin geleceğini ve hastalarınızın mahremiyetini güvence altına almak için verilerinizi bir emanet olarak görmeli ve hukuki zırhınızı şimdiden kuşanmalısınız.

Bu yazı, genel bilgilendirme amacıyla hazırlanmıştır. Her kliniğin veri işleme süreçleri kendine özgü olduğu için spesifik hukuki risk analizi ve uyum süreci için uzman hukuk danışmanlığı alınması tavsiye edilir.