Sağlık verileri, KVKK Madde 6 kapsamında özel nitelikli kişisel veridir ve en sıkı koruma rejimine tabidir. 2024 değişikliği sonrası özel nitelikli veri işleme şartları genişletilmiş; sağlık verilerinin kamu sağlığının korunması, tıbbi teşhis ve tedavi hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişilerce işlenmesi mümkün kılınmıştır. Ana faaliyeti sağlık verisi işlemek olan kuruluşlar için VERBİS eşiği 10 çalışan veya 10 milyon TL bilançodur — genel eşiklerin çok altında.
Sağlık Verisi Neden En Riskli Kategori?
Sağlık verisi; kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgiyi, aldığı sağlık hizmetlerini, teşhisleri, tahlil sonuçlarını, reçeteleri ve hatta randevu geçmişini kapsar. Bu verilerin sızması, kişinin özel hayatına telafisi güç zararlar verebilir — bu nedenle hem idari yaptırımlar hem de TCK kapsamındaki cezai sorumluluk sağlık verisi ihlallerinde ağırlaştırılmış biçimde uygulanır (TCK 135/2 uyarınca özel nitelikli verilerde ceza artırımlı uygulanır).
2024 yılındaki 7499 sayılı Kanun değişikliği, Madde 6'daki işleme şartlarını yeniden düzenlemiştir. Yeni rejimde sağlık verileri; kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurumlar tarafından işlenebilir. Ayrıca açık rıza, kanunlarda öngörülme ve diğer sayılı şartlar da uygulanabilir hale gelmiştir.
Sağlık Kuruluşları İçin Düşük VERBİS Eşiği
Genel VERBİS eşiği 50 çalışan veya 100 milyon TL bilanço iken; ana faaliyet konusu özel nitelikli veri işlemek olan kuruluşlar için eşik 10 çalışan VEYA 10 milyon TL bilançodur. Hastaneler, tıp merkezleri, klinikler, diyaliz merkezleri, görüntüleme merkezleri, laboratuvarlar ve eczaneler bu kapsamda değerlendirilir.
Pratik sonuç: 12 çalışanı olan bir diş kliniği, cirosu ne olursa olsun VERBİS'e kayıt olmak zorundadır. Sağlık sektöründe eşik altında kalmak istisnadır; sektörün neredeyse tamamı kayıt yükümlüsüdür.
Sağlık Kuruluşunun 8 Kritik Yükümlülüğü
- 1. Hasta aydınlatması: Kayıt anında, tercihen ayrı bir metinle — muayene öncesi imzalatılan onam formuyla karıştırılmamalı
- 2. Erişim matrisi: Hasta verisine yalnızca tedavi sürecindeki sağlık personeli erişebilmeli; idari personelin erişimi rol bazlı kısıtlanmalı
- 3. Sır saklama: Tüm personelden (hekim dışı dahil) yazılı gizlilik taahhüdü alınmalı
- 4. Sigorta paylaşımları: Özel sağlık sigortası şirketlerine aktarım, hastanın bilgisi dahilinde ve sözleşmesel çerçevede yapılmalı
- 5. e-Nabız ve bakanlık sistemleri: Mevzuattan kaynaklanan zorunlu bildirimler 'kanunlarda öngörülme' dayanağına oturur; kapsamı aşan paylaşım yapılmamalı
- 6. Tahlil sonucu iletimi: SMS/e-posta ile sonuç gönderiminde doğrulama mekanizması kullanılmalı — yanlış alıcı, bildirim gerektiren ihlaldir
- 7. Saklama süreleri: Sağlık mevzuatındaki uzun saklama süreleri (hasta dosyaları için öngörülen yasal süreler) ile KVKK'nın amaçla sınırlılık ilkesi birlikte yönetilmeli
- 8. Görüntüleme cihazları ve PACS sistemleri: Radyolojik görüntülerin bulut tabanlı sistemlerde tutulması halinde yurt dışı aktarım değerlendirmesi yapılmalı
Sıkça Sorulan Sorular
Hastadan her işlem için açık rıza almalı mıyız?
Hayır. Tıbbî teşhis, tedavi ve bakım hizmetleri kapsamındaki işlemeler, sır saklama yükümlülüğü altındaki kişilerce rıza aranmaksızın yapılabilir. Açık rıza; bu kapsam dışındaki işlemeler (örneğin pazarlama iletişimi) için gereklidir.
Küçük bir klinik VERBİS'e kayıt olmak zorunda mı?
Ana faaliyeti sağlık verisi işlemek olan kuruluşlarda eşik 10 çalışan veya 10 milyon TL bilançodur. Bu eşiği aşan her klinik kayıt yükümlüsüdür.
Tahlil sonucunu yanlış hastaya gönderdik; ne yapmalıyız?
Bu bir veri ihlalidir. 72 saat içinde Kuruma bildirim ve etkilenen kişiye bilgilendirme değerlendirmesi yapılmalıdır. Olayın tekrarını önleyecek doğrulama mekanizması kurulması da denetimde lehe delildir.
Hasta dosyalarını ne kadar saklamalıyız?
Sağlık mevzuatının öngördüğü yasal saklama süreleri esastır ve bu süreler uzundur. KVKK bu sürelere aykırılık oluşturmaz; ancak süre dolduktan sonra imha yükümlülüğü başlar ve saklama-imha politikanızda düzenlenmelidir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).