Başakşehir’de Sağlık Verisi, Site Yönetimi ve İşletmelerde KVKK
Başakşehir; Başakşehir Çam ve Sakura Şehir Hastanesi, İkitelli Organize Sanayi Bölgesi’nin bir bölümü, Bahçeşehir ve Kayaşehir’deki site tipi konut alanlarıyla sağlık, sanayi ve yoğun konut dokusunu aynı ilçede barındırır. Bu karışık yapı, KVKK açısından üç ayrı alan doğurur: sağlık hizmeti sunan veri sorumluları, site ve apartman yönetimleri ile üretim yapan işletmeler. Her birinin işlediği veri türü ve riski farklıdır. Av. Bilal Alyar bu sayfada, Başakşehir’deki veri sorumlularına ve kişilere genel çerçeveyi sunar.
Sağlık Verisi: Özel Nitelikli Veri
KVKK m.6, sağlık verisini özel nitelikli kişisel veri sayar. Bu verilerin işlenmesi kural olarak yasaktır (m.6/3); açık rıza veya kanunda sayılan istisnalar varsa mümkündür. Sağlık verileri bakımından kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis ve tedavi gibi amaçlarla, sır saklama yükümlülüğü altındaki kişilerce işlenmesi istisnalar arasındadır. Her durumda m.6/4’teki yeterli önlemlerin alınması şarttır. Sağlık verilerinin işlenmesi ayrıca Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik’e tabidir. Hasta dosyasına yetkisiz erişim, bu alanda en sık karşılaşılan ihlal türüdür.
Site ve Apartman Yönetimlerinde Kamera ve Kayıt
Başakşehir’deki site yönetimleri; giriş kapısı kameralarını, ziyaretçi kayıtlarını, plaka tanıma sistemlerini ve sakin listelerini kullanır. Bu uygulamaların amacı güvenliktir; ancak kayıtların saklama süresi, kimlerin erişebileceği ve sakinlerin bilgilendirilmesi KVKK ilkeleri uyarınca belirlenmelidir. Borç listelerinin ilan panosuna asılması, sakinlerin kişisel verisinin açıklanması anlamına gelebilir. Ziyaretçi defterinde kimlik numarasının tamamının yazılması da ölçülülük ilkesiyle bağdaşmayabilir.
Yargı Çevresi
Küçükçekmece Adliyesi’nin resmî sayfasında adliyenin Küçükçekmece, Başakşehir ve Avcılar ilçelerine hizmet verdiği yazılıdır. Bu nedenle Başakşehir’deki veri ihlallerinden doğan tazminat davaları ve ceza şikâyetleri çoğu zaman bu adliyeye intikal eder. Kurul şikâyeti ise bu çevreyle sınırlı değildir.
Hizmet Alanları
- Sağlık kuruluşlarında hasta verisi erişim yetkilerinin düzenlenmesi
- Site ve apartman yönetimleri için kamera, ziyaretçi ve sakin listesi uygulamaları
- İkitelli bölgesindeki üretim işletmelerinde çalışan verisi
- Veri ihlalinin kapsamının tespiti ve bildirim kararı
- Kurul inceleme ve şikâyet süreçlerinde savunma
- Kişisel verisi izinsiz kullanılan kişiler için tazminat hazırlığı
Örnek Durum: Hasta Dosyasına Yetkisiz Erişim (Kurgusal)
Bir sağlık merkezi çalışanı, görevi gereği ilgisi olmayan bir hastanın dosyasına bakmış olsun. Sistem kayıtları bu erişimi gösteriyor olsun. Merkezin öncelikle erişim kaydını incelemesi, çalışanın görevi gereği erişip erişmediğini belirlemesi ve olayı kayıt altına alması gerekir. Veri sorumlusu açısından olay bir veri güvenliği ihlalidir; Kurul’a bildirim yükümlülüğü m.12/5 çerçevesinde değerlendirilir. Çalışan açısından ise disiplin hükümleri ve TCK m.136 gündeme gelebilir. Hastanın talebi üzerine kayıtların bir kısmı kendisine bildirilebilir.
Uyum Sırası
- Hangi birimde hangi veri türünün işlendiği ve özel nitelikli veri bulunup bulunmadığı tespit edilir.
- Özel nitelikli veriler için m.6/4’e uygun teknik ve idari tedbirler belirlenir.
- Erişim yetkileri görev tanımına göre sınırlandırılır ve kayıt tutulur.
- Veri ihlaline karşı müdahale prosedürü yazılır.
- Çalışanlara düzenli bilgilendirme yapılır ve gizlilik taahhüdü alınır.
Mevzuat Özeti
Özel nitelikli veriler KVKK m.6’da, veri güvenliği m.12’de, ihlal bildirimi m.12/5’te düzenlenmiştir. İdari para cezası m.18/1 hükmüne dayanır; veri güvenliği yükümlülüğünün ihlali için öngörülen tutar, Kurul’un her yıl ilan ettiği yeniden değerleme oranıyla güncellenir. TCK m.135 ila m.138 kişisel verilere karşı işlenen suçları düzenler. Sağlık hizmetleri bakımından mahremiyet ayrıca ilgili sağlık mevzuatında korunur.
Veri İhlalinde Kurum İçi Görev Dağılımı
Sağlık ve site yönetimi gibi çok sayıda kişinin verisini işleyen yapılarda, ihlal olduğunda kimin neyi yapacağı baştan belli olmalıdır. İhlali fark eden çalışanın kime bildireceği, olayın kaydını kimin tutacağı ve Kurul’a bildirim kararını kimin vereceği yazılı bir ihlal müdahale planında gösterilir. Plansız yürütülen müdahaleler, süre kaçırılmasına ve kayıt eksikliğine yol açar.
İhlal tespit edildiğinde etkilenen kişilerin sayısı, verinin niteliği, olası zarar ve alınan önlemler kayıt altına alınır. Bu kayıtlar, ileride Kurul’a veya mahkemeye sunulacak savunmanın temelini oluşturur.
Muayenehane ve Klinik Randevu Sistemleri
Randevu hatırlatma mesajlarında hasta adı, doktor ve işlem türü gibi bilgiler yer alıyorsa, bu mesajların kime gittiğine ve içeriğinde hangi bilgilerin bulunduğuna dikkat edilmelidir. Sağlık verisi özel nitelikli olduğundan, mesajın içeriği asgari düzeyde tutulmalıdır.
Sık Sorulan Sorular
Hastanın verisini yakınına verebilir miyim?
Kural olarak hastanın rızası aranır. İstisnalar ilgili sağlık mevzuatında ayrıca düzenlenmiştir.
Site yönetimi borç listesini asabilir mi?
Bu uygulama sakinlerin kişisel verisini açıklayabilir ve ölçülülük ilkesiyle bağdaşmayabilir. Alternatif olarak kişiye özel bildirim tercih edilmelidir.
Veri ihlali nedeniyle tazminat istenebilir mi?
Evet. Zarar ve illiyet bağı ispatlanırsa, TBK ve kişilik hakkı hükümleri çerçevesinde maddi veya manevi tazminat talep edilebilir.
Kurul şikâyeti için süre var mı?
KVKK m.14 uyarınca cevabın öğrenilmesinden itibaren otuz gün, her hâlde başvurudan itibaren altmış gün içinde şikâyet edilebilir.
Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.