Üsküdar’da Sağlık, Eğitim ve Ticari Veri İşleme

Üsküdar; Boğaz kıyısındaki tarihî yerleşimi, üniversite ve hastaneleri, iş merkezleri ve çarşı esnafıyla çok katmanlı bir ilçedir. Bu tablo, kişisel veri işleme faaliyetlerinin neredeyse her türünü aynı ilçede karşılaşılır kılar. Hasta ve öğrenci verisinden turistik işletmelerin rezervasyon kayıtlarına kadar uzanan bu yelpazede, hangi kuruluşun hangi veri için hangi yükümlülük altında olduğunu ayırt etmek uyum çalışmasının başlangıcıdır.

Sağlık verisi ve özel nitelikli kişisel veri

Poliklinik, muayenehane, laboratuvar, diş kliniği ve estetik merkezler sağlık verisi işler. 6698 sayılı Kanun m.6 sağlığa ilişkin veriyi özel nitelikli sayar. 7499 sayılı Kanun sonrasındaki metinde özel nitelikli verilerin işlenmesi, sayılan şartlardan birine dayanmak ve Kurulca belirlenen yeterli önlemleri almak kaydıyla mümkündür. Sağlık hizmetlerinin yürütülmesi, koruyucu hekimlik ve tıbbi teşhis amaçlarıyla sır saklama yükümlülüğü altındaki kişilerce işleme, şartlardan biridir. Bu nedenle bir kliniğin hasta dosyası için ayrı bir rıza formuna ihtiyaç duyup duymadığı, işlemenin hangi amaçla yapıldığına bağlıdır; pazarlama amaçlı kullanım gibi sağlık hizmeti dışındaki amaçlar için ise ayrı hukuki sebep aranır.

Randevu hatırlatma mesajları, hasta fotoğrafları ve tedavi öncesi-sonrası görüntülerin sosyal medyada kullanımı sık karşılaşılan risk alanlarıdır. Görüntünün kişiyi belirlenebilir kılması durumunda açık rıza olmadan paylaşım hem KVKK hem de kişilik hakları bakımından sorun doğurur.

Okul, dershane ve öğrenci verileri

Eğitim kurumları öğrenci ve veli bilgilerini, devam kayıtlarını, sınav sonuçlarını ve çoğu zaman çocukların fotoğraf ve videolarını işler. Reşit olmayan kişilerin verisi için aydınlatmanın ve gerektiğinde rızanın veli veya yasal temsilci nezdinde alınması gerekir. Okul etkinliklerinden alınan görüntülerin internet sitesinde yayımlanması, amacın ve kapsamın önceden duyurulmasını gerektirir.

Turizm ve konaklama işletmelerinde kimlik ve rezervasyon verisi

Boğaz çevresindeki otel, pansiyon ve restoranlar yabancı uyruklu misafirlerin pasaport ve rezervasyon bilgilerini işler. Konaklama bildirimi gibi yasal yükümlülükten doğan kayıtlar ile pazarlama amaçlı e-posta listeleri farklı hukuki sebeplere dayanır ve ayrı değerlendirilmelidir. Yurt dışındaki rezervasyon platformlarıyla veri paylaşımı ise m.9 kademelerine tabidir.

Kişilik hakları, ceza hukuku ve tazminat

Verinin hukuka aykırı biçimde kaydedilmesi Türk Ceza Kanunu m.135’te, başkasına verilmesi veya yayılması m.136’da suç olarak düzenlenmiştir. Bir sağlık çalışanının hasta bilgisini üçüncü kişiyle paylaşması bu ihtimallerden biridir. Ceza yargılaması maddi ve manevi tazminatı doğrudan çözmez; zarar gören kişi hukuk mahkemesinde Türk Medeni Kanunu m.24-25 ve Türk Borçlar Kanunu m.58 çerçevesinde talepte bulunabilir.

Güvenlik ve ihlal bildirimi

Sağlık ve eğitim kuruluşlarında ihlalin sonuçları ağırdır, çünkü sızan veri çoğu zaman özel nitelikli veya çocuklara aittir. m.12 uyarınca erişim kayıtlarının tutulması, yetkisiz kişilerin hasta ve öğrenci dosyalarına girememesi, dış yazılım hizmetlerinin güvenlik sözleşmesine bağlanması gibi tedbirler beklenir. Bir ihlal öğrenildiğinde en kısa sürede Kurula bildirim yapılır; Kurul, bildirimin 72 saat içinde yapılmasına karar verebilir ve ilgili kişilere duyuru yapılmasını isteyebilir. Bu bildirimde olayın ne zaman fark edildiği, hangi veri gruplarının etkilendiği ve hangi önlemlerin alındığı anlatılır; kayıtların bu amaçla önceden düzenli tutulması süreci kolaylaştırır.

Kurum içi başvuru süreci

Hasta, öğrenci veya müşteri m.11 kapsamında bilgi, düzeltme ve silme talep edebilir. Başvurular m.13 uyarınca yazılı olarak veri sorumlusuna yapılır ve en geç otuz gün içinde yanıtlanır. Yanıt tatmin etmiyorsa Kurula şikâyet mümkündür. Bu yolun sağlıklı işlemesi için kuruluşların başvuru kanalını kendi aydınlatma metninde açıkça yazması, süreci bir yetkiliye bağlaması gerekir.

Muayenehane ve küçük kliniklerde pratik sorular

Tek hekimli muayenehanelerde çoğu zaman hem hekim hem de sekreter hasta kaydına erişir. Randevu defterinin masada açık durması, hasta sonuçlarının mesajlaşma uygulamasıyla gönderilmesi veya ortak bilgisayarın şifresiz bırakılması da veri güvenliği sorunudur. Bunların yerine kullanıcıya özel hesaplar, ekran kilidi ve sonuç paylaşımı için güvenli kanal kullanmak yeterli ilk önlemler olarak değerlendirilebilir. Hastaya ilişkin bilgi kimseye, hasta onayı veya yasal dayanak olmadan verilmemelidir.

Uyum sürecinde sırayla yapılan işler

1. Veri kategorilerinin ve işleme amaçlarının envanterde çıkarılması.
2. Özel nitelikli verilere ayrı erişim ve imha kuralı uygulanması.
3. Aydınlatma ve rıza metinlerinin hizmet türüne göre ayrıştırılması.
4. Hizmet sağlayıcı ve yazılım firmalarıyla veri işleme sözleşmelerinin güncellenmesi.
5. İhlal müdahale planının yazılı hâle getirilmesi.

Üsküdar’a özgü sık sorulanlar

Hasta dosyası hekimin ölümü veya kliniğin kapanması hâlinde nasıl saklanır?

Saklama yükümlülüğü sağlık mevzuatındaki süreler ve devir hükümlerine göre belirlenir. Kapanan kliniğin kayıtlarının güvenli şekilde devri veya imhası veri sorumlusunun sorumluluğundadır.

Öğrenci fotoğrafı okulun sosyal medyasında paylaşılabilir mi?

Amaç ve kapsam önceden bildirilmeli, velinin açık rızası alınmalıdır. Rıza geri alınabilir ve geri alma hâlinde yayın sonlandırılır.

Otelin güvenlik kamerası görüntüleri misafire verilebilir mi?

Kayıtta başka kişiler de görünüyorsa paylaşım veri aktarımıdır; talep eden kişinin hukuki menfaati ve kayıttaki diğer kişilerin hakları birlikte değerlendirilir. Resmî makam talebinde yasal dayanak aranır.

Kurula şikâyet edilen klinik hangi yaptırımlarla karşılaşabilir?

Kurul, işlemenin durdurulmasını isteyebilir ve m.18 uyarınca idari para cezası verebilir. Sağlık kuruluşları için ayrıca kendi meslek mevzuatından doğan sorumluluk saklıdır.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.