Kişisel Sağlık Verileri İşleme Rehberi

Bu rehber ile kişisel sağlık verileri işleyen tüm hastane, klinik ve özel muayenehanelerin kişisel sağlık verisi mevzuatına uyum süreci hakkında bilgilendirilmesi ve bilinçlendirilmesi amaçlanmıştır. Kişisel veri işleme mevzuatına uyum sürecini sağlıklı bir şekilde gerçekleştirmek ve muhtemel idari yaptırımlardan korunmak için uzman yardımı almanızı tavsiye ederiz.

Kişisel Sağlık Verisi Nedir ?

Kişisel sağlık verisi bireyin boyu, kilosu, kan grubu, geçirdiği ameliyatlar, kullandığı ilaçlar, hastalık ve tedavi geçmişi, kronik hastalıkları, tansiyon değerleri gibi örneklerle çeşitlendirebileceğimiz sağlık verileridir. Ad, soyad, adres, telefon gibi genel nitelikli kişisel verilere nazaran özel nitelikli veriler olan sağlık verileri kanun koyucu tarafından daha fazla korunma ihtiyacı hissedilmiştir. Kanun bu verileri kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgiler şeklinde tanımlamaktadır.

Mevzuatı incelediğimizde özel nitelikli kişisel veri olan sağlık verilerinin işlenmesi için bazı istisnalar hariç mutlaka açık rızanın varlığı ve ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şart koşulmuştur. Bu nedenle bu tür sağlık verilerini işleyen kişi ve kurumların mutlaka hukuka ve mevzuata uygun şekilde açık rıza alması ve gerekli yasal prosedürleri ve şartları yerine getirmesi gerekir.

Kişisel Sağlık Verileri Hakkındaki Yasal Düzenlemeler

Kişisel Verilerin Korunması Kanunu 24/03/2016 tarihinde kabul edilmiş ve aynı yıl yürürlüğe girmiştir. Ayrıca kişisel sağlık verilerinin işlenmesi ile ilgili olarak 21.06.2019 tarihinde Kişisel Sağlık Verileri Hakkında Yönetmelik yürürlüğe girmiştir. Kanun ve yönetmelikte kişisel veri işleyen kişi ve kurumların uyması gereken standartlar ile birlikte bu standartların uygulanmasını denetlemek üzere Kişisel Verileri Koruma Kurumu ve Kurum bünyesinde faaliyet gösteren Kişisel Verileri Koruma Kurulu kurulmuştur.

İlgili mevzuat hükümlerine aykırılık halinde kişisel veri işleyen gerçek veya tüzel kişi veri sorumlusu olarak sorumlu kabul edilmekte ve ciddi idari yaptırımlar gündeme gelebilmektedir. Kurul bu anlamda idari yaptırım kararları vermeye başlamıştır. Ayrıca mevzuata göre kişisel veri işleyen kişi ve kuruluşların hangi kişisel verileri ne şekilde işlediklerinin kaydının tutulabilmesi adına VERBİS yani Veri Sorumluları Sicil Bilgi Sistemi oluşturulmuştur. Dijital bir sicil kaydı niteliği taşıyan VERBİS’e kişisel veri işleyen tüm gerçek ve tüzel kişilerin gerekli uyum işlemlerini gerçekleştirip kaydolmaları gerekmektedir. Kanun koyucu da bu kaydın gerçekleştirilmesi için veri sorumlularına işletmenin büyüklüğüne göre değişen süreler tanımıştır.

Kimler Bu Mevzuata Uymakla Yükümlü ?

Kişisel sağlık verisi işleyen tüm gerçek ve tüzel kişilerin bu mevzuat hükümlerine uyum sağlama ve VERBİS kaydını gerçekleştirme yükümlülüğü bulunmaktadır. Yani sağlık hizmeti sunan kamu kurumları, özel hastaneler, poliklinikler, klinikler, özel muayenehaneler, sağlık merkezleri, güzellik merkezleri, alternatif tıp uygulama merkezleri, sağlık turizmi işletmeleri gibi sağlık verisi işleyen tüm işletmelerin bu mevzuata uyum sağlaması gerekmektedir. Aksi halde aşağıda açıklanan idari, cezai ve hukuki yaptırımlarla karşı karşıya gelmeleri muhtemel olacaktır.

Bu doğrultuda kişisel veri işleyen gerçek ve tüzel kişilerin kişisel verilerin işlenmesine ilişkin iş süreçlerini, aydınlatma metinlerini, açık rıza metinlerini, gizlilik politikalarını, kişisel veri işleme, saklama, aktarma, anonimleştirme ve yok etmeye ilişkin politikalarını gözden geçirmeleri, yoksa oluşturmaları, kişisel verilerin işlenmesine ilişkin mevzuata aykırı noktalar varsa düzeltmeleri ve Kurum tarafından belirlenen süreler içerisinde de VERBİS sistemine kayıt olmaları gerekmektedir. Tüm bu süreçlerin hukuki ve teknik anlamda doğru yapılandırılması için de uzman yardımı alınması önemle tavsiye edilmektedir.

Uyum İçin Ne Kadar Süreniz Var ?

Kanun’un yürürlüğe girdiği 2016 yılından itibaren sağlık verisi işleyen kişi ve kuruluşların açık rıza alma, veri güvenliğini sağlama, kişisel verilerin işlenmesi, saklanması, aktarılması ve silinmesi şartlarını sağlama yükümlülükleri bulunmaktadır. Zaten bu süreçte çeşitli kişi ve kurumlara idari para cezası uygulaması da yapılmış ve yapılmaya devam etmektedir. Dolayısıyla kişisel sağlık verisi işleyen kişi ve kurumların en kısa sürede işletme bünyesinde gerekli uyum sürecini başlatmaları gerekecektir.

Sağlık Kuruluşlarının Verbis Kayıt Süresi Uzatıldı

VERBİS’e kayıt olma yükümlülüğü de Kişisel Verileri Koruma Kurumu tarafından işletmenin büyüklüğüne göre 30/09/2020 ve 31/03/2021 tarihine kadar ertelenmiş bulunmaktadır. Bu tarihler son tarihler olup, bu tarihlerin dolmasına rağmen VERBİS kaydını tamamlamayan sorumlular hakkında bir sonraki bölümde de ayrıntısı yer aldığı üzere (2026 yılı için güncellenmiş tutarlarla) 341.809 TL’den 17.092.242 TL’ye kadar idari para cezaları uygulanmaktadır.

Veri Sorumluları	Son Tarih
Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları	31.03.2021
Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları	30.09.2020

Mevzuata Aykırılık Halinde Yaptırımlar Neler ?

İdari Yaptırımlar: Kişisel Verileri Koruma Kurumu mevzuata aykırı hareket eden, Verbis kaydını gerçekleştirmeyen, kişisel verileri hukuka aykırı olarak kaydeden, saklayan, aktaran, veri güvenliği tedbirlerini almayan, gerekli bildirimleri yapmayan kişi ve kurumlar hakkında idari yaptırım kararı uygulama yetkisine sahiptir. Kanun’un yürürlüğe girmesi ile birlikte Kurul kişisel veri ihlali gerekçesiyle idari yaptırım kararları vermeye başlamıştır.

2026 Yılı İçin Kişisel Veri İhlali Halinde Uygulanan İdari Para Cezası Miktarları (yeniden değerleme oranıyla güncellenmiştir):
* Aydınlatma yükümlülüğünün ihlali halinde 85.437 TL‘den 1.709.200 TL‘ye kadar,
* Veri güvenliğinin ihlali halinde 256.357 TL‘den 17.092.242 TL‘ye kadar,
* Kurul kararlarına aykırılık halinde 427.263 TL‘den 17.092.242 TL‘ye kadar,
* Verbis’e kayıt yükümlülüğünün ihlali halinde 341.809 TL‘den 17.092.242 TL‘ye kadar
idari para cezasıdır.

Cezai Yaptırımlar: 5231 sayılı Türk Ceza Kanunu’nda “Özel Hayata ve Hayatın Gizli Alanına İlişkin Suçlar” bölümünde yer alan cezai yaptırımlar kişisel sağlık verilerini hukuka aykırı şekilde işleyenler hakkında uygulama alanı bulmaktadır. Kişisel sağlık verisinin hukuka aykırı olarak işlenmesi, saklanması ve aktarılması suç teşkil ettiğinden konuya ilişkin bir ihbar söz konusu olduğunda veya duruma re’sen vakıf olunduğunda Cumhuriyet Savcısı kişisel veriyi işleyen ilgili kişi hakkında ceza soruşturması başlatabilmektedir. Kanunda öngörülen ceza miktarları suçun niteliği ve fiilin türüne göre hapis cezası olarak 1 yıldan 6 yıla kadar değişebilmektedir.

Hukuki Yaptırımlar: Özel sağlık verisinin kişinin rızası dışında ve mevzuata aykırı şekilde kayıt altına alınması, saklanması veya aktarılması halinde kişilerin maddi ve manevi bir zarara uğradıkları iddialarıyla tazminat davaları açmaları da mümkün olabilmektedir. Bu durumda kişinin maddi anlamda uğradığı zarar varsa bu zararın tazmini ve manevi anlamda da itibar kaybı, kişilik haklarının zarar görmesi, yaşanan acı ve elemin boyutuna göre manevi tazminat talebinde bulunulabilmektedir.

Genel İtibariyle Yapılması Gerekenler

Konuya ilişkin olarak Kişisel Verileri Koruma Kurumu’nun hazırladığı rehberlere linkten ve ayrıca bu linkten ulaşabilirsiniz. Biz de aşağıda sizlere uyum sürecinde yapılması gerekenlerle ilgili özet bilgiyi aşağıda başlıklar halinde paylaşacağız.

İş Süreçlerinin Gözden Geçirilmesi

Öncelikle kişisel sağlık verisi işleyen bir işletmede hangi departmanların yer aldığı, bu departmanlarda hangi kişisel verilerin ne şekilde işlendiği ve ne şekilde depolandığı gözden geçirilerek bu departmanlara ilişkin yapılması gerekenler konusunda bir yol haritası çıkartılmalıdır. Kişisel veri envanteri oluşturulması bu süreçte daha sağlıklı değerlendirmenin yapılmasına katkı sağlayacaktır. Kişisel verilerin işlenmesi öncesinde aydınlatmanın ne şekilde yapılacağı, açık rıza alınmasının gerektiği noktada rızanın ne şekilde alınacağı, kişisel verinin ne şekilde saklandığı, fiziki bir kayıt söz konusu ise bu kayıtların güvenliğinin sağlanması, dijital bir kayıt söz konusu ise serverların lokasyonu, veri güvenliği tedbirlerinin düşünülmesi, teknik desteğin düşünülmesi gibi hususlar yapılması gereken değerlendirmeler arasında yer alır.

Aydınlatma Metinlerinin Hazırlanması

Kişisel sağlık verisinin işlenmesinden önce kişinin aydınlatılması gerekir. Bu aydınlatmanın şekli, aydınlatmanın hangi aşamada, ne şekilde yapıldığına göre değişmekle birlikte mümkün olduğunca ispat kolaylığı bakımından yazılı aydınlatma metinlerinin hazırlanması tercih edilebilir. Bu noktada aydınlatma metinlerinin hukuka ve mevzuata uygun şekilde düzeltilmesi, gerekli değişikliklerin yapılması, mevcut değilse bu metinlerin oluşturulması, ilgili departmanlara ve işlenen sağlık verisinin türüne göre alternatiflerinin hazırlanması yapılması gerekenler arasındadır.

Açık Rıza Metinlerinin Hazırlanması

Aydınlatma akabinde kişinin sağlık verilerinin işlenmesine açık rızasının alınması gereken süreçlerin tespit edilmesi, rızanın alınması noktasında açık rıza metinlerinin düzenlenmesi, gerekli değişikliklerin ve eklemelerin yapılması, eğer açık rıza metni mevcut değilse oluşturulması, hukuki ve mevzuata uygunluk yönünden denetlenmesi yapılması gerekenler arasında yer almaktadır.

Veri Saklama ve Veri Güvenliği

Kişisel verilerin saklanması ve güvenliğinin sağlanması da en önemli konular arasındadır. Eğer kişisel veriler fiziki ortamda tutuluyorsa bu veriler bakımından güvenlik tedbirleri düşünülmeli ve gerekli önlemler alınmalıdır. Verilerin dijital ortamda tutuluyor olması halinde ise mutlaka gerekli veri güvenliği tedbirlerinin alınması gerekecektir. Bu konuda bilişim uzmanlarından da yardım alınarak veri sızmasının, çalınmasının önüne geçilmelidir.

Verilerin Silinmesi Anonimleştirme ve Aktarılması

Verilerin saklanma süresi, süre sonunda silinmesi, yok edilmesi, kişinin talebi halinde verinin silinmesi, anonimleştirilmesi gibi mevzuattaki standartlara işletmenin de uyum sağlaması, mevcut gizlilik politikalarını, verilerin silinmesi, anonimleştirilmesi ve aktarılmasına ilişkin politika metinlerini güncellemesi eğer yoksa mutlaka bu tür politikalar oluşturması gerekir.

Verbis Kaydının Yapılması

Kanun’un veri sorumlusu olarak tanımladığı yani kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişinin diğer bir ifade ile tüzel kişilik yetkilileri veya gerçek kişi işletmesi ise gerçek kişi işletme sahibinin mutlaka yukarıda ifade edilen süreler içerisinde VERBİS kaydını bizzat veya vekili aracılığı ile gerçekleştirmesi gerekmektedir.

Uzman Yardımı

Kişisel sağlık verilerini işleyen kişi ve kuruluşların bu süreçte uzman yardımı almadan mevzuattaki hukuki ve teknik standartlara hakim olmaları ve işletmelerini bu standartlara uyumlu hale getirmeleri pek mümkün değildir. Bu yöndeki girişimler pek de sağlıklı olmayacağından ciddi miktarda idari para cezaları ve adli süreçlerle karşılaşma riskini beraberinde getirecektir.

Bu nedenle işletmenin kişisel verileri koruma mevzuatına uyumlu hale getirilmesi, iş süreçlerinin gözden geçirilmesi, mevcut metinlerinin düzenlenmesi yoksa mevzuata uygun şekilde gerekli metinlerin hazırlanması, veri güvenliğinin sağlanması, kanunen zorunlu olan VERBİS kaydının gerçekleştirilmesi için uzman yardımı alınması hayati öneme sahiptir.

Bu konuda ayrıntılı bilgi ve destek almak istiyorsanız hukuk büromuzla iletişime geçebilirsiniz.

Kişisel Sağlık Verileri İlgili Mevzuat Metinleri

• Kişisel Verilerin Korunması Kanunu
  Tam Metni
• Kişisel Sağlık Verileri Hakkında Yönetmelik
  Tam Metni
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
  Tam Metni
• Veri Sorumluları Sicili Hakkında Yönetmelik
  Tam Metni
• Veri Sorumlularına Başvuru Usul ve Esasları Hakkında Tebliğ
  Tam Metni
• Aydınlatma Yükümlülüğünün yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
  Tam Metni
• 2015/17 Sayılı Genelge
  Tam Metni
• 2016/16 Sayılı Genelge
  Tam Metni

Kişisel Veriler Konusunda Görevli Kamu Kurumları

Sağlık hukuku alanındaki güncel mevzuata ilişkin daha kapsamlı bilgi için sağlık hukuku mevzuatı sayfamızı da inceleyebilirsiniz.

Kişisel Verileri Koruma Kurumu: Kişisel veri mevzuatını uygulamakla görevli ayrıca veri ihlalleri hakkında idari yaptırım kararlarını vermekle yetkili idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz olarak kanunla kurulan bağımsız bir kurumdur. Bünyesinde Kişisel Verileri Koruma Kurulu, Başkan ve kurul üyelerini barındırmaktadır. İnternet sitesine ulaşmak için Tıklayınız.

Sağlık Bakanlığı Sağlık Bilişimi Mevzuatı Geliştirme Birimi: Sağlık Bakanlığı’nda sağlık hizmet sunucuları için kişisel veri mevzuatının uygulanmasıyla ilgili koordinasyonu sağlamak üzere Sağlık Bilgi Sistemleri Genel Müdürlüğü, Standar ve Akreditasyon Dairesi Başkanlığı bünyesinde Sağlık Bilişimi Mevzuatı Geliştirme Birimi oluşturulmuştur. İnternet sitesine ulaşmak için Tıklayınız.