SAĞLIK HİZMETLERİNDE KİŞİSEL VERİLERİN KORUNMASI (KVKK) – YDM Grup
Bilindiği üzere Kişisel verilerin ve kişilik haklarının korunması Anayasal bir hak olup kişisel verilerin korunması özel kanun olarak 24.03.2016 tarihinde kabul edilmiş ve 07.04.2016 tarihinde de resmi gazetede yayımlanmıştır. Böylece 6698 sayılı Kişisel Verilerin Korunması Hakkındaki Kanun hukuk aleminde yerini almış ve bu kanuna göre sağlık alanındaki kişisel verilerin korunmasındaki usul ve esasların belirlenmesi maksadıyla Kişisel Sağlık Verileri Hakkında Yönetmelik düzenlenmiştir. Bu kapsamda kamu hastaneleri, özel sağlık kuruluşları, özel muayenehaler ile eczanelerin Kişisel Verilerin Korunması Hakkındaki Kanun gereği sorumlu olduklarını belirtmek hiç de yanlış olmayacaktır. Kanun kapsamında eczanelere, özel sağlık kuruluşlarına, özel muayenehanesi bulunan doktor ve diş doktorlarına bir çok yükümlülükler ile bu yükümlülüklere aykırılık halinde para cezaları getirilmiştir.
Kişisel Verilerin Korunması Kanunu ile amaç olarak; kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların düzenlenmesidir.
Kişisel Verilerin Korunması Hakkındaki Kanun Kimleri Kapsar? Kişisel Veri Nedir?
Kişisel Verilerin Korunması Hakkındaki Kanun; kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişileri kapsar.
Kişisel Verilerin İşlenmesinde Hangi Kurallara Uyulmalıdır?
Hukuka ve dürüstlük kurallarına uygun olarak işlenmeli,
Belirli, açık ve meşru amaçlar için işlenmeli ve kullanılmalı,
İşlendikleri amaçla bağlantılı olmalı
Kişisel veriler işlenirken sınırlı ve ölçülü olunmalı
Kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.
Öncelikle belirtmek gerekir ki kişisel veriler ilgili kişinin rızası olmadıkça işlenemez. Ancak bazı şartların bulunması durumunda ilgili kişinin rızası olmadan da kişisel veriler işlenebilir. Bu şartlar;
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumlarıdır. Bu durumlarda ilgili kişinin rızası olmadan kişisel veriler işlenebilecektir.
Özel Nitelikteki Kişisel Veri
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır. Ancak bir önceki cümlede sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
Kişisel Verilerin Silinmesi, Yok edilmesi veya Anonim Hale Getirilmesi Ne Demektir?
İşlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Veri sorumlusu; Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiye verilen addır. Ancak kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. Ancak; kanunlarda açıkça öngörülmesi durumunda, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması durumunda, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması halinde, İlgili kişinin kendisi tarafından alenileştirilmiş olması durumunda, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halleri ile, İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda aktarılabilmektedir. Yine Yeterli önlemlerin alınması kaydıyla sağlık ve cinsel hayata ilişkin kişisel veriler de ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın da aktarılabilmektedir.
Kişisel Verilerin Korunması Kapsamındaki Yükümlülükler Nelerdir?
Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi konusunda bilgi vermekle yükümlüdür.
Kişisel Veri Sahibinin KVKK Kapsamındaki Hakları Nelerdir?
Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; kişisel veri işlenip işlenmediğini öğrenme, kişisel verileri işlenmişse buna ilişkin bilgi talep etme, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, kişisel verilerin silinmesini veya yok edilmesini isteme, İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
Veri sorumlusu; Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiye denir. Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, bir önceki cümlede belirttiğimiz tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. Kendi kurum veya kuruluşunda, Kişisel Verilerin Korunması Kanunundaki hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kişisel Verilerin Korunması Kanunu hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında Kişisel Verilerin Korunması Kanunu madde 18 gereğince idari para cezasına hükmedilir. İdari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
Kişisel Verilerin Korunması Kanununa göre eczaneler, aile sağlığı merkezleri, özel hastaneler, ilaç firmaları ile özel muayenehane işleten hekim ile diş hekimleri veri sorumlusudur ve bu kanuna göre yükümlülükleri bulunmaktadır. Bu durumda Kişisel Verilerin Korunması Kanununa göre bu saydığımız kurum, kuruluş ve şahısların en önemli yükümlülüklerinden bir tanesi yukarıda da belirttiğimiz üzere aydınlatma yükümlülüğüdür. Bunun haricinde Sağlık hizmeti sunucusu: Sağlık Hizmeti Sunucularının Faturalarının incelenmesine ve bedellerinin ödenmesine ilişkin usul ve esalar hakkında yönetmeliğe göre sağlık hizmetini sunan ve/veya üreten gerçek kişiler ile kamu ve özel hukuk tüzel kişilerini ve bunların tüzel kişiliği olmayan şubelerine verilen isimdir.Kişisel Sağlık Verileri Hakkında Yönetmelik gereği sağlık hizmeti sunucularının uyması gereken usul ve esaslar düzenlenmiştir. Eczanelerin, özel hastanelerin, özel muayenehane sahibi hekim ve diş hekimlerinin, ilaç firmalarının kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Örneğin, doktor kontrolünde ilaç kullanan kişinin sağlığıyla ilgili özel nitelikli kişisel verilerin, ilaçları temin ettiği eczane tarafından 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda sayılan şartlar sağlanmadan üçüncü kişiyle paylaşılması ilgili kanuna aykırılık teşkil edeceğinden veri sorumlusu eczane hakkında idari para cezası uygulanabilecektir.
Hiç kimse, sağlık hizmeti sunumu için gerekli olan durumlar haricinde geçmiş sağlık verilerinin dökümünü sunmaya veya göstermeye zorlanamaz. Sağlık hizmeti sunucuları tarafından; banko, gişe ve masa gibi bölümlerde yetkisi olmayan kişilerin yer almasını önleyecek ve aynı anda yakın konumda hizmet alanların birbirlerine ait kişisel verileri duymalarını, görmelerini, öğrenmelerini veya ele geçirmelerini engelleyecek nitelikte gerekli fiziki, teknik ve idari tedbirler alınır. Sağlık hizmeti sunucuları, tahlil ve tetkik sonuçları gibi hastaya ait kişisel sağlık verilerini içeren basılı materyal üzerinde gerekli kısmî kimliksizleştirme veya maskeleme tedbirlerini uygular ve söz konusu materyalin yetkisiz kişilerin eline geçmesi hâlinde kime ait olduğunun tespit edilmesini zorlaştıracak diğer tedbirleri alır.
Kişisel verilerin korunması eğitimi alınması kurumları ve özel hastaneleri, şirketleri fazlasıyla koruyacaktır. Nitekim kişisel verileri koruma kanunu kimleri kapsar? özel kişisel veri nedir? kişisel veri nedir? kişisel verilerin korunması nedir? verbis nedir? şeklindeki soruların cevabını bulmak için bu konuda uzmanlaşmış kişisel veri uzmanından yardım almak tavsiye olunmaktadır.
Kişisel Verilerin Korunması Şirketlerin Yapması Gerekenler
Şirketler kvkk kapsamında verbis e kayıt olmalı şirket çalışanlarını kvkk kapsamında eğitmeli özellikle veri işleyeni bu konuda tamamen bilgilendirmelidir. Yoksa herhangi bir şikayet ile ya da kişisel verileri koruma kurumunun kendiliğinden yapacağı inceleme neticesinde ağır yaptırımlarla karşılaşabileceklerdir. Şirketlerin kvkk kapsamında çalışmalarına hız vermesi, şirketin tüm veri sistemini ve evraklarını kvkk ya uyumlu hale getirmesi insan kaynaklarını bu konuda yetiştirmelidir. Özellikle veri işleyen seçimini ciddi bir iş olarak görmeli tecrübeli ve bu işi yapma kapasitesi olan kişilerin seçimine özen göstermelidir.
Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar, idari para cezası verilir.
ELEMAN ARANIYOR 5 Temmuz 2020