AYM’den Sağlık Verileri ve KVKK’ya İlişkin Önemli Karar

Sağlık verileri, özel nitelikli kişisel veri kategorisinde yer almakta ve hukuken en yüksek düzeyde korunmaktadır. Bu verilerin korunma ihtiyacı, bireyin mahremiyetine doğrudan temas etmesi ve ihlali hâlinde telafisi güç sonuçlar doğurabilmesi sebebiyle önem arz etmektedir. Anayasa Mahkemesi’nin (“AYM”) 2025 tarihli son kararı da bu koruma gereğini açıkça ortaya koymaktadır.

Kararda, bir sağlık kuruluşunda gerçekleştirilen muayeneye ilişkin bilgilerin, hastanın açık rızası olmaksızın üçüncü kişilere aktarılmasının, özel hayata saygı hakkı ile kişisel verilerin korunması hakkını ihlal ettiği tespit edilmiştir. Bu yaklaşım, hem KVKK m. 6 hem de Anayasa m. 20 bakımından sağlık kuruluşlarına yüklenen yükümlülüklerin önemini ortaya koymaktadır.

Kararın Arka Planı

Söz konusu başvuru, “Cem Özberk Başvurusu” (2020/15944) olarak kayda geçmektedir. Başvurucu, muayene amacıyla bulunduğu sağlık kuruluşunda kendisine ait bilgilerin ve muayene geçmişinin rızası dışında paylaşıldığını iddia etmiştir.

AYM tarafından yapılan incelemede, veri paylaşımının hukuka uygunluk şartlarını taşımadığı, başvurucunun mahremiyetine zarar verdiği ve Anayasa ile güvence altına alınan haklarının ihlal edildiği sonucuna ulaşılmaktadır.

AYM’nin Vurguları

• Açık rıza olmadan yapılan veri aktarımının hukuka aykırı olduğu değerlendirilmektedir.

• Sağlık kuruluşlarının, verileri yalnızca kanunda öngörülen hâllerde veya ilgili kişinin açık rızasıyla işleyebileceği hüküm altına alınmaktadır.

• Benzer ihlallerin önlenebilmesi için etkin denetim ve düzenleme mekanizmalarının tesis edilmesinin zorunlu olduğu belirtilmektedir.

  
  

Kararın Önemi

Bu karar, sağlık sektöründe faaliyet gösteren tüm kurum ve kuruluşlar için yol gösterici nitelik taşımaktadır. Zira:

• Rıza süreçlerinin titizlikle yürütülmesi gerekmektedir.

• Veri güvenliği tedbirlerinin, yalnızca şekli değil, fiili anlamda uygulanması zorunluluk arz etmektedir.

• Hastaların mahremiyetini ihlal eden işlemler, sadece KVKK kapsamında değil, aynı zamanda temel hak ihlali olarak değerlendirilmektedir.

Sonuç olarak, karar, sağlık kuruluşlarının veri işleme faaliyetlerini gözden geçirmesi, bilgilendirme ve onay mekanizmalarını güncellemesi ve süreçlerini şeffaflaştırması gereğini ortaya koymaktadır.

Karar, sağlık hizmeti sunan kurumların kendi süreçlerini gözden geçirmesini zorunlu kılmaktadır. Bu kapsamda uggulamada Sağlık Kuruluşlarının Alması Gereken Tedbirler şu şekilde değerlendirilebilir:

1. Rıza Yönetimi: Hastalardan alınacak açık rızaların, açık, anlaşılır ve kapsamlı aydınlatma metinleriyle desteklenmesi gerekmektedir.

2. Eğitim ve Farkındalık: Sağlık personelinin kişisel veri işleme süreçlerine ilişkin düzenli aralıklarla eğitilmesi gerekmektedir.

3. Teknik Güvenlik Önlemleri: Elektronik sağlık kayıt sistemlerinin yetkisiz erişimlere karşı korunması, şifreleme ve erişim loglama sistemlerinin aktif şekilde çalıştırılması gerekmektedir.

4. İç Denetim Mekanizmaları: Veri işleme süreçlerinin mevzuata uygun yürütülüp yürütülmediğinin düzenli olarak denetlenmesi zorunluluk arz etmektedir.

5. Üçüncü Kişilerle Paylaşım: Verilerin üçüncü kişilerle paylaşımında, yalnızca hukuki dayanağı bulunan ve sözleşme ile güvence altına alınan işleme faaliyetlerine izin verilmesi gerekmektedir.

   
   

Bu tedbirlerin hayata geçirilmesi, yalnızca KVKK’ya uyum sağlamakla kalmamakta; aynı zamanda Anayasa’da güvence altına alınan temel hakların korunması bakımından da önem taşımaktadır.

Konuya ilişkin sorularınız veya sağlık verilerinin korunmasına yönelik hukuki süreçler hakkında danışmak isterseniz, bizimle iletişime geçebilirsiniz.