Hasta Mahremiyeti İhlal Edilirse Ne Yapılır?

Hasta bilgilerinin izinsiz paylaşılması iddiasında hangi sağlık verisinin kim tarafından, kime ve hangi amaçla aktarıldığı araştırılmalıdır. Hastane kayıtları, erişim logları ve başvuru yazışmaları hem olayın kapsamını hem de başvurulacak hukuki yolu belirlemede önem taşır.

Hasta mahremiyetinin kapsamı ve temel ilke

Muayene bulguları, tanı, tedavi geçmişi, tetkik sonuçları, hastane kayıtları ve bir kişinin hasta olduğuna ilişkin bilgi dahi mahremiyet bakımından önem taşıyabilir. Sağlık verileri 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından özel nitelikli kişisel veri kapsamındadır. Bununla birlikte sağlık hizmeti sunulması için yetkili kişilerce ve kanuni koşullarla veri işlenmesi ile hastanın bilgisinin ilgisiz üçüncü kişilerle paylaşılması aynı durum değildir. Hastane çalışanının sisteme erişme yetkisinin bulunması her kaydı her amaçla açabileceği anlamına gelmez. Hasta Hakları Yönetmeliği, kişilik hakları ve veri koruma mevzuatı somut olayda birlikte incelenir. Sağlık kuruluşunun kamuya veya özel sektöre ait olması başvuru yollarını da etkileyebilir.

Yetkisiz erişim ile hukuka aykırı açıklama

Mahremiyet ihlali yalnız sosyal medyada hasta fotoğrafı yayımlamakla sınırlı değildir. Hastanın laboratuvar sonucunun ilgisiz bir personele gönderilmesi, muayene bilgisinin komşularla paylaşılması veya sistem kaydının görev gereği olmaksızın görüntülenmesi farklı ihlal türleri oluşturabilir. Hastanın açık rızasının bulunup bulunmadığı önemlidir; fakat her sağlık verisi işleme faaliyeti mutlaka açık rızaya dayanmaz, kanundaki diğer işleme şartları da değerlendirilir. Bir hastanın yakını olmak, otomatik şekilde tüm tıbbi kayıtlara erişim hakkı vermez. Vekalet, yasal temsil ve kanuni bilgi alma halleri ayrıca incelenmelidir. Paylaşımın amacı, kapsamı, alıcıları ve hukuki dayanağı tespit edilmelidir.

İhlalin belgelenmesi ve kayıt talebi

Hastanın yapacağı ilk işlem, ifşanın nerede ve ne zaman gerçekleştiğini saptamaktır. Ekran görüntülerinde paylaşım tarihi, hesap adı ve görünür bağlantı; e-postalarda gönderici ve alıcı bilgileri korunmalıdır. Hastane içindeki erişim iddiasında sağlık kuruluşuna başvurularak kendi verilerine ilişkin erişim veya işlem kayıtlarının hukukça açıklanabilir kısmının incelenmesi talep edilebilir. Sistem güvenliği, üçüncü kişilerin verileri ve çalışanların hakları nedeniyle bütün logların sınırsız verilmesi zorunlu değildir. İhlalin devam etmesi halinde içerik kaldırma veya kurum içi erişimi sınırlama tedbirleri somutlaştırılmalıdır. Gereksiz yere yeni kişilere sağlık verisi gönderilerek delil oluşturulmaya çalışılmamalıdır.

Hasta Hakları Birimi ve veri sorumlusuna başvuru

Hastane Hasta Hakları Birimine yapılacak şikayet, sağlık hizmeti sırasında yaşanan mahremiyet ihlalinin kurum tarafından incelenmesini sağlayabilir. Ayrı olarak veri sorumlusuna 6698 sayılı Kanun m. 13 usulüyle başvurarak hangi kayıtların kimlerle hangi amaçla paylaşıldığı ve alınan tedbirler konusunda haklar kullanılabilir. Bu yollar birbirinin bire bir yerine geçmez. Sağlık kurumu tarafından yapılan işlem, ilgili personelin görevi ve veri sorumlusunun kimliği başvuru yazısında açıkça belirtilmelidir. Verilen dilekçenin kayıt numarası saklanmalı; kanuni süreye bağlanan KVKK şikayeti için veri sorumlusuna başvurunun tarih ve şekli ayrıca izlenmelidir.

KVKK şikayeti ve yargısal talepler

Veri sorumlusunun reddi, yetersiz yanıtı veya otuz gün içinde cevap vermemesi halinde Kurula şikayet şartları doğabilir. KVKK m. 14 ve Kurulun süre hesabına ilişkin kararları esas alınmalıdır; sağlık kuruluşuna yapılan her genel memnuniyetsizlik başvurusu otomatik olarak bu ön başvurunun yerini tutmaz. Kişilik hakkının korunması, durdurma veya tazminat talepleri için ayrı hukuki dayanak ve görevli yargı yolu incelenir. Özel hastane ile hasta arasındaki sözleşmesel ilişkinin sonuçları ve kamu sağlık kuruluşuna yöneltilecek talepler aynı usulde olmayabilir. Hukuka aykırı veri paylaşımının ceza hukuku boyutu doğabileceği hallerde suçun unsurları ayrıca değerlendirilmelidir. İdari şikayet, tazminat hükmü anlamına gelmez.

Örnek olay: tetkik sonucunun mesaj grubuna gönderilmesi

Bir sağlık çalışanının hastaya ait tetkik sonucunu görevle ilgisi bulunmayan bir mesaj grubuna gönderdiğini düşünelim. Hasta önce mesajın aslına veya doğrulanabilir kaydına ulaşmaya çalışır, paylaşımı gören kişi sayısını, paylaşımın kaldırılıp kaldırılmadığını ve ne kadar süre erişilebilir kaldığını not eder. Hastaneden olayın incelenmesini, yetkisiz erişim veya paylaşım varsa durdurulmasını ve ilgili veri işleme faaliyeti hakkında açıklama verilmesini ister. Paylaşımın hastanın iş veya aile yaşamını etkilediği ileri sürülüyorsa sonuçları destekleyen deliller saklanmalıdır. Her ifşa aynı ağırlıkta zarar doğurmaz; ölçülülük, hukuka aykırılık ve somut etki değerlendirmesi yapılır. Hastanın kendi mahremiyeti korunurken diğer hastaların bilgileri de gizli tutulmalıdır.

Hasta, veri sorumlusu sağlık kuruluşuna başvururken hangi sağlık kaydına erişildiğini, erişimin hangi amaçla gerçekleştirildiğini, kendi bilgilerinin başka bir kurum veya kişiye aktarılıp aktarılmadığını ve olaydan sonra hangi önlemlerin alındığını sorabilir. Verilerin düzeltilmesi, silinmesi ya da saklanması taleplerinde kanuni arşiv yükümlülüklerinin ayrıca değerlendirilmesi gerekir. Kurumdan herhangi bir doktor veya çalışanın kişisel telefon kayıtlarının sınırsız biçimde paylaşılmasını istemek doğru yöntem olmayabilir; talep kendi kişisel verisinin işlenmesine ve hukuki haklarına odaklanmalıdır. Hastanın yakınlarına açıklanan bilgilerin hukuki durumu da hastanın iradesi, temsil ilişkisi ve özel düzenlemeler bağlamında ayrı değerlendirilir. Kurumun yazılı yanıtı daha sonraki başvuru yolları için kritik delil niteliği taşıyabilir.

Dilekçede sorulabilecek somut sorular

Sağlık kaydı erişiminde yetki, amaç ve delil matrisi

Bir hekimin hasta dosyasını tedavi amacıyla incelemesi ile aynı kaydın merak nedeniyle bir başka çalışan tarafından görüntülenmesi aynı işlem değildir. Kayıt sisteminde kullanıcı yetkisi bulunması, her erişimin hukuka uygun olduğu anlamına gelmez. İnceleme için erişim zamanı, işlemi yapan görevlinin o tarihte hastanın bakımında rolü bulunup bulunmadığı, kaydın hangi amaçla açıldığı ve verinin ayrıca dışarı aktarılıp aktarılmadığı birlikte değerlendirilmelidir. Veri sorumlusuna gönderilecek başvuruda bu olgular hakkında hukuken açıklanabilecek kapsamda bilgi istenebilir.

Hasta Hakları Yönetmeliğinin 21. maddesi yalnız sağlık kaydının üçüncü kişilere gönderilmesine değil; muayene, teşhis ve tedavi sırasında makul gizlilik ortamı sağlanmasına da ilişkindir. Örneğin muayene sırasında ilgisiz kişilerin bulunması veya hasta bilgisi ekranda açıkken ziyaretçilerin odaya alınması, dijital veri ihlali olmaksızın da mahremiyet yönünden incelenebilir. Eğitim amacıyla tedaviyle doğrudan ilgili olmayan kişilerin bulunması halinde Yönetmelikteki ayrıca rıza şartı da önem taşır.

Şikayet hazırlanırken mahremiyeti daha fazla ihlal etmemek için bütün sağlık geçmişini geniş bir e-posta grubuna dağıtmaktan kaçınılmalıdır. İlgili tetkik veya paylaşımın gerektiği kadarı, sınırlı erişimli kanalla sunulabilir. Hastane içi hasta hakları başvurusu ile KVKK m. 13 başvurusu ayrı tarihlerle takip edilmeli; Kurula şikayette m. 14 sürelerinin hangi başvuru üzerine işlediği gösterilmelidir. Kurul kararı, hasta hakları incelemesi ve olası tazminat davasının amaç ve ispat ölçütleri aynı değildir.

İlgili dilekçe ve başvuru

Hukuki kaynaklar

6698 sayılı Kişisel Verilerin Korunması Kanunu; KVKK: Şikayet hakkı; Hasta Hakları Yönetmeliği.