Hasta Mahremiyetinin İhlali ve Sağlık Verilerinin Hukuka Aykırı Paylaşılması

Hasta Mahremiyeti Nedir?

Hasta mahremiyeti, kişinin sağlık hizmeti aldığı sırada bedensel, ruhsal, sosyal ve özel hayatına ilişkin bilgilerin korunmasını; muayene, teşhis, tedavi ve bakım sürecinin gizlilik içinde yürütülmesini; hastanın sağlık bilgilerinin ilgisiz üçüncü kişilerle paylaşılmamasını ifade eder. Hastanın hastalığı, teşhisi, kullandığı ilaçlar, ameliyat geçmişi, psikiyatrik durumu, gebelik bilgisi, cinsel sağlık verileri, genetik bilgileri, tahlil sonuçları, görüntüleme kayıtları, engellilik durumu, bağımlılık tedavisi veya bulaşıcı hastalık bilgileri mahremiyet kapsamında değerlendirilir.

Hasta Hakları Yönetmeliği, sağlık hizmeti verilen resmi ve özel bütün kurum ve kuruluşları kapsar ve hastaların insan haysiyetine uygun şekilde sağlık hizmetlerinden yararlanmasını, hak ihlallerine karşı hukuki korunma yollarını kullanabilmesini amaçlar. Bu nedenle hasta mahremiyeti yalnızca etik bir yükümlülük değil; özel hastane, devlet hastanesi, klinik, laboratuvar, görüntüleme merkezi, eczane ve sağlık çalışanları bakımından hukuki bir yükümlülüktür.

Mahremiyetin ihlali, hastanın sağlık bilgisinin üçüncü kişilere açıklanması kadar, muayenenin uygunsuz ortamda yapılması, hastane içinde hastanın teşhisinin yüksek sesle söylenmesi, hasta dosyasının ilgisiz kişilerce görülmesi, e-Nabız kayıtlarına yetkisiz erişilmesi, hasta bilgilerinin sosyal medyada paylaşılması veya işveren, aile bireyi, sigorta şirketi ya da başka kurumlarla hukuka aykırı veri paylaşılması şeklinde de ortaya çıkabilir.

Sağlık Verisi Neden Özel Nitelikli Kişisel Veridir?

6698 sayılı Kişisel Verilerin Korunması Kanunu’na göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Aynı Kanun’da kişilerin sağlığı, cinsel hayatı, biyometrik ve genetik verileri gibi bazı veriler özel nitelikli kişisel veri olarak kabul edilmiştir. Sağlık verileri, kişinin özel hayatı ve kişilik haklarıyla doğrudan bağlantılı olduğu için daha sıkı korumaya tabidir.

KVKK’ya göre özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenmesi kural olarak yasaktır. Sağlık ve cinsel hayata ilişkin veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla; sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza olmaksızın işlenebilir. Bu istisna, sağlık verilerinin herkesle serbestçe paylaşılabileceği anlamına gelmez; yalnızca kanunda belirtilen amaç ve kişilerle sınırlı bir işleme imkânı verir.

Bu nedenle hastanenin, doktorun veya sağlık çalışanının “hasta burada tedavi gördü” demesi bile bazı durumlarda veri ihlali oluşturabilir. Çünkü kişinin hangi hastanede, hangi bölümde, hangi tanıyla tedavi gördüğü sağlık verisi niteliğindedir. Özellikle psikiyatri, kadın doğum, bulaşıcı hastalıklar, cinsel sağlık, tüp bebek, bağımlılık tedavisi, kanser, genetik testler ve engellilik raporları gibi alanlarda mahremiyetin korunması daha da önemlidir.

Hasta Mahremiyetinin İhlali Hangi Şekillerde Ortaya Çıkar?

Hasta mahremiyetinin ihlali çok farklı şekillerde gerçekleşebilir. En sık görülen örneklerden biri, sağlık çalışanının hastanın tanısını, tahlil sonucunu veya tedavi bilgisini hastanın rızası olmadan ailesiyle, işvereniyle, komşusuyla, başka bir hastayla veya üçüncü kişilerle paylaşmasıdır. Hasta yakını olmak, her durumda hastanın sağlık verisini öğrenme hakkı vermez. Hasta ayırt etme gücüne sahipse ve açık yetki vermemişse, eşi, annesi, babası veya çocuğu dahi her sağlık bilgisini otomatik olarak alamaz.

Bir diğer ihlal türü, hastane personelinin e-Nabız veya hastane bilgi sisteminden hastanın verilerine merak, kişisel husumet, tanıdıklık, boşanma davası, iş ilişkisi veya sosyal amaçlarla bakmasıdır. Sağlık verisine erişim, yalnızca sağlık hizmetinin gerektirdiği ölçüde ve yetkili kişiler tarafından yapılabilir. Kişisel Sağlık Verileri Hakkında Yönetmelik’te 3 Aralık 2025 tarihinde yapılan değişikliklerle, sağlık verilerine hangi hekimlerin hangi süre ve kapsamda erişebileceği daha ayrıntılı şekilde düzenlenmiştir. Örneğin kişinin sağlık hizmeti almak amacıyla başvurduğu hekimlerin erişimi, verilen sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanıncaya kadar sınırlandırılmıştır.

Mahremiyet ihlali ayrıca sosyal medya paylaşımlarıyla da ortaya çıkabilir. Ameliyat fotoğrafı, doğum görüntüsü, estetik işlem öncesi-sonrası fotoğrafı, hastanın yüzü kapalı olsa bile ayırt edilebilir görüntüsü, tahlil sonucu, hasta odası görüntüsü veya ambulans müdahalesi izinsiz paylaşılırsa, hem hasta hakları hem KVKK hem de kişilik hakları bakımından sorumluluk doğabilir.

Hastane İçinde Mahremiyetin Korunması

Hasta mahremiyeti yalnızca veri güvenliğinden ibaret değildir. Muayene sırasında hastanın beden mahremiyetinin korunması, gereksiz kişilerin muayene odasında bulunmaması, hasta bilgilerinin yüksek sesle okunmaması, hastane koridorunda teşhisin açıklanmaması, hasta dosyalarının açıkta bırakılmaması ve hasta isimleriyle birlikte hassas bilgilerin panolara asılmaması da mahremiyetin parçasıdır.

Örneğin acil serviste veya poliklinikte hastanın HIV, hepatit, gebelik, psikiyatrik tanı, cinsel saldırı, düşük, bağımlılık veya kanser gibi hassas bilgileri başkalarının duyacağı şekilde söylenirse, bu durum hasta mahremiyetinin ihlali olarak değerlendirilebilir. Aynı şekilde doğumhane, yoğun bakım, ameliyathane ve kadın doğum servislerinde mahremiyet kuralları daha hassas uygulanmalıdır.

Hasta Hakları Yönetmeliği, hastanın sağlık durumu hakkında bilgi alma hakkını düzenlediği gibi, hastanın sağlık dosyası ve kayıtlarını doğrudan veya vekili ya da kanuni temsilcisi aracılığıyla inceleyebilmesini ve suret alabilmesini de kabul eder. Ancak bu hak hastaya aittir; sağlık kuruluşu hastanın kayıtlarını ilgisiz üçüncü kişilere veremez.

e-Nabız Kayıtlarına Yetkisiz Erişim

e-Nabız sistemi, kişilerin sağlık kayıtlarına ulaşmasını kolaylaştıran önemli bir dijital sağlık sistemidir. Ancak e-Nabız ve hastane bilgi yönetim sistemlerine erişim yetkisi, sağlık çalışanlarına sınırsız bir görüntüleme hakkı vermez. Bir sağlık çalışanı, tedavi ilişkisi bulunmayan veya sağlık hizmeti kapsamında görmesi gerekmeyen bir kişinin sağlık kayıtlarını inceleyemez.

Kişisel Sağlık Verileri Hakkında Yönetmelik’te 2025 yılında yapılan değişiklikler, sağlık verilerine erişim koşullarını, e-Nabız güvenlik ayarlarını ve sağlık hizmeti sunumu ile bağlantılı erişim sınırlarını yeniden düzenlemiştir. Değişikliklerde kişinin kayıtlı olduğu aile hekimi, başvurduğu hekim, yatış yaptığı sağlık hizmet sunucusunda görev yapan hekimler ve acil servis üzerinden giriş yapılan haller gibi durumlar için erişim sınırları ayrıca belirtilmiştir.

Bu nedenle eski eşin, komşunun, akrabanın, işverenin veya tanıdık sağlık çalışanının hastanın e-Nabız kayıtlarına bakması hukuka aykırı veri erişimi niteliği taşıyabilir. Hastanın e-Nabız erişim geçmişini kontrol etmesi, şüpheli erişimlerde Sağlık Bakanlığı’na, ilgili hastaneye, KVKK’ya ve gerektiğinde savcılığa başvurması mümkündür.

Sağlık Verilerinin İşverenle Paylaşılması

Uygulamada sık karşılaşılan ihlallerden biri, çalışanın sağlık bilgilerinin işverenle gereğinden fazla paylaşılmasıdır. İşveren bazı durumlarda çalışanın iş göremezlik raporu, istirahat süresi veya işe uygunluk durumu hakkında bilgi alabilir. Ancak çalışanın ayrıntılı tanısı, psikiyatrik geçmişi, gebelik durumu, tahlil sonuçları, kullandığı ilaçlar veya özel tedavi bilgileri kural olarak işverenle paylaşılamaz.

Örneğin bir hastanenin, çalışanın hangi hastalık nedeniyle rapor aldığını işverene bildirmesi; insan kaynakları biriminin çalışanın kanser, gebelik, psikiyatri veya bulaşıcı hastalık bilgisini diğer çalışanlarla paylaşması; işyeri hekiminin sır saklama yükümlülüğüne aykırı şekilde hassas sağlık bilgisini açıklaması mahremiyet ihlali oluşturabilir.

İş ilişkilerinde sağlık verileri, yalnızca iş sağlığı ve güvenliği, işe uygunluk, rapor takibi veya kanuni zorunluluk gibi sınırlı amaçlarla işlenebilir. Amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi sağlık verileri bakımından özellikle önemlidir. KVKK, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmesini zorunlu kılar.

Aile Bireylerine Sağlık Bilgisi Verilmesi

Hasta yakını olmak, hastanın tüm sağlık verilerine erişim hakkı vermez. Hasta bilinci açık, ayırt etme gücüne sahip ve kendisi karar verebilecek durumdaysa, sağlık bilgileri ancak hastanın rızasıyla yakınlarına açıklanmalıdır. Hasta, sağlık durumu hakkında bilgi almak üzere bir başkasına yetki verebilir; gerektiğinde bu yetkinin belgelendirilmesi istenebilir.

Buna karşılık hasta küçükse, kısıtlıysa, bilinci kapalıysa veya karar verme gücüne sahip değilse veli, vasi veya kanuni temsilcinin bilgilendirilmesi gerekebilir. Acil durumlarda ise hastanın hayatı veya beden bütünlüğünün korunması için gerekli olan bilgi paylaşımı, ölçülü olmak kaydıyla yapılabilir.

Örneğin erişkin bir kadının gebelik testinin ailesine bildirilmesi, psikiyatri hastasının tanısının eşine açıklanması, HIV test sonucunun işverene veya aile bireyine söylenmesi, kürtaj veya kadın doğum muayenesi bilgilerinin üçüncü kişilerle paylaşılması ciddi mahremiyet ihlali doğurabilir. Burada sağlık kuruluşunun “aile yakını sordu” savunması yeterli olmaz.

Sağlık Verilerinin Sosyal Medyada Paylaşılması

Sağlık çalışanlarının veya kliniklerin sosyal medyada hasta görüntüsü paylaşması çok yaygın hale gelmiştir. Özellikle estetik cerrahi, saç ekimi, diş tedavisi, doğum, tüp bebek, obezite cerrahisi ve dermatoloji alanlarında “öncesi-sonrası” görselleri sıkça kullanılmaktadır. Ancak hastanın açık rızası olmadan bu tür paylaşımlar hukuka aykırıdır.

Hastanın yüzü kapatılmış olsa bile dövme, ses, vücut yapısı, tarih, olay yeri, tedavi süreci veya açıklama metni üzerinden kimliği belirlenebiliyorsa kişisel veri işlenmiş sayılabilir. Ayrıca sağlık verisi içeren görseller daha hassas değerlendirilir. Hastanın yalnızca tedaviye rıza göstermesi, görüntüsünün reklam veya tanıtım amacıyla paylaşılmasına rıza gösterdiği anlamına gelmez.

Sosyal medya paylaşımlarında açık rızanın belirli, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Genel işlem formuna eklenmiş belirsiz bir “fotoğraflarım kullanılabilir” ibaresi her durumda yeterli kabul edilmeyebilir. Hasta, hangi görüntüsünün, hangi platformda, hangi amaçla, ne kadar süreyle paylaşılacağını bilmelidir.

Veri Sorumlusunun Yükümlülükleri

Hastane, klinik, laboratuvar, görüntüleme merkezi, özel muayenehane veya sağlık hizmeti sunan kurumlar, işledikleri kişisel veriler bakımından veri sorumlusu veya veri işleyen sıfatına sahip olabilir. KVKK’ya göre veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.

KVKK’nın 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önleme, kişisel verilere hukuka aykırı erişimi önleme ve kişisel verilerin muhafazasını sağlama amacıyla gerekli teknik ve idari tedbirleri alma yükümlülüğü yükler. Aynı maddede veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı; bu yükümlülüğün görevden ayrıldıktan sonra da devam edeceği düzenlenmiştir.

Bu nedenle bir hastane, “veriyi çalışanımız sızdırdı, bizim sorumluluğumuz yok” diyerek her durumda sorumluluktan kurtulamaz. Hastane; erişim yetkilerini sınırlamak, log kayıtlarını tutmak, personeli eğitmek, gizlilik taahhütleri almak, veri güvenliği politikaları oluşturmak, yetkisiz erişimi engellemek ve veri ihlali halinde gerekli bildirimleri yapmak zorundadır.

Hasta Hangi Haklara Sahiptir?

KVKK’nın 11. maddesine göre ilgili kişi, veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme, şartları oluşmuşsa silinmesini veya yok edilmesini isteme ve kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğramışsa zararın giderilmesini talep etme hakkına sahiptir.

Hasta, sağlık kuruluşuna başvurarak şu soruları sorabilir: Sağlık verilerim kimler tarafından görüntülendi? Hangi tarihlerde erişim sağlandı? Verilerim kimlerle paylaşıldı? Hangi hukuki sebebe dayanılarak işlendi? Hangi verilerim saklanıyor? Hatalı kayıtlar nasıl düzeltilecek? Hukuka aykırı paylaşım varsa hangi önlemler alındı?

Ayrıca hasta, sağlık kayıtlarının düzeltilmesini de isteyebilir. Hasta Hakları Yönetmeliği, hastanın sağlık kayıtlarını inceleme ve suret alma hakkını tanıdığı gibi, kayıtların sağlık hizmetiyle doğrudan ilgili kişilerce görülebileceği ilkesini de içerir. Bu nedenle hastanın hem bilgiye erişim hem de mahremiyetin korunması hakkı birlikte değerlendirilmelidir.

KVKK Başvurusu Nasıl Yapılır?

Hasta, sağlık verilerinin hukuka aykırı işlendiğini veya paylaşıldığını düşünüyorsa öncelikle veri sorumlusuna başvurmalıdır. KVKK’nın 13. maddesine göre ilgili kişi, taleplerini yazılı olarak veya Kurulun belirlediği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusu, başvuruyu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmak zorundadır.

Başvuru hastane başhekimliğine, özel hastane yönetimine, veri sorumlusu temsilcisine, KVKK iletişim adresine, KEP adresine veya kurumun resmi başvuru kanalına yapılabilir. Başvuruda hastanın kimlik bilgileri, ihlal tarihi, şüpheli erişim veya paylaşım, talep edilen bilgi ve belgeler, zararın niteliği ve istenen işlem açıkça yazılmalıdır.

Veri sorumlusu başvuruyu reddederse, cevap yetersizse veya süresinde cevap vermezse KVKK’ya şikâyet yolu gündeme gelir. KVKK’nın 14. maddesine göre ilgili kişi, cevabı öğrendiği tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Başvuru yolu tüketilmeden doğrudan Kurula şikâyet yapılamaz.

KVKK Şikâyeti Tazminat Yerine Geçer mi?

Hayır. KVKK’ya başvuru ve Kurula şikâyet, idari denetim yoludur. Kurul, ihlal tespit ederse veri sorumlusuna hukuka aykırılığın giderilmesi, veri güvenliği önlemlerinin alınması veya idari yaptırımlar uygulanması yönünde karar verebilir. Ancak hastanın manevi veya maddi zararının karşılanması için ayrıca genel hükümlere göre tazminat davası açması gerekebilir.

KVKK’nın 14. maddesinde kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğu açıkça belirtilmiştir. Ayrıca KVKK’nın 11. maddesi, kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğrayan kişinin zararın giderilmesini talep edebileceğini düzenler.

Bu nedenle hasta, aynı olay nedeniyle hem veri sorumlusuna başvuru ve KVKK şikâyeti yapabilir, hem de kişilik hakkı ihlali, manevi zarar, itibar kaybı, iş kaybı, aile hayatının zarar görmesi veya psikolojik etkiler nedeniyle tazminat davası açabilir.

Ceza Hukuku Bakımından Sorumluluk

Sağlık verilerinin hukuka aykırı paylaşılması bazı durumlarda ceza sorumluluğu da doğurur. Türk Ceza Kanunu’nun 136. maddesine göre kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.

Örneğin hastane çalışanının hastanın tahlil sonucunu eski eşine göndermesi, doktorun hastanın psikiyatri tanısını üçüncü kişilerle paylaşması, hemşirenin e-Nabız ekran görüntüsünü sosyal medyada paylaşması, klinik personelinin estetik işlem fotoğraflarını hastanın rızası olmadan yayınlaması veya sağlık verilerinin ticari amaçla üçüncü kişilere aktarılması TCK 136 kapsamında değerlendirilebilir.

Bunun yanında olayın niteliğine göre TCK 134 özel hayatın gizliliğini ihlal, TCK 135 kişisel verilerin kaydedilmesi, TCK 138 verileri yok etmeme, görevi kötüye kullanma veya başka suç tipleri de gündeme gelebilir. Ceza soruşturması ile KVKK süreci birbirinden farklıdır. KVKK idari denetim ve veri koruma boyutuna; ceza soruşturması ise failin cezai sorumluluğuna yöneliktir.

Maddi ve Manevi Tazminat Talep Edilebilir mi?

Hasta mahremiyetinin ihlali nedeniyle maddi ve manevi tazminat talep edilebilir. Manevi tazminat özellikle sağlık verisinin hassas niteliği nedeniyle önemlidir. Hastanın psikiyatrik tedavi bilgisinin işyerinde yayılması, gebelik veya düşük bilgisinin ailesiyle paylaşılması, HIV veya bulaşıcı hastalık bilgisinin üçüncü kişilere açıklanması, estetik operasyon görüntülerinin izinsiz yayınlanması veya kanser tanısının hastanın rızası dışında duyurulması ağır manevi zarar doğurabilir.

Maddi tazminat ise veri ihlali nedeniyle somut ekonomik zarar oluşmuşsa gündeme gelir. Örneğin hasta işini kaybetmişse, sigorta başvurusu reddedilmişse, özel hayatı zarar gördüğü için psikolojik tedavi görmek zorunda kalmışsa, klinik fotoğrafları nedeniyle ticari itibarı zedelenmişse veya hukuka aykırı veri paylaşımı nedeniyle masraf yapmışsa maddi zarar talep edilebilir.

Tazminat davasında ihlalin niteliği, paylaşılan verinin hassasiyeti, paylaşımın kimlere yapıldığı, paylaşımın yaygınlığı, hastanın sosyal ve mesleki hayatına etkisi, ihlalin kasıtlı mı ihmali mi olduğu, veri sorumlusunun ihlal sonrası tutumu ve hastanın yaşadığı manevi zarar birlikte değerlendirilir.

Özel Hastanede Mahremiyet İhlali

Mahremiyet ihlali özel hastanede, özel klinikte, laboratuvarda, görüntüleme merkezinde, estetik merkezinde veya özel muayenehanede meydana gelmişse özel hukuk, tüketici hukuku, KVKK ve ceza hukuku yolları birlikte değerlendirilebilir. Özel hastane, hastanın sağlık verilerini korumak, yalnızca yetkili personelin erişimine açmak, hasta dosyasını gizli tutmak ve verileri hukuka uygun amaçlarla işlemek zorundadır.

Özel hastane çalışanının kişisel merakla hasta dosyasına bakması, hasta fotoğraflarının reklam amacıyla paylaşılması, hasta bilgilerinin aracı firmalara veya üçüncü kişilere aktarılması, hasta bilgilerinin WhatsApp gruplarında dolaştırılması veya hastanın açık rızası olmadan tanıtım materyali hazırlanması özel hastane sorumluluğunu doğurabilir.

Bu durumda hasta öncelikle özel hastaneye yazılı başvuru yapmalı, erişim loglarını, verilerin kimlerle paylaşıldığını, varsa rıza metinlerini ve ihlale ilişkin alınan önlemleri istemelidir. Hastane yeterli cevap vermezse KVKK şikâyeti, tüketici hukuku başvurusu, tazminat davası ve savcılığa suç duyurusu yolları değerlendirilmelidir.

Devlet Hastanesinde Mahremiyet İhlali

Mahremiyet ihlali devlet hastanesinde, şehir hastanesinde, eğitim ve araştırma hastanesinde veya kamu üniversitesi hastanesinde gerçekleşmişse idari başvuru, disiplin süreci, KVKK şikâyeti, ceza soruşturması ve tam yargı davası gündeme gelebilir. Devlet hastanesinde sağlık hizmeti kamu hizmeti niteliğindedir. Kamu personelinin veya idarenin hizmet kusuru nedeniyle hasta mahremiyeti ihlal edilmişse idarenin sorumluluğu doğabilir.

Örneğin devlet hastanesinde çalışan bir personelin hastanın e-Nabız veya hastane kayıtlarına yetkisiz bakması, hasta bilgisini akrabasıyla paylaşması veya tıbbi evrakı üçüncü kişiye vermesi halinde hem bireysel ceza sorumluluğu hem idari disiplin sorumluluğu hem de idarenin hizmet kusuru tartışılabilir.

Kamu hastanesinde zarar gören hasta, ilgili idareye başvurarak maddi ve manevi zararlarının giderilmesini talep edebilir. İdare talebi reddeder veya süresinde cevap vermezse idare mahkemesinde tam yargı davası açılması gündeme gelebilir. Buna paralel olarak KVKK ve savcılık yolları da ayrıca kullanılabilir.

Deliller Nasıl Toplanmalıdır?

Hasta mahremiyeti ve sağlık verisi ihlali dosyalarında delil toplama çok önemlidir. İhlal çoğu zaman dijital ortamda gerçekleştiği için log kayıtları, erişim kayıtları, ekran görüntüleri, mesajlaşmalar, sosyal medya paylaşımları, e-posta kayıtları, hasta dosyası hareketleri, kamera kayıtları ve tanık beyanları önem taşır.

Hasta, e-Nabız erişim geçmişini kontrol etmeli; şüpheli erişim varsa tarih ve saatleri not almalıdır. Sosyal medya paylaşımı varsa ekran görüntüsü alınmalı, paylaşım linki saklanmalı, mümkünse noter tespiti yapılmalıdır. WhatsApp veya SMS üzerinden sağlık verisi paylaşılmışsa yazışmalar silinmemeli, ekran görüntüsü alınmalı ve cihaz yedeği korunmalıdır.

Hastaneye yapılacak yazılı başvuruda, “kişisel sağlık verilerime hangi personelin, hangi tarihte, hangi gerekçeyle eriştiğinin bildirilmesi; verilerimin üçüncü kişilere aktarılıp aktarılmadığının açıklanması; varsa açık rıza belgelerinin tarafıma verilmesi; hukuka aykırı erişim tespit edilmişse alınan önlemlerin bildirilmesi” talep edilmelidir.

Hasta veya Yakınları Ne Yapmalıdır?

Hasta mahremiyetinin ihlal edildiği düşünülüyorsa ilk adım olayın belgelenmesidir. Paylaşım, mesaj, ekran görüntüsü, sosyal medya içeriği, tanık, hastane cevabı, e-Nabız erişim kaydı veya başka deliller korunmalıdır. Deliller silinmeden hızlı hareket edilmelidir.

İkinci adım, veri sorumlusuna yazılı başvuru yapılmasıdır. Özel hastanede hastane yönetimine ve KVKK birimine; devlet hastanesinde başhekimlik, İl Sağlık Müdürlüğü veya Sağlık Bakanlığı’na başvuru yapılabilir. Başvuruda ihlalin ne olduğu, hangi verinin paylaşıldığı, kimin paylaştığı, zararın ne olduğu ve hangi taleplerin ileri sürüldüğü açıkça yazılmalıdır.

Üçüncü adım, cevap alınamaması veya yetersiz cevap verilmesi halinde KVKK’ya şikâyettir. KVKK başvurusu yapılmadan doğrudan Kurula şikâyet yoluna gidilemeyeceği unutulmamalıdır. Başvuruya otuz gün içinde cevap verilmezse veya cevap yetersizse, sürelere dikkat edilerek Kurula şikâyet yapılmalıdır.

Dördüncü adım, olayın ağırlığına göre savcılığa suç duyurusu ve tazminat davasıdır. Sağlık verisinin hukuka aykırı paylaşılması kasıtlı ise, üçüncü kişilere verilmişse, sosyal medyada yayılmışsa veya hastanın özel hayatını ağır şekilde etkilemişse ceza hukuku ve tazminat yolları güçlü şekilde değerlendirilmelidir.

Sonuç: Sağlık Verileri En Hassas Kişisel Veriler Arasındadır

Hasta mahremiyeti, sağlık hizmetinin temel unsurlarından biridir. Hastanın sağlık bilgileri, yalnızca tedavi sürecinin gerektirdiği ölçüde ve yetkili kişiler tarafından işlenebilir. Hastanın teşhisi, tahlil sonucu, ameliyat geçmişi, psikiyatrik durumu, gebelik bilgisi, genetik verisi, cinsel sağlık bilgisi veya e-Nabız kayıtları ilgisiz kişilerle paylaşılamaz.

KVKK’ya göre sağlık verileri özel nitelikli kişisel veridir ve daha sıkı korumaya tabidir. Veri sorumlusu olan hastane, klinik veya sağlık kuruluşu; hukuka aykırı erişimi önlemek, verilerin güvenliğini sağlamak, çalışanlarını denetlemek, erişim yetkilerini sınırlamak ve veri ihlali halinde gerekli bildirimleri yapmak zorundadır.

Hasta mahremiyeti ihlal edilen kişi; veri sorumlusuna başvuru, KVKK şikâyeti, İl Sağlık Müdürlüğü veya Sağlık Bakanlığı başvurusu, savcılığa suç duyurusu, özel hastane veya kamu hastanesi ayrımına göre tazminat davası ve gerektiğinde idari yargı yollarını kullanabilir. Kişisel verilerin hukuka aykırı şekilde verilmesi, yayılması veya ele geçirilmesi TCK 136 kapsamında ceza sorumluluğu da doğurabilir.

Bu nedenle sağlık verilerinin hukuka aykırı paylaşıldığı veya hasta mahremiyetinin ihlal edildiği olaylarda süreç yalnızca “şikâyet” düzeyinde bırakılmamalı; deliller korunmalı, yazılı başvurular yapılmalı, KVKK süreleri kaçırılmamalı, ceza ve tazminat yolları birlikte değerlendirilmelidir. Sağlık verisi ihlallerinde güçlü bir hukuki süreç, ihlalin nasıl gerçekleştiğinin belgelenmesi ve hastanın uğradığı maddi-manevi zararın somut şekilde ortaya konulmasıyla mümkündür.