私立医院共享病人记录和检验结果
1. 引言：私立医院的“是否应该告知家人您的检查结果？”这一问题
几乎所有去私立医院就诊的人都知道，他们的个人信息、电话号码、地址、支付详情以及与疾病相关的检查结果都会在登记时被存储在系统中。然而， 这些信息会与谁共享、如何共享以及共享的法律依据是什么， 往往并不明确
- 检测结果应告知配偶、父母、雇主和保险公司。
- 结果将通过短信、电子邮件或WhatsApp发送。
- 医院工作人员拥有“过度”获取患者健康信息的权限，
此类做法 《个人数据保护法》第 6698 号、 《个人健康数据条例》、 《患者权利条例》 及其他相关法律框架内产生严重责任的流程。
本文将详细介绍私立医院在何种条件下可以共享患者记录和检测结果，不应超过的限制，以及患者根据土耳其个人数据保护法（KVKK）享有的权利。
2.《个人数据保护法》（KVKK）及个人健康数据的法律性质
2.1. 什么是个人数据和特殊类别的个人数据？
根据《个人数据保护法》（第6698号），个人数据 指与已识别或可识别的自然人有关的任何信息该法第6条所列的 “特殊类别的个人数据” 范畴
特殊类别的个人数据包括有关个人的数据：
- 健康，
- 性生活
- 生物特征数据
- 遗传数据
它包含此类信息，并且这些数据 更严格的保护制度约束 。
因此，那些被关押在私立医院的人：
- 患者的诊断，
- 实验室检测结果
- 影像检查（MRI、CT扫描、X光等）
- 史前危机报告，
- 处方，
- 患者正在使用的药物
- 手术记录，
所有这些 都是敏感的个人健康数据。
2.2. 个人健康数据监管
2019 年 6 月 21 日在官方公报上发布的 《个人健康数据条例》对健康数据的处理制定了详细规则。
本条例：
- 健康数据处理所依据的原则，
- 谁可以访问数据？需要什么级别的授权？
- 数据将保存多久？
- 将数据传输到中央健康数据系统（例如 e-Nabız），
它详细列出了所有医疗保健提供者，包括私立医院，并将他们联系起来。.
3. 私立医院保存哪些病人记录和检验结果？
私立医院在提供每项医疗服务时，都会将大量患者数据录入系统。这些数据通常包括：
- 身份和联系信息
- 全名、土耳其国民身份证号码/护照号码
- 地址、电话号码、电子邮件地址等。.
- 人口统计数据
- 出生日期、性别、婚姻状况、职业等。.
- 医疗记录
- 申请投诉、病史
- 检查结果
- 检查和影像检查申请及结果
- 会诊记录、医疗总结报告。.
- 财务和行政数据
- 支付信息、保险信息
- SGK供应记录，
- 发票、收据。.
- 电子访问数据
- 患者门户/e-Nabız 登录日志，
- 医院移动应用程序内的交易。.
这些数据受到患者权利（隐私权、知情权）和《个人数据保护法》 （KVKK ）的双重保护。《患者权利条例》也明确强调，患者的隐私和健康信息将受到保密保护。
4. 处理和共享患者数据的条件
4.1. 个人数据保护法（KVKK）的一般原则
根据《个人数据保护法》（KVKK）第4条规定，处理个人数据时必须遵守下列原则：
- 遵守法律和诚信原则
- 必要时做到准确和及时更新。
- 为特定、明确和合法目的进行处理。
- 与所致力于的目的相关，有限制且适度。
- 按照相关法律规定的期限或为实现处理目的所需的期限进行保存。
同样，《个人健康数据条例》规定，健康数据只能按照法律和条例规定的程序和原则进行处理，并且 处理活动必须限于目的和比例 。
4.2. 特殊类别健康数据的处理条件。
根据《个人数据保护法》（KVKK）第6条，健康数据通常需要 数据主体明确同意 进行处理 无需明确同意 ：
- 保护公众健康
- 预防医学包括提供医疗诊断、治疗和护理服务。
- 卫生服务的规划和管理及其融资
前提是，并且由有义务保密的个人或授权机构和组织进行保密。
这项规定适用于私立医院：
- 为了能够诊断病人，
- 能够制定治疗方案，
- 能够管理与SGK（社会保障机构）和私人保险公司之间的供款和支付流程。
声明还指出，它可以在未获得明确同意的情况下处理健康数据。然而，这并不意味着“所有数据都可以与所有人共享”；数据共享应仅限于必要的个人和机构，并且只能用于既定目的。
5. 私立医院可以与哪些人共享检测结果？
5.1. 患者本人
检验结果和医疗文件的主要接收者 是患者本人。患者：
- 通过证明他们的身份，
- 通过向医院相关科室提出申请，
患者可以索取检验结果和医疗文件。根据《个人数据保护法》第11条和《患者权利条例》，医院有义务保障患者获取信息和查看其病历的权利。
5.2.法定代表人（监护人、受托人）
- 对于未成年人，由父母（监护人）负责。
- 监护人，负责监护被监护人。
医生可以代表患者申请获取检验结果。在这种情况下， 只能与获得法律授权的人员共享 。例如，对于离异夫妇而言，将孩子的所有健康数据提供给没有监护权的父母是一个敏感问题，需要根据具体情况进行评估。
5.3. 患者的近亲（配偶、母亲、父亲、兄弟姐妹等）
这是日常实践中问题最多的地方。医院有时会：
- 在寻找伴侣时，他们会说：“你的检查结果出来了，你被诊断出患有这种疾病。”
- 父母打电话过去时，被告知：“你女儿的妊娠测试结果呈阳性。”
他们可以通过电话分享这类信息。.
基本原则是：
除非患者明确同意或指示特定人员（例如，声明“你可以与我的配偶分享我的检查结果”），否则即使是家庭成员也不应分享其健康数据。.
个人数据保护委员会的多项决定表明，与未经授权的第三方共享健康数据 行政罚款 。
5.4. 与雇主分享
一些私立医院可能希望将报告和检测结果发送给雇主，作为职业健康服务或合同医疗保健协议的一部分。个人数据保护委员会已认定，与雇主共享高度敏感数据（尤其是有关成瘾治疗的数据）属于严重违规行为。.
通常情况下：
- 雇主可能会收到有限的报告，表明雇员是否适合该工作（例如，“适合/不适合”）。
- 未经员工明确同意，不应将员工的健康状况和检测结果等详细信息透露给雇主。
5.5. 与私人保险公司和社会保障机构（SGK）共享
- SGK（社会保障机构） 共享数据
- 私人健康保险公司 通常有保单条款和被保险人的同意作为法律依据；“比例原则”和“目的限制原则”在这里至关重要。
根据土耳其个人数据保护法 (KVKK)，与其将所有测试结果与保险公司员工分享，不如只分享评估赔偿请求所需的部分结果，这是一种更合规的做法。
5.6 司法机关、检察机关和执法机关
应法院或检察官的要求，提交患者档案和检验结果 法律规定的义务 。具体如下：
- 请求信的范围，
- 文件保密级别
- 如果可以，请用密封信封寄送。
必须采用此类方法，以遵守《个人数据保护法》（KVKK）和《患者权利条例》中的隐私条款。.
6. 电子共享：短信、电子邮件、WhatsApp、患者门户网站
6.1. 通过短信和电子邮件发送结果
许多私立医院会在检测结果出来后通过短信通知用户，有些医院还会提供链接直接查看结果。例如：
- 短信发错号码了。
- 邮件被第三方阅读，
此类风险 数据泄露 。卫生部的指导方针在“个人数据无意中传输给他人”这一标题下专门针对此类情况进行了阐述。
因为：
- 而不是直接在消息中写出诊断结果和检测结果，
- 发送一次性链接或验证码以登录安全门户网站
这是一种更安全的方法。.
6.2. WhatsApp 和类似即时通讯应用
通过 WhatsApp 等应用程序：
- 请将化验结果以PDF格式发送。
- 共享核磁共振图像
这种情况在实践中很常见。然而，个人数据保护委员会通常认为此类做法会不必要地增加风险。医院作为数据控制者：
- 即使应用程序具有端到端加密，
- 第三方通过手机屏幕查看数据，
- 手机丢失或被盗
它负责预防此类风险。因此，应优先选择机构自建、可审计且可记录的患者门户网站。
6.3. 患者门户和电子健康记录系统 (e-Nabız)
在土耳其，大多数公立和私立医疗机构都会将其数据传输到卫生部的中央健康数据系统和 e-Nabız 平台。根据《私立医院条例》，私立医院记录的个人健康数据必须按照卫生部制定的程序和原则传输到该系统。
在这种情况下：
- 患者可以通过电子政务门户网站登录其 e-Nabız 账户，安全地查看其检测结果。.
- 与家人分享 e-Nabız 密码或发送屏幕截图 完全取决于 超出了医院的责任范围。
7. 私立医院在《个人数据保护法》（KVKK）下的义务
7.1. 数据安全义务（KVKK 第 12 条）
根据《土耳其个人数据保护法》（KVKK）第12条，数据控制者（私立医院）如下：
- 非法处理个人数据，
- 非法入侵
- 数据损坏
他们必须采取必要的技术和管理措施来防止这种情况发生。
在此背景下：
- 基于角色的访问权限定义 （每个员工应该只能访问其职责范围内的记录，而不是所有文件），
- 记录和监控未经授权的访问尝试，
- 员工应定期接受有关 GDPR 和患者隐私的培训。
- 将实体档案锁起来，
- 保持系统和软件更新，
这些都是必要的措施。.
个人数据保护委员会裁定，医院所有门诊部工作人员和医生均可不受限制地访问系统中所有患者的数据，这属于严重违规行为，并处以行政罚款。.
7.2 告知义务
医院在进行任何数据处理活动时，应在获取数据之前或最迟在获取数据时通知患者：
- 数据控制者的身份，
- 数据处理的目的，
- 将转让给谁，用于什么目的？
- 征收方式和法律依据
- 根据《个人数据保护法》（KVKK）第11条，您享有以下权利：
他们有义务提供有关这些事项的信息。实际上，这些信息通常包含在“KVKK信息文本”和“患者知情同意书”中。
7.3. 需要明确同意的情况
健康数据的处理并非总是基于明确同意；如上所述，在诊断和治疗过程中以及法律规定的情况下，无需明确同意即可进行数据处理。但是：
- 广告和促销活动，
- 在社交媒体和网站上使用患者的照片/视频，
- 将健康数据传输给第三方，例如雇主，
此类情况通常 明确同意 。个人数据保护委员会在其第2023/787号决定中认定，私立医院将患者图像用于广告宣传属于严重违规行为，并处以行政罚款。
8. 根据个人数据保护法委员会的决定共享健康数据
个人数据保护委员会的决定为私立医院的运营方式树立了重要的先例：
- 2018/143 号决定： 药房与第三方共享患者的用药信息被认定为违规行为，强调了健康数据的极其敏感性质。
- 第 2022/594 号决定： 将正在接受戒瘾治疗的人员的数据报告给其工作场所被视为非法转移，因为它可能会对个人的工作和社交生活产生严重后果。
- 第 2023/787 号决定： 医院因非法处理和传输数据而被追究责任，因为它将患者的图像用于广告目的，而不是用于信息目的，并强调“同意书”的内容不会自动被视为有效。
鉴于这些决定：
- 包含健康数据的体检结果 不应与任何个人或平台共享，除非迫不得已。
- 信息和明确同意文本 清晰、易懂、具体 。
- 在广告、宣传活动和商业传播等领域， 不应利用宽泛和模糊的语言来滥用。
这变得越来越重要。.
9. 个人数据保护法（KVKK）规定的患者权利
根据《土耳其个人数据保护法》（KVKK）第11条，患者（数据主体）可以通过以下方式向数据控制者（私立医院）提出申请：
- 要了解您的个人数据是否正在被处理，
- 如适用，请索取有关处理过程的信息。
- 了解数据处理的目的以及是否将其用于该目的。
- 了解数据在国内或国际上被传输给哪些第三方。
- 如果数据处理不完整或不正确，请请求更正。
- 即使个人数据是按照《个人数据保护法》（KVKK）和其他相关法律进行处理的，如果处理个人数据的理由不再存在，您也有权要求删除或销毁您的个人数据。
- 要求将这些流程告知数据接收方第三方，
- 如果结果完全是由自动化系统分析数据而导致的，且该结果对自身不利，则当事人有权提出异议。
- 有权就因非法处理数据而造成的损失索取赔偿。
他们拥有权利。.
例如：
- 如果患者认为其检测结果未经其同意被转移给其雇主或保险公司，可以先向 医院提出书面投诉 。
- 如果医院在 30 天内没有对申请作出回应，或者患者认为回应不充分，他们可以向个人数据保护委员会（KVKK）提出投诉。
10. 人权侵犯情况下的补救措施
10.1. 向数据控制者提出申请
第一步 向私立医院提交书面申请，根据土耳其《个人数据保护法》（KVKK），该医院是数据控制者 。申请内容如下：
- 需向医院提交的请愿书，
- 通过KEP地址，
- 使用UETS或电子签名，
可以做到。在应用程序中：
- 据称违规行为发生在某个事件中（例如，通过电话告知配偶检测结果），
- 历史和任何可用的证据，
- 请求（删除、更正、赔偿等）
应该明确说明。.
10.2. 向个人数据保护委员会投诉
如果数据主体认为数据控制者的回应不足，或者数据控制者没有回应， 向数据保护委员会提出申诉。数据保护委员会在进行调查后，将：
- 违规行为的发现
- 处以行政罚款
- 纠正违规行为的指示
他们可以做出这样的决定。.
10.3. 损害赔偿和罚款责任
《个人数据保护法》（KVKK）第14条规定，数据主体 根据一般规定提起赔偿诉讼 。在此背景下，患者：
- 物质损失（例如失业）
- 精神损害（侵犯隐私权），
可以要求赔偿。.
根据土耳其刑法典， 与记录、非法披露或未经授权获取个人数据相关的 也可能适用（土耳其刑法典第 135 条及后续条款）。
11. 私立医院合规建议
私立医院必须采取以下步骤以遵守《个人数据保护法》（KVKK）和卫生法规：
- 数据清单和流程分析
- 应编制一份详细清单，列明哪些数据在何处收集，由谁处理，以及传输给了谁。.
- 将政策和程序以书面形式记录下来。
- 应制定个人数据处理、存储、销毁和传输的书面程序。.
- 授权和访问控制
- 应为医生、护士、秘书和登记人员等群体定义基于角色的访问权限。.
- 所有访问活动都应记录并定期审核。.
- 更新信息通知和同意书。
- 应以明确的方式告知患者其数据将被处理的目的以及将与哪些人共享。.
- 需要明确同意的活动（例如广告和促销）应该通过单独的文本和在获得自由意志的情况下进行。.
- 培训
- 所有员工每年至少应接受一次 GDPR 和患者隐私培训，并且新员工入职培训期间应强制要求进行此项培训。.
- 技术措施
- 严格的密码策略
- 双因素认证
- 安全备份
- 最新版防病毒和安全软件。.
- 违规管理计划
- 如果发生数据泄露，谁来负责什么？
- 向董事会和相关人员发出通知的流程
- 制定紧急行动计划以减轻此次安全漏洞的影响。
应该提前准备好。.
12. 给患者的实用建议
患者可以通过以下方式确保其在私立医院的患者数据安全：
- 注册时务必仔细阅读您签署的所有文件。
尤其要查看 GDPR 相关信息和明确的同意声明，以确认您的数据是否会被用于广告或营销目的。 - 事先明确你的检测结果将与哪些人分享。
提供清晰的指示，例如“只与我分享”或“也可以与我的配偶分享”，如果可能，请要求将此过程记录下来。 - 如果您不希望通过电话接收信息，请说明。
尤其对于敏感的检测结果，请明确说明您只希望当面接收信息或通过安全门户网站接收信息。 - 如果您发现可疑帖子，请截屏保存。
发送给错误对象的短信/电子邮件或 WhatsApp 消息将成为未来申请中的重要证据。 - 首先，请以书面形式联系医院。
您可以发送电子邮件、挂号信或书面申请，说明情况并要求纠正错误，防止再次发生。 - 如有必要，可考虑向委员会提出申诉并提起赔偿诉讼
。尤其是在数据共享导致失业、名誉受损或严重家庭问题的情况下，采取法律行动是可行的。
13. 常见问题解答 (FAQ)
问题1：我的配偶可以代表我致电私立医院查询我的检查结果吗？
一般来说， 不可以。除非您明确授权，否则您的配偶不能查询您的检查结果。医院只有在您明确指示或档案中记录有授权委托书/许可的情况下，才能向您的配偶提供信息。
问题2：我的父母可以代表我向私立医院索取报告和结果吗？
如果您是成年人，您的父母不能代表您索取结果。只有 未成年人 或 受监护人 。否则，未经您的书面许可/同意而分享这些信息可能违法。
问题3：我要求通过电子邮件发送我的检测结果，但结果却发送到了错误的地址。我该怎么办？
这种情况 数据泄露 。首先，您可以向医院提交书面请求，要求记录此次泄露事件，并予以纠正，同时采取措施防止类似事件再次发生。如有必要，您可以向KVKK委员会提出投诉。
问题 4：私立医院能否出于广告目的在社交媒体上分享我的核磁共振图像？
未经您的明确同意，他们不得分享。明确的同意必须是出于自愿且有明确目的的；“一般同意书”中的模糊条款或在胁迫下获得的签名通常不足以构成有效同意。此类分享已被董事会认定为严重违规行为。
问题5：我的雇主可以查看我在私立医院的报告内容吗？
您明确同意的情况下才能与您的雇主共享；否则，可能会发生非法数据传输。
问题 6：我可以要求删除我在私立医院保存的档案吗？
医疗数据有一定的法律保存期限。因此，医院可能无法在法律规定的期限届满前删除您的数据。但是， 删除、销毁或匿名化 。您也可以随时要求更正不准确或过时的信息。
14. 结论：隐私的核心是健康数据的保护。
私立医院保存的病人记录和检验结果：
- 个人数据保护法（KVKK）,
- 个人健康数据法规,
- 《患者权利条例》
及所有相关法律， 健康数据需要受到特殊保护。
因为：
- 医院应建立并实施有关数据安全和隐私的高标准。
- 看到可疑的帖子时应 毫不犹豫地提出反对
有必要。.
必须牢记， 医疗保健质量不仅取决于医疗干预的质量，还取决于对患者隐私的尊重程度。 因此，私立医院在共享患者病历和检验结果时，应遵循《个人数据保护法》（KVKK），以审慎透明的方式进行。
关于文章作者
