Obezite ile mücadele alanında kurulan bir üniversite merkezi, doğası gereği kişilerin beden ölçüleri, tahlil sonuçları ve hastalık geçmişi gibi verilerle çalışır. Bu veriler 6698 sayılı KVKK bakımından özel nitelikli kişisel veri sayılır ve daha ağır bir koruma rejimine tabidir. Merkezin yönetmeliği faaliyet çerçevesini çizer; ancak günlük uygulamada asıl belirleyici olan, danışanla kurulan ilişkinin hukuki niteliğidir.
Sağlık Verisinin İşlenmesinde Temel Kural
Sağlık verisi, kural olarak ilgilinin açık rızasıyla veya kanunun öngördüğü sınırlı hâllerde işlenebilir. Merkez bir araştırma yürütüyorsa, rıza metninin araştırma amacını, verinin ne kadar süreyle saklanacağını ve kiminle paylaşılacağını göstermesi gerekir. Araştırma sonuçlarının yayımlanması sırasında katılımcının kimliğinin dolaylı yoldan da belirlenememesi önemlidir; küçük gruplarda yaş, meslek ve yerleşim yeri birlikte verildiğinde kimlik yeniden tespit edilebilir hâle gelebilir.
Danışmanlık mı, Tıbbi Müdahale mi?
Merkezin sunduğu hizmetin beslenme danışmanlığı mı yoksa tıbbi teşhis ve tedavi kapsamında bir müdahale mi olduğu, sorumluluk rejimini doğrudan etkiler. Tıbbi müdahale niteliğindeki işlemler için aydınlatılmış onam alınması ve bunun yazılı olarak dosyalanması beklenir. Aydınlatmanın kapsamı; uygulanacak yöntem, beklenen sonuç, olası riskler ve alternatifleri içermelidir.
Uygulamada Sık Görülen Zayıf Noktalar
- Rıza metninin araştırma ile hizmet ilişkisini birbirine karıştırması
- Ölçüm ve tahlil sonuçlarının paylaşımlı bilgisayarlarda korumasız tutulması
- Danışan fotoğraflarının tanıtım amacıyla ayrı rıza alınmadan kullanılması
- Verinin saklama süresi dolduğunda imha politikasının hiç uygulanmaması
- Etik kurul onayının kapsamı dışına çıkan ek ölçümler yapılması
İhlal Hâlinde İzlenecek Yol
Veri güvenliği ihlali gerçekleştiğinde, ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü doğar. Bildirimin gecikmesi, ihlalin kendisinden ayrı bir sorumluluk sebebi oluşturur. Danışan ise verilerinin silinmesini talep edebilir, talebi karşılanmazsa şikâyet yoluna gidebilir; kişilik hakkının ihlali iddiasıyla açılabilecek tazminat davası ise ayrı bir yoldur.
Merkez İçin Pratik Öneri
Faaliyete başlamadan önce; rıza metni, aydınlatma metni, saklama-imha politikası ve yetkili personel listesi tek bir dosyada toplanmalı, her danışan kaydına bunların hangi sürümünün uygulandığı işlenmelidir. Bu basit kayıt düzeni, sonradan yapılacak denetimlerde en güçlü savunma aracıdır.
Bu metin genel bilgilendirme sunar ve tıbbi ya da hukuki danışmanlık yerine geçmez. Özel nitelikli veri işleyen bir yapıda, uygulamaya geçmeden önce ayrıntılı bir uyum incelemesi yapılması önerilir.