Kanser vakalarının bildirimi, epidemiyolojik izlem için zorunlu bir kamu görevidir; ancak bu bildirim aynı zamanda özel nitelikli kişisel veri işlemektir. Kanser Bildirimi ve Kanser Kayıt Merkezleri Yönetmeliği kapsamında çalışan sağlık kuruluşları için asıl mesele, bildirim yükümlülüğü ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndan doğan sorumluluğu birlikte yönetebilmektir.
Bildirim Zorunluluğu KVKK'ya Aykırı Değildir
KVKK, sağlık verilerinin ilgilinin açık rızası olmaksızın işlenebileceği halleri ayrıca düzenler; kanunlarda öngörülen yükümlülüklerin yerine getirilmesi ve kamu sağlığının korunması bu hallerdendir. Bu nedenle bildirimin yapılması hukuka aykırılık değildir. Sorumluluk, bildirimin kapsamının aşılması ve verinin başka amaçlarla kullanılması halinde doğar.
Veri Sorumlusu Kim?
Hastanın tedavisini yürüten sağlık kuruluşu, kendi kayıtları bakımından veri sorumlusudur. Bildirim yapıldıktan sonra kayıt merkezi de kendi işleme faaliyeti yönünden ayrı bir sorumluluk üstlenir. Kuruluş içinde veri işleme envanterinin bu ayrımı yansıtacak şekilde güncellenmesi gerekir.
Uygulamada En Sık Görülen Risk Başlıkları
- Aşırı veri aktarımı: Bildirim formunda istenmeyen tanı dışı bilgilerin de gönderilmesi.
- Yetkisiz erişim: Hastane bilgi sisteminde kanser kayıt modülüne rol bazlı erişim tanımlanmamış olması.
- Araştırma amaçlı kullanım: Kayıt verisinin akademik çalışmada anonimleştirilmeden kullanılması.
- Saklama süresi: Amacı sona eren verinin süresiz tutulması.
Veri İhlali Olursa İzlenecek Sıra
- Olayın kapsamı ve etkilenen kayıt sayısı teknik ekiple derhal tespit edilir.
- KVKK uyarınca Kurul'a bildirim yapılır; bildirimde gecikme ayrı bir aykırılık oluşturur.
- Etkilenen ilgili kişiler bilgilendirilir.
- Log kayıtları ve olay kronolojisi, sonradan değiştirilemeyecek şekilde muhafaza edilir.
Aydınlatma Metnini Güncelleyin
Hastaya sunulan aydınlatma metninde, verisinin kanser kayıt sistemine bildirileceği ve bunun hukuki sebebi açıkça yer almalıdır. Rıza alınması gerekmeyen bir işleme için rıza formu imzalatmak, sonradan "rıza geri alındı" savunmasına kapı açtığından tercih edilmemelidir. Hukuki sebebin doğru kurgulanması, bu tür bir çelişkiyi baştan önler.
Bu yazı genel bilgilendirme niteliğindedir; kurumunuzun veri akışına özgü bir değerlendirme için envanter ve sistem kayıtlarının incelenmesi gerekir.