Sağlık ve sosyal alanda faaliyet gösteren üniversite uygulama ve araştırma merkezlerine ilişkin yönetmelikler, merkezin araştırma, eğitim ve iş birliği faaliyetlerinin çerçevesini belirler. Bu merkezlerin çalışma konusu çoğu zaman insan verisiyle ilgilidir; bu nedenle yönetmeliğin kurumsal düzenlemesi ile veri koruma mevzuatının birlikte okunması gerekir.
Sağlık Verisinin Özel Konumu
6698 sayılı Kişisel Verilerin Korunması Kanunu, sağlık verilerini özel nitelikli kişisel veri olarak sınıflandırır ve bunların işlenmesini genel kişisel verilere göre daha sıkı şartlara bağlar. Bir araştırma projesinde katılımcılardan sağlık verisi toplanacaksa, merkez yönetmeliğinin projeyi yetkilendirmiş olması tek başına yeterli değildir; işlemenin ayrıca veri koruma mevzuatına uygun bir hukuki sebebe dayanması gerekir.
Aydınlatma ve Rıza Aynı Şey Değildir
Uygulamada en sık karıştırılan iki kavram, aydınlatma yükümlülüğü ile açık rızadır. Aydınlatma, verinin kim tarafından hangi amaçla işleneceğinin ilgiliye bildirilmesidir ve rızaya ihtiyaç duyulmayan hâllerde de yerine getirilir. Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Katılımcıya imzalatılan tek bir genel formun her iki yükümlülüğü birden karşıladığı varsayımı, uyum denetimlerinde en çok eleştirilen noktalardandır.
Anonimleştirme ile Takma Adlandırma Farkı
Araştırma verisi paylaşılırken kimlik bilgilerinin kaldırılması yeterli sanılır; oysa veri, başka bilgilerle birleştirildiğinde kişiyi yeniden belirlenebilir kılıyorsa hâlâ kişisel veri niteliğindedir. Küçük örneklem gruplarında yaş, meslek ve yerleşim bilgisinin bir arada bulunması bile yeniden kimliklendirmeye imkân verebilir. Yayın öncesi bu riskin değerlendirilmesi gerekir.
Merkez Yönetimi İçin Kontrol Listesi
- Her proje için veri işleme amacının yazılı olarak tanımlanması
- Verinin saklama süresinin ve süre sonunda ne yapılacağının belirlenmesi
- Dış paydaşlarla yürütülen projelerde veri paylaşımının sözleşmeyle çerçevelenmesi
- Yurt dışına aktarım söz konusuysa ayrı bir değerlendirme yapılması
- Etik kurul onayı ile veri koruma uyumunun ayrı süreçler olarak yürütülmesi
Kurumsal Sorumluluğun Kimde Olduğu
Bir ihlal yaşandığında sorumluluk yalnızca araştırmacıya değil, veri sorumlusu sıfatını taşıyan kuruma da yönelir. Bu nedenle merkez yönetiminin, projelerin veri boyutunu başlangıçta gözden geçiren bir iç prosedür kurması, sonradan doğabilecek idari yaptırım riskini azaltır. İhlal hâlinde bildirim yükümlülüklerinin varlığı da önceden bilinmelidir.
Bu değerlendirme genel niteliktedir. Sağlık verisi içeren araştırmalarda risk projeden projeye değiştiğinden, çalışma tasarımı aşamasında veri koruma hukuku yönünden ayrıca görüş alınması önerilir.