Üniversite bünyesinde kurulan bağımlılık çalışmaları uygulama ve araştırma merkezleri, eğitim ve araştırma faaliyetinin yanında doğrudan kişilerle temas eden danışmanlık ve destek hizmetleri de yürütür. Bu merkezlerde işlenen bilgi, 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından sağlık ve bağımlılık geçmişine ilişkin olduğu için özel nitelikli veri kategorisine girer. Bu rehber, merkez yönetmeliğini veri yönetimi ve hukuki sorumluluk açısından ele alır.
Merkezin Faaliyet Alanı ile Veri Türü Arasındaki Bağ
Yönetmelikte sayılan faaliyetlerin her biri farklı bir veri kümesi üretir ve her kümenin hukuki rejimi aynı değildir:
- Bilimsel araştırma ve saha çalışmaları: kural olarak anonimleştirme veya takma adlandırma gerektirir
- Bireysel danışmanlık kayıtları: özel nitelikli veri, en yüksek koruma düzeyi
- Eğitim ve seminer katılımcı listeleri: sıradan kimlik verisi, ancak konu başlığı tek başına kişi hakkında çıkarım yaratabilir
- Kurum dışı paydaşlarla yürütülen protokoller: veri aktarımı boyutu doğar
Aydınlatma Metnini Merkeze Özgü Hazırlamak
Genel üniversite aydınlatma metninin merkeze kopyalanması sık rastlanan bir eksikliktir. Danışana verilecek metinde faaliyetin niteliği, verinin hangi amaçla ve ne kadar süreyle tutulacağı, kimlerin erişebileceği ve ilgili kişinin başvuru yolu somut biçimde yer almalıdır. Özellikle bağımlılıkla ilgili kayıtlar için erişim yetkisinin dar tutulması ve fiziksel dosyaların kilitli ortamda saklanması, sonradan doğacak bir tartışmada idarenin savunmasını doğrudan etkiler.
Rıza, Sır ve Bildirim Yükümlülüğü Arasındaki Gerilim
Danışmanlık ilişkisinde kural gizliliktir; ancak mevzuatın bildirim öngördüğü hâller bu kuralın istisnasını oluşturur. Personelin hangi durumda ne yapacağını yazılı bir iç yönergeyle önceden belirlemek gerekir, aksi hâlde tercih an içinde ve kişiye göre yapılır. Bu belirsizlik hem danışan açısından güven kaybı hem de görevli personel açısından disiplin ve ceza sorumluluğu riski doğurur.
Merkez Yönetimi İçin Kontrol Listesi
- Merkeze özgü kişisel veri envanterinin çıkarılması ve saklama sürelerinin belirlenmesi
- Danışan dosyalarına erişecek personelin adla değil rolle tanımlanması ve gizlilik taahhüdü alınması
- Araştırma verisinin yayına dönüşmeden önce kimliksizleştirilmesi ve etik kurul onayının dosyalanması
- Reşit olmayan danışanlarda velayet/vesayet durumunun ve rızanın kim tarafından verileceğinin netleştirilmesi
- Bir veri ihlali hâlinde kimin, hangi sürede, kime bildirim yapacağını gösteren yazılı akış
Kayıtların Elden Çıkarılması
Saklama süresi dolan kayıtların imhası da kendi başına bir işlemdir ve tutanakla belgelenmelidir. "Yer açmak için" yapılan plansız temizlikler, sonradan bir uyuşmazlıkta idarenin lehine olan belgenin de yok olması sonucunu doğurabilir; imha kadar imhanın kaydı da önemlidir.
Buradaki değerlendirmeler genel niteliktedir. Merkezin yürüttüğü faaliyetin kapsamına ve toplanan verinin türüne göre yükümlülükler farklılaşacağından, kurum içi düzenlemeler hazırlanırken hukuki destek alınması önerilir.