Nadir hastalıklar alanında çalışan bir merkezin kuruluş yönetmeliği, akademik organizasyonu düzenlemenin ötesinde, çok hassas sağlık verilerinin işlendiği bir faaliyet alanını çerçeveler. Az sayıda hastanın bulunduğu hastalık gruplarında, verinin anonim sayılabilmesi bile ayrı bir teknik ve hukuki sorundur. Bu rehber, merkez faaliyetlerinin veri koruma ve araştırma izni boyutuna odaklanır.
Nadir Hastalıkta Anonimleştirme Neden Zordur?
Bir veri kümesinden isim çıkarılmış olması, o veriyi kendiliğinden anonim hâle getirmez. Hastalığın nadirliği, yaş aralığı ve coğrafi bilgi bir araya geldiğinde kişi yeniden tanımlanabilir hâle gelebilir. Bu durumda veri, 6698 sayılı Kanun anlamında kişisel veri olmaya devam eder ve özel nitelikli sağlık verisine ilişkin sıkı rejime tabidir. Yayın öncesinde vaka tanımlarının bu gözle yeniden okunması gerekir.
Örnek ve Veri Toplamada Kurulması Gereken Zemin
- Etik kurul onayının, toplanacak örnek türü ve saklama süresini kapsayacak biçimde alınması,
- Katılımcı onamının araştırma amacını aşan kullanımları kapsamaması; ileride yeni bir amaç doğarsa onamın yenilenmesi,
- Çocuk katılımcılarda velayet sahibinin onayı ile çocuğun kendi görüşünün birlikte alınması,
- Örneklerin kime ait olduğunu gösteren kodlama anahtarının fiziken ayrı ve erişimi sınırlı ortamda tutulması.
Yurt Dışı İşbirlikleri ve Veri Aktarımı
Nadir hastalık araştırmaları doğası gereği uluslararası konsorsiyumlarla yürütülür. Kişisel verinin yurt dışına aktarılması 6698 sayılı Kanun'da özel olarak düzenlenmiştir ve aktarımın hukuki dayanağı önceden kurulmalıdır. Materyal transfer sözleşmelerinde; aktarılan verinin kapsamı, kullanım amacının sınırı, alt işleyici yasağı, ihlal bildirimi ve iade/imha yükümlülüğü açıkça yazılmalıdır. Bu maddeler olmadan yapılan aktarım, sonradan geri alınamayacak bir risk yaratır.
Denetim ve İhlal Hâlinde Adımlar
- İhlal fark edildiğinde etki analizi yapılır: hangi veri, kaç kişi, hangi süre.
- Mevzuatın öngördüğü bildirim yükümlülükleri gecikmeksizin yerine getirilir.
- İlgili kişilere yapılacak bilgilendirmenin içeriği ve kanalı belirlenir.
- Erişim kayıtları korunur; log kaydının silinmesi ayrı bir sorumluluk doğurur.
- Kurum içi sorumluluk tespiti ile dış hukuki savunma paralel yürütülür.
Bu alanda en sık rastlanan zafiyet, araştırmacıların çalışma verisini kişisel bilgisayar veya bulut hesaplarında tutmasıdır; teknik bir kolaylık gibi görünen bu tercih, ihlal hâlinde kurumu doğrudan sorumluluk altına sokar. Yukarıdaki bilgiler genel çerçeve sunar; somut bir araştırma protokolü, transfer sözleşmesi veya veri ihlali için ayrıntılı hukuki değerlendirme alınmalıdır.