Kişisel Sağlık Verileri Nasıl Korunur? KVKK Rehberi

Kişisel sağlık verileri, kişinin fiziksel veya ruhsal sağlığına ve kendisine sunulan sağlık hizmetlerine ilişkin bilgilerdir. Bu veriler özel nitelikli kişisel veri olarak korunur; işleme için uygun hukuki şartın bulunması, kullanımın amaçla sınırlı tutulması ve gerekli güvenlik önlemlerinin alınması gerekir. Bir sağlık kuruluşunun kayda sahip olması, bilgiyi her çalışanına veya her talep edene açabileceği anlamına gelmez (Kişisel Sağlık Verileri Hakkında Yönetmelik m.4/1-j; 6698 sayılı Kişisel Verilerin Korunması Kanunu m.4, m.6, m.12).

Bu rehber, sağlık kaydı işleyen kurumlar ve işverenler ile kendi bilgilerinin kullanımını öğrenmek isteyen kişiler için veri işleme, erişim, paylaşım ve saklama süreçlerini açıklar. Muayene sırasında mahremiyet, tedaviye rıza ve genel hasta şikâyet yolları ise hasta hakları rehberinin konusudur. Buradaki inceleme, tedavinin doğru uygulanıp uygulanmadığından ziyade sağlık bilgisinin hangi işlemde nasıl kullanıldığına odaklanır.

Kanunun kapsamı, tamamen veya kısmen otomatik işleme ile bir veri kayıt sisteminin parçası olan otomatik olmayan işlemleri içerir. İstisnalar ayrıca değerlendirilir; bu yazıdaki kurumsal işlemler için yapılan açıklamalar her kişisel kullanıma aynen taşınmamalıdır. Kapsam ve istisnaların genel çerçevesi KVKK ana rehberindedir (KVKK m.2, m.28).

1. Hangi Bilgiler Kişisel Sağlık Verisidir?

Sağlık verisi yalnız teşhis veya hastalık adı değildir. Kimliği belirli ya da belirlenebilir kişinin fiziksel ve ruhsal sağlığıyla ilgili her türlü bilgi ile kendisine sunulan sağlık hizmeti bilgisi tanımın içindedir. Bu nedenle bir belgenin adında sağlık raporu yazıp yazmadığından önce, içeriğinin kişi hakkında ne açıkladığına bakılır (Kişisel Sağlık Verileri Hakkında Yönetmelik m.4/1-j).

Kişisel Verileri Koruma Kurumunun Şubat 2025 tarihli Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi, kişinin başvurduğu hastane veya birim bilgisini, ön teşhisi, istenen tetkikleri ve sonuçlarını, teşhisi ve tedavi bilgilerini sağlık verilerine örnek gösterir. Kan grubu da bir kimlik veya işyeri kartında bulunsa bile sağlık verisidir. Bu rehber mevzuat değildir; Kanundaki kategorinin uygulamasını açıklayan Kurum yayımıdır.

Kayıt örneği	Veri değer­len­dir­me­sinde dikkat edilecek konu
Tahlil sonucu veya görüntüleme raporu	Sonucun hastalık gös­ter­me­mesi, sağlıkla ilgili bilgi taşımasını ortadan kaldırmaz.
Psikiyatri polikliniği randevusu	Yalnız randevu ve birim bilgisi de kişinin aldığı sağlık hizmetini açık­la­ya­bi­lir.
Reçete ve tedavi planı	İlaç veya tedavi bilgisi kişiyle iliş­ki­len­di­ri­le­bi­li­yorsa sağlık verisi incelemesi gerekir.
Çalışan sağlık dosyası	İş ilişkisi içinde tutulması, veriyi sıradan personel bilgisine dönüştürmez.
Kişi koduyla tutulan tetkik tablosu	Kod başka bir kayıtla kişiye bağ­la­na­bi­li­yorsa yalnız adı kaldırmak ano­nim­leş­tirme değildir.

Tablonun ilk örnekleri Kurum rehberindeki açıklamaları; kişi kodu ayrımı ise Kanunun kişisel veri ve anonim hâle getirme tanımlarını somutlaştırır. Belirleyici olan kaydın başka verilerle ilişkilendirildiğinde de kişiyi belirlenebilir bırakıp bırakmadığıdır (KVKK m.3/1-b, m.3/1-d).

Sağlık, genetik ve biyometrik veriler kanunda ayrı ayrı sayılır. Aynı kayıt birden fazla kategoriyle ilgili olabilir; örneğin genetik inceleme sonucunun sağlık bilgisi de taşıması mümkündür. Bütün kategorilerin genel çerçevesi özel nitelikli kişisel veriler yazısındadır (KVKK m.6/1).

2. Sağlık Verileri Hangi Şartlarla İşlenebilir?

Sağlık verisinin işlenmesi için, yapılan faaliyete uygun şart KVKK m.6/3 kapsamında belirlenmelidir. Sadece bir sözleşmenin bulunması veya işletmenin meşru menfaatinden söz edilmesi yeterli değildir; bu gerekçeler genel kişisel veri şartları arasında yer alsa da özel nitelikli veriler için aynı biçimde düzenlenmemiştir. Sağlık verilerine ilişkin uygun şartın yanında genel ilkeler ve yeterli önlemler de uygulanır (KVKK m.4, m.5/2-c, m.5/2-f, m.6/3, m.6/4).

Uygulamada karşılaşılabilecek bazı faaliyetler şu şekilde ayrılır. Tablo, kanundaki bütün şartların listesi değildir; bir kurum türüne ait bütün işlemler için tek dayanak seçmez.

Faaliyet veya ihtiyaç	İncelenecek şart ve sınırı
Teşhis, tedavi, bakım veya sağlık hiz­met­le­ri­nin planlanması	Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuru­luş­larca, kanunda sayılan sağlık amaçları için işlemenin gerekli olması değer­len­di­ri­lir (KVKK m.6/3-e).
İş sağlığı ve güvenliği ya da istihdam yükümlülüğü	İşlemenin ilgili alandaki hukuki yükümlülüğü yerine getirmek için zorunlu olması gerekir (KVKK m.6/3-f).
Kanunun açıkça öngördüğü kayıt	Hangi kanunun hangi işlemeyi açıkça öngördüğü belirlenir; genel bir mevzuat gön­der­me­siyle yetinilmez (KVKK m.6/3-b).
Bir hakkın tesisi, kul­la­nıl­ması veya korunması	Saklanan ya da kullanılan sağlık verisinin o hak için neden zorunlu olduğu açıklanır (KVKK m.6/3-d).
Rızanın açık­la­na­ma­dığı hayati durum	Fiilî imkânsızlık veya rızanın hukuken geçerli olmaması ile hayat ya da beden bütünlüğünü koruma zorunluluğu birlikte aranır (KVKK m.6/3-c).
Açık rızaya dayanan işlem	Rıza belirli konuya ilişkin, bil­gi­len­dir­meye dayanan ve özgür iradeyle açıklanmış olmalıdır (KVKK m.3/1-a, m.6/3-a).

İşleme şartları 2024 yılında değişmiştir. Sağlık verilerinin eski düzenlemedeki ayrı koşulları üzerinden hazırlanmış formlar, güncel m.6/3 metniyle karşılaştırılmalıdır. Tedavi amacıyla uygun olan bir dayanak, aynı bilginin başka bir amaç için kullanımına kendiliğinden izin vermez (KVKK m.4/2-c, m.6/3).

Örneğin varsayımsal bir klinikte tetkik sonucunun tedavi için incelenmesi ile aynı sonucun ilgisiz bir işletmenin müşteri listesine eklenmesi farklı faaliyetlerdir. Her birinde amaç, gereklilik, veri sorumlusu ve varsa aktarım şartı ayrı incelenir. İlk işlemin hukuka uygunluğu ikinci işlem için yeterli olmaz (KVKK m.4, m.6, m.8).

3. Aydınlatma, Açık Rıza ve Tıbbi Onam Nasıl Ayrılır?

Veri sorumlusu; kimliğini, sağlık verisini hangi amaçla işlediğini, alıcıları ve aktarım amaçlarını, toplama yöntemini, hukuki sebebi ve ilgili kişinin haklarını verinin elde edilmesi sırasında açıklamalıdır. Bu bilgilendirme, veriyi işlemek için gereken şartın yerine geçmez. Açık rıza kullanılıyorsa rızanın belirli konu ve özgür irade koşulları ayrıca sağlanmalıdır (KVKK m.3/1-a, m.6, m.10).

Kurumun imzalattığı tek bir belgede tedaviye izin, kişisel veri açıklaması ve başka kullanımlar bir araya getirilmiş olabilir. Belgenin başlığı üzerinden bütün koşulların yerine geldiği kabul edilmemelidir. Hangi işlemin hangi açıklamaya ve iradeye dayandığı anlaşılmalıdır; genel bir kabul cümlesi, belirsiz bütün veri kullanımlarını meşrulaştırmaz (KVKK m.3/1-a, m.4, m.6, m.10).

Tıbbi müdahaleye ilişkin bilgilendirme ve rızanın ayrıntıları hasta hakları kapsamında ayrıca değerlendirilir. Veri işleme bakımından hazırlanacak açıklamanın içeriği için aydınlatma yükümlülüğü, rızanın koşulları için açık rıza rehberi kullanılabilir.

4. Kurum İçinde Kimler Sağlık Kayıtlarına Erişebilir?

Sağlık hizmeti sunumunda görevli kişilerin sağlık verilerine erişimi, verilecek sağlık hizmetinin gereğiyle sınırlıdır. Aynı hastanede veya klinikte çalışmak, bütün hastaların bütün geçmiş kayıtlarını inceleme yetkisi oluşturmaz. Veri sorumlusu, hukuka aykırı erişimi önleyecek tedbirleri almakla da yükümlüdür (Kişisel Sağlık Verileri Hakkında Yönetmelik m.6/1; KVKK m.12/1).

Uygulamada görev, erişilecek kayıt grubu ve yapılabilecek işlem birlikte belirlenebilir. Bir kaydı görmek, değiştirmek, dışarı aktarmak veya topluca indirmek farklı yetkilerdir. Bu ayrım, korunacak veriye uygun güvenlik düzeni kurmaya yardımcı olur; her kurum için aynı yazılım veya aynı görev adları zorunlu tutulmuş değildir (KVKK m.4/2-ç, m.12/1).

Örneğin bir kayıt görevlisinin randevu düzenleyebilmesi için gerekli bilgiler ile hekimin teşhis için inceleyeceği tıbbi belgeler aynı olmayabilir. Görevin gerektirmediği ayrıntılı sağlık geçmişinin ortak bir kullanıcı hesabıyla bütün personele açılması, erişimin gerekliliği ve güvenliği bakımından ayrıca incelenmelidir (KVKK m.4, m.12).

Erişim değerlendirmesi, e-Nabız veya başka bir sağlık kayıt sisteminde de teknik olarak görüntüleme yapılabilmesinden ayrı tutulmalıdır. Sisteme girebilmek, veriyi görev ve amaç dışında kullanma hakkı vermez. Bu yazı e-Nabız’ın erişim süreleri veya güvenlik ayarlarının bütün istisnaları için bir kullanım kılavuzu değildir; güncel sistem açıklamaları e-Nabız’ın resmî sayfasından izlenebilir (KVKK m.4, m.6, m.12).

5. İşveren Çalışanın Sağlık Verilerini Nasıl Kullanabilir?

İşverenin sağlık gözetimi yükümlülüğü, çalışanın bütün sağlık geçmişini sınırsız toplama veya bütün yöneticilere açma yetkisi değildir. İş sağlığı ve güvenliği veya istihdam yükümlülüğüne dayanılıyorsa işlemenin bu yükümlülüğü yerine getirmek için zorunlu olması gerekir. Toplanan bilgiler amaçla bağlantılı, sınırlı ve ölçülü tutulur (6331 sayılı İş Sağlığı ve Güvenliği Kanunu m.15/1; KVKK m.4/2-ç, m.6/3-f).

Sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarı bakımından sağlık bilgileri gizli tutulmalıdır. Bu nedenle işyeri hekiminin inceleyeceği tıbbi ayrıntı ile insan kaynaklarının iş süreçleri için ihtiyaç duyduğu bilgi ayrı değerlendirilebilir. Yetki tasarımı, hangi görev için hangi bilginin gerekli olduğuna dayanmalıdır (6331 sayılı Kanun m.15/5; KVKK m.12/1).

Örneğin çalışanın işe uygunluğunun değerlendirilmesi için gerekli rapor ile geçmiş bütün reçete ve tetkiklerinin kopyası aynı kapsamda değildir. Daha geniş kayıt isteniyorsa her veri grubunun hangi yükümlülük için zorunlu olduğu gösterilmelidir. Çalışanın genel bir form imzalaması, amaç ve ölçülülük incelemesini ortadan kaldırmaz (KVKK m.3/1-a, m.4, m.6/3-f).

Sağlık belgesinin personel dosyasında bulunması da erişimi kendiliğinden genişletmez. Fiziksel klasör, elektronik belge sistemi ve dışarıdan alınan iş sağlığı hizmeti birlikte değerlendirilmelidir. Çalışana verilecek bilgilendirmenin hazırlanması çalışan aydınlatma metni rehberindedir; bu belgenin hazırlanması güvenlik ve işleme şartının yerine geçmez (KVKK m.6, m.10, m.12).

6. Sağlık Bilgileri İşverene, Sigortaya veya Başka Bir Kuruma Verilebilir mi?

Bir sağlık bilgisinin başka bir kişi veya kuruma gönderilmesi, o verinin kurum içinde kullanılmasından ayrı incelenir. Yurt içi aktarımda açık rıza veya yeterli önlemler alınmak kaydıyla özel nitelikli verilere ilişkin uygun işleme şartı değerlendirilir; diğer kanunların aktarım hükümleri de saklıdır. Alıcının veriyi istemesi tek başına aktarım dayanağı değildir (KVKK m.8).

İşveren, sigorta şirketi veya başka bir kuruluşun talebinde önce talep edilen kayıt, somut amaç ve uygulanacak dayanak belirlenmelidir. Her alıcı için aynı belge paketi gönderilmemelidir. Hukuki şart belirli bir bilgi grubunu gerektiriyorsa bütün sağlık dosyasını göndermenin gerekliliği ayrıca açıklanmalıdır (KVKK m.4/2-ç, m.6, m.8).

Örneğin bir sigorta işlemi için belirli bir tedaviye ait belge istenmesi, o kişinin diğer bütün sağlık kayıtlarına erişim izni olarak yorumlanmamalıdır. Hangi şartın gerçekleştiği ve aktarılacak bilginin kapsamı işlem özelinde incelenir. Kişinin yakınından veya çalıştığı yerden gelen telefon talebinde de yalnız arayanın kimliğini bilmekle yetinilmez; bilgi verilecek kişinin yetkisi ve paylaşımın dayanağı değerlendirilir (KVKK m.4, m.6, m.8, m.12).

7. Laboratuvar ve Sağlık Yazılımı Hizmetinde Sorumluluk Kimdedir?

Dış hizmet kullanılması, sağlık kuruluşunun veri koruma yükümlülüklerini kendiliğinden hizmet sağlayıcıya devretmez. Sağlayıcının veri işleyen mi yoksa kendi faaliyetleri bakımından veri sorumlusu mu olduğu, hizmetin adıyla değil işleme amaç ve araçlarını kimin belirlediğiyle ilişkilidir. Veri sorumlusu adına işleme yapan kişi için verilen yetki ve talimatın kapsamı da önem taşır (KVKK m.3/1-ğ, m.3/1-ı).

Randevu yazılımı, arşivleme hizmeti veya teknik destek alan bir kurum şu bilgileri birlikte değerlendirebilir:

• Hizmet sağlayıcının hangi sağlık verilerine ve ne amaçla eriştiği.
• Sistemde görüntüleme, değiştirme ve dışarı aktarma yetkilerinin kimlerde olduğu.
• Destek işlemi sırasında gerçek hasta kaydının kullanılıp kullanılmadığı ve bunun gerekliliği.
• Kayıtların nerede tutulduğu, başka alıcılara veya yurt dışına erişim bulunup bulunmadığı.
• Hizmet sona erdiğinde kayıtların iadesi, devam eden saklama gerekçesi ve imha işleminin nasıl yürütüleceği.

Bu liste, faaliyet ve güvenlik incelemesi için çalışma önerisidir; tek biçimli zorunlu sözleşme maddeleri listesi değildir. Veri sorumlusu adına kişisel veri işlenmesi hâlinde gerekli güvenlik tedbirlerinin alınması bakımından müşterek sorumluluk düzenlenmiştir. Sözleşme yapılmış olması fiilî erişim ve güvenlik denetimini gereksiz kılmaz (KVKK m.4, m.7, m.12/1-3).

Bağımsız sağlık hizmeti veren bir laboratuvarın bütün faaliyetleri de otomatik olarak yalnız veri işleyen sayılmamalıdır. Kuruluşun kendi amaçları ve hukuki yükümlülükleri ayrıca belirlenir. Rol ayrımının genel çerçevesi veri sorumlusu ve veri işleyen yazısında açıklanmıştır (KVKK m.3/1-ğ, m.3/1-ı).

8. Bulut ve Yurt Dışı Hizmetlerde Hangi Ayrım Yapılır?

Sağlık verisi yurt dışına aktarılıyorsa, uygun işleme şartına ek olarak Kanunun yurt dışı aktarım düzeni incelenir. Kanun, yeterlilik kararı bulunan aktarımı ve yeterlilik kararı yoksa ilgili kişinin haklarını kullanabilmesiyle birlikte uygun güvence sağlanan aktarımı ayrı düzenler. Sağlık hizmeti için bir işleme şartının bulunması, bu ek şartları ortadan kaldırmaz (KVKK m.6, m.9/1, m.9/4).

Önce gerçek veri akışı çıkarılmalıdır: sunucu, yedek, destek erişimi, alt hizmet sağlayıcı ve sonraki aktarımlar nerede ve kime yöneliyor? Bir ürünün yabancı markalı olması veya faturayı Türkiye’deki şirketin kesmesi üzerinden tek başına aktarım sonucu kurulmaz. Teknik kurulum ve fiilî erişim belirlenmeden hukuki yol seçilmemelidir (KVKK m.9, m.12).

Açık rıza da düzenli ve sürekli bir aktarım düzeninin bütün eksiklerini gideren genel yol gibi kullanılmamalıdır. Kanundaki riskler hakkında bilgilendirilmiş açık rıza kolu, yeterlilik ve uygun güvence sağlanamayan hâllerde arızi aktarım koşuluyla düzenlenmiştir. Standart sözleşme ve diğer yolların ayrıntıları yurt dışına veri aktarımı rehberindedir (KVKK m.9/6-a).

9. Kâğıt Dosyalar ve Elektronik Kayıtlar Nasıl Korunur?

Sağlık verilerinin korunması yalnız bilgisayar parolası belirlemekten ibaret değildir. Hukuka aykırı işlemeyi ve erişimi önlemek, verinin muhafazasını sağlamak için uygun güvenlik düzeyindeki teknik ve idari tedbirler alınmalıdır. Özel nitelikli verilere ilişkin yeterli önlemler de ayrıca uygulanır (KVKK m.6/4, m.12/1).

Sağlık hizmeti sunucularında banko, gişe ve masa çevresinde yetkisiz kişilerin bulunmasını ve yakın konumda hizmet alanların birbirlerinin kişisel verilerini öğrenmesini önleyecek tedbirler alınır. Tahlil ve tetkik sonuçları gibi basılı materyallerde gerekli kısmi kimliksizleştirme veya maskeleme uygulanır; yetkisiz kişilerin belgeyi ele geçirmesi hâlinde kime ait olduğunu anlamasını zorlaştıran diğer önlemler de alınır (Kişisel Sağlık Verileri Hakkında Yönetmelik m.5/4, m.5/5).

Elektronik ortamda kişiye bağlı kullanıcı hesapları, göreve uygun erişim, işlem kayıtları, güvenli aktarım ve yedeklere erişimin sınırlandırılması gibi önlemler değerlendirilebilir. Görev değişikliği veya işten ayrılmada yetkilerin gözden geçirilmesi de bu düzenin parçası olabilir. Bunlar her kurumun aynı yazılımı satın almasını gerektiren bir ürün listesi değildir; önlem korunacak veriye ve işleme faaliyetine göre belirlenir (KVKK m.12/1, m.12/3).

Dosyaya erişen veri sorumlusu ve veri işleyenler, öğrendikleri verileri Kanuna aykırı biçimde başkalarına açıklayamaz veya amaç dışında kullanamaz. Bu yükümlülük görevden ayrıldıktan sonra da devam eder. İşten ayrılan görevlinin elindeki kopya ile kurumdaki asıl kaydın güvenliği bu nedenle birlikte ele alınmalıdır (KVKK m.12/4).

10. Sağlık Kayıtları Ne Kadar Saklanır, Ne Zaman İmha Edilir?

Bütün sağlık kayıtlarına uygulanabilecek tek bir saklama yılı yoktur. Kaydın türü, tabi olduğu özel düzenleme ve işleme amacı için gerekli süre birlikte belirlenir. Bir kurumun bütün belgeler için aynı süreyi yazması, her kayıt bakımından hukuki saklama gerekçesi bulunduğunu göstermez (KVKK m.4/2-d, m.7/2).

Hizmetin tamamlanması da bütün kayıtların aynı gün silinmesi gerektiği anlamına gelmez. Devam eden saklama yükümlülüğü veya başka bir işleme şartı bulunabilir. Ancak bu gerekçenin yalnız ilgili kayıtla sınırlı olması gerekir; bir belgenin saklanma ihtiyacı ilgisiz bütün kopyaların süresiz tutulmasına izin vermez (KVKK m.4, m.6, m.7).

İşlemeyi gerektiren sebepler ortadan kalktığında silme, yok etme veya anonim hâle getirme uygulanır; diğer kanunların hükümleri saklıdır. Sağlık verilerinin imhasında da Kanunun 7. maddesi ve ilgili imha yönetmeliği esas alınır. Ortam ve yöntem ayrımı kişisel verilerin imhası rehberinde açıklanmıştır (KVKK m.7; Kişisel Sağlık Verileri Hakkında Yönetmelik m.14).

Saklama kararı yalnız ana kayıt üzerinden verilmemelidir. İndirilen rapor, e-posta eki, kâğıt çıktı, yazılım yedeği ve hizmet sağlayıcıdaki kopyanın hangi amaçla tutulduğu belirlenebilir. Kimlik bilgilerinin kaldırıldığı bir kopya başka bir veriyle eşleştirilebiliyorsa kendiliğinden anonim sayılmaz (KVKK m.3/1-b, m.4, m.7).

11. Yanlış Kaydın Düzeltilmesi ile Silme Talebi Aynı mı?

Yanlış veya eksik sağlık verisinin düzeltilmesi ile işleme sebepleri sona ermiş verinin silinmesi farklı taleplerdir. İlgili kişi eksik ya da yanlış işlenmiş verinin düzeltilmesini; Kanunun şartları çerçevesinde silme veya yok etmeyi ve bu işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini isteyebilir (KVKK m.11/1-d, m.11/1-e, m.11/1-f).

Başvuruda hangi kurumun hangi tarihli kaydının hatalı olduğu ve istenen düzeltmenin ne olduğu açıklanmalıdır. Varsa hatayı gösteren belge başvuruyla ilişkilendirilebilir. Bir tanıya katılmamakla kişinin kaydına başka birine ait sonucun eklenmesi aynı sorun değildir; incelenecek kayıt ve hata açıkça adlandırılmalıdır (KVKK m.4/2-b, m.11/1-d, m.13).

e-Nabız’da görünürlüğü sınırlama da kaydın bütün kaynaklardan imha edildiği anlamına gelmez. Talep, görüntüleme tercihinden ayrı olarak hangi veri sorumlusundaki hangi kayda yöneldiği belirtilerek değerlendirilmelidir. Bu rehber sağlık kayıtlarının düzeltilmesine ilişkin özel idari işlemlerin tamamını anlatmaz; burada açıklanan KVKK talebi, ilgili sağlık sürecinin özel kurallarının yerine geçirilmemelidir (KVKK m.3/1-e, m.7, m.11, m.13).

12. Yetkisiz Erişim veya Paylaşım Şüphesinde Nasıl Başvurulur?

İlgili kişi, sağlık verilerinin işlenip işlenmediğini, işlenmişse amaç ve kullanımını, aktarım yapılan üçüncü kişileri öğrenmek için veri sorumlusuna başvurabilir. Başvuruda olayın olduğu düşünülen kurum, kayıt ve tarih aralığı mümkün olduğunca açık gösterilmelidir. Bütün sağlık geçmişini yeniden göndermek yerine talebin incelenmesi için gerekli bilgilerle yetinmek, başvurunun kapsamını da anlaşılır tutar (KVKK m.4, m.11, m.13).

1. Kaydı ve olayı belirleyin. Hangi rapor, tetkik, randevu veya paylaşım hakkında açıklama istendiğini yazın.
2. Bilgi ve işlem taleplerini ayırın. İşleme amacı veya alıcı bilgisi mi; yanlış kaydın düzeltilmesi, şartlarıyla silme ya da zararın giderilmesi mi isteniyor? Talebi ilgili hakla ilişkilendirin (KVKK m.11).
3. Veri sorumlusuna iletin. Başvuru ve ulaşma kaydını saklayın. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırır; ret gerekçesini de bildirir (KVKK m.13).
4. Cevabı değerlendirin. Ret, yetersiz cevap veya süresinde cevap verilmemesi hâlinde, önce başvuru yolu tüketilmiş olmak kaydıyla Kurula şikâyet değerlendirilebilir. Şikâyet süreleri ayrıca izlenir (KVKK m.14).

Başvurunun yöntemi ve hazırlanacak bilgiler veri sorumlusuna KVKK başvurusu, sonraki aşamanın süreleri ve koşulları Kurula şikâyet yazılarındadır. Genel hasta hakları birimine başvurulmuş olması üzerinden KVKK başvuru ve şikâyet şartlarının kendiliğinden tamamlandığı varsayılmamalıdır; başvurunun muhatabı ve içeriği incelenir (KVKK m.13, m.14).

Kurum açısından hukuka aykırı elde edilme tespit edilmişse, güvenlik tedbirleri ile ihlalin ilgilisine ve Kurula bildirilmesi yükümlülüğü ayrıca gündeme gelir. Kanun bildirimin en kısa sürede yapılmasını öngörür; olayın araştırılması ve bildirimin hazırlanması veri ihlali bildirimi rehberinde ele alınmıştır (KVKK m.12/1, m.12/5).

13. Kurum Sağlık Verisi Sürecini Nasıl Denetleyebilir?

Denetim, yalnız mevcut aydınlatma metninin bulunup bulunmadığına bakılarak tamamlanmaz. Hangi sağlık verisinin nereden geldiği, hangi şartla işlendiği, kimlerin eriştiği ve hangi kaydın neden hâlâ tutulduğu aynı faaliyet üzerinde kontrol edilebilir. Kanun, veri sorumlusunun kendi kurumunda gerekli denetimleri yapmasını veya yaptırmasını öngörür (KVKK m.12/3).

Uygulanabilecek bir çalışma sırası şöyledir:

1. Gerçek bir faaliyeti seçin: örneğin tetkik sonucu teslimi veya çalışan sağlık raporunun alınması.
2. Bu faaliyet için alınan bilgileri ve gerekliliğini işleme amacıyla karşılaştırın (KVKK m.4).
3. İşleme şartını belirleyin; sağlık verisi için yalnız genel kişisel veri dayanağı kullanılmadığını kontrol edin (KVKK m.6).
4. Aydınlatma, erişim ve varsa aktarımın fiilî uygulamayla uyumunu inceleyin (KVKK m.8, m.10, m.12).
5. Ana kayıt ve kopyaların saklama gerekçesini, süre bitimindeki işlemi ve dış hizmetteki veri akışını kontrol edin (KVKK m.4, m.7, m.12).
6. Tespit edilen eksikliği sorumlu birim ve yapılacak işlemle ilişkilendirin; düzeltmenin gerçekten uygulanıp uygulanmadığını yeniden inceleyin (KVKK m.12/3).

Bu sıra, hukuki yükümlülükleri kurumun gerçek işlemi üzerinde değerlendirmek için bir çalışma önerisidir; tek başına bir uygunluk belgesi değildir. Veri akışının kayda geçirilmesi için kişisel veri envanteri, diğer yükümlülüklerle birlikte planlanması için KVKK uyum süreci rehberi kullanılabilir.