Kişisel Verileri Koruma Kanunu uyarınca bazı veriler özel nitelikli kişisel veri olarak kabul edilmektedir. Özel nitelikli kişisel veriler (hassas veriler), sahibinin açık rızası olmaksızın işlenemez. Kanun, özel nitelikli kişisel verilerin ancak sınırlı hallerde, veri sahibinin açık rızası olmaksızın işlenebileceğini kabul etmiştir. Buna göre sağlık ve cinsel hayata ilişkin kişisel verilerin işlenmesi ile bunlar dışındaki özel nitelikli kişisel verilerin, rıza olmaksızın işlenebileceği halleri farklı düzenlemiştir. Kanunda özel nitelikli kişisel veriler, sınırlı olarak sayılmıştır. Bunlar; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir. Sayılan veriler dışındaki veriler özel nitelikli kişisel veri olarak kabul edilmeyecektir. Bilindiği üzere eczaneler, hastalara ait bilgileri depolamakta ve kaydetmektedirler. Kanunda sayılan özel nitelikli veri kapsamında kabul edilen sağlık verilerinin işlenmesi eczanelere birtakım yükümlülükler yüklemektedir. İlaç kullanan kişiler, özel nitelikli bu sağlık verisinin eczane tarafından herhangi bir işleme şartına dayanmadan, üçüncü kişiyle paylaşılması hususunda şikayetçi olabilmektedirler. İşbu durumun sonucu olarak veri sorumlusu eczane idari para cezasıyla karşı karşıya kalmaktadır.
Özel nitelikli kişisel veri olan sağlık verileri ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinin 1. fıkrasında, kişilerin sağlık verilerinin özel nitelikli kişisel veri olduğu ifade edilmektedir. Yine aynı maddenin 3. fıkrasında ise, ilgilinin açık rızası alınmaksızın işlenebileceği durumlar belirtilmiştir. İlgili fıkra hükmü uyarınca eczaneler, açık rıza almaksızın veri işleyebilmektedirler. Öte yandan, kanunun 12. maddesinin 1. fıkrası, veri sorumlusunun;
- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
- Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
- Kişisel verilerin muhafazasını sağlamak,
- Amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak,
zorunda olduğu da açıkça ifade edilmiştir.
Her veri sorumlusu gibi eczacıların da ilgili kişileri aydınlatma yükümlülüğü bulunmaktadır. Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- maddede sayılan diğer hakları,
konusunda bilgi vermekle yükümlüdür.
Hastalara ait özel nitelikli kişisel verilerin işlenmediği, kanunun getirmiş olduğu yükümlülükler kapsamında ilgili kurumlara bilgi verildiği eczaneler tarafından bildirmelidir. Ancak kayıt edilen ve işlenen verilerin kişisel veri olması halinde hukuki yükümlülükler veri sorumlusu olan eczacılar bakımından da geçerlidir.
Eczanelerde kamera bulunabilir. Ayrıca kişilere o yerde izlendiklerine ilişkin bildirim yapılmalıdır. İlgili kişilerin görebileceği şekilde duvarlara kamera ile izlenildiğine ilişkin aydınlatma metinleri asılmalıdır.
İdari Para Cezasına İlişkin Kurul Kararı:
“Sağlık verilerini Kanunun 6 ncı maddesinde yer alan işleme şartlarından birine dayanmadan üçüncü bir kişiye aktaran veri sorumlusu hakkında” Kişisel Verileri Koruma Kurulunun 05/12/2018 Tarihli ve 2018/143 Sayılı Karar Özeti:
| Karar Tarihi | : 05/12/2018 |
| Karar No | : 2018/143 |
| Konu Özeti | : Sağlık Verilerinin Kanunun 6. Maddesinde Yer Alan İşleme Şartlarından Birine Dayanmadan Üçüncü Kişilere Aktarımı Hakkında |
‘Doktor kontrolünde ilaç kullanan ilgili kişinin, özel nitelikli bu sağlık verisinin ilaçların temin edildiği eczane tarafından herhangi bir işleme şartına dayanmadan üçüncü kişiyle paylaşılması hususunda Kuruma yapılan şikâyet başvurusu hakkında;
6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6ncı maddesinin (1) numaralı fıkrasında kişilerin sağlık verilerinin özel nitelikli kişisel veri olduğu belirtilmiştir. Mezkûr maddenin (2) numaralı fıkrasında özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi yasaklanmış bununla birlikte, (3) numaralı fıkrada özel nitelikli kişisel verilerin açık rıza aranmadan işlenebileceği diğer haller sayılmıştır. Buna göre sağlık verilerinin ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebileceği belirtilmiştir. Kanunun “Kişisel verilerin aktarılması” başlıklı 8 inci maddesinin (1) numaralı fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın aktarılamayacağı hükme bağlanmış olup, anılan maddenin (2) numaralı fıkrasında ise kişisel verilerin açık rıza aranmaksızın aktarılabileceği haller Kanunun 5 inci maddesinin (2) numaralı fıkrası ile 6ncı maddesinin (3) numaralı fıkrasına atıfta bulunmak suretiyle belirlenmiştir.
Öte yandan, Kanunun 12 nci maddesinin (1) numaralı fıkrası, veri sorumlusunun;
- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
- Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
- Kişisel verilerin muhafazasını sağlamak
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğunu düzenlemektedir. Anılan maddenin (4) numaralı fıkrasında ise veri sorumluları ile veri işleyen kişilerin öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacının dışında kullanamayacağı hükmüne yer verilmiştir.
Bu kapsamda, doktor kontrolünde ilaç kullanan ilgili kişinin sağlığı ile ilgili özel nitelikli kişisel verilerinin, ilaçları temin ettiği eczane tarafından 6698 sayılı Kişisel Verilerin Korunması Kanununun 8 inci maddesinde sayılan şartlar sağlanmadan üçüncü kişiyle paylaşılmasının Kanunun 12nci maddesinin (4) numaralı fıkrasına aykırılık teşkil etmesi nedeniyle veri sorumlusu eczane hakkında Kanunun 18 inci maddesi uyarınca idari para cezası uygulanmıştır.’