Kişisel verilerin korunması, özel hayatın gizliliğine saygı hakkı çerçevesinde kalan ve günlük yaşamın hemen hemen her alanında oldukça önemli sonuçları bulunan bir hukuki kurumdur. Bununla beraber, kavramın birçok hukuki kuruma göre görece yeni oluşu nedeniyle henüz kişisel verilerin korunması hususunda bireylerin hak ve yükümlülüklerinin neler olduğu noktasında yeterli bilinç oluşmamıştır.
Bu yazımız, söz konusu eksikliğin giderilmesi açısından başlattığımız yazı dizisinin ilki olup sağlık sektöründeki aktörlerin Veri Sorumluları Sicili (“VERBİS”) açısından yükümlülüklerini konu almaktadır.
Temel Hukuki Dayanaklar
Kişisel verilerin korunması, anayasal dayanağını Türkiye Cumhuriyeti Anayasası’nın 20. Maddesinden almakta ve bu açıdan temel hak ve hürriyetler arasında bulunmaktadır. Bu temel üzerinde, 7 Nisan 2016 yılında yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kişisel verilerin korunması açısından alınacak önlemler ile bu yöndeki hak ve yükümlülüklerin usul ve esaslarını düzenlemektedir.
Sağlık verileri, söz konusu mevzuat içinde “özel nitelikli kişisel veri” kategorisi altında bulunmaktadır. KVKK uyarınca bu kategori içinde yer alan veriler, bu kategori dışındaki verilere kıyasla daha sıkı şekilde korunmakta, denetlenmekte ve özel olarak düzenlenmektedir. Yazımızın konusunu teşkil eden VERBİS projesi de kişisel verilerin meri hukuki güvencelere uygun şekilde korunup korunmadığını denetleme imkânı veren bir sistem olarak karşımıza çıkmaktadır.
Tek bir cümle ile VERBİS, işlenecek yahut işlenmekte olan kişisel verilere ilişkin önemli bilgilerin kategorik olarak listelendiği bir tür kayıt sistemidir. Veri işleme, hastanın adı veya kimlik numarası ya da hastalığının adı gibi bilgilerin herhangi bir şekilde elde edilmesinden sonraki tüm işlemleri kapsamaktadır. Bu açıdan VERBİS’e girilecek olan kayıt ise sadece “verinin türü” gibi hususlara ilişkin olup asıl verinin içeriğine dair katiyen bir paylaşım söz konusu olmamaktadır.
VERBİS Açısından Sorumluluklar
Mevzuat açısından dikkat edilmesi gereken ilk önemli olan nokta, kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının, KVKK’nın 16. maddesi uyarınca kişisel veri işlemeye başlamadan önce VERBİS’e kaydolması gerekmektedir.
VERBİS’e, kanunun aynı maddesi uyarınca yapılacak olan kayıtlar:
“Veri sorumlusu” ile “irtibat kişisine” dair iletişim bilgileri,
Kişisel verilerin hangi amaçla işleneceğine dair bilgiler,
Veri konusu kişi grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,
Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
Yabancı ülkelere aktarımı öngörülen kişisel veriler,
Alınan tedbirler,
Kişisel verilerin öngörülen azami muhafaza edilme süresi
gibi hususları kapsamaktadır.
Sağlık Verileri Açısından VERBİS’e Kayıt Yükümlülüğü Olan Kişiler
Kural olarak, tüm veri sorumlularının VERBİS’e kaydolmaları gerekmektedir. Ancak, gerek KVKK’nın 28. maddesinde belirtilen genel istisnai durumlar gerekse de Kişisel Verileri Koruma Kurumunun (“Kurum”) alabileceği kararlar doğrultusunda bazı istisnalara izin verilmiştir. Bu doğrultuda Kurum şu ana kadar, VERBİS’e kayıt zorunluluğuna istisna getirme yetkisi uyarınca:
Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenleri,
Noterleri,
Dernekleri, vakıfları, sendikaları ve siyasi partileri,
Avukatları
Yeminli mali müşavirleri
Gümrük müşavirleri
Arabulucuları
Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan gerçek ve tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanları
VERBİS’e kayıttan muaf tutmuştur.
Doktor, diş hekimi ve eczacı gibi sağlık çalışanları, Kurum’un belirlediği istisnai kişi ve meslek grupları arasında bulunmamakta; bu açıdan VERBİS’e kayıt yükümlülükleri bulunmaktadır.
Dikkat edilmelidir ki “yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan” küçük olan işletmeler istisna dâhilinde olsa da bu istisnadan sadece ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar yararlanmaktadır.
Neticede doktor, diş hekimi ve eczacıların ana faaliyetlerinin başta kişilerin sağlık bilgileri olmak üzere pek çok özel nitelikli kişisel veriyi işlemek üzerine kurulu olmasından yola çıkarak bu meslekleri icra eden kişilerin VERBİS’e kayıt istisnasından yararlanamayacakları anlaşılmaktadır.
Dolayısıyla:
Özel hastanelerin yanı sıra,
Ayakta Teşhis Ve Tedavi Yapılan Özel Sağlık Kuruluşları Hakkında Yönetmelik kapsamında kurulmuş poliklinik ve muayenehanesi olan doktorlar;
Ağız ve Diş Sağlığı Hizmeti Sunulan Özel Sağlık Kuruluşları Hakkında Yönetmelik kapsamında kurulmuş poliklinik ve muayenehanesi olan diş hekimlerinin ve;
Eczanelerin
VERBİS’e kayıt olması gerekmektedir.
VERBİS’e Kayıt Yükümlülüğünün Son Tarihi ve Para Cezaları
Bu noktada söz konusu kaydolma yükümlülüğünün yerine getirilebilmesi için sayılan işletmelere verilen süre, KVKK’nın yürürlüğe girdiği tarihten beri Kurum tarafından düzenli olarak uzatılmıştır. Bununla birlikte, önümüzdeki günlerde Kurum tarafından yeni bir uzatma kararı alınıp alınmayacağı ise merak konusu.
Bu açıdan yeni bir süre verilmediği takdirde, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumlularının VERBİS yükümlülüklerini yerine getirmesi için son tarih 31 Mart 2021 olarak karşımıza çıkmaktadır.
Söz konusu VERBİS yükümlülüklerinin yerine getirilmemesi halinde ise KVKK ciddi miktarlarda idari para cezası öngörmektedir. Bu bağlamda VERBİS’e kayıt olmayan veya sair yükümlülükleri yerine getirmeyenler KVKK’nın 18(ç). maddesi uyarınca 20.000 TL'den 1.000.000 TL'ye kadar para cezası ile karşılaşabilecektir.
Yeniden değerleme oranları göz önünde bulundurulduğunda bu meblağ, 2021 yılı için en az 39.337-TL ve en çok ise 1.966,862 TL olacaktır.
Comments