Hastane Çalışanı e-Nabız Verilerime İzinsiz Erişirse Ne Yapabilirim?

Hastane Çalışanı e-Nabız Verilerime İzinsiz Erişirse Ne Yapabilirim?

İlgili çalışma alanı → Kişisel Verilerin Korunması: Sağlık verileri, erişim yetkisi ve Kurul kararları için çalışma alanı.

Kısa cevap: Erişimi belgelendirin, önce veri sorumlusu sağlık kuruluşuna yazılı başvurun, cevap yetersiz kalırsa süresi içinde Kişisel Verileri Koruma Kuruluna şikâyet edin. Tazminat ve suç duyurusu yolları bunlardan bağımsız olarak açıktır.

Kendisine sağlık hizmeti sunmadığınız bir hekimin ya da hastane personelinin kayıtlarınızı görüntülemesi, e-Nabız gizlilik ayarınız geniş olsa dahi hukuka aykırıdır.

---

1. Erişimi Belgelendirin

İlk ve en kritik adım delildir. e-Nabız hesabınızdaki erişim kayıtları bölümünden hangi kurumun, hangi tarihte ve hangi saatte verilerinize eriştiğini görüntüleyip ekran görüntüsünü alın. Tarih, kurum adı ve mümkünse erişilen kayıt türü not edilmelidir.

Bu kayıt olmadan başvuru soyut kalır. Veri sorumlusu kuruluşlar, görüntüleme işlemlerinin log kaydını tutmadıklarında kendi sistemlerinden de doğrulama yapamamaktadır.

---

2. Veri Sorumlusuna Başvurun

6698 sayılı Kanun m. 13 uyarınca talebinizi yazılı olarak sağlık kuruluşuna iletin. Başvuruda m. 11'deki haklarınıza dayanarak şunları isteyin: verinizin işlenip işlenmediği, işlenmişse hangi amaçla işlendiği, kimin eriştiği ve erişimin hangi hukuki sebebe dayandığı.

Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırmak zorundadır. Cevabı yazılı olarak veya elektronik ortamda bildirir.

Önemli: Bu adım atlanamaz. 6698 sayılı Kanun m. 14/2 uyarınca veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyet edilemez. Doğrudan yapılan şikâyetler usulden reddedilir.

---

3. Kurula Şikâyet Edin

Başvurunuz reddedilirse, verilen cevap yetersiz kalırsa veya süresinde cevap verilmezse Kurula şikâyet edebilirsiniz. Süre iki yönlüdür: cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün.

Kurul, şikâyeti inceleyip ihlali tespit ederse hukuka aykırılığın giderilmesine karar verir ve 6698 sayılı Kanun m. 18/1-(b) uyarınca veri güvenliği yükümlülüğünü yerine getirmeyen veri sorumlusuna idari para cezası uygulayabilir. Kamu hastanesi söz konusuysa m. 18/4 uyarınca sorumlular hakkında disiplin hükümlerine göre işlem yapılır.

Kurulun 02.05.2023 tarihli ve 2023/695 sayılı kararında, hekimin e-Nabız şifresini sekreteriyle paylaşması sonucu gerçekleşen erişim nedeniyle tıp merkezine 200.000 TL idari para cezası uygulanmıştır¹. Kararın ayrıntılı çözümlemesi e-Nabız sistemine yetkisiz erişim sayfasındadır.

---

4. Tazminat ve Suç Duyurusu

Kurula şikâyet idari yaptırım üretir; zararınızı karşılamaz. 6698 sayılı Kanun m. 14/3, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Manevi tazminat talebi TMK m. 24 ve TBK m. 58 çerçevesinde değerlendirilir.

Ceza boyutunda ise 6698 sayılı Kanun m. 17 yollamasıyla TCK m. 135 ilâ 140 uygulanır. Hukuka aykırı olarak kişisel verileri ele geçirme fiili TCK m. 136 kapsamında değerlendirilebilir ve Cumhuriyet başsavcılığına suç duyurusunda bulunulabilir. Ayrıntı için kişisel verileri hukuka aykırı verme, yayma veya ele geçirme suçu incelenebilir.

---

Uygulamada

Sağlık kuruluşlarının en sık verdiği iki cevap vardır ve ikisi de tek başına yeterli değildir.

Birincisi, "gizlilik ayarınız tüm hekimlere açıktı" savunmasıdır. Kurul bu savunmayı reddetmiştir; ayar, yalnızca sağlık durumunun gerektirdiği hâllerle sınırlı bir erişim anlamına gelir.

İkincisi, "sehven kayıt açıldı" açıklamasıdır. Yanlışlıkla yapılan sorgulama da 6698 sayılı Kanun anlamında bir kişisel veri işleme faaliyetidir; kastın bulunmaması işlemeyi hukuka uygun hâle getirmez, yalnızca yaptırımın ölçüsünde dikkate alınabilir.

Süre yönetimi belirleyicidir. Otuz ve altmış günlük süreler hak düşürücü nitelikte uygulandığından, erişimi fark ettiğiniz tarih ile başvuru tarihi arasındaki süreyi dar tutun.

---

İlgili içerikler için bkz. Kişisel Sağlık Verilerinin İşlenmesi ve Erişim Yetkisinin Sınırı, Kişisel Verilerin Korunması Rehberi, KVKK Veri Sahibi Başvurusu Nasıl Yapılır?, Özel Nitelikli Kişisel Veri Nedir?.

Dipnotlar

1. Kişisel Verileri Koruma Kurulu, 02.05.2023 tarihli ve 2023/695 sayılı karar; 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 11, m. 13, m. 14 ve m. 18, RG 07.04.2016/29677. ↩