Karara Konu Olayın Özeti
İlgili kişinin bir kamu kurumu ile arasında idare mahkemesi nezdinde yürütülen dava dosyası ile ilgili olarak davalı kamu kurumu tarafından üniversite hastanesinden birtakım bilgilerin talep edildiği, söz konusu talep üzerine üniversite hastanesi tarafından kendisine ait sağlık verilerinin kamu kurumuna teslim edildiği, üniversitenin yapmış olduğu ihlal nedeni ile manevi zarara uğradığı ve bu kapsamda manevi tazminat talebinde bulunduğu, üniversite tarafından yapılan hukuka aykırı eylem nedeni ile hastanede gerçekleşen muayenesi sonucunda kendisi için düzenlenen hasta anamnez formunda belirtilen “… ara sıra tek tük esrar kullanmak zorunda kaldığını söylüyor” içerikli beyan üzerine hakkında Cumhuriyet Başsavcılığı'na suç duyurusunda bulunulduğu, kendisinin gözaltında kaldığı, konutunun ve arabasının arandığı, kendisinin üniversite hastanesinde çalışmakta olan doktora böyle bir beyanda bulunmadığı, üniversite hastanesinde çalışmakta olan doktorun sorusuna verdiği cevabın doktor tarafından yanlış anlaşılarak hasta muayene bilgilerinin hikaye bölümüne yanlış şekilde yazıldığı, yapılan soruşturma neticesinde hakkında kovuşturmaya yer olmadığına dair karar verildiği, uyuşturucu madde kullanmadığının Cumhuriyet Başsavcılığı'nın kararı ile sabit olduğu, bu nedenle kendisine ait sağlık dosyasından esrar maddesi kullanıldığına ilişkin verilerin ve bilgilerin silinmesini talep ettiği ve belirtilen taleplerine ilişkin olarak başvurusuna üniversite tarafından cevap verilmediği yönündeki iddialarını içerir şikayeti üzerine başlatılan inceleme çerçevesinde Kurul tarafından veri sorumlusunun savunması istenmiştir.
Veri sorumlusunun savunması kapsamında (i) kamu kurumunun istemi üzerine ilgili kişiye ait kayıtlarında mevcut olan istirahat raporu, anamnez formları, epikriz raporları, konsültasyon formları, hasta medikal klinik seyir bilgileri, patoloji raporu ile radyoloji raporlarının CD içeriğinde görevli personele teslim edildiği, (ii) ilgili kişinin manevi tazminat ödenmesi talebinin 2577 sayılı İdari Yargılama Usulü Kanunu'nun “İdari Makamların Sükutu” başlıklı 10. maddesi kapsamında zımnen reddedildiği, (iii) kişisel verilerin KVKK'nın 8. maddesinin (2) numaralı fıkrasının (b) bendine dayalı olarak aktarıldığı, (iv) ilgili kişinin kişisel verilerinin silinmesi için üniversiteye herhangi bir müracaatının bulunmadığı ve (v) ilgili veriler doktor – hasta görüşmeleri neticesinde Hastane Bilgi Yönetim Sistemi'ne girildiği için verilerin silinemediği ifadelerine yer verilmiştir.
Kurul Kararı ve Yaptırımı
Kurul tarafından gerçekleştirilen inceleme kapsamında (i) veri sorumlusu tarafından kamu kurumuna teslim edilen sağlık verilerinin özel nitelikli kişisel veri olduğu, (ii) kamu kurumunun yazısında söz konusu verilerin talep edilmesinin sebebinin “yürütülmekte olan bir İdari Davaya esas teşkil etmek üzere” şeklinde belirtildiği, öte yandan ilgili kişinin şikayet dilekçesinde idare mahkemesi nezdinde devam eden dava dosyasında davacı tarafın söz konusu kamu kurumunda çalışan ilgili kişi ve davalı tarafın ise kamu kurumu olduğunun beyan edildiği, ilgili kişi ile kamu kurumu arasında devam eden idari dava nedeniyle talep edilen özel nitelikli kişisel verilerin veri sorumlusu üniversite tarafından kamu kurumuna aktarılmasına ilişkin işleme faaliyetinde KVKK'nın 6. maddesinde yer alan şartların mevcut olmadığı, (iii) veri sorumlusu tarafından kamu kurumunun yazısında talep edilenden fazla bilgi ve belgenin tesliminin gerçekleştirildiğinin tespit edildiği, veri sorumlusu tarafından ilgili soruları aşacak nitelikte veri minimizasyonu ilkesine aykırı olarak ve bu anlamda kişisel verilerin işlenmesinde işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri özel nitelikli kişisel veri aktarımının gerçekleştirildiği, (iv) ilgili kişini esrar maddesi kullanıldığına ilişkin verilerin ve bilgilerin silinmesi talebine veri sorumlusu tarafından cevap verilmediği, öte yandan Kişisel Sağlık Verileri Hakkında Yönetmelik'in 13. maddesi kapsamında ilgili kişinin kendisi hakkında sehven oluşturulduğunu iddia ettiği sağlık verilerine ilişkin öncelikle İl Sağlık Müdürlüğüne başvurulması gerekliliğine ve bu başvuru sonrasında sehven oluşturulan sağlık verilerinin düzeltilmesi için gerçekleştirilecek işlemlere yönelik bir düzenlemenin bulunduğu dikkate alındığında, ilgili kişinin KVKK'nın 11. maddesinin (1) numaralı fıkrasının (d) bendi kapsamında esrar maddesi kullanıldığına ilişkin verilerin düzeltilmesini veri sorumlusunun bağlı bulunduğu İl Sağlık Müdürlüğüne başvurmak suretiyle talep edebileceği ve (v) veri sorumlusunun başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırması gerektiği değerlendirmelerinde bulunulmuştur.
Söz konusu değerlendirmeler ışığında;
- ilgili kişiye ilişkin özel nitelikli kişisel veri olan sağlık verilerinin KVKK'ya aykırı olarak kamu kurumuna aktarıldığı ve talep edilen bilgiden daha geniş kapsamda bilgi paylaşıldığı dikkate alındığında, veri sorumlusu üniversite hastanesinin kişisel verilerin güvenliğine ilişkin gerekli her türlü teknik ve idari tedbiri alma yükümlülüğünü yerine getirmediği değerlendirildiğinden sorumlular hakkında KVKK'nın 18. maddesinin (3) numaralı fıkrası çerçevesinde disiplin hükümlerine göre işlem yapılmasına ve yapılan işlem hakkında Kurul'a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- ilgili kişinin esrar maddesi kullanıldığına ilişkin verilerin düzeltilmesini talep etme hakkı dikkate alındığında, veri sorumlusu tarafından gerek kendi bünyesinde ve gerektiği takdirde ilgili kişiyi de yönlendirmek suretiyle İl Sağlık Müdürlüğü nezdinde gerekli işlemlerin yapılması ve sonucundan Kurul'a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- şikayete konu edilen verilerin aktarıldığı kamu kurumu nezdinde de bu verilerin imha edilmesinin sağlanması hususunda gerekli işlemlerin tesis edilmesine ve yapılan işlemin sonucundan Kurul'a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- ilgili kişilerin KVKK kapsamındaki taleplerini KVKK'ya ve Veri Sorumlusuna Başvuru Tebliği'ne uygun olarak talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırması gerektiğinin veri sorumlusuna hatırlatılmasına ve
- ilgili kişinin kişisel verilerinin hukuka aykırı olarak işlenmesi nedeniyle uğradığı zararlara ilişkin tazminat talepleri hakkında, genel hükümlere göre yargı mercilerine başvurabileceği konusunda ilgili kişiye bilgi verilmesine
karar verilmiştir.
Söz konusu kararın tam metnine buradan ulaşabilirsiniz.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.