Kuruma intikal eden şikâyet dilekçesinde özetle,
Şikayetçinin aralarında boşanma davası devam eden eşinin, müşterek çocuklarını taciz ettiği iddiasıyla yargılanmakta olduğu, dosyanın istinaf aşamasında bulunduğu, ilgili kişinin eşinin istinaf dilekçesi ve eklerinde müşterek çocuklarına ait sağlık ve epikriz raporlarına yer verildiği, Şikayetçinin karşı tarafın İstinaf Mahkemesine vermiş olduğu epikriz raporlarında oğlu hakkında “yalan söyler, hırsızlık yapar” gibi cümlelerin olduğunu gördüğü, oğlunu çocuk psikiyatrisi bölümüne sadece dikkat dağınıklığı için muhtelif zamanlarda toplamda 3-4 kez muayeneye götürdüğü, ancak hiçbir zaman oğlunu yalan söylemesinden bahisle hastaneye götürmediği, yine İstinaf Mahkemesine sunulan raporların özel hayatın gizliliği hiçe sayılarak ve usulsüz olarak konuyla alakasız kişiler tarafından kendisinin haberi olmadan alındığı, alınan raporda değişiklik yapılarak Mahkemeyi yanıltılmak amacıyla karşı tarafa verildiği, Bunun üzerine, söz konusu sağlık raporlarının şikayetçi annenin izni olmadan bir Eğitim ve Araştırma Hastanesi (“Hastane”) tarafından hapiste bulunan eşinin vekiline verildiğinin anlaşıldığı, vekilin vekaletnamesinde ise bu konuda özel bir iznin bulunmadığı, Başlatılan araştırmalar kapsamında edindiği bilgilerden, Hastanede Arşiv Memuru olarak çalışan kişinin söz konusu raporları kendisinden sadece Hastane şefinin talep ettiği, diğer kişilerle bu konuda bir görüşmesinin olmadığı, bu talep üzerine çıktılar aldığı bunun yolu olarak sistemde kaydet butonuna basarak epikriz formu oluşturduğu, bu işlem sırasında bulgular ya da tanıda herhangi bir değişiklik yapmadığı ve çıktığı aldığını beyan ettiği, Hastanede Şef olarak çalışan kişinin söz konusu raporlara ilişkin talep üzerine ilk etapta belgeleri vermeyip amirine danıştığı, geçmişte konu ile ilgili mevcut olan bir görüş yazısı ve İl Sağlık Müdürlüğünün avukatı ile yaptığı görüşme üzerine raporları alma talebi ile başvuran kişilerin ikinci gelişlerinde bu raporları veremeyeceğini beyan ettiği, Çocuk Hastalıkları Uzmanı doktorunun ise söz konusu belgeleri şikayetçinin eşinin vekiline kendisi tarafından verildiğini kabul ettiği, başvuru esnasında avukatın kimliği, vekâletnamesi, nüfus kayıt örneği, babaya ait dilekçeleri inceleyerek uygun olduğunu gördüğü, belgelerin imzalanıp kaşelenmeden resmi hüviyet kazanamayacağı, idareden resmi onaylı nüshanın talep edilmesi gerektiği hususlarının avukata açıkça beyan edildiği, Ancak şikayetçinin çocuğunu söz konusu doktora hiç muayeneye götürmediği, Konu hakkında ilgili Cumhuriyet Başsavcılığına suç duyurusunda bulunulduğu, ancak doktorun açık ikrarına rağmen Valilikçe soruşturma izninin verilmediğihususları ifade edilerek ilgili kişinin kişisel verilerini 6698 sayılı Kişisel Verilerin Korunması Kanununa (Kanun) aykırı olarak işleyen ve velisinin rızası dışında kullanan veri sorumlusu hakkında gerekli idari yaptırımların uygulanması talep edilmiştir.
Şikayet dilekçesinin ekinde yer alan ilgili Valilik İl İdare Kurulu Müdürlüğünce alınan Kararda özetle,
İlgili kişinin çocuğuna ait olan 11 adet epikriz raporunun sisteme doktorlar tarafından eklenmesi gerekirken arşiv memuru tarafından eklendiği, Raporların log kayıtlarının incelendiği ve raporlarda değişiklik yapılmadığının görüldüğü, Hastane Bilgi İşlem Müdürlüğü tarafından söz konusu hastanedeki tüm poliklinik hasta kayıt personeli ve doktorların tüm hastaların dosyalarını görme yetkisine sahip olduğu, hastane otomasyon sisteminde ekleme, silme ve değiştirme işlemlerinde log kaydı tutulduğu, hastaların bilgilerinin görüntülenmesi noktasında ise log kaydı tutulmadığına ilişkin bilgi verildiği, Raporları vekile teslim eden doktorun, başvuran kişinin avukat olması ve müvekkilinin çocuğuna dair sağlık bilgilerini talep etmesi nedeniyle raporları teslim ettiğini belirttiği, Doktorun söz konusu belgeleri verdiği ikrarı ile bu davranışının gerekçelerinin birlikte değerlendirilmesi neticesinde, çocuk hastalıkları uzmanı olarak görev yapan hekimin yoğun poliklinik şartları, gece nöbetleri ve diğer görevleri esnasında, kendisine yapılan tüm taleplerle ilgili yasaları bilmesinin ve/veya hatırlamasının mümkün olmadığı, muhatap olduğu hastaların kendisini ifade edemeyecek, kendisi ile ilgili karar alamayacak durumda olan 18 yaşın altındaki bireylerden oluşması ve hastaları ile ilgili tüm bilgileri ve açıklamaları hastası konumundaki çocukların ailelerine izah etme/belge verme zorunluluğunun olması, talep eden avukatın istediği belgeleri mahkeme yoluyla da elde edilebileceği, imzasız ve kaşesiz olarak bilgilendirme amacıyla verildiği, doktorun bilerek ve isteyerek bir kişinin mağduriyetine sebep olma isteği taşıyamayacağının anlaşıldığıbelirtilerek, Valilik tarafından soruşturma izni verilmemesine karar verildiği bilgileri yer almaktadır.
Bu çerçevede konuya ilişkin başlatılan inceleme çerçevesinde söz konusu şikayet dilekçesinde yer alan iddialar kapsamında Sağlık Bakanlığının açıklamalarına başvurulmuş olup, konuya ilişkin ilgili Valilik İl Sağlık Müdürlüğü tarafından verilen cevapta özetle,
Şikayete konu doktor ve arşiv memurunun kamu personeli ve sağlık çalışanı olmaları nedeniyle sır saklama yükümlülüğü altında bulundukları, Sağlık çalışanlarının hastalara ait kişisel verilere erişmelerinin sağlık hizmetinin sunulması için bir zorunluluk olduğu, erişim yetkisinin sağlık hizmetinin sunumu açısından zorunlu olması sebebiyle, şikayete konu olan kişilerin de dahil olduğu meslek grubu olan sağlık çalışanlarının ve kamu personelinin sır saklama yükümlülüklerinin pek çok temel mevzuatta düzenlendiği ve bu erişim yetkisinin hasta mahremiyetini zedeleyecek şekilde kötüye kullanılmasının yaptırımlara bağlandığı, Şikayete konu edilen olayın Bakanlığa bağlı bir hastanede gerçekleştiği, Bakanlığın veri işleme faaliyetinin sebebinin 6698 sayılı Kanunun 6 ncı maddesinde tanımlanan "tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi" dahilinde olduğu ve dolayısıyla da sağlık çalışanlarının hasta dosyalarına sağlık hizmetinin sunulması kapsamında erişimlerinin bulunmasının Kanun kapsamında hukuki dayanağının bulunduğu, 21.06.2019 tarihli Resmi Gazetede yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmeliğin 6 ncı maddesinde, sağlık personelinin verilere erişimine ilişkin şartların belirlenmiş olduğu ve buna göre, sağlık hizmet sunumunda görevli kişilerin, ilgili kişinin sağlık verilerine ancak, verilecek olan sağlık hizmetinin gereği ile sınırlı olmak kaydıyla erişebileceğinin düzenlendiği, Şikâyete konu olaydan tamamen bağımsız olarak düşünüldüğünde, sağlık çalışanlarına, çalıştıkları pozisyon ve sahip oldukları unvan gereğince ve verilecek sağlık hizmetinin gereği ile sınırlı olmak kaydıyla hasta verilerine erişim yetkisi verilmesinin hukuka uygun olduğu, Hekimlerin hastaların sağlık verilerine geçmiş hastalık öykülerini, tedavilerini öğrenmek ve mevcut rahatsızlıkları için tedaviyi belirlemek adına erişim sağladıkları, Aynı şekilde arşiv memurlarının da, yaptıkları işle ilintili olarak hastaların dosyalarına erişim ihtiyacı olan sağlık çalışanları oldukları, bu kişilerin hasta dosyalarına erişiminin kısıtlanmasının, sağlık hizmetinin sunumunu aksatacak, insan sağlığı açısından telafisi imkansız sonuçlara yol açabileceği, Dolayısıyla, bahsi geçen olaydaki meslek gruplarının, yani bir uzman doktorun ve arşiv memurunun hasta kayıtlarına meslekleri icabı erişme zorunluluğu bulunduğu, bu kişilerin, sağlık hizmetinin sunumu esnasında amaçla sınırlı olmak kaydıyla hasta kayıtlarına erişmelerinde kişisel verilerin korunmasına ilişkin mevzuata aykırı bir husus bulunmadığının değerlendirildiği, Nihai değerlendirmelerinde Sağlık Bakanlığının kişisel veri işleme faaliyetlerinin dayanağını yürürlükteki mevzuattan aldığı, sağlık hizmetinin sunumu ile bağlantılı konularda, bu amacı aşmamak kaydıyla sağlık çalışanlarının hasta kayıtlarına erişmesinin mümkün olduğu, hasta kayıtları üzerinde yapılan her türlü değişikliğin log kaydının tutulduğu, Hekimlerin sadece kendileri üzerinden kayıtları açılmış hastaların dosyalarına erişmesinin veya arşiv memurlarının erişebilecekleri hasta dosyalarının kısıtlanmasının, sağlık hizmetinin doğası ile bağdaşmadığı, bir hekimin, kendi hastası olmayan bir hastaya doğrudan veya dolaylı olarak sağlık hizmeti sunabildiği, bir başka hekime konsültasyon verebildiği, bu sebeple de hastanedeki hekimlerin ve hasta dosyalarının muhafazasından sorumlu arşiv memurlarının hasta dosyalarına erişmesinde hukuka aykırılık görülmediği, Başvuruya konu olan olayda hukuka aykırılık, eğer gerçekten vuku buldu ise (yargısal süreç halen devam etmekte olduğu belirtilmekte), insan faktöründen kaynaklandığı, sağlık sektörünün doğası gereği, insan faktörünün tamamen gözden çıkarılamadığı, bununla birlikte Sağlık Bakanlığının caydırıcılığını arttırmak ve hasta mahremiyetini sağlamlaştırmak için idari, hukuki, cezai müeyyidelerin takipçisi ve uygulayıcısı olduğu, sayısız resmi yazı ile sayısız kurum ve kuruluşa hasta mahremiyeti ve kişisel verilerin korunmasına ilişkin talimatlandırma yaptığı, tüm bunlar birlikte değerlendirildiğinde olayda Bakanlığa atfedilebilecek bir güvenlik açığı tespit edilmediğinin düşünüldüğühususları bildirilmiştir.
Konuya ilişkin yapılan inceleme neticesinde Kişisel Verileri Koruma Kurulunun 06/08/2021 tarih ve 2021/761 sayılı Kararı ile,
Kanunun “Özel Nitelikli Kişisel Verilerin İşlenme Şartları” başlıklı 6 ncı maddesinindeğerlendirmelerinden hareketle
Veri sorumlusu Sağlık Bakanlığı bünyesindeki çalışanların tereddütte kalmadan takip edebilecekleri sistemli, kuralları net, yönetilebilir ve sürdürülebilir ayrı bir politika hazırlaması gerektiği hususunda veri sorumlusunun talimatlandırılmasına, İdari bir tedbir olarak ilgili Eğitim ve Araştırma Hastanesi çalışanlarının kişisel verilerin korunması uyum çalışmaları kapsamında eğitim alması, bu eğitimde özel nitelikli kişisel verilerle muhatap olan hastane personelinin kişisel verilerin işlenmesinde yetki kapsamlarına açıkça yer verilmesi ve alınan eğitim belgelerinin Kuruma sunulması hususunda veri sorumlusunun talimatlandırılmasına, Kişisel verilerin güvenliğinin sağlanması açısından teknik bir tedbir olarak hastane otomasyon sisteminin erişim loglarının görüntüleme işlemi de dâhil olmak üzere tutulmasını sağlamak için sistemin güncellenmesi ve Kuruma bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına, Hastanedeki tüm doktor ve hasta kayıt personelinin tüm hasta kayıtlarına erişmesi yerine, yalnızca hastaların muayene ve tedavisi ile ilgili olarak çalışan personelin ve doktorların söz konusu verilere erişmesine dair yetki matrisinin net bir şekilde ortaya konulması hususunda veri sorumlusunun talimatlandırılmasına, Hastane otomasyon sisteminden hasta kayıt örneklerinin çıktı alınması konusunda belirli prosedürlerin ve yetkili personelin belirlenmesi hususunda veri sorumlusunun talimatlandırılmasına, bu çerçevede kişisel verilerin korunması hususunda verilen tüm talimatlara ilişkin yapılan işlemlerin sonucundan Kurula bilgi verilmesine, Veri sorumlusu bünyesinde çalışan kişinin, ilgili kişinin çocuğuna ait özel nitelikli kişisel verileri ilgili avukata 6698 sayılı Kanunun 8 inci maddesinde yer alan aktarım şartlarından herhangi birine dayanmadan aktardığı, bu çerçevede veri sorumlusu tarafından Kanunun 12 nci maddesi kapsamında gerekli idari ve teknik tedbirlerin alınmadığı kanaatine varıldığından, Kanunun 18 inci maddesinin (3) numaralı fıkrası uyarınca ilgili kamu kurum ve kuruluşundaki sorumlular hakkında disiplin hükümlerine göre işlem yapılmasına ve sonucundan Kurula bilgi verilmesinekarar verilmiştir.