🔍 Kişisel Verileri Koruma Kurulu’nun Sağlık Sektörüne İlişkin Önemli Kararı
Kişisel Verileri Koruma Kurulu,2023/692 sayılı kararında, bir sağlık kuruluşu tarafından sunulan sağlık hizmetinin açık rıza şartına bağlanmasını inceledi. Karar, açık rızanın ne şekilde alınması gerektiği ve hangi sınırlar içerisinde kalması gerektiği konusunda sektör için önemli bir rehber niteliğinde.
📋 Kararın Arka Planı:
Kurul’a iletilen ihbara göre, sağlık kuruluşunun internet sitesinde randevu almak isteyen kullanıcılar, sağlık hizmetlerinden ve duyurulardan haberdar olmak için kişisel verilerinin işlenmesine onay vermek zorunda bırakılıyordu. Tanıtım kutucuğuna onay verilmediği sürece randevu işlemi tamamlanamıyordu.
🏥 Veri Sorumlusunun Savunması:
Veri sorumlusu, randevu işlemleri sırasında kişisel bilgilerin kimlik doğrulama ve aydınlatma metninin iletilmesi amacıyla zorunlu olduğunu belirtti. Ayrıca, tanıtım onayı kutucuğunun isteğe bağlı olduğunu savundu. Ancak Kurul, ihbar ekindeki ekran görüntülerini incelediğinde, bu onay kutucuğunun işaretlenmemesi durumunda randevu işleminin tamamlanamadığını tespit etti.
❗ Kurul’un Tespitleri:
Kurul, veri sorumlusunun internet sitesindeki randevu sayfasında kişisel verilerin işlenmesini Kanun’un 5. maddesinin 2. fıkrasındaki belirli hukuki dayanaklara bağladığını belirtse de, tanıtım amacıyla veri işleme faaliyetinin Kanun’un 1. fıkrasında düzenlenen açık rıza şartına dayandırıldığını tespit etti. Ancak, açık rıza işlevini gören onay kutucuğunun işaretlenmemesi durumunda randevu işleminin tamamlanamaması, açık rızanın zorunlu hale getirildiğini gösteriyordu. Bu uygulama, başvurudan sonra düzeltilmiş olsa da, önceki randevu işlemlerinde bu şekilde uygulandığı anlaşıldı.
Kurul ayrıca, açık rızanın belirli bir konuya özgülenmesi ve o konu ile sınırlı olması gerektiğini vurguladı. Genel nitelikte rıza alınmasının mümkün olmadığını, kişilerin neye rıza gösterdiğini bilerek ve özgür iradesiyle rıza göstermesi gerektiğini belirtti. Bilgilendirmenin, veri işleme faaliyetinin tüm boyutlarını kapsaması ve rızanın sonuçları hakkında tam bilgi sunulması gerektiği de kararda vurgulandı.
Kurul, randevu formunda işlenmesi gereken verilerin Kanun’un diğer işleme şartlarına dayanarak işlenebileceğini, ancak açık rıza şartına dayanılmasının aldatıcı ve hakkın kötüye kullanımı olarak değerlendirildiğini belirtti. Bu durumun, Kanun’un 4. maddesindeki hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırılık teşkil ettiğine karar verildi.
💸 İdari Para Cezası:
Kurul, bu gerekçelerle sağlık kuruluşuna 300.000 TL idari para cezası uyguladı. Ayrıca, açık rıza metinlerinin düzenlenmesi ve sonucunun Kurul’a bildirilmesi gerektiği talimatı verildi.
📜 Sonuç:
Bu karar, sağlık sektörü başta olmak üzere tüm veri sorumluları için açık rızanın doğru ve hukuka uygun bir şekilde nasıl alınması gerektiği konusunda önemli bir rehberdir. Veri sorumlusu tarafından sunulacak herhangi bir hizmetin, kişisel verilerin işlenmesine ilişkin verilecek açık rızaya bağlanmaması ve ayrıca açık rıza dışında veri işleme şartları varken, ayrıca açık rıza alınmaması gerektiğini bir kez daha vurgulanmıştır.
Kararın Tam Metni: https://www.kvkk.gov.tr/Icerik/7691/2023-692
#kvkk #sağlık #hizmet #açıkrıza
source