KVKK és betegadatok – magánszféra az MI korában

Miért kritikus téma a KVKK és a betegadatok kérdése az orvos számára?

A 6698. sz. török személyesadat-védelmi törvény (Kişisel Verilerin Korunması Kanunu, KVKK) az egészségügyi adatokat **különleges személyes adatnak** tekinti. A 7499. sz. törvény (hatályos 2024. június 1-től) módosította a 6. cikket: a különleges személyes adatok kifejezett hozzájárulással vagy a törvényben felsorolt jogalapok alapján kezelhetők. Egészségügyi adatok esetében a legfontosabb jogalap a közegészségügy védelme, a megelőző orvoslás, az orvosi diagnózis, a kezelés és az ápolás, valamint az egészségügyi szolgáltatások tervezése céljából, **titoktartási kötelezettség alá eső személyek vagy arra jogosult intézmények** által végzett adatkezelés.

Betegadatok továbbítása egy MI-szolgáltatásnak önálló adatkezelési tevékenység: a célt, a jogalapot, a tájékoztatást és a külföldre történő adattovábbítás feltételeit (KVKK 9. cikk) külön kell értékelni.

A törvény 18. cikkében szereplő közigazgatási bírságok összegét minden évben az újraértékelési rátának megfelelően aktualizálják; az aktuális összegekért tekintse meg a török adatvédelmi hatóság (Kişisel Verileri Koruma Kurumu) közleményeit. A személyes adatok jogellenes rögzítése, átadása vagy megszerzése ezenfelül a török Büntető Törvénykönyv (Türk Ceza Kanunu) 135–136. cikke alapján bűncselekménynek is minősülhet.

Bevihetők-e betegadatok egy MI-eszközbe?

Általános szabály: **azonosított vagy azonosítható betegadatot ne vigyen be olyan eszközbe, amely nem ment át intézménye KVKK-értékelésén.** Biztonságos lehetőségek:

• **Anonimizált adatok**: az olyan adat, amely már nem kapcsolható személyhez, többé nem személyes adat. Pusztán a név és a török személyi azonosító szám (T.C. kimlik no) törlése többnyire nem elegendő; a dátum, a helyszín és egy ritka diagnózis együttese azonosíthatóvá teheti a személyt.
• **Intézményileg értékelt eszköz**: meg kell határozni az adatkezelő jogalapját, az adatfeldolgozóval kötött írásos szerződést, a biztonsági intézkedéseket és (adott esetben) a külföldre történő adattovábbítás jogalapját.

Gyakorlati szabály: a klinikai kérdést a beteg azonosítása nélkül tegye fel. Az „eGFR egy 70 éves betegnél, akinek kreatininszintje 1,4 mg/dL” kérdés nem tartalmaz személyes adatot; ha hozzáadja a beteg nevét, kórlapszámát vagy megkülönböztető részleteit, a helyzet megváltozik.

Anonimizálás

A hatóság „Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi” című útmutatója (útmutató a személyes adatok törléséről, megsemmisítéséről és anonimizálásáról) ismerteti a módszereket. Az alapvető lépések:

• **Távolítsa el a közvetlen azonosítókat**: családi és utónév, török személyi azonosító szám, kórlap-/protokollszám, cím, telefonszám, e-mail-cím, arcot ábrázoló kép.
• **Általánosítsa a közvetett azonosítókat**: pontos életkor helyett korcsoport, pontos dátum helyett időszak, kis település helyett régió.
• **Értékelje az újraazonosítás kockázatát**: összesített adatkészleteknél hasznosak az olyan mérőszámok, mint a k-anonimitás, valamint a belső újraazonosítási teszt.

Összesített adatkészletek megosztásakor az anonimizálást intézményi szinten, adatvédelmi szakember bevonásával kell elvégezni.

Ki az adatkezelő?

• **Saját magánrendelőjében dolgozó orvos**: általában ő az adatkezelő.
• **Kórházban dolgozó orvos**: az adatkezelő a legtöbb esetben a kórház. A munkavállalók az adatkezelő szervezetén belül végeznek műveleteket; a hatóság megközelítése szerint a munkavállalók nem minősülnek külön „adatfeldolgozónak”.
• **MI-szolgáltató**: ha az adatokat az adatkezelő nevében kezeli, adatfeldolgozó. A KVKK 12. cikke értelmében az adatkezelő az adatfeldolgozóval együttesen felel a biztonsági intézkedésekért; ezért bevett gyakorlat az írásos adatfeldolgozási szerződés.

Ne vigyen be adatot egy rendszerbe, amíg nem tudja, milyen rendszerekbe áramlanak a beteg adatai.

Kérdések egy MI-szolgáltató értékeléséhez

• Melyik országban kezelik az adatokat; mi a külföldre történő továbbítás jogalapja a KVKK 9. cikke szerint?
• Mennyi ideig őrzik meg a lekérdezéseket és a feltöltött fájlokat, és hogyan törlik őket?
• Felhasználják-e a bemeneteket a modell tanításához; kikapcsolható-e ez?
• Adatvédelmi incidens esetén mennyi időn belül értesítik az adatkezelőt? (Az adatkezelő hatóság felé történő bejelentésére a Kişisel Verileri Koruma Kurulu – a török adatvédelmi testület – határozata 72 órát ír elő.)
• Biztosítanak-e írásos adatfeldolgozási szerződést, valamint a technikai és szervezési intézkedések listáját?
• Van-e VERBİS-regisztrációjuk (az adatkezelők török nyilvántartása) és független biztonsági auditjuk?