KVKK ve Hasta Verisi — AI Çağında Mahremiyet

Neden KVKK ve hasta verisi konusu hekim için kritik?

6698 sayılı Kişisel Verilerin Korunması Kanunu sağlık verisini **özel nitelikli kişisel veri** sayar. 7499 sayılı Kanunla (yürürlük 1 Haziran 2024) 6. madde değişti: özel nitelikli veriler açık rızayla veya kanunda sayılan sebeplerle işlenebilir. Sağlık verisi için öne çıkan sebep, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım ile sağlık hizmetlerinin planlanması amacıyla **sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca** işlemedir.

Bir yapay zekâ hizmetine hasta verisi aktarmak ayrı bir işleme faaliyetidir: amaç, hukuki sebep, aydınlatma ve yurt dışına aktarım koşulları (KVKK m.9) ayrıca değerlendirilmelidir.

Kanunun 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranında güncellenir; güncel tutarlar için Kurum duyurularına bakın. Kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya ele geçirilmesi ayrıca Türk Ceza Kanunu m.135-136 kapsamında suç oluşturabilir.

Hasta verisi bir yapay zekâ aracına girilebilir mi?

Genel kural: **kimliği belirli veya belirlenebilir hasta verisini, kurumunuzun KVKK değerlendirmesinden geçmemiş bir araca girmeyin.** Güvenli seçenekler:

• **Anonim hale getirilmiş veri**: kişiyle ilişkilendirilemeyecek hale getirilmiş veri artık kişisel veri değildir. Yalnız isim ve T.C. kimlik numarasını silmek çoğu zaman yeterli değildir; tarih, yer ve nadir tanı birleşimi kişiyi belirlenebilir kılabilir.
• **Kurumsal olarak değerlendirilmiş araç**: veri sorumlusunun hukuki sebebi, veri işleyenle yazılı sözleşme, güvenlik tedbirleri ve (varsa) yurt dışı aktarım dayanağı belirlenmiş olmalıdır.

Pratik kural: klinik soruyu hastayı tanımlamadan sorun. “Kreatinin 1,4 mg/dL olan 70 yaşındaki bir hastada eGFR” sorusu kişisel veri içermez; hastanın adı, dosya numarası veya ayırt edici ayrıntıları eklendiğinde durum değişir.

Anonim hale getirme

Kurumun “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi” yöntemleri açıklar. Temel adımlar:

• **Doğrudan tanımlayıcıları çıkarın**: ad, soyad, T.C. kimlik no, dosya/protokol numarası, adres, telefon, e-posta, yüz görüntüsü.
• **Dolaylı tanımlayıcıları genelleştirin**: kesin yaş yerine yaş aralığı, kesin tarih yerine dönem, küçük yerleşim yeri yerine bölge.
• **Yeniden tanımlama riskini değerlendirin**: k-anonimlik gibi ölçütler ve kurum içi tekrar tanımlama testi toplu veri setlerinde yararlıdır.

Toplu veri seti paylaşımlarında anonimleştirme kurumsal düzeyde, veri koruma uzmanının katılımıyla yapılmalıdır.

Veri sorumlusu kimdir?

• **Muayenehanesinde çalışan hekim**: genellikle veri sorumlusudur.
• **Hastanede çalışan hekim**: veri sorumlusu çoğu durumda hastanedir. Çalışanlar veri sorumlusunun bünyesinde işlem yapar; Kurum yaklaşımına göre çalışanlar ayrı bir “veri işleyen” sayılmaz.
• **Yapay zekâ hizmeti sağlayıcısı**: veriyi veri sorumlusu adına işliyorsa veri işleyendir. KVKK m.12 uyarınca veri sorumlusu, veri işleyenle birlikte güvenlik tedbirlerinden müştereken sorumludur; yazılı bir veri işleme sözleşmesi bu nedenle yerleşik uygulamadır.

Hastanın verisinin hangi sistemlere aktığını bilmeden o sisteme veri girmeyin.

Bir yapay zekâ sağlayıcısını değerlendirirken sorulacaklar

• Veri hangi ülkede işleniyor; yurt dışına aktarımın KVKK m.9’daki dayanağı nedir?
• Sorgular ve yüklenen dosyalar ne kadar süre saklanıyor, nasıl siliniyor?
• Girdiler model eğitimi için kullanılıyor mu; bu kapatılabiliyor mu?
• Veri ihlalinde veri sorumlusuna ne kadar sürede bildirim yapılıyor? (Veri sorumlusunun Kurula bildirimi için Kurul kararıyla 72 saat öngörülmüştür.)
• Yazılı bir veri işleme sözleşmesi ve teknik-idari tedbir listesi sunuluyor mu?
• VERBİS kaydı ve bağımsız güvenlik denetimleri var mı?