Çalışan Sağlık Verileri ve KVKK: Muayene Sonuçları Nerede, Nasıl Saklanır?

Sağlık gözetimi yürüten her işveren, farkında olsun ya da olmasın, özel nitelikli kişisel veri işlemektedir. Muayene formları, tetkik sonuçları, tanılar ve uygunluk kararları bu kapsamdadır. Mevzuat bu verilere en yüksek koruma seviyesini tanır; buna karşılık sahada bu belgelerin özlük dosyasının arasında, herkesin erişebildiği bir dolapta durduğu sık görülür.

Sağlık verisi neden özel?

Kişisel Verilerin Korunması Kanunu, bazı veri kategorilerini özel nitelikli olarak tanımlar ve bunlara ayrı bir rejim uygular. Sağlık verileri bu kategorinin içindedir. Gerekçesi açıktır: bu verilerin hukuka aykırı işlenmesi, kişi için ayrımcılık ve mağduriyet riski taşır.

Kanun, sağlık verilerinin ancak sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebileceğini öngörür. Bu nedenle çalışanın tıbbi verilerinin doğal muhatabı işyeri hekimidir; insan kaynakları departmanı değil.

Kim neyi görebilir?

Uygulamadaki en kritik ayrım budur ve doğru kurulduğunda hem uyumu hem de çalışan güvenini sağlar.

İşyeri hekimi

Anamnez, tanılar, tetkik değerleri, kullanılan ilaçlar ve tüm tıbbi ayrıntıya erişir. Bu bilgiler kişisel sağlık dosyasında tutulur ve hekimin mesleki sır yükümlülüğü altındadır.

İşveren ve insan kaynakları

Yalnızca sonuç bilgisine erişir: çalışan işe uygun mu, değil mi, varsa kısıt nedir? Tanı bilgisi, tetkik değeri ve tıbbi ayrıntı işverene iletilmez ve iletilmemelidir.

Bu ayrım pratikte şöyle görünür: insan kaynakları dosyasında “çalışabilir” kararı ve “ağır yük kaldırmamalı” kısıtı yer alır. “Lomber disk hernisi” tanısı yer almaz. Yönetici, çalışanın neden ağır kaldıramayacağını bilmek zorunda değildir; bilmesi gereken tek şey kısıtın kendisidir.

Yöneticiler

Yalnızca kendi ekiplerindeki çalışanların görev kısıtlarına erişir. Bu erişim, kısıtın operasyona yansıtılabilmesi için gereklidir ve bununla sınırlı kalmalıdır.

Saklama süreleri

Kişisel sağlık dosyaları, çalışanın işten ayrılma tarihinden itibaren en az on beş yıl saklanır. Bu süre keyfi değildir; meslek hastalıklarının ortaya çıkması yıllar alabildiği için, geriye dönük değerlendirme yapılabilmesi amacıyla belirlenmiştir.

Bazı maruziyetlerde süre çok daha uzundur. Kanserojen veya mutajen maddelerle ve asbestle çalışılan işyerlerinde, maruziyete ilişkin kayıtların maruziyetin sona ermesinden itibaren onlarca yıl saklanması gerekir. Bu tür maruziyetin bulunduğu işletmelerde arşivleme stratejisinin buna göre kurulması gerekir.

Çalışan işten ayrıldığında sağlık dosyasının imha edilmesi, sık yapılan ve ciddi sonuçlar doğuran bir hatadır. Yıllar sonra açılacak bir meslek hastalığı dosyasında, işverenin savunmasını dayandırabileceği tek veri kaynağı bu dosyadır.

Pratik uygulama önerileri

1. Sağlık dosyalarını özlük dosyasından fiziksel veya dijital olarak ayırın. Aynı klasörde tutulmamalıdırlar.
2. Erişim yetkilerini rol bazında tanımlayın ve kayıt altına alın; kimin ne zaman hangi dosyaya eriştiği izlenebilir olsun.
3. İnsan kaynakları sistemine yalnızca uygunluk kararı ve kısıt bilgisini girin; tanı ve tetkik değeri girmeyin.
4. Fiziksel arşiv kullanıyorsanız kilitli ve erişimi sınırlı bir alan ayırın.
5. Dijital arşivde şifreleme ve yedekleme uygulayın.
6. Aydınlatma metnini sağlık gözetimi sürecini kapsayacak şekilde hazırlayın ve çalışanlara tebliğ edin.
7. Hizmet aldığınız kuruluşla veri işleyen ilişkisini sözleşmeyle tanımlayın.
8. Saklama sürelerini ve süre sonunda imha prosedürünü yazılı hale getirin.

Aydınlatma ve rıza ayrımı

Sağlık gözetimi kanundan doğan bir yükümlülük olduğu için, bu kapsamda yapılan veri işleme faaliyeti genellikle ayrı bir açık rızaya dayanmaz; hukuki dayanak mevzuattan gelir. Ancak bu, aydınlatma yükümlülüğünü ortadan kaldırmaz.

Çalışana; hangi verilerin işlendiği, hangi amaçla işlendiği, kimlerle paylaşıldığı, ne kadar süreyle saklandığı ve hakları açıkça bildirilmelidir. Bu bildirim, muayene sürecinin başında yapılmalıdır.

Öte yandan, mevzuatın gerektirdiğinin ötesine geçen tetkikler için durum değişir. Gerekliliği ortaya konulamayan bir test için ayrı bir dayanak aranır ve bu, veri minimizasyonu ilkesiyle de doğrudan ilgilidir: yalnızca işin gerektirdiği kadar veri toplanmalıdır.

Dış hizmet alırken dikkat edilmesi gerekenler

Sağlık gözetimini dışarıdan hizmet alarak yürüten işletmelerde veri sorumluluğu ortadan kalkmaz. Hizmet sağlayıcısıyla ilişkinin sözleşmeyle tanımlanması, verilerin nerede saklandığının bilinmesi ve erişim koşullarının netleştirilmesi gerekir.

Sorulması gereken sorular: Veriler nerede ve hangi güvenlik önlemleriyle saklanıyor? Erişim yetkileri nasıl tanımlanmış? Sözleşme sona erdiğinde veriler ne olacak? Bir veri ihlali durumunda bildirim süreci nasıl işleyecek? Arşiv, saklama süresi boyunca erişilebilir kalacak mı?

Sonuç

Sağlık gözetimi ile veri koruma yükümlülükleri aynı sürecin iki yüzüdür. Muayeneyi eksiksiz yapıp sonuçları özensiz saklamak, bir uyum sorununu çözerken diğerini yaratır. Doğru kurulmuş bir yapıda ise iki yükümlülük birbirini destekler: tıbbi ayrıntı hekimde kalır, işveren yalnızca ihtiyacı olan sonucu görür ve tüm kayıtlar erişilebilir biçimde ama korunaklı olarak saklanır.

Bu yapıyı kurmak için gereken teknik altyapı, çoğu işletmenin kendi imkânlarıyla sağlayabileceğinden fazladır. Muayene, tetkik ve arşivleme süreçlerini erişim yetkileri tanımlanmış dijital bir sistemde yürüten yetkili bir kuruluşla çalışmak, hem operasyonel hem de uyum açısından pratik çözümdür. Hizmet kapsamı ve arşiv altyapısına ilişkin ayrıntılar ilgili hizmet sayfasında paylaşılıyor.