Kişisel Verileri Koruma Kurulu (“Kurul”), şikayetçi doktorun (“Şikayetçi”) ihbarı (“İhbar”) sonucu, veri sorumlusu Hastanede (“Veri Sorumlusu”) ilgili kişi olan kronik hastaların (“İlgili Kişiler”) hasta kayıtlarının yerel bilgisayarlar ve hastane veri sistemine kaydedildiği, ilgili kişilerden alınan kan, serum ve doku örneklerinin (“Örnekler”) projelendirilmek üzere uygun ortamda saklandığı ve Veri Sorumlusunun Örnekleri uygun koşullarda saklamaya yönelik gereken özeni göstermemesi sonucu bozulmalarına neden olduğu, bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 12. maddesi uyarınca veri güvenliğine ilişkin yükümlülükleri yerine getirmediği yönündeki ihbarına ilişkin 30.10.2019 tarihli ve 2019/316 sayılı kararı (“Karar”) verdi.
Veri Sorumlusu, Kurula sunduğu savunma kapsamında, (i) verileri kaydedilen İlgili Kişilerin halihazırda tedavileri takip edilen hastalar olduğunu ve hasta mahremiyetinin korunduğu, (ii) Örneklerin tutulduğu buzdolaplarının arıza verene kadar kullanılmadığı, arızaya ilişkin kayıtların tutulduğu, Örneklerin kullanılıp kullanılamayacağının araştırıldığı ve bozulduğu için imha edildiği, (iii) Örneklere ilişkin ilgili hastaların onam formlarının olmadığı ve Örneklerin bozulmuş olması nedeniyle hastalarla kimlik eşleştirmesi yapılmasının bilimsel kıymeti olmadığı, (iv) Örneklere ilişkin onam formu olmadığı için yapılacak analizlerin bilimsel etik kurallarına uymayacağı, zaten bozulması nedeniyle analize tabi tutulmadığı ve başka araştırmalarda kullanılmadığını belirtmiştir.
İhbarı ve Veri Sorumlusunun savunmasını inceleyen Kurul, (i) İlgili Kişilerden toplanan Örneklerin hastanın kimliğine ulaşılabilecek şekilde saklanmasından dolayı kişisel veri olarak değerlendirilmesi gerektiğini, (ii) söz konusu kişisel verilerin belli kriterlere göre sınıflandırılarak kayda alınmasının kişisel veri işleme faaliyeti olduğunu, (iii) KVKK’nın 28. maddesinin 1. fıkrasının (c) bendi uyarınca kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, bilimsel amaçlarla işlenmesi durumunda KVKK hükümlerinin uygulanamayacağını tespit etmiş ve bu aşamada İhbar hakkında bir işlem yapılmamasına karar vermiştir.
Kararın tam metnine aşağıdaki linkten ulaşabilirsiniz.
