Aşı ve PCR Testi Zorunluluğunun 6698 Sayılı KVKK Yönünden Değerlendirilmesi

KVKK 4’üncü maddesinde kişisel verilerin işlenmesindeki genel ilkeler sayılmıştır. Bunlar:

  • Hukuka ve dürüstlük kurallarına uygun olma
  • Doğru ve gerektiğinde güncel olma
  • Belirli, açık ve meşru amaçlar için işlenme
  • İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
  • İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesidir. 

KVKK 6’ıncı maddesi 1’inci fıkrasında sağlık bilgileri özel nitelikli hassas veriler arasında sayılmıştır. Madde 6/2 gereği “özel nitelikli kişisel veriler” in ilgili kişinin açık rızası olmadan işlenemez. Ancak aynı maddenin 3’ üncü fıkrasınca sağlık ve cinsel hayata dair kişisel veriler kanunla düzenlenmesi halinde açık rıza aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak:

  • Kamu sağlığının korunması, 
  • Koruyucu hekimlik, 
  • Tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, 
  • Sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

İşverenler maddede sayılan yetkilendirilmiş kişiler değillerdir. Fakat işçilerin sağlık verilerinin işlenmesi konusundaki belirsizliğin önüne geçilmesi maksadıyla iş yeri hekiminin varlığına göre bir değerlendirme yapılabilir. İşverenlerin işyerlerinde İş Sağlığı ve Güvenliği Kanunu gereği hekim bulundurması gerekmektedir. Böylelikle işçilerin sağlık verileri kanunca yetkilendirilmiş kişi tarafından işlenecektir. Hekim tarafından işlenen özel nitelikteki sağlık verilerinin işverenle paylaşılması konusu oldukça tartışmalıdır. 6698 sayılı KVKK ile 6331 sayılı İş Sağlığı ve Güvenliği Kanunu arasında bu tartışma konusuna dair bir fikir birliği bulunmamaktadır. Kanaatimizce işyeri hekimi tarafından işçilerin sağlık bilgilerinin işverenle paylaşılması başta hukuka olmak üzere doktorluk mesleğinden kaynaklı sır saklama yükümlülüğüne de aykırılık teşkil edecektir. 

Kişisel Verilerin Korunması Kurumu 28.09.2021 tarihinde yayımlanan 2021/980 sayılı kararında kişisel verilerin işlenmesine dair bir açıklama yapmıştır. COVID-19 salgınının yayılma hızına ve geliştirilen aşıların hastalıkla mücadelede aktif rol oynamasına dair ortaya konulan bilimsel kanıtlara dikkat çekmiştir. İşlenecek aşı ve PCR testi verilerinin özel nitelikli veri olduğunu vurgulamış ve KVKK Madde 28/1-ç gereği salgının kamu güvenliği ve düzeni kapsamında değerlendirilmesi gerektiğini ifade etmiştir. Kurul, Kanunun 28’inci maddesi 1’inci fıkrası ve ç bendi kapsamında aşı ve PCR testi zorunluluğunun kamu kurum ve kuruluşlarınca yürütülen önleyici ve koruyucu faaliyetleri kapsamına alınabileceğini, dolayısıyla işverenin işçinin kişisel verilerini işlemesinin önünde bir engelin olmadığı kararına varmıştır. 

Kanaatimizce Kurul’un vermiş olduğu kararla kişisel verilerin işlenmesi /işlenmemesi tartışmasına bir açıklık getirilmeye çalışılsa da özel şirketlerin çalışanlarının hassas nitelikteki sağlık verilerinin işleyip işleyemeyeceğine dair bir açıklama yayımlanan kararda yer almamaktadır. İş Sağlığı ve Güvenliği Kanunu ile Kişisel Verilerin Korunması Kanununda yapılacak değişiklikle işçilerin kişisel verilerinin işlenmesine dair ortak bir dayanak oluşturulmasında fayda bulunmaktadır.