Çalışan Sağlık Bilgileri ve KVKK: Gizlilik

İki kanun, tek kural: sağlık bilgisi gizlidir

İşyerinde sağlık verisi, iki ayrı kanunun kesiştiği bir alandır ve KVKK açısından en hassas veri türüdür. 6331 sayılı Kanun sağlık gözetimini işverene yükler, ama aynı maddede bir sınır çizer: sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması için sağlık bilgileri gizli tutulur (md. 15/5). 6698 sayılı Kişisel Verilerin Korunması Kanunu ise sağlığa ilişkin verileri özel nitelikli kişisel veri olarak sayar (md. 6/1).

Bu iki hükmün pratik sonucu şudur: işveren sağlık gözetimini yaptırmak, kayıtları saklatmak ve maliyeti karşılamakla yükümlüdür; ama muayene ve tetkik sonuçlarının içeriğini bilmesi gerekmez. İşyeri Hekimi ve Diğer Sağlık Personeli Yönetmeliği de işyeri hekiminin (md. 11/1) ve diğer sağlık personelinin (md. 18/1) çalışanın kişisel sağlık dosyasındaki bilgileri gizli tutmakla yükümlü olduğunu açıkça yazar.

Sağlık verisi KVKK’da nerede durur? İşyeri için işleme şartları

KVKK, özel nitelikli kişisel verilerin işlenmesini kural olarak yasaklar ve istisnaları sayar. 2024’te 7499 sayılı Kanun’la değişen 6. maddenin üçüncü fıkrasına göre işyerindeki sağlık gözetimi için iki istisna öne çıkar:

• md. 6/3-e: Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla gerekli olması. İşyeri hekiminin muayene ve tetkik kayıtları bu çerçevededir.
• md. 6/3-f: İstihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması. İşe giriş ve periyodik muayene yaptırmak, işe uygunluk raporunu almak ve saklamak bu yükümlülüklerdendir.

Bu istisnalar, sağlık gözetimi için çoğu durumda ayrıca açık rıza alınmasını gereksiz kılar. Ancak iki şart hiçbir zaman ortadan kalkmaz: çalışan, verilerinin hangi amaçla işlendiği konusunda aydınlatılır (md. 10) ve özel nitelikli verilerin işlenmesinde Kişisel Verileri Koruma Kurulu’nun belirlediği yeterli önlemler alınır (md. 6/4). Ayrıca işyeri hekimi, muayene ve tetkikler hakkında çalışanı bilgilendirmek ve rızasını almakla görevlidir (Hekim Yönetmeliği md. 9/1-c-1); bu, KVKK’daki açık rızadan ayrı, tıbbi uygulamaya ilişkin bir yükümlülüktür.

Sağlık dosyasına kim erişebilir?

Çalışan sağlık dosyası gizliliği, “kim, neyi, ne amaçla görür” sorusunun cevabıyla korunur. Aşağıdaki tablo, işyerinde sık karşılaşılan rolleri özetler:

Kanserojen veya mutajen maddelerle çalışılan işyerlerinde çalışanların kendi sağlık gözetimi sonuçlarına ait bilgileri alma hakkı ayrıca açıkça düzenlenmiştir (Kanserojen Maddeler Yönetmeliği md. 16/3).

İşveren sağlık raporunu görebilir mi?

“İşveren sağlık raporunu görebilir mi?” sorusunun kısa cevabı: raporun sonucunu görür, tıbbi içeriğini görmez. İşe giriş ve periyodik muayene sonuçları, EK-2’deki örneğe uygun düzenlenir ve işyerinde muhafaza edilir (Hekim Yön. md. 9/1-c-4). İşyerinde muhafaza edilmesi, insan kaynakları dolabında açıkta durması anlamına gelmez; dosya hekimin kontrolündeki kilitli bir bölümde tutulur.

İnsan kaynaklarına gidecek bilgi, işe yerleştirme kararı için gerekenle sınırlıdır. Örneğin:

• “Yapacağı işe uygundur.”
• “Yüksekte çalışma dışındaki işlerde çalışabilir.”
• “Gürültülü bölümde çalışması uygun değildir; uygun bir bölüme yerleştirilmesi önerilir.”

Bu ifadelerde hastalığın adı, tetkik değeri veya kullanılan ilaç yer almaz. Gebelik, kronik hastalık veya madde bağımlılığı gibi özel durumlar da işverene tanı olarak değil, hekimin uygun işe yerleştirme önerisi olarak iletilir. İşe giriş raporunun nereden alınacağı için işe giriş sağlık raporu, tetkiklerin sıklığı için periyodik muayene ve tetkikler yazılarımıza bakabilirsiniz.

Sağlık dosyası saklama: süre, yer ve teslim

İSG Hizmetleri Yönetmeliği sağlık dosyası saklama konusunda net süreler koyar:

OSGB’den hizmet alıyorsanız iki hükmü bilin: OSGB, çalışanların muayene ve maruziyet kayıtlarının kişisel sağlık dosyalarında gizlilik ilkesine uyularak saklanmasından sorumludur (md. 13/1-e) ve sözleşme süresi sonunda bütün kayıt ve dosyaları, talep edilmese bile işverene teslim eder (md. 13/2). OSGB değişikliğinde dosya tesliminin nasıl yapılacağı için OSGB değiştirme süreci yazımıza bakın.

Saklama süresi dolan veriler için KVKK’nın 7. maddesi devreye girer: işlenmesini gerektiren sebepler ortadan kalktığında veriler silinir, yok edilir veya anonim hâle getirilir. Bu yüzden imha da gelişigüzel değil, kayıt altına alınarak yapılmalıdır.

İşyeri için KVKK uyum kontrol listesi

KVKK, veri sorumlusundan verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını ister (md. 12/1). Sağlık verisi için bu tedbirler somut olarak şunlardır:

1. Aydınlatma metni: Çalışana işe girişte sağlık verilerinin hangi amaçla, kimlerce işlendiğini anlatan bir metin verin.
2. Fiziki saklama: Kâğıt dosyalar hekimin kontrolündeki kilitli dolapta durur; anahtarın kimde olduğu bellidir.
3. Dijital saklama: Sağlık kayıtları yalnızca yetkili kullanıcıların açabildiği bir sistemde tutulur; ortak klasöre konmaz.
4. Yetki matrisi: Kimin hangi kayda erişebildiği yazılıdır ve personel değişince güncellenir.
5. İletim: Tahlil sonuçları ve raporlar mesajlaşma uygulamaları veya şifresiz e-posta ile gönderilmez; rapor fotoğrafı çekilip paylaşılmaz.
6. İnsan kaynakları dosyası: Özlük dosyasında yalnızca uygunluk sonucu bulunur; tıbbi ekler hekimin dosyasında kalır.
7. OSGB sözleşmesi: Sağlık verilerinin nerede saklanacağı, gizlilik yükümlülükleri ve sözleşme sonunda teslim şekli sözleşmeye yazılır. Veri sorumlusu, verileri kendi adına işleyen kişiyle birlikte tedbirlerden müştereken sorumludur (md. 12/2).
8. İhlal planı: Veriler kanuni olmayan yollarla başkalarının eline geçerse veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirir (md. 12/5). Kimin bildireceği önceden belli olmalıdır.

Bursa ve çevre illerdeki işletmeler dahil pek çok işyerinde kolayca gözden kaçan bir eksik, insan kaynakları özlük dosyalarında tahlil sonuçlarının ve hastane raporlarının ekli durmasıdır. Bu belgelerin hekimin dosyasına taşınması, hem 6331 hem KVKK açısından kolay bir düzeltmedir. Kayıtların genel düzeni için İSG dosyası içeriği yazımızı inceleyebilirsiniz.

SİSTEMER’in yaklaşımı

İşyeri hekimliği ve sağlık gözetimi hizmetlerimizde kalite politikamızın bir parçası olan gizlilik ilkesini sahaya şöyle yansıtırız: muayene sonuçları hekimin dosyasında kalır, işverene yalnızca uygunluk kararı ve gerekiyorsa çalışma kısıtı yazılı olarak bildirilir. Tetkikleri yetkili sağlık kuruluşlarıyla planlarız ve sonuçlar yalnızca hekimin değerlendirmesinden geçerek işyerine yansır. Periyodik muayene tarihlerini takip etmek için İSG takvimi aracımızı kullanabilirsiniz.

Sık Sorulan Sorular

İşveren çalışanın tahlil sonuçlarını isteyebilir mi?

Hayır. İşveren, işe uygunluk sonucunu ve varsa çalışma kısıtını bilir; tahlil değerleri, tanı ve ilaç bilgisi hekimin dosyasında kalır. Sağlık bilgileri 6331 sayılı Kanun md. 15/5’e göre gizlidir.

Sağlık gözetimi için çalışandan KVKK açık rızası almak gerekir mi?

İşe giriş ve periyodik muayeneler İSG mevzuatının getirdiği hukuki yükümlülüklerdir; KVKK md. 6/3-f bu yükümlülükler için zorunlu olan işlemeye açık rıza aranmaksızın izin verir. Aydınlatma yükümlülüğü ve yeterli önlemler ise her durumda geçerlidir.

Sağlık dosyaları kaç yıl saklanır?

Kişisel sağlık dosyaları, çalışanın işten ayrılma tarihinden itibaren en az 15 yıl saklanır. Kanserojen veya mutajen maddelere ve asbeste maruziyet kayıtlarında bu süre, maruziyetin sona ermesinden sonra en az 40 yıldır.

İşten ayrılan çalışan sağlık dosyasının kopyasını alabilir mi?

Çalışan, KVKK md. 11 kapsamında kendisiyle ilgili verilere ilişkin bilgi talep edebilir. Yeni bir işyerinde çalışmaya başlarsa yeni işveren dosyayı yazılı olarak ister; önceki işveren onaylı bir örneğini bir ay içinde gönderir.