Ercüment Erdem Av. Elif Mungan

İlaç Sektöründen Gelen KVK Kılavuzu

Eylül 2019

Giriş

Türkiye İlaç ve Tıbbi Cihaz Kurumu (“TİTCK”) 1 Ağustos 2019 tarihli Farmakovijilans Faaliyetlerinde Kişisel Verilerin Korunması Hakkında Kılavuzu (“Kılavuz”) yayınladı.[1] Kılavuz’un amacı, farmakovijilans faaliyetler sırasında kişisel verilerin korunmasını sağlamak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ve uyacakları usul ve esaslar hakkında bilgilendirme yapmaktır. Kılavuz, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili ikincil düzenlemelere dayanılarak hazırlanmıştır.

Farmakovijilans

Farmakovijilans, advers reaksiyonların ve ilaçlarla ilgili diğer sorunların tespit edilmesi, değerlendirilmesi, anlaşılması ve önlenmesine yönelik yürütülen faaliyetler ve bilimsel çalışmaları ifade eder. Advers reaksiyonlar, bir ilaca karşı gelişen zararlı ve amaçlanmayan cevap; advers olay ise, ilaç uygulanan bir hastada veya klinik çalışma gönüllüsünde ortaya çıkan istenmeyen ve söz konusu tedavi ile arasında mutlaka bir nedensellik ilişkisi bulunmayan tıbbî olay olarak tanımlanır.

Farmakovijilans Faaliyetler ve Kişisel Veri

Kılavuz kapsamında “şirket” ruhsat sahibi ve/veya ruhsat sahibinin hizmet aldığı sözleşmeli hizmet kuruluşları (üçüncü kişi hizmet verenleri) olarak tanımlanır. Bu kapsamda, ilaç şirketleri “şirket” tanımı içinde değerlendirilecektir.

Şirketler, şüpheli advers reaksiyonların bildirimine ilişkin yasal yükümlülüklere uymak ve hasta güvenliğini sağlamak üzere farmakovijilans faaliyetleri gerçekleştirirken, rutin olarak veri toplar. Bu kapsamda farmakovijilans veriler, vakaya konu olan hastaya ilişkin kişisel veriler veya özel nitelikli kişisel veriler ile ilgili olayı raporlayan kişilere ilişkin kişisel verileri içerebilir.

Advers reaksiyon bildirimlerinde; güvenlilik verisinin etkin bir şekilde analiz edilebilmesi için hastanın yaşı/yaş grubu, cinsiyeti, kilosu, boyu, tıbbî geçmişi ve mevcut durumunu bilmek gerekir. Bir hastanın adı ve soyadının baş harfleri veya atanmış bir numara ve/veya doğum tarihi, mükerrer bildirimlerin belirlenmesi için önem taşır. Ayrıca eksiksiz ve doğru verilerin toplanmasını sağlamak üzere etkin bir takip gerçekleştirmek için bildirimde bulunan kişinin ismi ve iletişim bilgileri de gerekir. Dolayısıyla farmakovijilans faaliyetler kapsamında toplanan veriler hem özel nitelikli kişisel veri hem de kişisel veri kategorisinden veri içerir.

Özel Nitelikli Kişisel Veri

KVKK’nın 6 (1) numaralı maddesi uyarınca kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri “özel nitelikli kişisel veri” olarak düzenlenir. İlgili maddenin (2) numaralı fıkrası uyarınca kural olarak özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.

Öte yandan 6 (3) numaralı fıkra gereğince, sağlık ve cinsel hayat dışındaki diğer özel nitelikli kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Buna göre, ilgili kişinin rızası olmasa bile, kanunlarda açıkça öngörülen hallerde sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler işlenebilecektir.

Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak; kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir. Bu konuda Sağlık Bakanlığı, sağlık kuruluşları veya Sosyal Güvenlik Kurumu’nun (3) numaralı fıkrada yazılı amaçlarla tuttukları ve işledikleri veriler örnek olarak verilebilir.

Kılavuz Ne Getiriyor?

Bir advers olay ilaç şirketine bildirildiğinde “tanımlanabilir bir hasta” ve “tanımlanabilir bir raportör”ün olmasına ilişkin farmakovijilans gerekliliklerinin yerine getirilebilmesi için bazı kişisel verilerin toplanması gerekir.

Kılavuz’un 2.1. numaralı bölümü uyarınca veri sahibinin advers olayı yaşayan kişi veya bir sağlık mesleği mensubu (“SMM”) veya hasta yakını gibi advers olayı bildiren kişi olmasından bağımsız olarak farmakovijilans amacıyla veri sahibine ilişkin kişisel verilerin işlenmesi için veri sahibinden rıza alınması şart değildir.

Kılavuz bunu KVKK’nın 6 (3) numaralı maddesine dayandırır. Bu kapsamda Kılavuz, farmakovijilans verileri özel nitelikli kişisel veri olarak değerlendirirken, verilerin sır saklama yükümlülüğü altında bulunan kişiler tarafından işlendiğini belirtir.

İlaveten, Kılavuz uyarınca açık rızanın gerekmemesinin, KVKK hükümlerinden muafiyet anlamına gelmediğini, başta aydınlatma yükümlülüğü ile veri güvenliğine ilişkin yükümlülükler olmak üzere diğer tüm yükümlülüklerin yerine getirilmesi gerektiği belirtilir.

Kılavuz Kapsamındaki Diğer Düzenlemeler

Kılavuz’da detaylıca kişisel veri güvenliğine ilişkin tedbirler açıklanır. Verilerin aktarımına ilişkin olarak ise verilerin aktarıldığı ülkenin yeterli koruma sağlamasına ilişkin bir ayrım yapıldığı görülür. Aktarılan ülkede yeterli koruma bulunuyorsa, kişisel veriler açık rıza aranmaksızın aktarılabilir. Yeterli korumanın bulunmaması halinde ise Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı taahhüt etmesi ve Kişisel Verileri Koruma Kurulu’ndan izin alınması durumunda açık rıza alınmadan aktarım mümkündür.

Kılavuz, İlaçların Güvenliliği Hakkında Yönetmelik’in[2] 28 inci maddesine atıf yaparak, farmakovijilans verileri ve belgelerinin, ilacın ruhsatı geçerliliğini koruduğu sürece ve ruhsat geçerliliği sona erdikten sonra en az 10 yıl süreyle saklanması gerektiği belirtir.

Sonuç

Kılavuz, ilaç sektöründeki hassas veri bolluğu sebebiyle şirketler, raportörler ve veri sahipleri açısından yol göstericidir. Özel nitelikli kişisel veri işlenmesi sırasında açık rıza alınmaması düzenlemesi ise KVKK ışığında özel olarak değerlendirilmelidir. Nitekim yukarıda belirtildiği üzere KVKK’da sağlık hizmetinin sağlanması açısından geçerli olan bazı veri türlerinin işlenmesine istisna getirilir. Bu istisna KVKK’da sayılan amaçlar için sır saklama yükümlülüğüne tabi olan kişiler ile sınırlandırılır. Bu kapsamda, Kılavuz uyarınca ilaç firmalarının açık rıza almaksızın veri işleyebilmesine izin verilmesinin ilaç firmalarının istisna kapsamına sokularak, “sır saklama yükümlülüğü” altında olduğunu düzenlediği yorumu yapılabilir. KVKK kapsamında ise bu konudaki ilaç şirketlerinin akıbetine ilişkin açık bir düzenlemeye yer verilmediği görülür. Kişisel Verileri Koruma Kurulu ya da özel bazı düzenlemelerle konuya açıklık getirilmesinin yol gösterici olabileceği düşünülmektedir.

[1] https://www.titck.gov.tr/mevzuat/farmakovijilans-faaliyetlerinde-kisisel-verilerin-korunmasi-hakkinda-kilavuz-01082019183233 (Erişim tarihi: 13.09.2019).

[2] http://www.mevzuat.gov.tr/Metin.Aspx?MevzuatKod=7.5.19578&MevzuatIliski=0&sourceXmlSearch=ila%C3%A7lar%C4%B1n%20g%C3%BCven (Erişim tarihi: 16.09.2019).