Sosyal Güvenlik Kurumu Veri Yönetmeliğinin Eczacıların Kişisel Sağlık Verilerine Erişimini Sınırlayan Maddesinin İptali Davasında Danıştay Kararı.
Özet: Davacı sendika, eczacıların mesleki faaliyetlerini imkansızlaştırdığı, hastaların ilaç ve sağlık verilerine erişimini kısıtlayarak eczacılık hizmetlerinin sunumunu engellediği gerekçesiyle Sosyal Güvenlik Kurumunun kişisel sağlık verilerinin korunmasına ilişkin yönetmeliğinin 5. maddesinin üçüncü fıkrasının iptalini talep ederken; davalı idare, bu düzenlemenin 6698 sayılı Kanuna uygun olarak kişisel verilerin yetkisiz erişimini önlemeyi amaçladığını, eczacıların SGK ile yaptıkları protokol kapsamındaki görevlerini yerine getirmesine ve temel hasta bilgilendirme faaliyetlerine engel olmadığını, ayrıca vatandaşların kendi sağlık verilerine e-devlet ve e-nabız gibi sistemler üzerinden ulaşabildiğini ileri sürerek davanın reddini istemektedir.
T.C.
D A N I Ş T A YONUNCU DAİREEsas No : █████████Karar No : █████████ DAVACI : ... Sendikası VEKİLİ : Av. ...DAVALI : ... Başkanlığı / ... VEKİLİ : Av. ... DAVANIN_KONUSU : █████/2022 tarih ve 31755 sayılı Resmi Gazete'de yayımlanan Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmeliğin 5. maddesinin üçüncü fıkrasının iptaline karar verilmesi istenilmektedir. DAVACININ İDDİALARI : Davacı tarafından, eczacıların, mesleklerinin icrası nedeniyle kişisel verileri işledikleri, Sosyal Güvenlik Kurumunun sağlık hizmet sunucusu olan serbest eczanelerle protokol yaparak hizmet satın aldığı, bu işlemler sırasında sigorta harcamalarının kontrolü amacıyla kişilerin daha önce geçirdiği ve devam eden hastalıkları, kullandığı ve kullanmakta olduğu ilaçları, ilaç kullanım raporları gibi her türlü sağlık verisinin MEDULA isimli Sosyal Güvenlik Kurumunun kendi veri tabanında saklandığı, en büyük kişisel sağlık verisi toplayıcısı Sosyal Güvenlik Kurumu ile protokol imzalamış serbest eczanelerin de sağlık hizmeti sunarken Sosyal Güvenlik Kurumunun talepleri doğrultusunda veri kontrolü yaparak ilaç ve malzeme sunduğu, dolayısıyla ilaç ve medikal hizmeti veren serbest eczane sahibi eczacıların bu hizmeti verirken hasta verilerine hastanın ömrü boyunca ulaşması gerekliliğinin aşikar olduğu, eczacıların mevzuata göre reçete kaydı tutmakta olduğu, reçeteleri saklamak zorunda olduğu, yine eczanelerinde İlaç Takip Sistemi ile bağlantılı eczane programları kullandığı, bu programlar vasıtasıyla reçete kayıt defterlerini elektronik ortamda tutma imkanı bulunduğu, söz konusu programlar ve eczanelerin iç işleyişleri sebebiyle eczanelerde kişisel sağlık verilerinin kaydedildiği, hastalar ya da hasta yakınlarının Sosyal Güvenlik Kurumu kapsamında ne zaman doktora gidip ilaç yazdırabileceklerini öğrenmek için de eczanelere başvurduğu, bu husustaki bilgilerin paylaşılmasının hastaların gereksiz yere doktora müracaatını ve sağlık kuruluşlarındaki yoğunluğun artmasını önlediği, dava konusu düzenleme ile eczacıların karşıladıkları ilaçlara dair elektronik ortamda kayıt tutmalarının, bilgisayar programları kullanmalarının ve hastalara kendi kişisel sağlık verilerinin aktarılmasının engellenmesinin eczacıların mesleki faaliyetlerini imkansızlaştırdığı, kişisel sağlık verilerinin mahremiyeti sağlanmaya çalışılırken eczacıların özel mevzuatları ile çelişen ve uygulanması fiilen imkansız bir yükümlülük altına sokuldukları, dava konusu düzenlemenin hizmet gereklerine ve kamu yararına aykırı olduğu belirtilerek iptaline karar verilmesi gerektiği ileri sürülmektedir. DAVALININ SAVUNMASI : Davalı idare tarafından, usule ilişkin olarak, iptali istenen maddenin davacı ile ilgisinin olmaması sebebiyle, davacının bu maddenin iptal edilmesinde meşru bir yararının bulunmadığı, yine dava konusu düzenlemenin iptali için davacı Sendikanın dava açma yetkisinin bulunmadığı, esasa ilişkin olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve 5502 sayılı Sosyal Güvenlik Kurumuna İlişkin Bazı Düzenlemeler Hakkında Kanun gereğince Kurumun, kişisel sağlık verilerini, kişilerin kendisi ve bakmakla yükümlü olduğu kişiler, Sağlık Bakanlığı ve yargı organları dışında üçüncü kişi ve kuruluşlar ile paylaşmadığı, dava konusu Yönetmeliğin hazırlık aşamasının yaklaşık 5 yıllık bir süreci kapsadığı, hazırlık sürecinin her aşamasında ve Resmi Gazete’de yayımından önce Kişisel Verileri Koruma Kurulunun görüşünün alındığı, dava konusu düzenleme ile Kurum ve sözleşmeli sağlık hizmeti sunucularının MEDULA sisteminden elde ettikleri kişisel sağlık verilerinin yetkisiz ve ilgisiz kişilerin eline geçmesinin önlenmesi, vatandaşların mağduriyet yaşamalarının engellenmesinin amaçlandığı, 6698 sayılı Kanun’un 8. maddesine göre, aynı Kanun’un 28. maddesindeki istisnai hükümler dışındaki kişilerin kişisel sağlık verilerinin işlenebilmesi için “açık rıza” şartı bulunduğu, bu nedenlerle yasaların Kuruma vermediği bir yetkinin Kurumun verdiği izin doğrultusunda kişisel sağlık verilerine erişen Kurumla sözleşmeli sağlık hizmeti sunucularına verilebilmesinin hukuken mümkün bulunmadığı, eczanelerin Kurumla yaptıkları Protokol kapsamındaki taahhütlerini yerine getirebilmek, sigortalıların ve hak sahiplerinin ilaç ve malzeme taleplerini karşılayabilmek amacıyla bu kişilerin ilaç ve rapor bilgilerini sorgulamalarında, reçete arkası çıktı almalarında, gerçek sigortalı ve hak sahiplerini bilgilendirmeleri hususunda ve 6197 sayılı Kanun’un uygulanması hususunda dava konusu düzenlemede herhangi bir engel bulunmadığı, sigortalılar ve hak sahipleri ile bakmakla yükümlü oldukları kişiler ile velayet ve vesayet ilişkisi olan kişilerin kişisel sağlık verilerine e-devlet üzerinden sunulan uygulamalar ile Sağlık Bakanlığının e-nabız sistemi üzerinden ulaşabildikleri, diğer taraftan, Kurum ile Türk Eczacıları Birliği arasında imzalanan Protokolde beş yıldan bu yana benzer hükümler bulunduğu, davacının anılan hükümle ilgili Kuruma herhangi bir başvurusunun bulunmadığı, en son imzalanan 2022 yılı Sosyal Güvenlik Kurumu Kapsamındaki Kişilerin Türk Eczacıları Birliği Üyesi Eczanelerden İlaç Teminine İlişkin Protokolün 3.16. maddesinde de aynı hükmün bulunduğu, Kurumla Protokol yapan eczanelerin bu hükümlere uyma yükümlülüğü bulunduğu belirtilerek davanın reddi gerektiği savunulmaktadır. DANIŞTAY TETKİK HAKİMİ : ...DÜŞÜNCESİ : Davanın reddi gerektiği düşünülmektedir.DANIŞTAY SAVCISI : ...DÜŞÜNCESİ : Dava, Sosyal Güvenlik Kurumu Başkanlığı tarafından hazırlanan ve █████/2022 tarih, 31755 sayılı Resmî Gazetede yayımlanan Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmelik'in 5'inci maddesinin 3'üncü fıkrasının iptali istemiyle açılmıştır.Tüm Eczacı İşverenler Sendikası (TEİS) Ana Tüzüğünün 4'üncü maddesinde, Sendikanın amacının, kurulu bulunduğu işkolunda faaliyette bulunan gerçek kişi eczacı işverenlerin hak ve menfaatlerini tüm yasal zeminlerde, kamu ve özel kuruluşlar nezdinde korumak, kollamak ve geliştirmek; çalışma yaşamında ve hayatın diğer alanlarında üyelerinin ve diğer tüm eczacıların ekonomik, demokratik, kültürel, iktisadi, sosyal, mesleki, hukuksal haklarını ve çıkarlarını korumak geliştirmek, dayanışma ve yardımlaşmalarını sağlamak bu yönden müşterek menfaatlerini korumak ve müşterek menfaatler yönünden üyelerini temsil etmek; sağlık kolundaki planlamadan uygulamaya kadar tüm faaliyetlere, tüm eczacı işverenlerin söz ve karar sahibi olarak etkin ve demokratik katılımını sağlamak, eczane sahibi eczacıların daha verimli ve uyumlu çalışma imkânlarına sahip olabilmeleri için her türlü teşebbüs ve faaliyetlerde bulunmak olduğu belirtilmiş olup; söz konusu amaçlar dikkate alındığında; kişisel sağlık verilerinin, kurum veri kayıt sistemi içerisinde nasıl değerlendirileceğinin belirlenmesiyle ilgili düzenlemenin iptalini istemekte davacı Sendikanın menfaati olduğu, dolayısıyla dava açmaya ehliyetli olduğu anlaşıldığından, davalı idare tarafından ileri sürülen ehliyet itirazı yerinde görülmemiştir.T.C. Anayasasının 20'nci maddesinin 3'üncü fıkrasında "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." hükmü yer almıştır. Türkiye tarafından da █████/2016 tarihinde 6669 sayılı Kanunla onaylanması uygun bulunan Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesinin 9'uncu maddesinde de; Devlet güvenliği, kamu güvenliği, Devletin ekonomik menfaatlerinin korunması ve suçların önlenmesi, ilgilinin veya üçüncü kişilerin hak ve özgürlüklerinin korunması ile verilerin istatistiki veya bilimsel amaçlarla kullanılması durumlarında kişisel verilerin korunmasına sınırlama getirilmesi kabul edilmiştir. Öte yandan, 5502 sayılı Sosyal Güvenlik Kurumuna İlişkin Bazı Düzenlemeler Hakkında Kanunun 35'inci maddesinde, "(Değişik altıncı fıkra: 4/4/2015-███████ md.) Kurum, bu Kanun ve diğer mevzuatla verilen görevleri yerine getirmek amacıyla işlediği kişisel veriler ile ticari sır niteliğinde olan verileri, veri sahibinin noter onaylı muvafakati veya e-Devlet uygulaması üzerinden kimlik teyidi ile verilen izni olmadan gerçek veya tüzel kişilerle paylaşamaz. Ancak, █████/2003 tarihli ve 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanununun eki (I), (II), (III) ve (IV) sayılı cetvellerde yer alan kamu idareleri ile Türkiye Cumhuriyet Merkez Bankasının ilgili mevzuatında belirtilen görevleri yapabilmeleri için ihtiyaç duydukları sağlık verisi dışındaki kişisel veriler ile ticari sır niteliğindeki veriler paylaşılabilir. (Ek cümle:17/7/2019-███████ md.) Kurum, kişisel sağlık verilerini kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, verilen sağlık hizmetlerinin uygunluğunun ve yerindeliğinin takibi ve finansmanının planlanması amacıyla talebi hâlinde Sağlık Bakanlığı ile paylaşır. Kurum, bunların dışındaki gayri maddi hakları ile kimliği belirli veya belirlenebilir bir gerçek veya tüzel kişiyle ilişkilendirilemeyecek şekilde anonim hâle getirdiği verileri araştırma, planlama ve istatistik gibi amaçlar için kamu idareleri, Türkiye Cumhuriyet Merkez Bankası, bilimsel araştırma yapan kamu personeli, bilimsel dernekler, kamu kurumu niteliğindeki meslek kuruluşları veya üniversiteler ile ücretsiz olarak paylaşabilir. Anonim hâle getirilen verinin tüzel kişilere ait olması hâlinde bu fıkrada sayılanlar dışındaki gerçek veya tüzel kişilere tüzel kişinin noter onaylı muvafakati alınmak kaydıyla ücretli olarak verilebilir. Veri paylaşılan kamu idareleri ile gerçek ve tüzel kişiler, paylaşılan verinin gizliliğinden ve güvenliğinden sorumludur. Bu fıkranın aksine davrananlar hakkında, veri paylaşımı yapılanlar da dâhil olmak üzere 5237 sayılı Türk Ceza Kanunu ile diğer ilgili mevzuat hükümleri uygulanır." hükmüne yer verilmiştir.Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanununun 3'üncü maddesinde "Bu Kanunun uygulanmasında; a)Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı, ... e) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi, ... ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder." hükmü, "Genel ilkeler" başlıklı 4. maddesinde; (1) Kişisel verilerin, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği, (2) Kişisel verilerin işlenmesinde; a) Hukuka ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme, ilkelerine uyulmasının zorunlu olduğu, 12'nci maddesinde veri sorumlusunun, a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b)Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c)Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğu hükmü yer almıştır.1.8.1998 tarih ve 23420 sayılı Resmî Gazetede yayımlanan, Hasta Hakları Yönetmeliğinde, "Hasta hakları"nın, sağlık hizmetlerinden faydalanma ihtiyacı bulunan fertlerin, sırf insan olmaları sebebiyle sahip bulundukları ve T.C. Anayasası, milletlerarası andlaşmalar, kanunlar ve diğer mevzuat ile teminat altına alınmış bulunan haklarını, ifade ettiği belirtilmiş; hastanın, sağlık durumu ile ilgili bilgiler bulunan dosyayı ve kayıtları, doğrudan veya vekili veya kanuni temsilcisi vasıtası ile inceleyebileceği ve bir suretini alabileceği, bu kayıtların, sadece hastanın tedavisi ile doğrudan ilgili olanlar tarafından görülebileceği, kuralı getirilmiştir. Anayasamız, özel hayatın gizliliğini güvence altına almakla birlikte bazı hallerde; milli güvenlik, kamu düzeni, suç işlenmesinin önlenmesi, genel sağlık ve genel ahlakın korunması veya başkalarının hak ve özgürlüklerinin korunması gibi hallerde özel hayatın gizliliğine dokunulabilmesini olanaklı kılmıştır. Bu halde, temel hak ve özgürlükler, özüne dokunulmaksızın Anayasamızda öngörülen sebeplerle demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine uygun olarak ve ancak Kanunla sınırlanabilecektir. Ülkemizce onaylanarak iç hukukta yasalar üstü bir hukuki statü kazandırılan Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’nde kişisel verilerin korunmasına sınırlama getirilmesi ancak sayılan durumlarla sınırlı olarak benimsenmiş ve sağlık verileri, özel kategoride hassas veriler olarak kabul edilerek, iç hukukta güvence sağlanmadıkça otomatik işleme tabi tutulmaları yasaklanmış olup; kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla 6698 sayılı Kanun hazırlanmıştır. Kişisel Verilerin Korunması Hakkında Kanunda, sağlığa ilişkin veriler, özel nitelikli kişisel veriler kapsamında düzenlenmiştir. Sağlığa ilişkin kişisel verilerin, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebileceği ve özel nitelikli kişisel verilerin işlenmesinin, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şartına bağlandığı görülmektedir. Anayasa hükmü gereği kişisel verilerin korunmasına ilişkin usul ve esasları düzenleyen 6698 sayılı Kanun ve bu Kanun dayanak alınmak suretiyle yapılan alt düzenlemeler, bu alanı düzenleyen özel düzenlemeler olmakla birlikte; kısmen dava konusu edilen Yönetmelik, 5502 sayılı Kanunun 35 inci maddesi ile 6698 sayılı Kanuna dayanılarak hazırlanmış olup; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilen kişilerin, özel nitelikli sağlık veri kayıtlarında uygulanacak olan usul ve esasları belirlemek amacıyla yürürlüğe konulan Yönetmeliğin hazırlanması aşamasında, Kişisel Verileri Koruma Kurumu Hukuk İşleri Dairesi Başkanlığının görüşüne de başvurulmuştur.. Bu durumda kişisel verilerin korunması hakkında özel kanunla yapılan düzenleme esas alınarak yapılan alt düzenlemelerle kişisel verilerin işlenmesi, korunması, kontrolü, sağlık hizmeti sunucusu olan, sağlık hizmetini sunan ve/veya üreten; gerçek kişiler, kamu kurum ve kuruluşları ile özel hukuk tüzel kişileri ve bunların tüzel kişiliği olmayan şubeleri tarafından, sözleşme kapsamında Kurum adına işlenen kişisel sağlık verilerini, Kurum veri kayıt sistemi dışında hiçbir yere kopyalayamaması veya aktaramamasına ilişkin düzenlemede hukuka ve kamu yararına aykırılık görülmemiştir.Kaldı ki, 6197 sayılı Eczacılar ve Eczaneler Hakkında Kanunun 26'ncı maddesi uyarınca günlük reçetelerin kaydını Sağlık Bakanlığınca belirlenen usullere göre elektronik ortamda tutmak zorunda olan eczacılar adına Türk Eczacıları Birliği ile Sosyal Güvenlik Kurumu arasında █████/2020 tarihinde imzalanan Sosyal Güvenlik Kurumu Kapsamındaki Kişilerin Türk Eczacıları Birliği Üyesi Eczanelerden İlaç Teminine İlişkin protokolde de, "Eczanelerin, MEDULA eczane provizyon sistemine kayıtlı olan sağlık verilerini ve kişisel verileri üçüncü şahıslar ile paylaşamayacağı" kuralına yer verilmiş, söz konusu düzenleme taraflarca itirazsız kabul edilmiştir. Açıklanan nedenlerle, davanın reddi yönünde karar verilmesi gerektiği düşünülmektedir.TÜRK MİLLETİ ADINAKarar veren Danıştay Onuncu Dairesince, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:Davalı idarenin usul itirazları yerinde görülmeyerek işin esasına geçildi.MADDİ OLAY VE HUKUKİ SÜREÇ :Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmelik, █████/2022 tarih ve 31755 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiş olup, davacı tarafından anılan Yönetmeliğin "Kişisel veriler, kişisel sağlık verileri ile ticari sır niteliğindeki verilerin işlenmesi" başlıklı 5. maddesinin üçüncü fıkrasının iptaline karar verilmesi istemiyle bakılmakta olan dava açılmıştır. İNCELEME VE GEREKÇE :İlgili Mevzuat:Anayasa'nın "Özel hayatın gizliliği" başlıklı 20. maddesinin birinci fıkrasında, herkesin, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile hayatının gizliliğine dokunulamayacağı ifade edilmiş; üçüncü fıkrasında, "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." hükmüne yer verilmiştir. █████/2016 tarih ve 29677 sayılı Resmi Gazete'de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun,"Amaç" başlıklı 1. maddesinde, "Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir." hükmü;"Kapsam" başlıklı 2. maddesinde, "Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır." hükmü;"Tanımlar" başlıklı 3. maddesinin birinci fıkrasında; "a) Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı, (...) d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, e) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi, (...) ifade eder." hükmü;"Genel ilkeler" başlıklı 4. maddesinde, "(1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:a) Hukuka ve dürüstlük kurallarına uygun olma.b) Doğru ve gerektiğinde güncel olma.c) Belirli, açık ve meşru amaçlar için işlenme.ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme." hükmü;"Özel nitelikli kişisel verilerin işlenme şartları" başlıklı 6. maddesinin dava konusu düzenlemenin yürürlüğe girdiği tarihteki halinde, "(1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.(3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır." hükmü;"Kişisel verilerin aktarılması" başlıklı 8. Maddesinde ise, "(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.(2) Kişisel veriler;a) 5 inci maddenin ikinci fıkrasında,b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında,belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır." hükmü yer almaktadır. Öte yandan, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun "Sağlık hizmeti sunucularının kayıt ve bildirim zorunluluğu ve kontrol yetkisi" başlıklı 78. maddesinde, "Kurum ile sözleşmesi olan, tüm sağlık hizmeti sunucuları, sağlık hizmeti sunduğu tüm kişilere ait sözleşme hükümlerinde yer verilen bilgileri, belirlenen yöntemlere ve süreye uygun biçimde elektronik ortamda veya yazılı olarak Kuruma göndermek zorundadır. Bu bilgiler gönderilmeksizin talep edilen sağlık hizmeti bedelleri, bilgiler gönderilinceye kadar ödenmez. Genel sağlık sigortalısı ve bakmakla yükümlü olduğu kişinin sağlık bilgilerinin gizliliği esastır. .." hükmü; 5502 sayılı Sosyal Güvenlik Kurumuna İlişkin Bazı Düzenlemeler Hakkında Kanunun 35. maddesinin altıncı fıkrasında da, "Kurum, görevlerini yerine getirmek amacıyla işlediği kişisel veriler ile ticari sır niteliğinde olan verileri, veri sahibinin noter onaylı muvafakati veya e-Devlet uygulaması üzerinden kimlik teyidi ile verilen izni olmadan gerçek veya tüzel kişilerle paylaşamaz. Ancak, █████/2003 tarihli ve 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanununun eki (I), (II), (III) ve (IV) sayılı cetvellerde yer alan kamu idareleri, 17/7/1964 tarihli ve 506 sayılı Sosyal Sigortalar Kanununun geçici 20 nci maddesi kapsamındaki bankaların, sigorta ve reasürans şirketlerinin, ticaret odalarının, sanayi odalarının, borsaların veya bunların teşkil ettikleri birliklerin personeli için kurulmuş bulunan sandıklar ile Türkiye Cumhuriyet Merkez Bankasının ilgili mevzuatında belirtilen görevleri yapabilmeleri için ihtiyaç duydukları sağlık verisi dışındaki kişisel veriler ile ticari sır niteliğindeki veriler paylaşılabilir. Kurum, kişisel sağlık verilerini kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, verilen sağlık hizmetlerinin uygunluğunun ve yerindeliğinin takibi ve finansmanının planlanması amacıyla talebi hâlinde Sağlık Bakanlığı ile paylaşır. Kurum, bunların dışındaki gayri maddi hakları ile kimliği belirli veya belirlenebilir bir gerçek veya tüzel kişiyle ilişkilendirilemeyecek şekilde anonim hâle getirdiği verileri araştırma, planlama ve istatistik gibi amaçlar için kamu idareleri, Türkiye Cumhuriyet Merkez Bankası, bilimsel araştırma yapan kamu personeli, bilimsel dernekler, kamu kurumu niteliğindeki meslek kuruluşları veya üniversiteler ile ücretsiz olarak paylaşabilir. Anonim hâle getirilen verinin tüzel kişilere ait olması hâlinde bu fıkrada sayılanlar dışındaki gerçek veya tüzel kişilere tüzel kişinin noter onaylı muvafakati alınmak kaydıyla ücretli olarak verilebilir. Veri paylaşılan kamu idareleri ile gerçek ve tüzel kişiler, paylaşılan verinin gizliliğinden ve güvenliğinden sorumludur. Bu fıkranın aksine davrananlar hakkında, veri paylaşımı yapılanlar da dâhil olmak üzere 5237 sayılı Türk Ceza Kanunu ile diğer ilgili mevzuat hükümleri uygulanır." hükmü bulunmaktadır. Buna göre, Sosyal Güvenlik Kurumu Başkanlığının görev ve yetkileri kapsamında, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde ettiği verilerin işlenmesinde uyulacak usul ve esasları düzenlemek amacıyla yukarıda yer verilen 5502 sayılı Kanun'un 35. maddesi ile 6698 sayılı Kanun'a dayanılarak hazırlanan Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmelik, █████/2022 tarih ve 31755 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Hukuki Değerlendirme:Bir hiyerarşik kurallar sistemi olan hukuk düzeninde alt düzeydeki kuralların, dayanaklarını üst düzeydeki kurallardan aldıkları kuşkusuzdur. Kurallar hiyerarşisinin en üstünde genel hukuk ilkeleri ve Anayasa bulunmakta ve daha sonra gelen kanunlar dayanağını Anayasadan, yönetmelikler ise dayanağını kanunlardan almaktadır. Dolayısıyla, bir kuralın, kendisinden daha üst konumda bulunan ve dayanağını oluşturan bir kurala aykırı veya bunu değiştirici nitelikte bir hüküm getirmesi mümkün bulunmamaktadır. Nitekim, belirtilen hiyerarşinin, yönetmelikler bakımından ifadesi niteliğini taşıyan Anayasa'nın 124. maddesinde; Cumhurbaşkanı, bakanlıklar ve kamu tüzelkişilerinin, kendi görev alanlarını ilgilendiren kanunların ve Cumhurbaşkanlığı kararnamelerinin uygulanmasını sağlamak üzere ve bunlara aykırı olmamak şartıyla, yönetmelikler çıkarabilecekleri kurala bağlanmıştır.Dava konusu Yönetmelik düzenlemesinde, sağlık hizmeti sunucularının, sözleşme kapsamında Kurum adına işledikleri kişisel sağlık verilerini, Kurum veri kayıt sistemi dışında hiçbir yere kopyalayamayacağı veya aktaramayacağı kuralının bulunduğu görülmektedir.Düzenlemenin temel dayanaklarından olan ve kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla çıkarılan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda kişisel verilerin hukuka uygun olarak işlenebilmesi için uyulması gereken genel ilkeler belirlenmiş ve kişisel verilerin işlenme şartları düzenlenmiştir.Anılan Kanun'da, özel nitelikli kişisel veri kategorisinde yer alan sağlık verilerinin de işlenme şartları ayrıca belirlenmiş, bu verilerin işlenmesi, diğer verilere göre daha sıkı kurallara bağlanmış ve 6698 sayılı Kanun'un 6. maddesinde sayılan sınırlı hallerde işlenebileceği kurala bağlanmıştır. Nitekim anılan maddede, -dava konusu düzenlemenin tesis edildiği tarih itibarıyla- özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi yasaklanmış; kişisel sağlık verilerinin ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler ile yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebileceği düzenlenmiştir. Bununla birlikte anılan Kanun'da kişisel veri işleme şartı devam ettiği müddetçe veri işleme faaliyetinin devam edeceği, bu Kanun ve diğer kanun hükümlerine uygun olarak işlenmiş olan kişisel sağlık verilerinin ilgililerin açık rızası olmaksızın aktarılamayacağı, yeterli önlemler alınmak kaydıyla, sayılan işlenme şartlarının bulunması halinde ilgili kişinin açık rızası aranmaksızın aktarılabileceği düzenlenmiştir.Öte yandan, 5502 ve 5510 sayılı Kanun hükümleri ile davalı idareye kendisine verilen görevleri yapabilmesi ve sağlık hizmetlerinin finansmanı ve denetimini sağlayabilmesi bakımından kişilerin sağlık verilerini işleme yetkisi verildiği, bu amaç doğrultusunda sağlık hizmeti kullanım verisi toplamak ve bu verilere dayanarak faturalama işleminin gerçekleştirilebilmesi için MEDULA elektronik bilgi sisteminin oluşturulduğu, bununla birlikte, Sosyal Güvenlik Kurumu kapsamındaki kişilerin Türk Eczacıları Birliği üyesi eczanelerden ilaç temin edebilmesi amacıyla Türk Eczacıları Birliği ile protokol imzalandığı, protokol kapsamında eczanelerin MEDULA Sistemine erişiminin sağlandığı, eczanelerin bu sisteme Sosyal Güvenlik Kurumu adına sağlık hizmeti kullanım verisi girdikleri, bunun yanı sıra sistemdeki verilere de sağlık hizmetinin sunumu kapsamında ulaşabildikleri anlaşılmaktadır.6698 sayılı Kanun'un yukarıda aktarılan hükümlerinden görüleceği üzere kişisel sağlık verilerine hassas niteliği gereği özel önem atfedilerek ilgilisinin açık rızası aranmaksızın işlenebileceği hallerin tahdidi bir biçimde sayıldığı, sağlık hizmetleri ile finansmanının planlanmasının bu şartlardan biri olduğu ve Sosyal Güvenlik Kurumunca da bu kapsamda anılan verilerin işlenebildiği, kişisel sağlık verilerinin aktarımında da aynı hallerin şart koşulduğu, bu haller dışında kişisel sağlık verilerinin kopyalanması ya da aktarılmasına hukuki olanak bulunmadığı sonucuna varılmış olup, anılan düzenlemeler esas alınmak suretiyle getirildiği anlaşılan Yönetmelik kuralında hukuka aykırılık bulunmamaktadır. Aksine bir yorumun kişisel sağlık verilerinin amacı dışında kullanılmasına ortam hazırlayacağı, kişisel sağlık verilerinin işlenme amacı ile kullanılıp kullanılmadığının denetiminin zorlaşacağı ve ilgili kişilerin mağduriyetine yol açacağı muhakkaktır. Bu durumda, kişisel verilerin korunması hakkında özel kanunda yer alan hükümlere dayanılarak tesis edilen sözleşme kapsamında Kurum adına işlenen kişisel sağlık verilerinin Kurum veri kayıt sistemi dışında hiçbir yere kopyalanamaması veya aktarılamaması yönündeki düzenlemede üst hukuk normlarına ve kamu yararına aykırılık görülmemiştir.Diğer taraftan, 6197 sayılı Eczacılar ve Eczaneler Hakkında Kanun'un 26. maddesi uyarınca günlük reçetelerin kaydını Sağlık Bakanlığınca belirlenen usullere göre elektronik ortamda tutmak zorunda olan eczacılar adına Türk Eczacıları Birliği ile Sosyal Güvenlik Kurumu arasında imzalanan Sosyal Güvenlik Kurumu Kapsamındaki Kişilerin Türk Eczacıları Birliği Üyesi Eczanelerden İlaç Teminine İlişkin Protokolde, "Eczanelerin, MEDULA eczane provizyon sistemine kayıtlı olan sağlık verilerini ve kişisel verileri üçüncü şahıslar ile paylaşamayacağı" kuralına yer verildiği, söz konusu düzenlemenin taraflarca da kabul edildiği ve uygulamanın bu yönde şekillendiği anlaşıldığından, davacının uygulanması fiilen imkânsız bir yükümlülük altına girildiği iddiasına itibar edilmemiştir. Bununla birlikte, 6698 sayılı Kanun'un "Özel nitelikli kişisel verilerin işlenme şartları" başlıklı 6. maddesinde davanın açıldığı tarihten sonra █████/2024 tarih ve 7499 sayılı Kanun'un 33. maddesi ile değişiklik yapılmış ise de, yapılan değişikliğin esasa müessir bir yönünün bulunmadığı, kişisel sağlık verilerinin ilgililerin açık rızası aranmaksızın işlenebileceği hallerin önceki haliyle benzer şekilde düzenlendiği görülmektedir. KARAR SONUCU :Açıklanan nedenlerle;1. DAVANIN REDDİNE,2. Ayrıntısı aşağıda gösterilen toplam ... TL yargılama giderinin davacı üzerinde bırakılmasına, 3. Karar tarihinde yürürlükte bulunan Avukatlık Asgari Ücret Tarifesi uyarınca duruşmasız işler için belirlenen ... TL vekâlet ücretinin davacıdan alınarak davalı idareye verilmesine, 4. Posta gideri avansından artan tutarın kararın kesinleşmesinden sonra davacıya iadesine,5. Bu kararın tebliğ tarihini izleyen 30 (otuz) gün içerisinde Danıştay İdari Dava Daireleri Kuruluna temyiz yolu açık olmak üzere, █████/2025 tarihinde oy birliğiyle karar verildi.