Genetik veri güvenliği: verilerim güvende mi? KVKK ve DNA testi

Avrupa veri koruma mevzuatı genetik veriyi, bir kişinin kalıtsal ya da sonradan edinilmiş genetik özelliklerine ilişkin, o kişinin vücut işlevleri veya sağlığı hakkında ayırt edici bilgi veren ve genellikle kişiden alınan bir biyolojik örneğin analiziyle elde edilen kişisel veri olarak tanımlar ^[4]. Yani laboratuvarın örneğinden okuduğu genetik farklar da, bu farklardan hazırlanan rapor da bu kapsama girer.

Genetik veriyi diğer kişisel verilerden ayıran birkaç özellik vardır. Şifreni değiştirebilirsin, ama DNA'nı değiştiremezsin. Ayrıca genetik bilgi yalnızca seni değil, anne, baba ve kardeşlerin gibi yakın akrabalarını da ilgilendirir; ABD Ulusal İnsan Genomu Araştırma Enstitüsü (NHGRI), yakın aile bağlarının kimliği gizlenmiş örneklerde bile mahremiyeti korumayı zorlaştırdığını vurgular ^[6]. Aynı kurum, 2013'te yayımlanan bir çalışmanın bir araştırma veri tabanındaki genomik verinin soy ağacı veri tabanları ve kamu kayıtlarıyla birleştirilerek araştırma katılımcılarının yeniden tanımlanabileceğini gösterdiğini aktarır ^[6].

Bu yüzden genetik veri güvenliği, yalnızca şirketin sunucusunun korunması değil; verinin hangi amaçla, ne kadar süre, kimlerle paylaşılarak işlendiği sorusudur. Genetik testin genel olarak ne olduğunu merak ediyorsan önce genetik test nedir yazısına göz atabilirsin.

6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016'da Resmî Gazete'de yayımlandı ^[1]. Kanunun 6. maddesi ırk, sağlık, biyometrik ve genetik veriler gibi verileri özel nitelikli kişisel veri olarak sayar ^[1]. 2024'te 7499 sayılı Kanunla yapılan değişiklikten sonra maddenin ikinci fıkrası şu ilkeyi koyar: özel nitelikli kişisel verilerin işlenmesi yasaktır ^[1].

Bu yasak mutlak değildir; kanun bazı istisnalar sayar. Bunların başında ilgili kişinin açık rızası gelir. Kanunlarda açıkça öngörülmesi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve sır saklama yükümlülüğü altındaki kişilerce sağlık hizmetlerinin yürütülmesi için gerekli olması da sayılan haller arasındadır ^[1]. Hangi istisnaya dayanılırsa dayanılsın, Kurulun belirlediği yeterli önlemlerin ayrıca alınması şarttır ^[1].

KVKK açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar ^[1]. Bu üç unsur pratikte şunu anlatır: "tüm hizmetlerimiz için verilerinizi kullanabiliriz" gibi geniş ve belirsiz bir onay, belirli bir konuya ilişkin sayılmakta zorlanır. GDPR de açık rızanın bir ya da birden fazla belirli amaç için verilmesini arar ^[3].

DNA testi siparişi verirken rıza metnini okumak sıkıcı gelebilir, ama asıl önemli satırlar oradadır. Örneğin raporunun hazırlanması için verdiğin onay ile verinin araştırma amacıyla kullanılması için verdiğin onay ayrı ayrı sorulmalıdır. Bir onayı vermemen, ana hizmeti almanı engellememelidir. Online sipariş sürecinin genel adımlarını online DNA testi yazısında bulabilirsin.

Kişisel Verileri Koruma Kurulu, 31 Ocak 2018 tarihli ve 2018/10 sayılı kararıyla özel nitelikli kişisel verileri işleyenlerin alması gereken yeterli önlemleri belirledi; karar 7 Mart 2018 tarihli Resmî Gazete'de yayımlandı ^[2]. Öne çıkan başlıklar şunlardır:

• Özel nitelikli veriler için ayrı, kuralları net bir politika ve prosedür oluşturulması ^[2].
• Bu verilere erişen çalışanlara düzenli eğitim verilmesi, gizlilik sözleşmesi yapılması, erişim yetkilerinin kapsamı ve süresiyle tanımlanıp düzenli gözden geçirilmesi ^[2].
• Elektronik ortamdaki verilerin kriptografik yöntemlerle saklanması, şifreleme anahtarlarının güvenli ve ayrı ortamlarda tutulması ^[2].
• Veriler üzerinde yapılan tüm işlemlerin güvenli şekilde kayıt altına alınması (loglanması) ve güvenlik testlerinin düzenli yapılması ^[2].
• Uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama kullanılması ^[2].
• Verinin e-postayla aktarılması gerekiyorsa şifrelenmiş olarak kurumsal e-posta ya da kayıtlı elektronik posta (KEP) ile gönderilmesi ^[2].

Kanunun 12. maddesi ayrıca veri sorumlusunun, veriyi kendi adına işleyen başka bir kişi ya da kurumla (örneğin analiz yapan bir laboratuvarla) güvenlik önlemlerinden birlikte sorumlu olduğunu söyler ^[1]. Verilere kanuna aykırı yollarla erişilirse, veri sorumlusu durumu en kısa sürede sana ve Kurula bildirmek zorundadır ^[1].

ABD Ulusal Tıp Kütüphanesi'nin MedlinePlus sayfası, doğrudan tüketiciye sunulan genetik testlerde gizliliği etkileyebilecek durumları şöyle sıralar ^[5]:

• Şirketin genetik bilgiyi başka taraflarla paylaşması ya da satması.
• Veri tabanına izinsiz erişilmesi veya bir veri ihlali yaşanması.
• Şirketin satın alınması, kapanması ya da iflas etmesiyle verinin yeni bir sahibe geçmesi.
• Şirketin genetik bilgiyi kolluk görevlileriyle paylaşmak zorunda kalabilmesi.

Aynı kaynak, bu testlerin denetiminin ABD'de sınırlı olduğunu da not eder ^[5]. Türkiye'de ise KVKK, genetik veriyi işleyen her şirkete yukarıdaki yükümlülükleri getirir; bu yüzden şirketin KVKK aydınlatma metnini ve açık rıza metnini açıkça yayımlayıp yayımlamadığı iyi bir ilk işarettir. NHGRI de ABD'deki genetik bilgi ayrımcılığı yasasının (GINA) sağlık sigortası şirketleri ve işverenlerin genetik bilgiye erişimini sınırladığını, ancak hayat, uzun süreli bakım ve maluliyet sigortalarında genomik bilginin ayrımcılık için kullanılmasına dair endişelerin sürdüğünü belirtir ^[6].

Bir şirketin genetik veri güvenliğine ne kadar önem verdiğini anlamak için teknik bilgiye ihtiyacın yok. Aşağıdaki soruların yanıtı aydınlatma metninde, gizlilik politikasında ya da müşteri hizmetlerinde açıkça bulunmalı:

• Veri sorumlusu kim, örneğimi hangi laboratuvar analiz ediyor?
• Örneğim ve ham genetik verim nerede, ne kadar süre saklanıyor?
• Verim yurt dışına aktarılıyor mu, aktarılıyorsa hangi hukuki dayanakla?
• Araştırma ya da ürün geliştirme için kullanım ayrı bir onaya mı bağlı?
• Örneğimin imha edilmesini ve verimin silinmesini nasıl isteyebilirim?
• Bir veri ihlali olursa bana nasıl haber verilecek?

Hangi raporun ihtiyacına uyduğunu henüz bilmiyorsan, hangi genetik test bana uygun aracıyla birkaç soruda seçenekleri daraltabilir, sonra bu listeyle şirketleri karşılaştırabilirsin.

Kanunun 11. maddesi herkese, veri sorumlusuna başvurarak şu hakları tanır ^[1]:

• Kişisel verinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi isteme.
• İşleme amacını ve verinin bu amaca uygun kullanılıp kullanılmadığını öğrenme.
• Verinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik ya da yanlış işlenmiş veriyi düzeltme, kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
• Yalnızca otomatik sistemlerle yapılan bir analizin aleyhine bir sonuç doğurmasına itiraz etme.
• Kanuna aykırı işleme nedeniyle uğradığın zararın giderilmesini isteme.

Başvurunu yazılı olarak ya da Kurulun belirlediği diğer yöntemlerle yapabilirsin; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmak zorundadır ^[1]. Başvurun reddedilir, yanıt yetersiz kalır ya da süresinde yanıt gelmezse, yanıtı öğrendiğin tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilirsin ^[1].

Dynova'da örnek evde yanak içinden sürüntüyle alınıp geri gönderilir ve bir partner laboratuvar tarafından analiz edilir; örneğinin ve verinin hangi adımlardan geçtiğini veri ve yapay zekâ sayfasında okuyabilirsin.