Klinik Araştırmalarda Veri Bütünlüğü ve Dijital Hukuk: KVKK/GDPR ve ALCOA Prensipleri İlişkisi

Av. Saadet Kartı

​

Giriş

 

Dijitalleşen Klinik Araştırmalar ve İkili Hukuki Koruma Modern tıp ve farmakoloji alanındaki gelişmeler, klinik araştırmaların yürütülme şeklini köklü bir biçimde dijitalleştirmiştir. Elektronik Vaka Rapor Formları (eCRF), elektronik Hasta Bildirimli Sonuçlar (ePRO) ve giyilebilir teknolojiler gibi sistemlerin kullanımı, araştırmalarda toplanan verinin hacmini ve karmaşıklığını artırmıştır. Bu dijital ekosistemde elde edilen klinik veri, hukuki ve regülatif açıdan ikili bir öneme sahiptir. Bir yandan, bireylerin en mahrem bilgisi olan sağlık durumlarına ilişkin veriler içermesi sebebiyle anayasal ve evrensel bir insan hakkı olan mahremiyetin konusunu oluşturur. Diğer yandan ise yeni tıbbi ürünlerin etkinliğini ve güvenliliğini otoriteler nezdinde ispatlamaya yarayan, manipülasyondan uzak tutulması gereken kesin bir bilimsel ve regülatif kanıt niteliği taşır. Bu çifte önem, klinik araştırmalarda salt tıbbi etiğin ötesine geçen; kişisel verilerin korunması hukuku ile elektronik sistemlerin validasyonunu düzenleyen dijital veri bütünlüğü kurallarının bir arada ve uyum içinde uygulanmasını zorunlu kılmaktadır.

​

Kişisel Veri Boyutu (KVKK ve GDPR)

 

Klinik araştırmalar doğası gereği, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında "özel nitelikli (hassas) kişisel veri" olarak sınıflandırılan sağlık verilerinin ve genetik verilerin yoğun bir biçimde işlendiği süreçlerdir. Hem KVKK madde 6 hem de GDPR Madde 9 uyarınca, bu tür verilerin işlenmesi kural olarak yasaklanmış olup, ancak yasada öngörülen katı istisnaların varlığı veya ilgili kişinin özgür iradesiyle açıkladığı "açık rıza" ile hukuka uygun hale gelmektedir. Klinik araştırma mevzuatı gereği alınan "Bilgilendirilmiş Gönüllü Oluru (BGOF)", bireyin araştırmaya tıbbi ve etik olarak katılımını onaylayan bir belge niteliğinde olup; verilerin sınır aşan transferi veya ikincil bilimsel amaçlarla kullanımı gibi süreçler için kişisel verilerin korunması hukukunun aradığı spesifik "açık rıza" şartını tek başına karşılamayabilir.

​

Bu bağlamda tarafların hukuki statülerinin belirlenmesi, sorumlulukların dağıtımı açısından kritiktir. Klinik araştırmanın başlatılmasına, yürütülmesine ve finanse edilmesine karar veren, toplanacak verilerin amacını ve vasıtalarını belirleyen Destekleyici (Sponsor), hukuken "Veri Sorumlusu" sıfatını taşır. Destekleyicinin maskelenmiş (kodlanmış) verilere erişiyor olması, onun veri sorumlusu sıfatını ve bu sıfattan doğan aydınlatma, veri güvenliğini sağlama gibi hukuki yükümlülüklerini ortadan kaldırmaz. Veri sorumlusunun yetkisi ve talimatları doğrultusunda veri işleme faaliyetlerini fiilen yürüten Sözleşmeli Araştırma Kuruluşları (CRO) ise "Veri İşleyen" statüsündedir. Özellikle uluslararası çok merkezli araştırmalarda, verilerin yurt dışındaki veri tabanlarına veya laboratuvarlara aktarılması zorunluluğu doğduğunda, KVKK Madde 9 uyarınca yeterlilik kararı bulunmayan ülkelere yapılacak transferler için ilgili kişinin açık rızasının veya Kurul onaylı standart sözleşmeler ve taahhütnamelerin sağlanması yasal bir mecburiyettir.

​

Sistem ve Kanıt Boyutu (ALCOA Prensipleri ve FDA 21 CFR Part 11)

 

Klinik araştırmalardan elde edilen verilerin kalitesi ve bilimsel dayanak olarak kabul edilebilirliği, veri bütünlüğü (data integrity) ilkelerine sıkı sıkıya bağlıdır. Uluslararası regülatörler tarafından iyi laboratuvar, klinik ve üretim uygulamalarının (GxP) temeli olarak kabul edilen ALCOA prensipleri; verilerin Atfedilebilir (Attributable), Okunaklı (Legible), Eşzamanlı (Contemporaneous), Orijinal (Original) ve Doğru (Accurate) olmasını şart koşar. Elektronik veri toplama (EDC) sistemlerinde eCRF'ler kullanılarak elde edilen verilerin bu özelliklere sahip olmasını yasal bir zemine oturtan en temel regülasyonlardan biri FDA 21 CFR Part 11'dir.

​

Bu regülasyon, klinik araştırmalarda kullanılan elektronik kayıtların ve elektronik imzaların, kâğıt üzerindeki ıslak imzalı kayıtlarla eşdeğer, güvenilir ve yasal olarak bağlayıcı kabul edilebilmesi için kapalı sistemlerin taşıması gereken teknik kriterleri belirler. Bir sistemin ALCOA prensiplerine ve Part 11 standartlarına uyumlu olabilmesi için, veriyi kimin, ne zaman sisteme girdiğini veya değiştirdiğini gösteren, silinemez ve bilgisayar tarafından otomatik olarak üretilen denetim izlerine (audit trail) sahip olması zorunludur. Eşzamanlılık ilkesi gereği veriler gözlem anında kaydedilmeli, atfedilebilirlik ilkesi gereği ise her işlem eşsiz bir kullanıcı kimliğine (şifre/biyometrik vs.) bağlanmalıdır. Denetim izleri, sisteme sonradan müdahale edilmesini, verilerin manipüle edilmesini veya geriye dönük tahrifat yapılmasını önleyerek elektronik kayıtların meşruiyetini savunan yasal bir kalkan işlevi görür.

​

ALCOA Prensiplerinin Veri İhlallerini Önleyici Bir Kalkan Olması

​

Kişisel veri mevzuatı ile veri bütünlüğü regülasyonları, sistem güvenliği noktasında birbirinin ayrılmaz bir parçası olarak kesişir. KVKK Madde 12 ve GDPR Madde 32, veri sorumlusu ve veri işleyenlere; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı şekilde erişilmesini önlemek amacıyla, riskin niteliğine uygun her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Veri güvenliğinin (Data Security) teknolojik altyapı bağlamında sağlanmadığı, zafiyetler barındıran bir klinik veri tabanında KVKK ve GDPR uyumundan söz edilemez.

​

İşte bu noktada ALCOA prensipleri, kişisel verilerin korunması hukukunun talep ettiği "teknik ve idari güvenlik tedbirleri” olarak karşımıza çıkar. Örneğin; "Atfedilebilirlik" (Attributable) ilkesinin ihlal edilerek sisteme ortak şifrelerle girilmesi (shared logins), KVKK kapsamında yetkisiz erişimlerin kimin tarafından yapıldığının tespit edilememesi anlamına gelir ve veri ihlaline sebebiyet verir. Benzer şekilde, verilerin "Orijinalliği" (Original) ve sistemin "İzlenebilirliği" (Traceable) için zorunlu olan denetim izlerinin bulunmaması, bir siber saldırı veya içeriden veri sızıntısı durumunda GDPR'ın hesap verilebilirlik ve veri bütünlüğü ilkelerini doğrudan ihlal eder. Dolayısıyla, FDA Part 11 gereklilikleri ve ALCOA standartları çerçevesinde kurgulanmış şifreleme, yetki matrisi, zaman damgası ve denetim izi mekanizmaları; aynı zamanda kişisel veri ihlallerini engelleyen, tespit eden ve veri mahremiyetini koruyan yasal otokontrol sistemleridir.

​

Sonuç

 

Klinik araştırmalarda veri yönetimi; salt bilgi işlem (IT) departmanlarının teknik bir operasyonu olmaktan çıkmış, doğrudan uluslararası regülatif kabul edilebilirliği ve ağır hukuki/cezai yaptırımları belirleyen en kritik “Dijital Hukuk” alanı haline gelmiştir. Bir klinik araştırmanın tasarımından sonuçlandırılmasına kadar geçen süreçte, gönüllülerden toplanan biyometrik ve klinik verilerin güvenliği; bir tarafta FDA ve EMA gibi sağlık otoritelerinin talep ettiği ALCOA/Part 11 uyumluluğuna, diğer tarafta veri koruma otoritelerinin denetlediği KVKK/GDPR normlarına dayanmaktadır. İster bilimsel geçerliliği kanıtlamak için isterse anayasal bir hak olan kişisel verilerin mahremiyetini korumak için olsun; elektronik veri bütünlüğünün sağlanamadığı hiçbir araştırma ne bilimsel otoriteler ne de hukuk düzeni tarafından meşru kabul edilecektir. Bu nedenle klinik araştırmalar, regülatif veri bilimi ve dijital veri koruma hukukunun organik bir sentezi olarak tasarlanmak ve yürütülmek zorundadır.

​

© 2026. Bu makalenin tüm telif hakları saklıdır. Metnin tamamı veya bir kısmı, yazarın yazılı izni olmaksızın kopyalanamaz, çoğaltılamaz veya dijital/basılı mecralarda yayınlanamaz. Bilimsel ve hukuki atıf kuralları çerçevesinde kaynak gösterilerek alıntı yapılabilir.