Bir mahkeme tarafından, bir sigorta şirketinin sigorta başvuru aşamasında ulusal hukuk uyarınca sağlık verilerini işleyebileceğine hükmedilmiştir. Mahkeme, Genel Veri Koruma Tüzüğü'nün 9. maddesine yönelik ulusal sigorta istisnasının, sigorta sözleşmesinin halihazırda akdedilmiş olup olmadığına bakılmaksızın uygulanacağını saptamıştır.
Veri sorumlusu, isteğe bağlı şahıs sigortası sunan bir sigorta şirketidir. Sigorta başvurularının işlenmesi kapsamında veri sorumlusu, sigorta edilebilirliği değerlendirmek ve olası sorumluluğu belirlemek amacıyla sağlık hizmeti sunucularından elde edilen sağlık verilerini talep etmiş ve işlemiştir.
Finlandiya Veri Koruma Otoritesi, veri sorumlusunun uygulamalarını incelemiş ve başvuru aşamasında sağlık verilerinin işlenmesinin Genel Veri Koruma Tüzüğü'nün 9. maddesini ihlal ettiği sonucuna varmıştır. Otoriteye göre, sigorta şirketlerinin sağlık verilerini işlemesine izin veren Finlandiya Veri Koruma Kanunu'nun 6(1)(1) maddesi kapsamındaki ulusal istisna, ancak bir sigorta sözleşmesi akdedildikten sonra uygulanabilirdi. Bu doğrultuda otorite, veri sorumlusuna veri işleme faaliyetlerini Genel Veri Koruma Tüzüğü'nün 9. maddesine uyumlu hale getirmesi talimatını vermiştir.
Helsinki İdare Mahkemesi, ulusal hukuktaki “sigortalı kişi” kavramının sözleşme akdedilmeden önce sigorta başvuru sahiplerini kapsamadığını saptayarak otoritenin kararını onamıştır. Veri sorumlusu bu karara karşı Yüksek İdare Mahkemesi nezdinde temyiz başvurusunda bulunmuştur. Yüksek İdare Mahkemesinin kararı, hem İdare Mahkemesinin hem de Finlandiya Veri Koruma Otoritesinin kararlarını bozmuştur.
Yüksek İdare Mahkemesi, Finlandiya Veri Koruma Kanunu'nun 6(1)(1) maddesindeki “sigortalı kişi” kavramının, sigorta sözleşmesinin halihazırda akdedilmiş olup olmadığına veya henüz başvuru aşamasında bulunulup bulunulmadığına bakılmaksızın, isteğe bağlı şahıs sigortasının konusunu oluşturan kişiyi kapsayacak şekilde yorumlanması gerektiğine hükmetmiştir. Bu yorum, risk ve sorumluluk değerlendirmesinin henüz başvuru aşamasında yapılmasını gerektiren ulusal sigorta hukukunun yapısı ve amacı ile de desteklenmiştir. Yüksek İdare Mahkemesi, sigorta başvurusu aşamasında sağlık verilerinin işlenmesinin sigortacılık faaliyetinin ayrılmaz ve gerekli bir parçası olduğunu ve Genel Veri Koruma Tüzüğü'nün 9(2)(g) maddesi uyarınca izin verilen ulusal istisna kapsamında yer aldığını saptamıştır. İstisnanın daha dar bir şekilde yorumlanması, yasama geçmişinde dayanağı olmaksızın sigortacılık uygulamasının temel bir unsurunu dışarıda bırakacaktır.
Bu doğrultuda Yüksek İdare Mahkemesi, veri sorumlusunun sağlık verilerini işlemesinin Genel Veri Koruma Tüzüğü'nün 9. maddesi uyarınca hukuka aykırı olmadığı sonucuna varmış, denetim otoritesinin talimatını iptal etmiş ve veri işleme uygulamalarını değiştirme yükümlülüğünü kaldırmıştır.
İlgili habere buradan ulaşabilirsiniz