Sağlık Verilerinin Korunması 2026: Hasta Kayıtlarına Erişim, e-Nabız İzinleri, İfşa ve Tazminat (KVKK m.6)

Sağlık verisi, kişisel veriler arasında en sıkı korumaya tabi olanıdır: 6698 sayılı Kanun bunu özel nitelikli veri sayar, işlenmesini sınırlı hâllere bağlar ve ek güvenlik tedbirleri arar. Hastanın kendi kaydına erişimi, verilerin kimlerle paylaşılabileceği, e-Nabız erişim izinleri ve ihlal hâlinde başvurulacak yollar bu çerçevede belirlenir. Bu rehber, tabloyu mevzuat maddeleriyle anlatır. Ankara’daki dosyanız için bize 0554 648 37 15 numarasından ulaşabilirsiniz.

Sağlık verisi nedir, neden özel nitelikli?

Sağlık verisi, kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgiyi kapsar: teşhis, tedavi, ilaç kullanımı, tetkik ve görüntüleme sonuçları, rapor ve reçeteler, engellilik durumu, genetik veriler ve hastane kayıtları bunlar arasındadır. Randevu kayıtları ve hangi branşa başvurulduğu bilgisi dahi, kişinin sağlık durumu hakkında çıkarım imkânı verdiği için bu kapsamda değerlendirilebilir.

Kanun’un 6. maddesi bu verileri özel nitelikli sayar. Sebep, ihlalin doğuracağı sonucun ağırlığıdır: sağlık bilgisinin ifşası, kişinin iş hayatında ayrımcılığa uğramasına, sigorta ve kredi işlemlerinde dezavantaja düşmesine ve sosyal çevresinde onur kırıcı sonuçlara yol açabilir. Bu nedenle hem işleme şartları daraltılmış hem de ek güvenlik tedbirleri zorunlu kılınmıştır. Özel nitelikli verilerin genel rejimini kişisel veri işleme şartları ve açık rıza yazımızda ele aldık.

Hangi hâllerde işlenebilir? (m.6)

Kural, özel nitelikli verilerin ilgilinin açık rızası olmaksızın işlenememesidir. Sağlık verileri bakımından ise kanun bir istisna öngörür: kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilir.

Tablodaki üçüncü satır uygulamada en çok ihlal edilen noktadır: insan kaynakları birimi, çalışanın raporunun süresini ve iş göremezlik durumunu bilmek zorundadır; ancak hastalığın adını, teşhisi ve tedavi ayrıntısını öğrenmeye ihtiyacı yoktur. Rapor üzerindeki tanı kodunun görülmesi bile ölçülülük tartışması doğurur. İşyerinde çalışan verilerinin genel çerçevesini işyerinde kişisel verilerin korunması yazımızda ele aldık.

Sır saklama yükümlülüğü ve mesleki sorumluluk

Sağlık personelinin sır saklama yükümlülüğü yalnızca veri mevzuatından değil, sağlık mevzuatı ve meslek etiği kurallarından da doğar. Hasta hakları düzenlemeleri, hastanın mahremiyetine saygı gösterilmesini ve sağlık durumuna ilişkin bilgilerin izinsiz açıklanmamasını öngörür. Bu yükümlülük, tedavi ilişkisi sona erdikten sonra da devam eder.

İhlal üç ayrı sonuç doğurur. İdari yönden Kanun’un 18. maddesindeki para cezaları ve sağlık mevzuatındaki disiplin yaptırımları uygulanır. Hukuki yönden hasta, maddi ve manevi tazminat talep edebilir; kişilik haklarının ihlali hâlinde manevi tazminat özellikle gündeme gelir. Cezai yönden ise kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi Türk Ceza Kanunu’nda suç olarak düzenlenmiştir ve sağlık verilerinde nitelikli hâl söz konusu olabilir.

Sigorta, kredi ve sağlık verisi talebi

Sağlık verisi talep eden kurumların başında sigorta şirketleri gelir. Özel sağlık ve hayat sigortası poliçelerinde, risk değerlendirmesi ve tazminat işlemleri için sağlık geçmişi sorulur. Bu, kural olarak açık rızaya dayanır; rızanın belirli bir konuya ilişkin ve bilgilendirmeye dayalı olması gerekir. Poliçe başvurusunda alınan ve tüm geçmiş kayıtlara sınırsız erişim yetkisi veren genel muvafakatnameler, kapsam ve süre bakımından belirsiz olduğu için tartışmalıdır; talebin somut poliçe ve somut hasar dosyasıyla sınırlı olması beklenir.

İkinci sık karşılaşılan durum, sigortacının tazminat ödemesini “beyan yükümlülüğünün ihlali” gerekçesiyle reddetmesidir. Bu savunmanın kabul edilebilmesi için, gizlendiği ileri sürülen rahatsızlığın poliçe öncesinde bilinen ve riskle doğrudan ilgili bir durum olması gerekir; her tıbbi kayıt otomatik olarak ihlal oluşturmaz. Sigortalı, kendi sağlık kayıtlarını temin ederek bu iddiaya karşı savunma yapar. Kredi ve finans kuruluşları bakımından ise sağlık verisi talebi kural olarak dayanaksızdır; kredi değerlendirmesinde sağlık bilgisi istenmesi, amaçla bağlantılı ve ölçülü olma ilkesine aykırılık oluşturur. Bu tür taleplerde yazılı olarak dayanağının sorulması, çoğu zaman talebin geri çekilmesiyle sonuçlanır.

Klinik araştırma, istatistik ve anonimleştirme

Sağlık verileri bilimsel araştırma ve planlama amacıyla da kullanılır. Burada belirleyici ayrım, verinin kimliklendirilebilir olup olmadığıdır. Veri anonim hâle getirildiğinde, yani kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek duruma geldiğinde kişisel veri olmaktan çıkar ve Kanun kapsamı dışında kalır. Buna karşılık kodlanmış ya da takma adlandırılmış veriler, anahtarla kimliğe ulaşılabildiği sürece kişisel veri olmaya devam eder ve tüm yükümlülükler uygulanır.

Klinik araştırmalarda ayrıca sağlık mevzuatındaki izin ve etik kurul onayı süreçleri işler; gönüllüden alınan onam, hem araştırmaya katılıma hem verilerin işlenmesine ilişkindir ve her ikisinin ayrı ayrı açıklanması gerekir. Katılımcı, onamını her zaman geri alabilir; geri alma hâlinde verilerin araştırmadan çıkarılması istenir, ancak analiz tamamlanmış ve anonimleştirilmiş veriler bakımından geri alma sonuç doğurmayabilir. Bu nedenle onam metninde, verilerin hangi aşamada anonimleştirileceği ve geri almanın sonuçlarının ne olacağı açıkça yazılmalıdır. Yayınlarda vaka sunumu yapılırken de kimliği belirlenebilir kılan detayların çıkarılması gerekir; nadir bir hastalık ve dar bir coğrafya birleştiğinde, isim yazılmasa dahi kişi belirlenebilir hâle gelebilir.

Hastanın kendi verisine erişimi

Hasta, kendisine ait sağlık kayıtlarına erişme hakkına sahiptir. Bu hak hem 6698 sayılı Kanun’un 11. maddesinden hem de hasta hakları mevzuatından doğar. Talep, tedaviyi yürüten sağlık kuruluşuna yazılı olarak iletilir; kuruluş, kayıtların bir örneğini vermek zorundadır. Dosyanın tamamı istenebilir: epikriz, tetkik sonuçları, görüntüleme kayıtları, ameliyat notları ve hemşire gözlem formları bu kapsamdadır.

Uygulamada karşılaşılan direnç iki gerekçeye dayandırılır: “arşivden çıkarılamaz” ve “sadece hekim verebilir”. İkisi de talebi reddetmek için yeterli değildir; kuruluş, kimlik doğrulaması yaparak kaydı vermekle yükümlüdür. Kayıtların malpraktis iddiası bakımından önemi büyüktür: dava öncesinde dosyanın eksiksiz temin edilmesi, sonradan yapılacak değerlendirmenin temelini oluşturur. Talebin karşılanmaması hâlinde önce yazılı başvuru yenilenir, ardından Kurula şikâyet ve gerekirse mahkemeden delil tespiti yoluna gidilir.

e-Nabız ve merkezi kayıt sistemleri

Sağlık verilerinin merkezi sistemlerde toplanması, erişim yetkisi sorusunu doğurur. Kişinin kendi verilerine erişimi esastır; üçüncü kişilerin erişimi ise ancak kişinin izniyle ya da mevzuatın öngördüğü hâllerde mümkündür. Sistem üzerinden hekime verilen erişim izinleri kişi tarafından yönetilebilir; izinlerin kapsamı ve süresi sınırlandırılabilir, verilen izin geri alınabilir.

Bu noktada iki uygulama önem taşır. Birincisi, tedavi ilişkisi bulunmayan sağlık personelinin kayıtları görüntülemesi hukuka aykırıdır; sistem log kayıtları üzerinden bu tür erişimler tespit edilebilir ve şikâyet konusu yapılabilir. İkincisi, kişinin ölümü hâlinde yakınlarının erişimidir: mirasçıların sağlık kayıtlarına erişimi, ölenin mahremiyeti ile mirasçıların meşru menfaati arasında dengelenir ve genellikle hukuki menfaatin ortaya konması aranır. Malpraktis iddiası ya da tazminat talebi bulunan hâllerde bu menfaat kolayca gösterilir.

Genetik veriler ve aile bireyleri

Genetik veriler, sağlık verileri içinde ayrı bir yer tutar; çünkü yalnızca kişinin kendisi hakkında değil, kan bağı bulunan yakınları hakkında da bilgi verir. Bir kişinin genetik test sonucu, kardeşinin ya da çocuğunun taşıyıcılık durumu hakkında çıkarım imkânı sağlayabilir. Bu özellik, rızanın kapsamı sorusunu doğurur: test yaptıran kişinin rızası, sonucun aile bireylerini ilgilendiren kısmının paylaşılması için tek başına yeterli sayılmaz.

Uygulamada bu, üç noktada karşımıza çıkar. Birincisi, test sonucunun aile bireylerine bildirilip bildirilemeyeceğidir: hekimin bilgilendirme yükümlülüğü ile hastanın mahremiyeti arasında denge kurulur ve kural olarak hastanın rızası aranır. İkincisi, sonuçların sigorta ve işe alım süreçlerinde kullanılmasıdır; genetik yatkınlığa dayanarak ayrımcılık yapılması hukuka aykırıdır ve ayrımcılık yasağı kapsamında değerlendirilir. Üçüncüsü, ticari genetik test hizmetleridir: yurt dışına numune gönderilmesi hem yurt dışına veri aktarımı hem de özel nitelikli veri işlemedir; hizmet alınmadan önce verilerin nerede saklanacağı, ne kadar süreyle tutulacağı ve araştırma amacıyla kullanılıp kullanılmayacağı yazılı olarak sorulmalıdır. Bu tür sözleşmelerde yer alan ve verilerin sınırsız biçimde araştırmada kullanılmasına izin veren genel kayıtlar, açık rızanın belirli bir konuya ilişkin olması gerekliliğine aykırıdır.

Reklam, tanıtım ve hasta görselleri

Sağlık kuruluşlarının hasta görsellerini ve tedavi öncesi-sonrası fotoğraflarını tanıtımda kullanması, iki ayrı mevzuatın kesişiminde yer alır. Veri mevzuatı bakımından bu, sağlık verisinin işlenmesi ve aktarılmasıdır; açık rıza aranır ve rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir. Tedavi sırasında alınan genel bir onam, tanıtımda kullanım için yeterli değildir.

Sağlık mevzuatı bakımından ise reklam yasağı devreye girer: sağlık hizmetlerinde tanıtımın sınırları çizilmiştir ve hasta çekmeye yönelik teşvik unsuru taşıyan paylaşımlar yasaktır. Bu nedenle hasta görselinin paylaşılması, rıza alınmış olsa bile ayrıca reklam mevzuatı yönünden değerlendirilir ve idari yaptırıma konu olabilir. Hasta bakımından ise rızanın her zaman geri alınabileceği unutulmamalıdır; geri alma üzerine görselin yayından kaldırılması gerekir. Sağlık alanındaki tanıtım sınırlarını sağlıkta reklam yasağı yazımızda ele aldık.

Sağlık kuruluşları için uyum: ne yapmalı?

Hastane, klinik, muayenehane, laboratuvar ve eczaneler veri sorumlusudur ve uyum yükümlülükleri diğer sektörlere göre daha ağırdır; çünkü ana faaliyetleri özel nitelikli veri işlemeye dayanır. Bu, VERBİS kayıt yükümlülüğü bakımından da fark yaratır: ana faaliyeti özel nitelikli veri işleme olan kuruluşlar, çalışan sayısı eşiklerinin altında kalsalar dahi kayıt kapsamına girebilir.

Uyumun asgari unsurları şunlardır. Birincisi yetkilendirme: hangi personelin hangi kayda erişebileceği rol bazlı olarak tanımlanmalı ve erişimler loglanmalıdır; sekreterlik biriminin tetkik sonuçlarına erişimi gibi geniş yetkiler daraltılmalıdır. İkincisi fiziksel güvenlik: basılı dosyaların kilitli dolapta tutulması, bekleme alanında hasta adının yüksek sesle çağrılmaması ve ekranların üçüncü kişilerce görülmemesi mahremiyetin somut karşılığıdır. Üçüncüsü aydınlatma: hasta kabul aşamasında aydınlatma metninin sunulması ve tanıtım gibi ek amaçlar için ayrı açık rıza alınması gerekir. Dördüncüsü saklama ve imha: sağlık kayıtlarının mevzuatta öngörülen süreler boyunca saklanması zorunludur; süre dolduğunda usulüne uygun imha yapılmalı ve kayıt altına alınmalıdır. Beşincisi ihlal planıdır: bir sızıntı ya da yetkisiz erişim tespit edildiğinde kime haber verileceği, Kurula ve hastalara bildirimin nasıl yapılacağı önceden belirlenmelidir. Bu hazırlık, denetimde cezanın alt sınırdan uygulanmasında ya da hiç uygulanmamasında belirleyici olur.

Çocukların ve vesayet altındakilerin sağlık verileri

Küçüklerin sağlık verilerinde rıza ve erişim yetkisi, velayet ve vesayet hükümlerine göre belirlenir. Kural olarak veli, çocuğun sağlık verilerine ilişkin işlemlerde onu temsil eder; ancak ayırt etme gücüne sahip küçüklerin kişiye sıkı sıkıya bağlı haklar bakımından kendi iradesi de gözetilir. Ergenliğe yaklaşan çocukların bazı sağlık başvurularında mahremiyet beklentisi doğar; hekimin bu dengeyi gözetmesi ve çocuğun yüksek yararını esas alması gerekir.

Boşanmış ebeveynlerde sık yaşanan sorun, velayeti bulunmayan ebeveynin çocuğun sağlık kayıtlarına erişmek istemesidir. Velayet kendisinde olmayan ebeveynin kişisel ilişki hakkı bulunsa dahi, sağlık kayıtlarına erişimi kendiliğinden doğmaz; kural olarak velayet sahibi ebeveyn yetkilidir. Buna karşılık çocuğun sağlığına ilişkin önemli kararlarda diğer ebeveynin bilgilendirilmesi gerekebilir ve uyuşmazlık hâlinde aile mahkemesine başvurulur. Vesayet altındaki yetişkinlerde ise vasi, mahkeme kararının kapsamı çerçevesinde temsil eder; vasinin yetkisi vesayet kararıyla sınırlıdır ve kuruluşun bu kararı görmeden kayıt vermemesi yerinde olur. Her iki hâlde de kuruluşun yapması gereken, talep edenin sıfatını belgeye dayanarak doğrulamak ve doğrulanmayan taleplere kayıt vermemektir; aksi hâlde yetkisiz kişiye veri aktarımı sorumluluğu doğar.

Başvuru, şikâyet ve dava yolları

Kurula şikâyetten önce veri sorumlusuna başvuru zorunludur; veri sorumlusu en geç otuz gün içinde cevap vermelidir. Cevabın yetersiz olması, reddedilmesi ya da süresinde cevap verilmemesi hâlinde Kurula şikâyet edilir. Başvuru ve şikâyet dilekçesinin düzenini KVKK başvuru ve Kurula şikâyet dilekçesi örneği yazımızda gösterdik. İnternette yayımlanan içeriğin kaldırılması için ayrıca erişimin engellenmesi yoluna başvurulabilir; bunu erişimin engellenmesi başvuru dilekçesi örneği yazımızda ele aldık.

Sağlık kaydı talebi dilekçesi örneği

Sık sorulan sorular

Sağlık verisi neden özel nitelikli sayılır?

İhlali ayrımcılığa ve ağır kişilik hakkı zararlarına yol açabildiği için; 6698 m.6 bu verileri özel nitelikli sayar ve işlenmesini sınırlar.

Hastane verilerimi rıza almadan işleyebilir mi?

Teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altındaki kişilerce açık rıza aranmaksızın işlenebilir.

Randevu bilgisi de sağlık verisi mi?

Hangi branşa başvurulduğu bilgisi sağlık durumu hakkında çıkarım imkânı verdiği için bu kapsamda değerlendirilebilir.

İşverenim hastalığımın adını öğrenebilir mi?

Hayır. İnsan kaynaklarının bilmesi gereken istirahat süresi ve iş göremezlik durumudur; teşhis bilgisi işlenmemelidir.

Hasta dosyamın tamamını isteyebilir miyim?

Evet. Epikriz, tetkikler, görüntülemeler, ameliyat notları ve onam belgeleri dâhil kayıtların bir örneği verilmelidir.

“Arşivden çıkmaz” denilerek reddedilebilir mi?

Hayır. Kuruluş kimlik doğrulaması yaparak kaydı vermekle yükümlüdür; ret hâlinde Kurula şikâyet edilebilir.

Tedavi ilişkisi olmayan personel kaydımı görürse ne olur?

Bu hukuka aykırı erişimdir; log kayıtlarıyla tespit edilebilir, Kurula şikâyet ve suç duyurusu konusu olur.

Merkezi sistemdeki hekim erişim iznini geri alabilir miyim?

Evet. Verilen izinlerin kapsamı ve süresi sınırlandırılabilir, izinler geri alınabilir.

Vefat eden yakınımın kayıtlarına ulaşabilir miyim?

Ölenin mahremiyeti ile mirasçının meşru menfaati dengelenir; hukuki menfaatin ortaya konması aranır.

Tedavi öncesi-sonrası fotoğrafım paylaşılabilir mi?

Ancak belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş açık rıza ile; ayrıca sağlık mevzuatındaki reklam yasağı değerlendirilir.

Verdiğim rızayı geri alabilir miyim?

Evet. Geri alma üzerine görselin ya da içeriğin yayından kaldırılması gerekir.

İfşa hâlinde tazminat isteyebilir miyim?

Evet. İdari yaptırımdan bağımsız olarak maddi ve manevi tazminat talep edilebilir.

Genetik test sonucum aile bireylerimi de ilgilendiriyorsa ne olur?

Genetik veri yakınlar hakkında da çıkarım imkânı verir; sonucun paylaşılmasında kural olarak kişinin rızası aranır ve genetik yatkınlığa dayalı ayrımcılık hukuka aykırıdır.

Muayenehane de VERBİS’e kaydolmalı mı?

Ana faaliyeti özel nitelikli veri işleme olan sağlık kuruluşları, çalışan sayısı eşiklerinin altında kalsalar dahi kayıt kapsamına girebilir.

Sigorta şirketi tüm sağlık geçmişimi isteyebilir mi?

Talebin somut poliçe ve hasar dosyasıyla sınırlı olması beklenir; sınırsız erişim yetkisi veren genel muvafakatnameler kapsam ve süre bakımından tartışmalıdır.

Anonimleştirilen sağlık verisi KVKK kapsamında mı?

Hayır. Kimliği belirlenemeyecek hâle getirilen veri kişisel veri olmaktan çıkar; ancak anahtarla kimliğe ulaşılabilen kodlu veriler kişisel veridir.

Kurula doğrudan şikâyet edebilir miyim?

Hayır. Önce veri sorumlusuna başvuru zorunludur; otuz gün içinde cevap verilmezse ya da yetersizse Kurula şikâyet edilir.

Bu yazı genel bilgilendirme amaçlıdır; 6698 sayılı Kişisel Verilerin Korunması Kanunu m.6, 11, 12, 13, 18 ile hasta hakları ve kişisel sağlık verileri mevzuatına dayanır. Somut dosyanız için Hukukçular Evi Ankara ile 0554 648 37 15 numaralı telefondan iletişime geçin.