Sağlık Verileri ve e-Nabız: İzinsiz Erişim, KVKK Başvurusu ve Hasta Hakları

Bir hastane çalışanının merak ederek tahlil sonuçlarına bakması, sağlık bilgilerinin işyerine gönderilmesi veya hasta dosyasının yanlış kişiye verilmesi yalnız mahremiyet rahatsızlığı değildir. Sağlık verilerine erişimin amacı, hukuki dayanağı ve kapsamı denetlenebilir. Bununla birlikte her erişim için ayrıca açık rıza alınması gerektiği de söylenemez: Kanun, gerekli sağlık hizmetleri için belirli şartlarla rıza dışındaki işleme sebeplerini kabul eder.

Bu rehber; e-Nabız, hastane bilgi sistemleri, hasta dosyaları ve sağlık verilerinin paylaşılması hakkında vatandaşların temel sorularını cevaplar. Değerlendirme 1 Kasım 2026 itibarıyla güncel 6698 sayılı Kişisel Verilerin Korunması Kanunu esas alınarak yapılmıştır. Özellikle 2024 değişikliği öncesindeki kararların eski kanun metninin bugünkü kurallarla karıştırılmaması gerekir.

Sağlık verisi neden özel olarak korunur?

6698 sayılı Kanun m. 6; sağlık, cinsel hayat, biyometrik ve genetik verileri de içeren belirli veri türlerini özel nitelikli kişisel veri olarak düzenler. Tanı, tedavi, reçete, laboratuvar sonucu veya kişinin sağlık durumunu ortaya koyan bir kayıt bu kapsamda değerlendirilir. Bu bilgiler kişinin çalışma ve sosyal yaşamı üzerinde ciddi etki yaratabileceğinden erişim yetkisi sıradan bir kurum içi kolaylık gibi ele alınamaz.

Kanun m. 4'teki doğruluk, belirli ve meşru amaç, amaçla bağlantılılık, sınırlılık, ölçülülük ve gerekli süre kadar saklama ilkeleri sağlık verileri için de geçerlidir. Bir çalışanın sistemde teknik erişim yetkisinin bulunması, bütün hastaların bütün kayıtlarını herhangi bir nedenle inceleyebileceği anlamına gelmez. Yetki, görev ve somut işleme amacı birlikte değerlendirilir.

Açık rıza olmadan sağlık verisi işlenebilir mi?

M. 6'nın 2024 yılında değişen güncel düzenlemesinde, özel nitelikli verilerin işlenmesi kural olarak yasaktır; kanunda sayılan şartlardan biri varsa mümkün olur. Açık rıza bu şartlardan biridir. Kanunda açıkça öngörülme, bir hakkın tesisi veya korunması için zorunluluk ve kişinin rızasını açıklayamadığı durumda yaşam veya beden bütünlüğünü koruma zorunluluğu gibi başka sebepler de bulunur.

Sağlık alanındaki önemli hüküm m. 6/3-e'dir. Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar, kamu sağlığı, koruyucu hekimlik, teşhis, tedavi, bakım ve sağlık hizmetlerinin planlanması, yönetimi ve finansmanı için gerekli olduğunda veri işleyebilir. M. 6/4 uyarınca Kurulun belirlediği yeterli önlemlerin alınması da gerekir. Bu imkân, kişisel merak veya ilgisiz bir işveren talebi için genel izin değildir.

Örneğin tedaviyi sürdüren hekimin gerekli bulguları görmesi ile hastayla hiçbir görev ilişkisi olmayan kişinin geçmiş tanıları incelemesi aynı şekilde değerlendirilemez. Hastanın sosyal medyada bir rahatsızlığını açıklaması da bütün hasta dosyasını sınırsız kullanıma açmaz; alenileştirmenin amacı ve kapsamı korunur. Güncel hükümler 6698 sayılı Kanun'un resmî metninde yer almaktadır.

Hastane hangi güvenlik önlemlerinden sorumludur?

Kanun m. 12, hukuka aykırı işleme ve erişimin önlenmesi, verilerin korunması için uygun teknik ve idari tedbirler alınmasını gerektirir. Gerekli denetimler yapılmalı; erişim yetkileri görevle uyumlu olmalıdır. Bilgilerin amaç dışında kullanılmaması ve yetkisiz kişilere açıklanmaması yükümlülüğü görevden ayrıldıktan sonra da sürer.

Kişisel hesapların paylaşılması, bir hekimin hesabının başkalarınca kullanılması veya gereksiz geniş yetkilerin kontrol edilmemesi bu çerçevede incelenebilir. Personelin bireysel davranışı, kurumun güvenlik düzeninin ayrıca değerlendirilmesini engellemez. Öte yandan her olayda kurumun ve çalışanın sorumluluğu aynı hukuki sebepten doğmaz; olayın koşulları ayrıştırılmalıdır.

KVKK Kurulunun e-Nabız erişimi kararı

Kişisel Verileri Koruma Kurulunun 21.09.2021 tarihli, 2021/962 sayılı kararında bir kişinin e-Nabız bilgilerinin, özel hastanedeki hekim hesabı üzerinden yetkisiz şekilde incelenmesi ele alındı. İncelemede erişimin, sekreterin kişisel merakından kaynaklandığı ve sağlık hizmeti amacıyla açıklanamadığı anlaşıldı.

Kurul, hastanenin personel eğitimi ve sonradan uygulanan disiplin işlemlerine ilişkin açıklamalarını değerlendirdi; buna rağmen hukuka aykırı erişimi önleyecek yeterli güvenliğin sağlanmadığı sonucuna vardı. Kanun m. 12 kapsamındaki yükümlülük nedeniyle idari para cezası uygulandı ve ilgili kişinin başvurusunun cevaplandırılması yönünde talimat verildi. Kararda ceza hukuku ve genel hükümlere göre tazminat yolları da ayrıca ele alındı.

Bu bir mahkeme tazminat hükmü değil, idari Kurul kararıdır. Hastaya belirli bir manevi tazminat ödenmesine hükmedildiği anlamına gelmez. Ayrıca kararın aktardığı eski m. 6 metni yerine bugün yürürlükteki düzenleme kullanılmalıdır. Kararın güncel tartışma bakımından önemi, teknik erişim imkânı ile hukuka uygun amaç arasındaki ayrımdır. Kurulun yayımladığı karar özeti bu olayın resmî kaynağıdır.

İzinsiz erişimden şüphelenince ilk adım

Eldeki bilgi korunmalı ve şüphe somutlaştırılmalıdır. Sistemde görülen erişim tarihi, kurum bilgisi veya bildirim varsa tarih ve bağlamıyla kaydedilebilir. Ancak ekranda görülen kurum adının her zaman belirli bir çalışanın kimliğini veya erişimin hukuka aykırılığını tek başına kanıtlamayacağı unutulmamalıdır. İlgili kurumdan amaç ve dayanak açıklaması istenmelidir.

Şifreyi başkasıyla paylaşmak, başkasının hesabına girmek veya aynı erişimi izinsiz tekrar ederek kanıt üretmek doğru bir yol değildir. Kendi hesabınızın güvenliğini sağlamak ile geçmişteki kurumsal erişimin hukuka uygunluğunu inceletmek ayrı işlemlerdir. Kanıt niteliği taşıyabilecek kayıtların saklanması ilgili kuruma yazılı olarak talep edilebilir.

Veri sorumlusuna başvuruda hangi talepler yer almalı?

Kanun m. 11 kişiye; verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amaç ve amaca uygun kullanım hakkında açıklama talep etme, aktarılan üçüncü kişileri öğrenme, yanlış bilgilerin düzeltilmesini ve kanuni şartlar varsa silinmesini isteme hakları verir. Hukuka aykırı işleme nedeniyle zararın giderilmesini isteme hakkı da düzenlenmiştir.

• Başvuruda olayın tarihi, ilgili kurum ve erişildiği veya paylaşıldığı düşünülen veri belirtilmelidir.

• İşlemenin amacı, hukuki dayanağı ve kapsamının açıklanması istenmelidir.

• Varsa aktarım yapılan alıcılar ve paylaşımın sebebi sorulmalıdır.

• İlgili erişim ve işlem kayıtlarının korunması, yetkisiz erişim iddiasının incelenmesi talep edilmelidir.

• Yanlış kayıt varsa doğrusu ve düzeltme talebinin dayanağı açıklanmalıdır.

• Cevabın gönderileceği iletişim bilgisi ve başvuranın kimliğini doğrulayan gerekli bilgiler sunulmalıdır.

Başvuru, Kanun m. 13 ve ilgili usullere uygun kanaldan yapılmalıdır. Kurumun aydınlatma metnindeki veri sorumlusu unvanı ve başvuru kanalı kontrol edilir. Sadece genel bir sosyal medya hesabına mesaj göndermek yerine başvurunun doğru muhataba ulaştığı kanıtlanmalıdır. Gereksiz sağlık belgeleri veya kimlik verileri çok sayıda adrese gönderilmemelidir.

Otuz ve altmış günlük süreler nasıl işler?

M. 13 uyarınca veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. M. 14'e göre ret, yetersiz cevap veya süresinde cevap verilmemesi durumunda Kurula şikâyet edilebilir. Önce veri sorumlusuna başvuru yolunun tüketilmesi gerekir. Şikâyet süresi cevabın öğrenilmesinden itibaren otuz gün ve her hâlde ilk başvurudan itibaren altmış gündür.

Örneğin başvurudan on gün sonra ret cevabı öğrenilmişse bu cevaptan başlayan otuz günlük süre dikkate alınır; başvurunun altmışıncı gününe kadar beklenebileceği düşünülmemelidir. Otuz gün hiç cevap gelmemişse şikâyet, ilk başvurudan itibaren altmış günlük sınır içinde yapılmalıdır. Otuz günden sonra gelen cevap, altmış günlük sınırı yeniden başlatmaz. Teslim ve öğrenme tarihlerini gösteren belgeler bu nedenle korunur.

Bu takvim KVKK başvuru ve şikâyet yoluna ilişkindir. Ceza, tazminat ve idari yargı sürelerinin aynı olduğunu göstermez. Hangi ek yolun kullanılacağı, kurumun niteliği ve olayın hukuki sebebine göre ayrıca değerlendirilmelidir.

Hasta dosyasının silinmesini mutlaka sağlayabilir miyim?

Hayır. Kanun m. 7, işlenmesini gerektiren sebepler ortadan kalkmışsa silme, yok etme veya anonimleştirmeyi düzenler. Sağlık kayıtları için geçerli saklama yükümlülüğü ya da başka hukuki gereklilik devam ediyorsa sırf talep üzerine bütün dosyanın silinmesi zorunlu değildir. Buna karşılık gereksiz kopyalar, amaç dışı kullanım veya yanlış kayıtlar ayrı değerlendirilir.

Yanlış tanı kaydı bulunduğu düşünülüyorsa hangi kaydın neden yanlış olduğu ve düzeltmeyi destekleyen belge açıklanmalıdır. Erişimi kısıtlama, veriyi düzeltme ve veriyi silme farklı taleplerdir. Bir sistemde görünürlüğün değiştirilmesi, bütün kurumlardaki kayıtların hukuken veya fiilen silindiği anlamına gelmez.

İşveren, eş veya aile üyesi sağlık bilgilerini alabilir mi?

Yakınlık veya iş ilişkisi tek başına sınırsız dosya erişimi sağlamaz. İş sağlığı ve güvenliği gibi kanuni yükümlülükler belirli verilerin işlenmesini gerektirebilir; fakat amaç ve gereklilikle sınırlılık korunur. Eşin, yetişkin çocuğun veya başka bir yakının talebi de hastanın bütün bilgilerinin doğrudan açıklanmasını otomatik olarak haklı kılmaz.

Çocuklar, temsil yetkisi, vesayet veya belirli resmî taleplerde özel hükümler uygulanabilir. Bu nedenle “aileden biri istedi” veya “kurum yazı gönderdi” açıklamasıyla yetinilmemeli; yetkinin ve talebin kapsamı değerlendirilmelidir. Hukuki uyuşmazlıkta delil sunulması da tüm dosyanın ilgisiz bölümlerinin sınırsız paylaşılması demek değildir.

Kurul kararı tazminat sağlar mı?

Kurul, kendi görev alanında hukuka aykırılığı inceleyebilir, düzeltici talimat verebilir ve koşulları varsa idari yaptırım uygulayabilir. İdari para cezası hastaya ödenen tazminat değildir. Kanun m. 14/3 genel hükümlere göre tazminat hakkını saklı tutar; zarar, sorumluluk ve uygun başvuru yolu ayrıca değerlendirilir.

Kişisel verilerin hukuka aykırı elde edilmesi veya açıklanması ceza hukuku bakımından da incelenebilir. Her yanlış erişimin aynı suçu oluşturduğu ya da her veri uyuşmazlığında aynı mahkemenin görevli olduğu söylenemez. Kamu kurumu, özel hastane ve çalışan yönünden hukuki yolların ayrılması gerekebilir.

Sık sorulan sorular

Doktorum bütün eski kayıtlarımı görebilir mi?

Tedavi için gerekli erişimin hukuki dayanağı bulunabilir. Ancak hekim sıfatı, amaç ve gereklilik sınırlarından bağımsız sınırsız erişim yetkisi vermez. Somut erişimin nedeni sorulabilir.

Erişim kaydını gördüysem doğrudan Kurula gidebilir miyim?

İlgili kişi şikâyetinde önce veri sorumlusuna başvuru yolu tüketilmelidir. Kurulun resen inceleme yetkisi, kişinin şikâyetindeki bu usulü kendiliğinden kaldırmaz.

Hastane “personeli uyardık” derse mesele kapanır mı?

Hayır. Uyarı, veri güvenliğinin yeterliliği ve başvurudaki taleplerin cevaplandırılması yerine geçmez. Alınan önlemlerle birlikte somut erişim incelenmelidir.

Rızamı geri alırsam tedavi kayıtları silinir mi?

Her zaman değil. İşleme yalnız rızaya dayanıyorsa geri alma önem taşır; başka bir hukuki dayanak veya saklama yükümlülüğü bulunması ayrıca değerlendirilir. İlgili kurumdan dayanağın açıklanması istenebilir.

Hasta dosyasına erişim için aydınlatılmış onam ve kayıtlar rehberi, diğer başvurular için Sağlık Hukuku ve Malpraktis rehberi yardımcı olabilir. Bu içerik genel bilgilendirme amacı taşır; belirli bir veri işleme olayının hukuka uygunluğu kayıtlar ve dayanaklarıyla değerlendirilir.