Kişisel Sağlık Verileri Hakkında Yönetmelik Değişiklikleri

Kişisel Sağlık Verilerinin İşlenme Şartları ve Yasal Dayanağı

21 Haziran 2019 tarihli ve 30808 sayılı Resmî Gazete'de yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik kapsamındaki veri işleme esasları, 3 Aralık 2025 tarihli ve 33096 sayılı Resmî Gazete'de yayımlanan Yönetmelik ile değişikliğe uğramıştır. Yapılan düzenlemeyle Yönetmelik'in 5. maddesinin 3. fıkrasında yer alan sağlık hizmeti sunumu için gerekli olan ibaresi kaldırılarak doğrudan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesinin 3. fıkrasına atıf yapılmıştır. Bu çerçevede kişisel sağlık verilerinin işlenmesi; sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması şartı başta olmak üzere, Kanun'un ilgili fıkrasında sayılan şartlar dahilinde yürütülmektedir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç

MADDE 6- (1) Kişilerin ırkı, etnik
kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık
ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti
ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel
nitelikli kişisel veridir.
(2) (Mülga:2/3/2024-7499/33
md.)
(3) (Değişik:2/3/2024-7499/33
md.) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu
verilerin işlenmesi;
a) İlgili kişinin açık
rızasının olması,
b) Kanunlarda açıkça
öngörülmesi,
c) Fiili imkânsızlık
nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya
beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin
alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun
olması,
d) Bir hakkın tesisi,
kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü
altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının
korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin
yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı
amacıyla gerekli olması,
f) İstihdam, iş sağlığı
ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki
hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefi, dini
veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen
kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak,
faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla;
mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla
düzenli olarak temasta olan kişilere yönelik olması,
halinde mümkündür.
(4) Özel nitelikli kişisel
verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması
şarttır.
Kişisel verilerin silinmesi,
yok edilmesi veya anonim hâle getirilmesi

Avukatların Sağlık Verilerine Erişiminde Yeni Usul

Yönetmelik'in 10. maddesinin yürürlükten kaldırılması sonucunda avukatların müvekkillerine ait sağlık verilerine erişiminde vekâletnamede özel bir yetki veya açık rıza bulunması zorunluluğu kalkmıştır. Avukatların sağlık verilerine erişimi, 6698 sayılı Kanun'un genel hükümleri ile özellikle 6. maddesinin 3. fıkrasında düzenlenen bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartına tabi kılınmıştır. Bu doğrultuda, avukatlık görevinin ifası kapsamında ve söz konusu hakkın tesisi veya korunması zorunluluğuna dayanılarak, vekâletnamede ayrıca özel bir açık rıza beyanı aranmaksızın genel vekâletname ile sağlık verilerine erişim sağlanabilmektedir.

Hekimlerin Sağlık Verilerine Erişiminde Süreç Odaklı Esaslar

Yönetmelik'in 6. maddesinin 2. fıkrasında yapılan değişiklikle hekimlerin hasta verilerine erişiminde randevu günü veya 24 saatlik süre kısıtlaması yürürlükten kaldırılarak süreç odaklı bir model getirilmiştir. Bu doğrultuda aile hekimleri, kendilerine kayıtlı kişilerin sağlık verilerine herhangi bir süre sınırlaması olmaksızın erişebilmektedir. Muayene ve tedavi süreçlerinde ise hekimin veri erişim yetkisi; muayene, tetkik, konsültasyon ve tedaviyle bağlantılı tıbbi işlemler tamamlanıncaya kadar sürmektedir.

Yatarak tedavi gören hastaların verilerine taburcu edilinceye kadar ilgili serviste görevli hekimler erişebilmektedir. Acil servise giriş yapan hastalar bakımından ise taburcu oluncaya kadar sağlık tesisinde görevli hekimlerin erişim yetkisi tanınmıştır. Sağlık hizmetinin gecikmesinde sakınca bulunan haller gözetilerek yatarak tedavi görenler ile acil servisten giriş yapan hastalar yönünden gizlilik ayarlarına bakılmaksızın ve doğrulama kodu aranmaksızın hekim erişimine imkân verilmiştir.

e-Nabız Güvenlik Ayarları ve Tutukluluk Hali

Kişisel sağlık verilerine erişim mekanizması e-Nabız sistemi üzerinden yapılandırılmış olup kişiler erişim tercihlerine ilişkin güvenlik ayarlarını bu sistem üzerinden belirlemektedir. İlgili kişinin güvenlik ayarlarıyla erişime kapattığı geçmiş sağlık verileri, ilgilinin sistemde kayıtlı cep telefonuna gönderilen doğrulama kodunun hekimle paylaşılması ve sisteme girilmesi suretiyle erişime açılabilmektedir.

32610 sayılı KİŞİSEL SAĞLIK VERİLERİ HAKKINDA YÖNETMELİK m. 4Kaynağı aç

MADDE 4 – (1) Bu Yönetmelikte geçen;
a) Açık veri: Ücretsiz olarak veya hazırlanma
maliyetini geçmeyecek şekilde internet üzerinden herkesin erişimine sunulan,
üzerinde herhangi bir fikri mülkiyet hakkı bulunmayan ve herhangi bir amaçla
serbestçe kullanılabilen, makineler tarafından okunabilen ve böylelikle diğer
veriler ve sistemlerle birlikte çalışabilen, anonim hale getirilmiş veriyi,
b) Açık sağlık verisi: Açık veri haline getirilen
sağlık verisini,
c) Anonim hale getirme: Kişisel verilerin, başka
verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya
belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,
ç) Bakanlık: Sağlık Bakanlığını,
d) e-Nabız: İlgili kişilerin sağlık verilerine
kendilerinin, hekimlerin veya yetki verdikleri üçüncü kişilerin erişimini
sağlayan, e-Devlet uygulamalarına uygun olarak Bakanlıkça kurulan sistemi,
e) Genel Müdürlük: Sağlık Bilgi Sistemleri Genel
Müdürlüğünü,
f) İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
g) İlgili kullanıcı: Verilerin teknik olarak
depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç
olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan
aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,
ğ) KamuNET: Kamu kurum ve kuruluşları arasındaki
veri iletişiminin sağlanması, bu veri iletişiminin internete kapalı, fiziksel
ve siber saldırılara karşı daha güvenli sanal bir ağ üzerinden yapılması, siber
güvenlik risklerinin minimize edilmesi, mevcut ve kurulacak olan güvenli kapalı
devre çözümlere standart sağlanması, ortak uygulamalar için uygun alt yapının
tesis edilmesi amaçlarıyla Ulaştırma ve Altyapı Bakanlığı tarafından
geliştirilen projeyi,
h) Kanun: 24/3/2016 tarihli ve 6698 sayılı
Kişisel Verilerin Korunması Kanununu,
ı) Kimliksizleştirme: Kişisel verilerin; kimliği
belirli veya belirlenebilir gerçek kişiyle ilişkilendirilememesi için teknik ve
idari tedbirlerin alınması şartıyla ve farklı bir ortamda muhafaza edilen diğer
verilerle bir araya getirilmeksizin ilgili kişiyle ilişkilendirilemeyecek
şekilde işlenmesini,
i) Kişisel veri: Kimliği belirli veya belirlenebilir
gerçek kişiye ilişkin her türlü bilgiyi,
j) Kişisel sağlık verisi: Kimliği belirli ya da
belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü
bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgileri,
k) Kişisel verilerin imha edilmesi: Kişisel verilerin
silinmesi, yok edilmesi veya anonim hale getirilmesini,
l) Kişisel verilerin işlenmesi: Kişisel verilerin
tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin
parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi,
depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi,
açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi,
sınıflandırılması ya da kullanılmasının engellenmesi gibi sağlık verileri
üzerinde gerçekleştirilen her türlü işlemi,
m) Kişisel verilerin silinmesi: Kişisel verilerin
ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle
getirilmesi işlemini,
n) Kişisel verilerin yok edilmesi: Kişisel verilerin
hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar
kullanılamaz hâle getirilmesi işlemini,
o) Kurul: Kişisel Verileri Koruma Kurulunu,
ö) Kurum: Kişisel Verileri Koruma Kurumunu,
p) Maskeleme: Kişisel verilerin belirli alanlarının,
kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek
şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi
işlemleri,
r) Merkezi sağlık veri sistemi: Bakanlık tarafından
oluşturulan kişisel sağlık verilerinin toplandığı veri sistemini,
s) Sağlık hizmeti sunucusu: Sağlık hizmetini sunan
veya üreten gerçek kişiler ile kamu hukuku ve özel hukuk tüzel kişilerini,
ş) Veri sorumlusu: Kişisel sağlık verilerinin işlenme
amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve
yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,
ifade eder.
(2) Bu Yönetmelikte yer almayan tanımlar için
Kanundaki tanımlar ile Kurum tarafından yapılan ikincil düzenlemelerde yer
verilen tanımlar geçerlidir.
İKİNCİ BÖLÜM
Genel İlke ve Esaslar
Genel ilke ve esaslar

Tutukluluk veya hükümlülük gibi ilgililerin telefonlarına ve dolayısıyla doğrulama koduna fiilen erişemediği hallerde, herhangi bir güvenlik ayarı kontrolü yapılmaksızın sağlık verilerine erişim, 6698 sayılı Kanun'un 6. maddesinin 3. fıkrasında düzenlenen özel nitelikli kişisel veri işleme şartları dahilinde gerçekleştirilmektedir.

Velayet ve Bakım İlişkisinde Sağlık Verilerine Erişim

Boşanma davası devam ederken mahkemece geçici velayet hakkı verilen taraf veya dava sonucunda velayeti alan taraf müşterek çocuğun sağlık verilerine doğrudan erişebilmektedir. Velayet hakkı üzerinde bırakılmayan ebeveyn ise çocuğun verilerine doğrudan erişememekte; çocuk ile velinin faydası gözetilerek mevzuata uygun şekilde ve Sağlık Bilgi Sistemleri Genel Müdürlüğüne yapılan talebin uygun görülmesi halinde, velayet sahibi ebeveyn ile çocuğun adres, konum ve iletişim bilgileri maskelenerek münhasıran çocuğun sağlık durumuna ilişkin veriler paylaşılmaktadır.

32610 sayılı KİŞİSEL SAĞLIK VERİLERİ HAKKINDA YÖNETMELİK m. 8Kaynağı aç

MADDE 8 – (1) Ebeveynler, çocuklarına
ilişkin sağlık kayıtlarına herhangi bir onaya ihtiyaç duyulmaksızın e-Nabız
üzerinden erişebilir. Ayırt etme gücüne sahip çocuklar, sağlık geçmişlerine
ebeveynlerinin erişimini e-Nabız üzerinden izne tabi tutabilir.
(2) Anne ve babanın boşanması hâlinde velâyet hakkı
üzerinde bırakılmayan taraf, çocuk ile velinin faydası gözetilmek suretiyle
kişisel verilerin korunması mevzuatına uygun şekilde ve Genel Müdürlükçe
belirlenen sınırlar çerçevesinde çocuğa ilişkin sağlık verilerine erişebilir.
Sağlık verilerine hasta yakınlarının erişimi

Yönetmelik'in 4. maddesine eklenen düzenleme uyarınca bakım veren kişi; çocuğun velisi veya vasisi ya da bakım ve gözetiminden sorumlu olarak yetkilendirilmiş gerçek veya tüzel kişiler şeklinde tanımlanmıştır. Bu çerçevede, engelli raporu bulunan kişilerin sağlık verilerine kendilerine fiilen bakım veren kişilerin de erişebilmesi hüküm altına alınmıştır.

Geçmiş Tanıların Yeniden Değerlendirilmesi ve Veri Düzeltme İşlemleri

Önceden konulmuş tanıların güncel sağlık durumu esas alınarak yeniden değerlendirilmesi amacıyla ilgililer sağlık hizmeti sunucularına başvurabilmektedir. Bu kapsamda tek hekim tarafından konulan tanıların üç hekimli sağlık kurulu tarafından, kurul tanılarının ise ilgili sağlık kurullarınca yeniden değerlendirilmesi düzenlenmiştir. Yeniden değerlendirme neticesinde kişinin güncel sağlık durumunda önceki tanının artık bulunmadığını ortaya koyan bir durum bildirir sağlık kurulu raporu düzenlenmesi halinde, bu tanıya dayanılarak yapılacak iş ve işlemlerde söz konusu rapor esas alınmaktadır.

İlgili mevzuat hükümleri saklı kalmak kaydıyla, işe giriş süreçleri başta olmak üzere tüm süreçlerde, kişinin artık taşımadığı sağlık kurulu raporuyla tespit edilen geçmiş tanılar esas alınamaz ve yeniden değerlendirme sonucunda düzenlenen durum bildirir sağlık kurulu raporu dikkate alınır. Kişisel sağlık verilerinin düzeltilmesine ilişkin başvurularda Genel Müdürlük tarafından tesis edilen işlem ilgili başvuruyla sınırlı olarak sağlık hizmeti sunucusunun kendi veri tabanında uygulanırken, diğer kurum ve kuruluşların veri tabanlarında uygulanma durumu kendi mevzuatları çerçevesinde değerlendirilmektedir.

Vefat Eden Kişilere Ait Sağlık Verilerinin Saklama Süresi

Vefat eden kişilere ait kişisel sağlık verilerini almaya, veraset ilamını ibraz etmek koşuluyla murisin yasal mirasçıları münferit olarak yetkilidir. Yönetmelik'in 11. maddesinde ölmüş kişilere ait sağlık verilerinin en az yirmi yıl süreyle saklanacağı kuralı bulunmakla birlikte, yönetmelik değişikliğiyle bu saklama süresinin otuz yıl olarak uygulanması yönünde düzenleme yapılmıştır.

32610 sayılı KİŞİSEL SAĞLIK VERİLERİ HAKKINDA YÖNETMELİK m. 11Kaynağı aç

MADDE 11 – (1) Ölmüş bir kimsenin sağlık
verilerini almaya, veraset ilamını ibraz etmek suretiyle murisin yasal
mirasçıları münferit olarak yetkilidir.
(2) Ölmüş bir kimsenin sağlık verileri, en az 20 yıl
süre ile saklanır.
DÖRDÜNCÜ BÖLÜM
Kişisel Sağlık Verilerinin Gizlenmesi,
Düzeltilmesi,
İmha Edilmesi ve Aktarılması
Kişisel sağlık verilerinin gizlenmesi

Avukatların müvekkil sağlık verilerine erişimi için vekâletnamede özel yetki aranır mı?

Hayır, Yönetmelik'in 10. maddesinin yürürlükten kaldırılmasıyla vekâletnamede özel bir açık rıza beyanı aranmamakta; 6698 sayılı Kanun m. 6/3 uyarınca bir hakkın tesisi, kullanılması veya korunması zorunluluğu kapsamında genel vekâletname ile erişim sağlanabilmektedir.

Hekimlerin hasta verilerine erişiminde süre kısıtlaması var mıdır?

Hayır, randevu günü veya 24 saatlik süre kısıtlaması kaldırılarak süreç odaklı rejime geçilmiştir; aile hekimleri süre sınırı olmaksızın, muayene ve tedaviyi yürüten hekimler ise bağlantılı tıbbi işlemler tamamlanıncaya kadar verilere erişebilir.

Velayeti bulunmayan ebeveyn çocuğun sağlık verilerine nasıl erişir?

Velayeti bulunmayan ebeveyn verilere doğrudan erişemez; Sağlık Bilgi Sistemleri Genel Müdürlüğüne başvurulması gerekir ve talep uygun bulunursa velayet sahibi ile çocuğun iletişim ve adres bilgileri maskelenerek yalnızca sağlık durumu verileri paylaşılır.

Geçmişte konulan tanılar işe girişlerde aleyhe kullanılabilir mi?

İlgili mevzuat hükümleri saklı kalmak kaydıyla, kişinin artık taşımadığı sağlık kurulu raporuyla saptanan eski tanılar esas alınamaz; yeniden değerlendirme neticesinde verilen durum bildirir sağlık kurulu raporu dikkate alınır.

Vefat eden kişilere ait sağlık verileri kaç yıl saklanır?

Mevzuat metninde ölmüş kişilere ait verilerin saklanma süresi için asgari yirmi yıllık süre yer almakta, değişiklik düzenlemesinde ise bu saklama süresinin otuz yıla çıkarıldığı belirtilmektedir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy

Avukat Erdal Ersoy İletişim ve randevu

Bilişim hukuku