Sağlık Verilerine Yetkisiz Erişim

Sağlık Verilerine Yetkisiz Erişim: AİHM I./Finlandiya Kararı ve Türk Hukuku

Sağlık kaydına teknik erişim imkânı, hukuki erişim yetkisi değildir. Görev veya tedavi ilişkisi bulunmadan kayda bakılması; kişisel verilerin korunması, veri güvenliği ve mesleki sır yükümlülükleri bakımından hukuka aykırılık doğurabilir. Olayın özelliklerine göre disiplin, tazminat ve ceza sorumluluğu gündeme gelebilir. Bununla birlikte ceza sorumluluğu her yetkisiz görüntülemede otomatik olarak doğmaz; ilgili suç tipinin bütün unsurları ayrıca incelenir.

Sağlık verileri, kişinin bedensel ve ruhsal durumu, tanı, tedavi, tahlil, reçete, rapor ve sağlık hizmeti geçmişi gibi son derece mahrem bilgileri içerir. Bu nedenle tartışma yalnızca verinin dışarıya açıklanıp açıklanmadığıyla sınırlı değildir. Yetkisi bulunmayan bir kişinin kaydı görüntüleyebilmesi, bu görüntülemenin sonradan kimin tarafından ve hangi amaçla yapıldığının belirlenememesi veya başvuru yollarının etkisiz kalması da hukuki korumanın merkezindedir.

Sağlık verisine teknik erişim neden hukuki yetki değildir?

Bir hastane bilgi sistemi, e-Nabız bağlantısı veya kurum içi uygulama kullanıcıya belirli kayıtları açabiliyor olabilir. Bu teknik imkân, kayıtların her amaçla görüntülenebileceği anlamına gelmez. Hukuki erişim; görevin kapsamı, sağlık hizmeti ilişkisi, veri işleme amacı, kanuni dayanak, gereklilik ve ölçülülük birlikte değerlendirilerek belirlenir.

Erişim yetkisi mümkün olan en dar görev alanıyla sınırlandırılmalıdır. 'Sistemde görülebiliyordu', 'aynı kurumda çalışıyordu' veya 'hasta erişimi kapatmamıştı' biçimindeki açıklamalar tek başına hukuki dayanak oluşturmaz. Özellikle sağlık verilerinde rol bazlı yetkilendirme, kişiye özel kullanıcı hesabı, görüntüleme kayıtlarının tutulması ve olağan dışı erişimlerin denetlenmesi, kâğıt üzerindeki gizlilik kuralını fiilî korumaya dönüştüren temel araçlardır.

AİHM I./Finlandiya kararında ne oldu?

Avrupa İnsan Hakları Mahkemesinin 17 Temmuz 2008 tarihli I./Finlandiya kararı, sağlık verilerinin korunmasına ilişkin temel başvuru kaynaklarından biridir. Başvurucu, kamu hastanesinde hemşire olarak çalışırken aynı hastanede HIV tedavisi görmekteydi. Hastane personelinden bazı kişilerin kayıtlarına erişmiş olabileceğinden şüphelenmiş; ancak kullanılan sistem, daha sonra erişimin hangi kullanıcı tarafından yapıldığını güvenilir biçimde ortaya koymaya elverişli olmamıştır.

Karardaki belirleyici mesele, mahremiyet yükümlülüğünün ulusal hukukta yazılı olup olmadığı değildi. AİHM, hastanenin başvurucunun sağlık verilerine yetkisiz erişimi önleyen ve şüpheli erişimi sonradan açıklığa kavuşturan pratik ve etkili güvenceler sağlayıp sağlamadığını inceledi. Dönemin sistemi yalnızca son beş danışma kaydını ve erişen kişinin kimliğinden ziyade çalışma birimini gösterebiliyor; dosya arşive döndüğünde bazı bilgiler siliniyordu. Bu yapı, başvurucunun iddiasını ispatlamasını fiilen güçleştirdi.

Mahkeme, sağlık verilerinin gizliliğinin özel hayata saygının temel unsurlarından olduğunu; salt tazminat imkânının, etkin önleme ve izlenebilirlik bulunmadığında yeterli sayılamayacağını belirterek Avrupa İnsan Hakları Sözleşmesi'nin 8. maddesinin ihlal edildiğine karar verdi. Karar, veri sorumlusunun yalnızca ihlal sonrasında tepki vermesini değil, ihlali baştan zorlaştıran ve gerçekleştiğinde aydınlatılmasını sağlayan bir sistem kurmasını gerektiren pozitif yükümlülüğü görünür kılar.

I./Finlandiya kararından çıkan üç temel güvence

Önleme: Yetkiler görev ve tedavi ilişkisiyle sınırlandırılmalı; gereksiz erişim teknik olarak engellenmelidir.
İzlenebilirlik: Görüntüleme dâhil kritik işlemler kullanıcı, zaman, kayıt ve işlem türü bazında kaydedilmelidir.
Etkili inceleme: Şüpheli erişim hâlinde kayıtlar korunmalı, olay bağımsız ve denetlenebilir biçimde araştırılmalı, ilgili kişiye anlamlı bir cevap verilmelidir.

Bu üçlü yapı, günümüzde 'erişim logu var' demenin neden tek başına yeterli olmadığını açıklar. Log yalnızca veri ekleme veya silmeyi kaydediyor, salt görüntülemeyi göstermiyor, kolayca değiştirilebiliyor ya da kısa sürede siliniyorsa hukuki işlevini yerine getirmeyebilir.

Y./Türkiye kararı sınırı nasıl gösteriyor?

AİHM'in 17 Şubat 2015 tarihli Y./Türkiye kabul edilemezlik kararı, her kurum içi paylaşımın kendiliğinden ihlal sayılamayacağını gösteren karşılaştırmalı bir örnektir. Başvurucunun HIV durumuna ilişkin bilgi, tedavisine katılan sağlık personeli arasında paylaşılmıştı. Mahkeme; paylaşımın tedavi süreci, sağlık çalışanlarının korunması ve kamu sağlığıyla bağlantısını, bilgiyi alan personelin gizlilik yükümlülüğünü ve somut olayın koşullarını birlikte değerlendirerek başvuruyu açıkça dayanaktan yoksun buldu.

Bu karar, sağlık kurumu içindeki bütün erişimleri serbest bırakan genel bir yetki oluşturmaz. Ayrım şudur: Erişim veya paylaşım, somut sağlık hizmeti amacı için gerekli ve ilgili kişilerle sınırlıysa hukuki dayanak bulunabilir; merak, kişisel ilişki, husumet, özel araştırma veya görev dışı amaçlarla yapılan erişim aynı korumadan yararlanmaz.

Türk hukukunda sağlık verilerinin korunmasının temeli

Anayasa'nın 20. maddesi, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğunu düzenler. 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından sağlık verileri özel nitelikli kişisel veridir. İşleme faaliyeti, KVKK'nın 4. maddesindeki hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli-açık-meşru amaç, amaçla bağlantılı-sınırlı-ölçülü olma ve gerekli süre kadar muhafaza ilkelerine uygun olmalıdır.

KVKK'nın 6. maddesi 2024 yılında değişmiştir. Bu nedenle sağlık verilerinin yalnızca açık rızayla işlenebileceği şeklindeki mutlak ifade güncel değildir. Açık rıza dışında kanunda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ya da sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacı gibi kanuni işleme şartları bulunabilir. Hangi şartın uygulanacağı somut işleme amacı ve kişi grubu üzerinden belirlenir.

Bir işleme şartının bulunması, sınırsız erişim yetkisi vermez. KVKK'nın 4. maddesindeki ilkeler ile 12. maddesindeki hukuka aykırı işlemeyi ve erişimi önleme, veriyi muhafaza etme ve gerekli denetimleri yapma yükümlülükleri ayrıca devam eder. Başka bir ifadeyle 'veriyi işleyebilir olmak' ile 'kurumdaki herkesin her kaydı görebilmesi' aynı şey değildir.

Güncel Yönetmeliğe göre hasta kayıtlarına kim, ne zaman erişebilir?

Kişisel Sağlık Verileri Hakkında Yönetmelik'in sağlık personelinin verilere erişimini düzenleyen 6. maddesi 3 Aralık 2025 tarihinde önemli ölçüde değiştirilmiştir. Güncel düzenleme, erişimi sağlık hizmeti ilişkisi ve bu hizmetle doğrudan bağlantılı süreçlerle sınırlar. Ana çerçeve şöyledir:

Aile hekimi, kişiye ait sağlık verilerine süre sınırı olmaksızın erişebilir; ancak bu erişim de KVKK'nın 6. maddesindeki işleme şartlarıyla sınırlıdır.
Kişinin sağlık hizmeti aldığı hekim, hizmetin verildiği günlerde ve bu hizmetle doğrudan bağlantılı konsültasyon ve takip gibi süreçler tamamlanıncaya kadar gerekli verilere erişebilir.
Sağlık hizmeti sunucusundaki diğer hekimlerin erişimi de aynı hizmet ilişkisi ve bağlantılı süreçlerle sınırlanır.
Yatarak tedavi sunan kurumlarda ilgili hekimlerin erişimi taburculuğa; acil sağlık hizmetinde ise ilgili bakım ve taburculuk sürecine kadar düzenlenmiştir.
Kişinin e-Nabız güvenlik tercihleri kural olarak dikkate alınır. Yönetmelikte belirtilen hâllerde tek kullanımlık kodla erişim ve bazı özel durumlara ilişkin istisnalar öngörülmüştür.

4 Temmuz 2026 tarihli değişiklik, Yönetmelik'in 13. maddesindeki kişisel sağlık verilerinin düzeltilmesi sürecini yeniden düzenlemiş; ayrıca önceden konulmuş tanıların güncel sağlık durumuna göre yeniden değerlendirilmesine ilişkin 13/A maddesini eklemiştir. Bu düzenleme, kurum içi erişim yetkisini genişleten genel bir hüküm değildir; erişim değerlendirmesinde 6. maddedeki hizmet ilişkisi, amaç ve süre sınırları esas alınmaya devam eder.

Yönetmelik'in avukatların sağlık verilerine erişiminde özel yetkili vekâletname arayan 10. maddesi 3 Aralık 2025 tarihinde yürürlükten kaldırılmıştır. Bu nedenle eski madde metnine dayanan açıklamalar güncel erişim kuralı olarak kullanılmamalıdır. Vekil aracılığıyla yapılacak işlemlerde temsil yetkisi, talebin kapsamı, KVKK ve ilgili usul hükümleri somut işlem bakımından ayrıca değerlendirilir.

KVKK kararları kurumlara hangi somut yükümlülükleri gösteriyor?

Kişisel Verileri Koruma Kurulunun sağlık verilerine ilişkin kararları, yetkilendirme ve kayıt altyapısındaki eksikliklerin yalnızca teknik kusur olmadığını ortaya koymaktadır.

Görev dışı erişim ve görüntüleme logu: 2021/761

Kurulun 6 Ağustos 2021 tarihli ve 2021/761 sayılı kararında, velayet hakkı bulunmayan ebeveyne bir çocuğun sağlık verilerinin hastane çalışanlarınca aktarılması incelendi. Kurum sisteminde ekleme, silme ve değiştirme işlemleri kaydedilirken salt görüntülemenin izlenememesi; çalışanların görev alanları dışındaki kayıtlara geniş erişebilmesi önemli eksiklikler arasında değerlendirildi. Karar, rol ve yetki matrisinin kurulması, erişimin ilgili kişilerle sınırlandırılması ve görüntüleme işlemlerinin de kayıt altına alınması gereğini somutlaştırır.

Kullanıcı hesabının başkası tarafından kullanılması: 2021/962

Kurulun 21 Eylül 2021 tarihli ve 2021/962 sayılı kararında, özel hastanede çalışan bir hekimin e-Nabız erişiminin sekreter tarafından kullanılması ve eski bir çalışanın verilerinin görüntülenmesi ele alındı. Kişisel kullanıcı bilgilerinin paylaşılması, erişimin görev ve tedavi amacı dışında gerçekleşmesi ve kurumun yeterli teknik-idari tedbirleri kurmaması veri güvenliği yükümlülüğünün ihlali kapsamında değerlendirildi.

Hasta ayarının açık olması amaçsız erişimi meşrulaştırmaz: 2023/695

Kurulun 2 Mayıs 2023 tarihli ve 2023/695 sayılı kararında, sağlık çalışanının bir hekime ait erişim bilgileri ve elektronik imza üzerinden, sağlık hizmeti amacı bulunmaksızın e-Nabız verilerini görüntülemesi incelendi. İlgili kişinin sistem tercihinin 'tüm hekimler görebilir' biçiminde olması, tedavi ilişkisi veya meşru amaç bulunmayan erişime tek başına hukuki dayanak sayılmadı. Teknik olarak açık bir kapı, amaçsız erişimi hukuka uygun hâle getirmez.

Yanlış alıcı ve mahkemeye gönderim kararlarından çıkan ders

Kurulun 20 Mayıs 2020 tarihli ve 2020/407 sayılı kararı, tahlil sonuçlarının yanlış e-posta adresine gönderilmesinde iletişim kanalının ve alıcının doğrulanması gerektiğini gösterir. 14 Eylül 2023 tarihli ve 2023/1578 sayılı kararda ise sağlık kayıtlarının mahkeme müzekkeresine dayanılarak gönderilmesi bakımından kanuni dayanak bulunduğu kabul edilmiş; bununla birlikte aktarım yönteminde gizlilik ve özel nitelikli veriler için öngörülen güvenlik tedbirlerine uyulması gerektiği hatırlatılmıştır. Sonuç olarak hukuki aktarım sebebi, aktarımın kapsamını ve güvenli yöntem kullanma yükümlülüğünü ortadan kaldırmaz.

Danıştay kararları güncel mevzuatla birlikte okunmalıdır

Danıştay Onuncu Dairesinin 17 Ekim 2023 tarihli E. 2019/10346, K. 2023/5654 sayılı kararı, Kişisel Sağlık Verileri Hakkında Yönetmelik'in o tarihteki bazı hükümlerini incelemiş ve belirli ibareler yönünden iptal kararı vermiştir. Ancak Yönetmelik'in erişime ilişkin 6. maddesi 3 Aralık 2025 tarihinde yeniden düzenlenmiştir. Bu nedenle karar, bugünkü madde metninin yerine geçirilerek okunamaz.

Danıştay Onuncu Dairesinin 20 Kasım 2025 tarihli E. 2022/6800, K. 2025/5472 sayılı kararında, kişinin sağlık hizmeti alıp almadığı ve hangi birime başvurduğu bilgisinin dahi sağlık verisi niteliği taşıdığı kabul edilmiştir. Karar aynı zamanda Yönetmelik'in o tarihte yürürlükte bulunan 10. maddesindeki özel yetki kuralını incelemiştir. Ne var ki 10. madde 3 Aralık 2025 tarihinde yürürlükten kaldırılmıştır. Kararın yayımlanan metninde temyiz yolu açık gösterildiğinden, hem kanun yolu durumu hem de sonradan yapılan mevzuat değişikliği dikkate alınmalıdır.

Bu iki örnek, sağlık verisi alanında karar numarasını aktarmanın tek başına yeterli olmadığını gösterir. Kararın hangi tarihli düzenlemeyi incelediği, hükmün sonradan değişip değişmediği ve kararın kesinleşme durumu ayrıca kontrol edilmelidir.

Anayasa Mahkemesinin Cem Özberk kararı ne söylüyor?

Anayasa Mahkemesi Genel Kurulunun 20 Mart 2025 tarihli Cem Özberk kararı, sağlık bilgisinin hukuka aykırı biçimde ele geçirilmesine ilişkin ceza soruşturması ve kovuşturmasının etkili yürütülmesi yükümlülüğüne odaklanır. Olayda psikiyatri raporu, düzenlenmesinden yıllar sonra yetişkin hastanın annesine verilmişti. Derece mahkemeleri; aktarımın gerçekten gerekli olup olmadığını, aradan geçen süreyi, acil durum bulunup bulunmadığını ve daha az müdahaleci bir yolun mümkün olup olmadığını yeterince tartışmamıştı.

AYM, özel hayata saygı hakkının usule ilişkin güvencelerinin ihlal edildiğine karar vererek yeniden yargılama yapılmasına hükmetti. Karar, her sağlık verisi aktarımının otomatik olarak suç oluşturduğunu söylemez; kamu makamlarının mahrem bir verinin elde edilmesi ve aktarılması iddiasını somut gerekçe, gereklilik ve ölçülülük yönlerinden etkili biçimde incelemesi gerektiğini ortaya koyar.

Ceza sorumluluğu bakımından 2026 tarihli Yargıtay kararları

Yargıtay 12. Ceza Dairesinin 12 Mart 2026 tarihli E. 2023/4676, K. 2026/2628 sayılı kararında, eşe ait psikiyatrik raporun hastaneden temin edilerek rıza dışında başka bir sanığa verilmesi üzerine TCK'nın 136. maddesi kapsamında kurulan mahkûmiyet, vekâlet ücretine ilişkin düzeltme dışında onandı. Karar, sağlık raporunun rıza dışı elde edilmesi ve üçüncü kişiye verilmesi olgusuna ilişkindir.

Aynı Dairenin aynı tarihli E. 2023/446, K. 2026/2633 sayılı kararı ise sağlık verisine ilişkin değildir. Olayda bir kamu görevlisi, kendisine tanımlanan yetkiyle kimlik ve adres bilgilerini yalnızca sistemden sorgulamış; veriyi kaydettiği veya başkasına aktardığı kanıtlanmamıştır. Daire, somut olgular bakımından TCK m. 136'daki 'verileri ele geçirme' unsurunun oluşmadığını kabul etmiş; eylemin disiplin yönünden değerlendirilmesine işaret etmiştir.

Bu iki karar birlikte okunduğunda önemli ayrım şudur: Yetkisiz erişim, KVKK ve kurum içi disiplin bakımından hukuka aykırı olabilir; ancak ceza mahkûmiyeti için isnat edilen suçun kanuni unsurları ayrıca ispatlanmalıdır. Sağlık verisinin elde edilmesi, kaydedilmesi, verilmesi veya yayılması ile yalnızca ekranda görüntülendiği iddiası; failin sıfatı, erişim biçimi, kayıt ve aktarım delilleriyle birlikte değerlendirilir. Bu nedenle her olay için otomatik 'suç oluştu' veya 'yalnızca bakmak serbesttir' sonucu çıkarılamaz.

Sağlık kuruluşları hangi tedbirleri almalıdır?

Sağlık verilerinin korunması, yalnızca personele gizlilik metni imzalatmakla sağlanamaz. Etkili bir program; erişim tasarımı, izleme, denetim ve olay müdahalesini birlikte yürütmelidir. Asgari uygulama başlıkları şunlardır:

Görev ve tedavi ilişkisine göre en az yetki ilkesi uygulanmalı; geniş ve sürekli erişim istisna olmalıdır.
Her kullanıcıya kişisel hesap tanımlanmalı; parola, akıllı kart, elektronik imza veya oturumun başkası tarafından kullanılmasını önleyen tedbirler alınmalıdır.
Görüntüleme, indirme, yazdırma, değiştirme, silme ve paylaşma işlemleri kullanıcı, tarih-saat, kayıt ve işlem türü bazında loglanmalıdır.
Loglar yeterli süre saklanmalı, yetkisiz değişikliğe karşı korunmalı ve düzenli olarak olağan dışı erişim analizi yapılmalıdır.
Personelin birim, görev veya işten ayrılma değişiklikleri yetkilere gecikmeden yansıtılmalıdır.
Acil erişim mekanizmaları tanımlı gerekçe, sınırlı süre, sonradan inceleme ve uyarı üretimiyle işletilmelidir.
E-posta, fiziksel dosya, çıktı, taşınabilir ortam ve mesajlaşma kanalları da aynı güvenlik çerçevesine alınmalıdır.
Şüpheli olayda logların silinmesini veya üzerine yazılmasını önleyen delil koruma adımları derhâl devreye sokulmalıdır.
İhlal müdahale planı; hukuki değerlendirme, teknik inceleme, ilgili kişiye cevap, gerekiyorsa Kurula ve ilgili kişilere bildirim adımlarını içermelidir.

KVKK'nın 12/5. maddesine göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurulun 2019/10 sayılı kararı, Kurula bildirim bakımından yetmiş iki saatlik süreyi esas alır. Her şüphe otomatik olarak aynı sonucu doğurmaz; olayın kişisel veri ihlali niteliği, etkilenen veri ve kişi grupları ile öğrenme zamanı hızla ve belgeli biçimde değerlendirilmelidir.

Sağlık verisine izinsiz erişildiği düşünülüyorsa ne yapılabilir?

İlk aşamada amaç, erişimin kim tarafından yapıldığına ilişkin peşin hüküm kurmak değil; delili korumak, veri sorumlusundan açıklama istemek ve süreleri kaçırmamaktır. Uygulanabilecek genel yol haritası şöyledir:

e-Nabız erişim bilgileri, tarih-saat kayıtları, ekran görüntüleri, kurum yazışmaları ve varsa tanık bilgileri değiştirilmeden saklanır.
İlgili sağlık kuruluşuna veya diğer veri sorumlusuna yazılı başvuruyla erişimin amacı ve hukuki sebebi, ilgili kayıt üzerinde yapılan işlemler, verinin aktarılıp aktarılmadığı ve olayın incelenip incelenmediği sorulur; erişim loglarının silinmemesi ayrıca talep edilir.
Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırmalıdır. Cevabın yetersiz bulunması hâlinde cevabın öğrenilmesinden itibaren otuz gün ve her durumda başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyet yolu değerlendirilebilir. Kurula şikâyetten önce veri sorumlusuna başvuru zorunludur.
Olayın niteliğine göre kurum içi disiplin başvurusu, idari başvuru, tazminat talebi veya Cumhuriyet başsavcılığına suç duyurusu gündeme gelebilir. Bu yolların koşulları ve ispat ölçüsü birbirinden farklıdır.
Ceza veya hukuk sürecinde delilin yok olma riski varsa, somut olaya uygun koruyucu ve delil tespitine yönelik usul yolları gecikmeden değerlendirilir.

İlgili kişinin 'erişim loglarının tamamının ham kopyasını' koşulsuz biçimde alma hakkı bulunduğu söylenemez. Loglarda üçüncü kişilere ait veriler, personel bilgileri ve sistem güvenliğini etkileyebilecek unsurlar bulunabilir. Buna karşılık veri sorumlusundan olayla ilgili kayıtların korunması, erişimin araştırılması ve KVKK kapsamındaki haklara anlamlı cevap verilmesi istenebilir. Verilecek bilginin kapsamı, ilgili kişinin hakkı ile üçüncü kişilerin hakları ve güvenlik gereklilikleri arasında ölçülü biçimde belirlenmelidir.

Sonuç

Sağlık verilerine yetkisiz erişim uyuşmazlığında ilk soru, verinin dışarıya sızdırılıp sızdırılmadığı değildir. Önce erişimin görev ve tedavi amacıyla bağlantısı, hukuki dayanağı, gerekliliği ve ölçülülüğü incelenmelidir. Ardından erişimin güvenilir kayıtlarla izlenip izlenemediği ve kurumun şüpheli olaya etkili cevap verip vermediği değerlendirilir.

AİHM I./Finlandiya kararı, kâğıt üzerindeki gizlilik kuralının tek başına yeterli olmadığını; sağlık kurumunun yetkisiz erişimi önleyen ve gerçekleştiğinde ortaya çıkarabilen pratik güvenceler kurması gerektiğini gösterir. Güncel KVKK ve Kişisel Sağlık Verileri Hakkında Yönetmelik de erişimi amaç, kişi, görev ve süre bakımından sınırlar. Ceza sorumluluğu ise ayrıca TCK'daki suçun unsurlarına ve somut delillere bağlıdır. Sağlam bir değerlendirme, bu üç alanı—veri koruma, kurum sorumluluğu ve ceza hukuku—birbirine karıştırmadan birlikte ele alır.

Sıkça sorulan sorular

Hastane çalışanı her hasta kaydını görebilir mi?

Hayır. Aynı kurumda çalışmak tek başına bütün kayıtlara hukuki erişim yetkisi vermez. Erişim; görev, sağlık hizmeti ilişkisi, amaç, gereklilik ve süreyle sınırlı olmalıdır. Kurumun sistemi daha geniş erişime izin verse bile amaçsız görüntüleme hukuka uygun hâle gelmez.

Sağlık verisine bakılması, kimseye açıklanmasa da ihlal olabilir mi?

Evet. Görev veya kanuni işleme amacı bulunmadan verinin görüntülenmesi, hukuka aykırı erişim ve işleme oluşturabilir. Bunun KVKK, disiplin, tazminat ve ceza hukuku sonuçları ise aynı değildir; her biri somut olayın delilleri ve kendi koşullarıyla incelenir.

e-Nabız kaydına izinsiz erişildiğinde ne yapılabilir?

Erişim bilgileri ve yazışmalar korunmalı; önce veri sorumlusuna KVKK kapsamında yazılı başvuru yapılarak erişimin amacı, dayanağı, kapsamı ve yapılan inceleme sorulmalı, ilgili logların korunması istenmelidir. Verilen cevaba ve olayın niteliğine göre Kurula şikâyet, disiplin, tazminat veya ceza yolları ayrıca değerlendirilebilir.

Hastaneden erişim loglarının tamamı istenebilir mi?

İlgili kişi, verisinin işlenip işlenmediğini öğrenme ve işleme hakkında bilgi isteme hakkına sahiptir; ancak üçüncü kişilere ait veriler ve sistem güvenliği nedeniyle bütün ham logların koşulsuz teslimi her olayda mümkün olmayabilir. Olayla ilgili logların korunması, erişimin araştırılması ve ilgili kişiye anlamlı sonuç bildirilmesi talep edilebilir.

Sağlık verisi her zaman yalnızca açık rızayla mı işlenebilir?

Hayır. KVKK'nın 6. maddesinde açık rıza dışında da özel nitelikli verilerin işlenebileceği hâller düzenlenmiştir. Sağlık verileri bakımından kanunda açıkça öngörülme, bir hakkın tesisi veya korunması için zorunluluk ve sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca belirli sağlık hizmeti amaçları bunlara örnek olabilir. Uygun işleme şartı somut amaç üzerinden belirlenir; KVKK'nın temel ilkeleri ve veri güvenliği yükümlülükleri her durumda devam eder.

Mahkemenin istediği sağlık kayıtları gönderilebilir mi?

Usulüne uygun mahkeme müzekkeresi veya kanuni yükümlülük, aktarım için hukuki dayanak oluşturabilir. Ancak yalnızca istenen ve gerekli kapsamda veri gönderilmeli; aktarım kanalı, alıcı doğrulaması ve gizlilik tedbirleri korunmalıdır. Kanuni dayanak, sınırsız veya güvensiz aktarımı meşrulaştırmaz.

Her yetkisiz görüntüleme otomatik olarak TCK m. 136 suçunu oluşturur mu?

Hayır. Yetkisiz görüntüleme KVKK ve disiplin hukuku bakımından hukuka aykırı olabilir; ceza mahkûmiyeti için ise isnat edilen suçun bütün unsurları ispatlanmalıdır. Verinin niteliği, erişim biçimi, kaydedilip kaydedilmediği, üçüncü kişiye verilip verilmediği ve failin sıfatı somut olayda ayrı ayrı incelenir.

Her şüpheli erişim Kurula bildirilmek zorunda mıdır?

Her şüphe kendiliğinden bildirim yükümlülüğü doğurmaz. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenildiği bir veri ihlali varsa KVKK m. 12/5 ve Kurulun 2019/10 sayılı kararı kapsamında bildirim değerlendirilir. Olayın niteliği hızla araştırılmalı; karar ve zaman çizelgesi belgelendirilmelidir.

Hukuki bilgilendirme notu

Bu yazı genel hukuki bilgilendirme amacıyla hazırlanmıştır. Erişim kaydı, kurumun niteliği, sağlık hizmeti ilişkisi, işleme amacı, verinin aktarılıp aktarılmadığı, failin sıfatı ve başvuru süreleri görülmeden somut bir olay hakkında kesin hukuki sonuca varılamaz.

Av. Alper Doğruöz

Başlıca mevzuat ve birincil karar kaynakları

İlgili içerikler için iç bağlantı önerileri

Sağlık Verilerine Yetkisiz Erişim: AİHM I./Finlandiya Kararı ve Türk Hukuku

Bize Ulaşın