Hasta Mahremiyeti ve Sağlık Verilerinin Korunması: Hasta Hakları, KVKK, İhlaller ve Tazminat

Hasta mahremiyeti, yalnızca hastalık bilgilerinin sır saklanmasından ibaret değildir; kişinin bedeni, muayene ve tedavi ortamı, psikolojik ve sosyal yaşamı, tıbbi kayıtları ve dijital sağlık verileri birlikte korunur. Hastanın sağlık hizmetinden yararlanması, hekim veya hastane personeline sağlık kayıtlarını sınırsız görüntüleme, yakınlarıyla paylaşma ya da tanıtım amacıyla yayımlama yetkisi vermez. Hak ihlalinde başvurulacak yol; olayın fiziksel mahremiyete mi yoksa kişisel veri işlemeye mi ilişkin olduğuna, kamu veya özel sağlık kuruluşunda gerçekleşmesine ve ihlalin sonuçlarına göre değişir. Özellikle 2024 tarihli KVKK değişiklikleri ile 3 Aralık 2025 ve 4 Temmuz 2026 tarihli kişisel sağlık verileri düzenlemeleri, başvuru ve erişim değerlendirmelerinde esas alınmalıdır.

Hasta mahremiyeti nedir ve hangi hakları korur?

Hasta mahremiyeti, sağlık hizmeti sırasında kişinin yalnızca tıbben gerekli bilgileri ve bedensel özelliklerini, gerekli kişi ve kuruluşlarla, meşru amaç ölçüsünde paylaşmasını; muayene, teşhis ve tedavisinin uygun gizlilik şartlarında yapılmasını ifade eder. Hasta Hakları Yönetmeliği m.21, mahremiyete saygıyı temel ilke olarak düzenler. Hak, vatandaşlık statüsüne veya tedavinin ücretli olup olmamasına bağlı değildir. Hasta aynı zamanda Anayasa m.17 uyarınca maddi ve manevi varlığını, Anayasa m.20 uyarınca özel hayatını ve kişisel verilerini koruma hakkına sahiptir. Avrupa İnsan Hakları Sözleşmesi m.8 özel ve aile hayatına saygı güvencesi sağlar. [1] [2]

Mahremiyeti yalnızca perde çekmek veya veri tabanına şifre koymak olarak görmek yetersizdir. Koruma dört bağlantılı boyut taşır: fiziksel mahremiyet (bedene ve tedavi alanına erişim), bilgi mahremiyeti (tanı, laboratuvar, reçete, psikiyatri, genetik ve ödeme bilgileri), psikolojik/bilişsel mahremiyet (kişinin kendi hakkında hangi bilgiyi kimle paylaşacağına ilişkin iradesi) ve sosyal mahremiyet (kişinin hastalığı dolayısıyla damgalanmaması, yakınları ya da iş çevresi nezdinde gereksiz ifşaya maruz bırakılmaması). Bunlar birbirinden kopuk değil; çoğu olayda birlikte ihlal edilebilir.

Hasta Hakları Yönetmeliği m.21 neleri gerektirir?

Yönetmelikteki mahremiyet güvencesi, tıbbi değerlendirmelerin gizli yürütülmesini, muayene ve tedavinin uygun ortamda yapılmasını, tıbben sakınca yoksa bir yakının bulunabilmesini, müdahaleyle ilgisiz kişilerin dışarıda tutulmasını, hastalığın gerektirmediği özel/aile yaşamı müdahalelerinden kaçınılmasını ve sağlık harcamalarının kaynağının korunmasını içerir. Bu başlıklar hasta tarafından ayrıca talep edilebilir. Hekimin oda kapısını kapatması kadar, hastanın başkalarının duyabileceği bankoda teşhisinin yüksek sesle söylenmemesi de mahremiyetin parçasıdır. [2]

Mahremiyet, bilgilendirme ve aydınlatılmış onam farklı haklardır

Bilgilendirilme ve aydınlatılmış onam, tıbbi müdahalenin niteliği, yararları, riskleri ve seçenekleri hakkında kişinin karar verebilmesini sağlar. Mahremiyet ise bu açıklamaların, kayıtların ve işlemlerin kimler tarafından ve hangi koşullarda görülebileceğini sınırlar. Bir ameliyat için alınan onam, hastanın görüntüsünün internette yayımlanmasına veya hastane içindeki herkesin kayıtlara bakmasına toplu izin anlamına gelmez. Fotoğraf/video kullanımı, üçüncü kişilere açıklama ve sağlık verisinin farklı amaçla işlenmesi ayrı hukuki değerlendirme gerektirir. [1] [2] [3]

Muayene ve tedavi sırasında fiziksel mahremiyet nasıl sağlanır?

Poliklinik odası, acil servis, yoğun bakım, ameliyathane, doğumhane, diyaliz merkezi ve görüntüleme birimi aynı koşullara sahip değildir; fakat ortak ilke gereklilik, ölçülülük ve hastanın insan onuruna saygıdır. Yetkisiz kişiler muayene alanından uzak tutulmalı; perde, kapı, kişisel alan, kıyafet ve açıklama yöntemleri tıbbi gereklilikle dengelenmelidir. Acil müdahaleler de mahremiyet hakkını ortadan kaldırmaz; aciliyet nedeniyle sınırlanabilecek uygulamalar ancak gerekli olanla sınırlı tutulur.

Poliklinik, hasta odası ve görüntüleme birimleri

Doktor odasında başka bir hastanın veya tedaviyle ilgisiz çalışanın konuşmaları dinlemesi ve bedenini görmesi önlenmelidir. Hasta, kendisi hakkında bilgilerin hekimle daha özel bir ortamda görüşülmesini isteyebilir. Ancak tıbbi güvenlik için muayenede bulunması gereken hemşire, sağlık personeli, refakatçi veya çevirmenin çıkarılması her olayda mümkün olmayabilir; böyle durumlarda roller açıklanır ve en az müdahaleli yöntem seçilir. Görüntüleme ve fizik muayenede yalnızca gerekli beden bölgesi açılmalı, bekleme ve giyinme alanları uygun düzenlenmelidir. [2]

Yoğun bakım, acil servis ve eğitim hastaneleri

Yoğun bakım ve acilde çok disiplinli ekip çalışması mahremiyetin bittiği anlamına gelmez. Hasta başı görüşmeler, görünür ekranlar ve klinik panolar düzenlenirken yalnız gerekli personelin erişimi sağlanmalıdır. Eğitim kurumlarında tedaviyle doğrudan ilgili olmayan kişilerin uygulama sırasında bulunması gerekiyorsa, Hasta Hakları Yönetmeliği m.21 gereğince hastanın ayrıca rızası alınmalıdır. Öğrenci bulunması hastaya açıklanmadan olağan bir uygulama gibi dayatılamaz. [2]

Refakatçi, tercüman ve hekim/personel seçimi

Hasta, tıbben sakınca bulunmayan durumlarda yanında bir yakının bulunmasını ve mahremiyet gereklerinin gözetilmesini isteyebilir. İletişim engeli veya yabancı dil söz konusu olduğunda tercümanla yürütülen görüşmelerde de gizlilik korunur. Hekim ve personel seçim/değiştirme hakları ilgili mevzuata, sağlık kuruluşunun kapasitesine, tıbbi zorunluluklara ve varsa ücretlendirme koşullarına bağlı olarak değerlendirilir; belirli cinsiyette hekim sağlanması her durumda mutlak bir talep hakkı değildir. Hastanın dini, kültürel ve psikolojik hassasiyetleri hizmetin güvenli yürütülmesiyle bağdaştığı ölçüde dikkate alınır. [2]

Sağlık bilgileri neden özel nitelikli kişisel veridir?

Hastalık ve tanı bilgileri, ameliyat notları, psikiyatrik değerlendirmeler, genetik sonuçlar, engellilik raporları, cinsel sağlık verileri, reçeteler ve tetkik sonuçları 6698 sayılı Kanun m.6 kapsamında özel nitelikli kişisel verilerdir. Hastane başvuru tarihi, kimlik veya iletişim bilgisi de bağlama göre kişisel veri niteliğindedir; kimi zaman bir kişinin belirli sağlık kuruluşuna başvurduğu bilgisinin açıklanması dahi sağlık durumuna ilişkin çıkarım yaratabilir. Sağlık verisinin kâğıtta, hastane otomasyon sisteminde, e-Nabız’da, e-postada ya da bulutta bulunması koruma ilkesini değiştirmez. [3] [4]

2024 değişikliği: Her işlem için açık rıza mı gerekir?

Hayır. 7499 sayılı Kanun ile KVKK m.6 değişmiş ve yeni işleme şartları 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Geçerli işleme şartı yalnız açık rıza değildir. Kanunlarda açıkça öngörülme, kişinin veya bir başkasının hayatı/beden bütünlüğünün korunması için zorunluluk, bir hakkın tesisi/kullanılması/korunması ve sır saklama yükümlülüğü altındaki kişi veya yetkili kurumlar bakımından kamu sağlığı, teşhis, tedavi, bakım ve sağlık hizmetlerinin finansmanı gibi şartlar somut işlem için önem taşıyabilir. Ancak bu şartlardan birinin varlığı, veri işleyen herkese bütün sağlık kayıtlarına süresiz erişme hakkı vermez. Amaçla sınırlılık, veri minimizasyonu, sır saklama ve güvenlik önlemleri yine uygulanır. [3] [4]

Açık rıza gerektiği durumda rıza belirli, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Bir hastanın tedaviden yararlanmasının, tedavi için gerekli olmayan reklam, ticari mesaj veya yayım rızasına bağlanması ayrıca hukuka aykırılık doğurabilir. Rıza alınması, başka mevzuatta açıkça yasaklanan bir faaliyet için sınırsız izin oluşturmaz. [3] [5]

Hastane veri sorumlusu ve çalışanların sorumluluğu

Sağlık kuruluşu; erişim rolleri, kullanıcı hesabı yönetimi, kayıtların muhafazası, personel değişikliklerinde yetkinin kaldırılması, erişim günlükleri, şifre/e-imza kullanımının korunması, gizlilik eğitimi ve olay müdahalesi gibi teknik/idari tedbirler uygulamalıdır. Hekim veya sekreterin kendisine verilen hesabı paylaşması, kurumun gerekli denetimi yapmaması yahut erişimin hangi personel tarafından gerçekleştirildiğinin saptanamaması, somut şartlara göre veri güvenliği yükümlülüğünü gündeme getirir. Hastanın verisi yalnız yetkili personelin görebileceği bir ekranda bulunuyor diye, o personelin bütün sorguları hukuka uygun sayılamaz. [6] [7]

e-Nabız sağlık verilerine kimler erişebilir?

e-Nabız sistemi, hasta ve yetkili sağlık hizmeti sunucuları bakımından bilgiye erişimi kolaylaştırırken, erişim yetkisinin tedavi amacıyla ve mevzuattaki sınırlar içinde kullanılmasını gerektirir. Kullanıcının daha geniş bir görüntüleme tercihi belirlemesi, merak veya kişisel ilişki nedeniyle hasta verilerinin sorgulanmasına rıza anlamına gelmez. KVKK Kurulunun 02.05.2023 tarihli 2023/695 sayılı kararında, kayıtların geniş erişim tercihine açık bulunması, tedaviyle ilgisiz bir personel sorgusunu meşrulaştırmamıştır. Kurul, personel hesabının korunması ve veri sorumlusunun tedbirlerini ayrıca incelemiştir. [6]

3 Aralık 2025 sonrası erişim süreleri ve tıbbi amaç sınırı

Kişisel Sağlık Verileri Hakkında Yönetmelik m.6, 3 Aralık 2025 tarihinde yeniden düzenlenmiştir. Kanun m.6/3'teki işleme şartlarıyla sınırlı olmak üzere aile hekiminin erişimi için genel süre kısıtı öngörülmemiş; başvurulan hekim ve sağlık kuruluşundaki görevli hekimlerin erişimi ise sağlık hizmeti alınan günler, konsültasyon/kontrol süresi ve hizmetle doğrudan bağlantılı işlemler bitene kadar düzenlenmiştir. Yatış yapılan tesiste ilgili hekimler taburcu olana kadar, acil servis girişlerinde o tesisteki görevli hekimler ilgili sağlık hizmetiyle sınırlı olarak taburcu olana kadar erişebilir. Bu düzenleme karşısında herkese uygulanan genel bir 24 saatlik erişim süresinden söz edilemez. Her durumda sorgunun ilgili hastanın hizmetiyle bağlantısı olmalıdır. [8]

Hastanın e-Nabız güvenlik ayarları ve sistemin kodla erişim yöntemleri ayrıca uygulanır. 2025 değişikliğinde yatış/acil servis bakımından belirli istisnalar ve tutukluluk/hükümlülük gibi doğrulama koduna fiilen erişilemeyen durumlar düzenlenmiştir. Bunların hiçbiri tedavi dışı sorgulamaya izin vermez. Sistemde “gizli” veya görünmez tutulan bir kayıt, hukuki saklama yükümlülüğünden kendiliğinden çıkarılmaz; profilde görünürlüğü kapatma ile veriyi silme aynı işlem değildir. [8]

Yetkisiz sorgulama nasıl araştırılmalıdır?

Hastanın ilk adımı, erişim şüphesini tarih, kurum ve hekim/personel bilgileriyle kayıt altına almak ve gerekirse veri sorumlusu ile ilgili sağlık makamlarından sorgu açıklaması istemektir. Özellikle erişim günlüklerinin muhafaza edilmesini talep etmek önemlidir: kullanıcı kimliği, oturum zamanı, erişilen kayıt türü, erişimin gerekçesi, paylaşım veya dışa aktarma işlemi incelenebilir. Ekran görüntüsü tek başına her zaman kişinin hangi veriye niçin eriştiğini veya veriyi üçüncü kişiye aktardığını kanıtlamaz. Kurumun teknik kayıtları ile çalışan beyanları ve işlem trafiği birlikte değerlendirilmelidir. [6] [7]

Çocukların, boşanan ebeveynlerin ve bakım verenlerin erişim hakkı

Çocuğun sağlık verilerinde velayet, yaş, ayırt etme gücü ve çocuğun üstün yararı birlikte değerlendirilir. Yönetmelik m.8'e göre ebeveynlerin çocuk sağlık kayıtlarına e-Nabız üzerinden erişimi esas olmakla birlikte, ayırt etme gücüne sahip çocuk kendi sağlık geçmişine ebeveyn erişimini izne tabi tutabilir. Bu hak aile ilişkilerinden bağımsız sınırsız bir erişim veya gizleme yetkisi olarak yorumlanmamalı; çocuğun korunması yükümlülüğü ve ilgili mevzuat birlikte uygulanmalıdır. [8]

Boşanma davası ve velayet sonrasında erişim

3 Aralık 2025 değişikliğine göre boşanma davası devam ederken velayet tedbiren kendisine bırakılan ebeveyn; boşanmadan sonra velayeti kendisinde olan taraf çocuk sağlık verilerine erişebilir. Velayeti kendisinde olmayan ebeveyn, Sağlık Bakanlığı ilgili Genel Müdürlüğüne başvurabilir. Uygun görülürse velayet sahibi ebeveynin veya çocuğun yer ve iletişim bilgilerini açığa çıkarmayan, çocuğun sağlık durumuna ilişkin sınırlı veriler verilebilir. Koruma tedbirleri, aile içi şiddet ve çocuğun güvenliği böyle bir incelemede özel önem taşır. Bu sebeple “ebeveynler her durumda izinsiz görebilir” biçimindeki genel bir anlatım eksik kalır. [8]

Engelli kişi ve bakım verenlerin erişimi

Yönetmelik m.9'a 2025'te eklenen düzenleme, engelli raporu bulunan kişilerin sağlık verilerine bakım veren kişilerin erişebilmesini öngörmektedir. Ancak bakım veren sıfatı, kişinin bütün mahremiyet hakkının ortadan kalktığı anlamına gelmez. Yetkilendirmenin, bakım amacı ve kişinin hukuki/fiilî durumu gözetilerek belirlenmesi gerekir. [8]

Hasta yakınlarına ve avukatlara sağlık bilgisi verilebilir mi?

Yetişkin ve karar verme yeterliliği bulunan hastanın iradesi esastır. Hasta Hakları Yönetmeliği m.18 uyarınca hasta kendisi yerine belirli bir kişinin bilgilendirilmesini isteyebilir; bu istek imzalı biçimde kayda alınmalıdır. Bir yakın akrabanın hastaneye gelmiş olması veya hastanın telefonunu araması tek başına tüm tanı ve tedavi geçmişinin aktarılmasını haklı kılmaz. Tıbbi aciliyet, kanuni bildirim yükümlülüğü veya temsil yetkisi gibi özel durumlarda gereken açıklama asgari kapsamla sınırlanır. [2]

“Hastaya olumsuz etki eder” gerekçesiyle aileye bilgi verilmesi

Yönetmelikte ciddi tanıların hastaya bildirilmesi konusunda istisnai ve dar yorumlanması gereken hükümler bulunur. Bu hükümler, hekime istediği her sağlık bilgisini aile üyelerine açıklama konusunda genel yetki vermez. Hastanın bilgi alma hakkı, bilgilendirilmemeyi talep etmesi, tıbbi gereklilik ve mevcut düzenlemedeki usul birlikte incelenmelidir. [2]

Avukatların sağlık kayıtlarına erişiminde 2025 değişikliği

Kişisel Sağlık Verileri Hakkında Yönetmelik’in, genel vekâletnamenin yeterli olmadığını ve özel rıza hükmü arandığını söyleyen eski 10. maddesi 3 Aralık 2025'te yürürlükten kaldırılmıştır. Bu nedenle eski hüküm hâlen yürürlükteymiş gibi yazılamaz. Bununla birlikte m.10'un kaldırılması, avukatın herhangi bir hastanın sağlık kayıtlarına belgesiz veya sınırsız erişeceği sonucunu doğurmaz. Hasta Hakları Yönetmeliği m.16’daki temsil, Avukatlık Kanunu, KVKK m.6, kişisel veri aktarımının amacı ve ilgili idari/adli usul birlikte değerlendirilmelidir. Somut belgeye göre yetkinin ve özel nitelikli verinin paylaşımı için gerekli dayanağın tespiti önemlidir. Türkiye Barolar Birliği de 17.12.2025 tarihli duyurusunda eski m.10'un kaldırıldığını bildirmiştir. [2] [8] [9]

Vefat eden hastaların sağlık verileri korunur mu?

Evet. Hasta Hakları Yönetmeliği m.21 uyarınca ölüm, mahremiyet hakkını ortadan kaldırmaz. Kişisel Sağlık Verileri Hakkında Yönetmelik m.11, veraset ilamını ibraz eden yasal mirasçıların sağlık verilerini münferiden talep edebilmesine ilişkin düzenlemeyi içerir. Aynı maddedeki asgari saklama süresi 3 Aralık 2025 değişikliğiyle 20 yıldan 30 yıla çıkarılmıştır. Bu süre, bütün sağlık belgelerinin her durumda tam 30. yılda silineceği anlamına gelmez; başka kanunlardaki özel saklama yükümlülükleri ve talep edilen kaydın niteliği incelenmelidir. [2] [8]

Ölen kişinin kişilik haklarıyla mirasçıların bilgi edinme, dava açma ve aile mahremiyeti menfaatleri birlikte değerlendirilir. Hasta ölümünden sonra dahi raporların basına verilmesi veya hastane kayıtlarının sosyal medyada paylaşılması sır saklama yükümlülüklerini gündeme getirebilir.

Hastanın dosyasını inceleme ve örnek alma hakkı

Hasta Hakları Yönetmeliği m.16, hastanın sağlık dosyasını doğrudan ya da uygun şekilde yetkilendirdiği vekili/kanuni temsilcisi aracılığıyla inceleme ve suret alma hakkını düzenler. Bu kapsamda epikriz, ameliyat notu, anestezi kaydı, tetkik, radyoloji görüntüsü, patoloji, onam belgeleri ve taburcu kayıtları olayın niteliğine göre istenebilir. Hastanenin kayıt tutma yükümlülüğü ile kayıtları gerekli kişiye sunma yükümlülüğü farklıdır; kayıt mevcut değilse bunun açıklanması, ilgili sürelerde ve dosyada ayrıca değerlendirilmesi gerekir. [2]

Talepte hangi dönem ve belgelerin istendiği, güvenli teslim yöntemi, kimlik/temsil doğrulaması ve varsa ücretlendirme yasal sınırları açıklanmalıdır. Kayıtlara erişim hakkı ile verinin kamuya açıklanması hakkı karıştırılmamalıdır. Özellikle tıbbi kusur veya mahremiyet ihlaline ilişkin bir uyuşmazlıkta kayıtların değiştirilmeden korunması önem taşır.

Hatalı tanı, rapor, e-Nabız kaydı ve geçmiş sağlık bilgileri nasıl düzeltilir?

Hasta, eksik veya yanlış tıbbi ve kişisel kayıtların düzeltilmesini Hasta Hakları Yönetmeliği m.17 ve Kişisel Sağlık Verileri Hakkında Yönetmelik m.13 çerçevesinde isteyebilir. Bunun için başvuruya dayanak muayene belgeleri, farklı tarihli testler, uzman değerlendirmeleri ve hatanın niteliği sunulabilir. Görünürlük tercihini değiştirme, doğrulanabilir bir tıbbi kaydı silme, hatalı veri düzeltme ve geçmiş tanıyı yeniden değerlendirme ayrı işlemlerdir. [2] [10]

4 Temmuz 2026: Geçmiş tanıların yeniden değerlendirilmesi (m.13/A)

4 Temmuz 2026 tarihli Yönetmelikle eklenen m.13/A uyarınca önceden konulmuş tanılar, kişinin güncel sağlık durumu esas alınarak yeniden değerlendirilebilir. Tek hekimce konulan tanıda üç hekimli sağlık kurulu; üç hekimli veya tam teşekküllü kurul tarafından konulan tanıda ise tam teşekküllü kurul değerlendirmesi öngörülmüştür. Güncel durumda tanının bulunmadığına ilişkin durum bildirir sağlık kurulu raporu varsa, ilgili özel mevzuat hükümleri saklı tutularak gelecekteki işlemlerde bu raporun dikkate alınması gerekir. Bu işlem geçmişte gerçekten konulmuş tanının tarihten silinmesiyle özdeş değildir. Özellikle istihdam, güvenlik değerlendirmesi veya sağlık raporu gerektiren işlemde eski tanının bugünkü durumla karıştırılması hak kaybı doğurabilir. [10]

Silme, yok etme ve anonimleştirme talepleri

KVKK m.7 kapsamında işleme sebebi ortadan kalkmışsa veri sorumlusu, uygulanabilir mevzuat çerçevesinde silme, yok etme veya anonimleştirme yükümlülüğünü değerlendirmelidir. Ne var ki hastanın “kaydı istemiyorum” demesi, zorunlu tıbbi arşiv kayıtlarını veya kanunen saklanması gereken belgeleri derhal yok etme yükümlülüğü doğurmaz. Anonimleştirme, verinin başka bilgilerle birleştirilmesi yoluyla da kişiye bağlanamaması anlamını taşır; yalnız adı kapatmak her zaman gerçek anonimleştirme değildir. [3]

Sağlık verileri hangi durumlarda açıklanabilir veya aktarılabilir?

Acil tedavi, kanuni bildirim, kamu sağlığı, adli inceleme, mahkeme kararı, sosyal güvenlik ve sağlık finansmanı işlemleri gibi durumlarda veri aktarımı gündeme gelebilir. Her aktarım için ayrıca hukuki dayanak, görev ve yetki, gerekli veri kapsamı ve erişim güvenliği değerlendirilir. Suç ihbarı veya adli vaka yükümlülüğü; hastanın tüm geçmiş tanılarının geniş bir personel grubuna veya kamuoyuna açıklanmasını haklı kılmaz. [2] [3]

Araştırma, tıp eğitimi ve bilimsel yayınlar

Tıbbi araştırmada kişisel sağlık verilerinin kullanılması, hukuki dayanağı ve etik süreçleri bakımından ayrıca değerlendirilir. Gerçek anlamda anonimleştirilmiş verinin kullanılmasıyla yeniden tanımlanabilir hasta dosyalarının kullanımına aynı sonuç bağlanmaz. Eğitim sırasında hastanın görüntüsü veya yüzü kullanılacaksa, hasta mahremiyeti, görüntü niteliği, rıza ve sektörel kurallar ayrıca incelenir. Eğitim kurumu olmak, mahremiyet istisnası sağlamaz. [2] [3]

Bulut, yapay zekâ sistemleri ve yurt dışına veri aktarımı

Sağlık kuruluşlarının bulut kayıt, uzaktan görüşme, yapay zekâ destekli rapor analizi, laboratuvar platformu veya yabancı hizmet sağlayıcı kullanması hâlinde veri işleyen/veri sorumlusu ilişkisi, erişim ve saklama yeri, aktarılan veri kategorileri ve güvenlik tedbirleri kayda alınmalıdır. 1 Haziran 2024'ten itibaren değişen KVKK m.9, yurt dışına aktarımda yeterlilik kararı, uygun güvenceler ve sınırlı arızi istisnalar içeren aşamalı bir sistem öngörmektedir. Verinin sırf bulutta bulunması veya bir sözleşmede “gizlidir” yazması tek başına aktarımı hukuka uygun hale getirmez. [11]

Hastanın fotoğrafı, videosu veya ameliyat görüntüsü paylaşılabilir mi?

Hastanın hastanede bulunduğunu gösteren kamera kaydı, yüzünün göründüğü fotoğraf, ameliyat öncesi-sonrası görüntüsü, ses kaydı ya da tedavi öyküsü kişisel veri ve kimi hâllerde özel hayat verisi niteliğindedir. Sırf hastanın bir platformda kendi fotoğrafını daha önce yayımlamış olması, sağlık kuruluşuna farklı amaçla kullanma izni vermez. Tıbbi onam, sosyal medya paylaşım izni ve reklam mevzuatına uygunluk birbirinden bağımsız inceleme konularıdır. [3] [5]

KVKK Kurulunun 11.05.2023 tarihli, 2023/787 sayılı kararında, tanıtım amacıyla çekilen hasta videolarına ilişkin rıza belgeleri bulunmasına rağmen sağlık alanındaki sektörel reklam kısıtlamaları nedeniyle bu faaliyetin hukuki dayanağı bulunmadığı değerlendirilmiştir. Bu kararın dayandığı sektör kurallarının olay tarihindeki sürümü ayrıca incelenmelidir; rıza tek başına yasaklı reklamı hukuka uygun kılmaz. [5]

Yargıtay 13. Hukuk Dairesinin 02.04.2014 tarihli, 2013/29323 E., 2014/9953 K. sayılı kararında, hastane otoparkına ilişkin güvenlik kamera görüntülerinin hastanın rızası olmaksızın televizyon kanalına verilmesinin kişilik hakkını ihlal ettiği kabul edilmiştir. Kamera kayıtlarının güvenlik için elde edilmiş olması, yayın amacıyla kullanılmasına izin vermez. [12]

Mahremiyet ihlalinin hukuki sonuçları: İdari, özel hukuk ve ceza sorumluluğu

KVKK kapsamında idari denetim ve yaptırımlar

Kişisel verilerin hukuka aykırı işlenmesi, yetkisiz erişilmesi veya korunmaması durumunda KVKK Kurulu veri sorumlusunu inceleyebilir; uygun tedbirlerin alınmaması hâlinde idari para cezası ve hukuka aykırılığın giderilmesine yönelik kararlar gündeme gelebilir. 2023/695 sayılı kararda yetkisiz e-Nabız sorgusu ve şifre güvenliği yetersizliği birlikte değerlendirilmiştir. Bu yaptırımlar hastaya otomatik ödenen tazminat değildir; kişilik hakkı ihlali nedeniyle tazminat ayrıca talep edilir ve şartları değerlendirilir. [6] [7]

KVKK m.12/5 ve Kurulun 2019/10 sayılı kararında öngörülen veri ihlali bildirimi, veri sorumlusunun ihlali öğrenmesini izleyen en geç 72 saat içinde Kurula bildirim yapması, etkilenen kişilere de makul olan en kısa sürede açıklama yapılması yönünde düzenlenmiştir. Her yanlış veri kaydı ile kanuni ihlal bildirimi kapsamına giren her olay aynı değildir; olayın kapsamı değerlendirilmeli ve kayıtlar korunmalıdır. [13]

Özel hastane ve hekim aleyhine tazminat

Özel sağlık kuruluşuyla kurulan sözleşme, haksız fiil veya kişilik haklarının korunmasına ilişkin hükümler uyuşmazlığın niteliğine göre uygulanabilir. Türk Medeni Kanunu m.24–25; Türk Borçlar Kanunu m.49, 58, 112 ve gerektiğinde yardımcı kişilerin fiillerine ilişkin hükümler önem taşıyabilir. Maddi tazminatta zarar, hukuka aykırı fiil ve illiyet; manevi tazminatta kişilik hakkı ihlalinin niteliği ve somut etkisi ayrı incelenir. Mağdurun hiç maddi kayıp yaşamaması, şartları varsa manevi tazminat değerlendirmesini ortadan kaldırmaz. Görevli mahkeme ve dava şartları, ilişkinin tüketici işlemi sayılıp sayılmadığı ve talebin hukuki niteliğine göre belirlenir; bütün özel hastane davaları otomatik olarak ticaret mahkemesine ait değildir. [12] [14]

Yargıtay 3. Hukuk Dairesinin 04.06.2024 tarihli, 2023/2239 E., 2024/1823 K. sayılı kararında, hastanın onamı olmadan yapılan test sonucunun doğrulama tamamlanmadan açıklanması değerlendirilmiş; manevi tazminatın somut olayın özellikleri bakımından yetersiz belirlenmesi bozma gerekçesi yapılmıştır. Karar yalnız tıbbi işlemin değil, test bilgisinin açıklanmasının da hukuki sonuç doğurabileceğini göstermektedir. [14]

Kamu hastanesinde idari sorumluluk ve süreler

Kamu hastanesinin sağlık hizmetini yürütmesinden kaynaklanan zarar iddiası, olayın hukuki nitelendirmesine göre idari yargıda hizmet kusuru veya diğer idari sorumluluk esasları çerçevesinde ele alınabilir. İYUK m.13 kapsamındaki idari eylemden doğan tam yargı taleplerinde, kural olarak zarara yol açan eylemin öğrenilmesinden itibaren bir yıl, her hâlde eylemden itibaren beş yıl içinde ilgili idareye başvuru ve idari başvuruya ilişkin cevap/zımni ret sonrasında dava açma süresine riayet gündeme gelir. İYUK m.12 kapsamındaki idari işlemden doğan zararlar farklı usul izleyebilir. Öğrenme, zararın ortaya çıkması ve eylem-işlem ayrımı somut dosyada kritik olduğundan “kamu hastanesine karşı bütün davalarda doğrudan 60 gün” gibi bir kural uygulanamaz. [15]

Kişisel verilerin hukuka aykırı verilmesi veya ele geçirilmesi suçu

5237 sayılı TCK m.135 (kişisel verilerin kaydedilmesi), m.136 (verileri hukuka aykırı verme, yayma veya ele geçirme), m.137 (belirli nitelikli hâller), m.138 (verileri yok etmeme) ve m.134 (özel hayatın gizliliğini ihlal) somut fiile göre tartışılabilir. TCK m.136/1 temel ceza 2 ila 4 yıl hapis öngörür; nitelikli hâller ve fiilin tarihi ayrıca dikkate alınır. Ceza sorumluluğu için kişisel verinin niteliği, fiil, hukuka aykırılık, kast, elde edilme ve aktarım biçimi ile deliller incelenmelidir. Her veri koruma mevzuatı aykırılığı otomatik olarak TCK m.136 suçunun işlendiği anlamına gelmez. [16]

Yargıtay 12. Ceza Dairesinin 30.06.2025 tarihli, 2022/8375 E., 2025/5747 K. sayılı kararında, hastanın acil muayene formunun doktorun mesleğinin sağladığı kolaylıktan yararlanılarak elde edilip internet ortamında yayımlanması değerlendirilmiş ve mahkûmiyet, güvenlik tedbirine ilişkin düzeltmeyle onanmıştır. 12.03.2026 tarihli, 2023/4676 E., 2026/2628 K. sayılı kararında ise psikiyatri raporunun eş tarafından elde edilip üçüncü kişiye aktarılmasında suçun unsurlarının oluştuğu kabul edilmiştir. Sağlık verisinin bir mahkeme dosyasında kullanılmış olması, ilk elde edilme ve aktarım işleminin hukuka uygunluğunu kendiliğinden sağlamaz. [17] [18]

Anayasa Mahkemesi ve yüksek yargı kararları ne gösteriyor?

Anayasa Mahkemesi Genel Kurulu, Cem Özberk (B. No: 2020/15944, 20.03.2025) kararında, yetişkin bir kişinin sağlık bilgileriyle ilgili şikâyette ceza yargılamasının kişisel verilerin korunmasını isteme hakkı bakımından yeterli inceleme yapması gerektiğini vurgulamıştır. Karar, her mahremiyet iddiasında otomatik mahkûmiyet doğurduğu anlamına gelmez; etkili araştırma, müdahalenin gerekçelendirilmesi ve kişisel verilerin anayasal ağırlığının tartışılması yükümlülüğünü ortaya koyar. [19]

Yargıtay'ın hastane kamera kaydı, onamsız test sonucu ve sağlık raporunun izinsiz paylaşımına ilişkin yukarıda aktarılan kararları birlikte değerlendirildiğinde üç ayrım belirginleşmektedir: (i) Hastanenin veriyi meşru amaçla elde etmesi farklı amaçla sınırsız kullanma hakkı sağlamaz; (ii) kişinin gerçek sağlık durumu kadar bu duruma ilişkin kaydın dolaşıma sokulması da hukuki sonuç doğurabilir; (iii) KVKK denetimi, tazminat ve ceza soruşturması farklı usul ve ispat şartlarına tabidir. [12] [14] [17] [18] [19]

Mahremiyet ihlalinde hangi delillerin korunması gerekir?

Hak arama süreci genellikle ilk günlerdeki kayıtların korunmasına bağlıdır. İzinsiz görüntü veya ifşa varsa paylaşımın URL’si, tarihi, hesabı, ekran görüntüsü, varsa video ve duyurma biçimi korunur. Hastane sisteminden erişim iddiasında olayın zamanı, kullanılan uygulama ve ilgili hasta dosyası belirtilerek erişim ve işlem günlüklerinin muhafazası talep edilir. Muayene alanında fiziksel ihlal iddiasında tanıklar, vardiya çizelgeleri, giriş–çıkış kayıtları, hasta hakları birimine ilk bildirim ve olay tutanağı önem taşır.

Delil talebinde dikkat edilmesi gereken sınırlar

• Delilin hastane sisteminden izinsiz alınması, başka hastaların kayıtlarının toplanması veya çalışan hesaplarının hukuka aykırı kullanılması yeni bir hak ihlaline dönüşebilir.
• Mahkemeye veya yetkili makama sunulacak sağlık belgeleri yalnız gerekli kısımla sınırlı tutulmalı; üçüncü kişilerin kayıtları uygun şekilde gizlenmelidir.
• Paylaşımın gerçekliği, düzenleme/kurgu ihtimali, cihaz ve hesap ilişkisi, erişim logunun doğruluğu ve verinin gerçekten kime ulaştığı gerektiğinde bilirkişi tarafından incelenebilir.
• Silinme riski bulunan dijital kayıtlar için şartlarına göre noter tespiti, delil tespiti, savcılık veya mahkeme yoluyla muhafaza tedbirleri değerlendirilebilir. [6] [7] [17]

Hasta mahremiyeti ihlalinde başvuru yolları ve süreler

Başvuru yolları birbirinin yerine geçmez. Hasta hakları birimine bildirim tıbbi/kurumsal incelemeyi; veri sorumlusuna başvuru KVKK kapsamındaki veri işleme talebini; savcılığa müracaat ceza soruşturmasını; tazminat davası ise zarar ve kişilik hakkı ihlali iddiasını konu alabilir. Sağlık kuruluşunun kamu veya özel olması ile hukuka aykırılığın gerçekleştiği tarih, uygulanacak merci ve süreyi etkiler.

KVKK Kuruluna şikâyet için veri sorumlusuna ilk başvuru yapılması zorunludur. 30 gün içinde cevap varsa, bu cevabın öğrenilmesinden itibaren 30 gün; hiç cevap yoksa ilk başvurudan itibaren 60 gün esastır. 30 günden sonra gelen cevabı beklemek kanundaki 60 günlük nihai sınırı kendiliğinden uzatmaz. KVKK şikâyeti, hastanın maddi/manevi tazminat davası açma hakkını ortadan kaldırmaz. [20]

İhlali öğrenen hasta için uygulama sırası

1. İhlalin niteliğini ayırın: muayene ortamı, sağlık bilgisinin açıklanması, dijital sorgu, fotoğraf/video yayını veya yanlış kayıt.
2. İlk delilleri hukuka uygun biçimde koruyun; yayının bağlantısını, tarihini, kurumu, ilgili olayları ve tanıkları kaydedin.
3. Hasta kayıtları ve erişim günlükleri bakımından silinme/değişme riski varsa ilgili kuruma yazılı muhafaza talebi yöneltin.
4. KVKK kapsamındaki veri işleme iddiası için doğru veri sorumlusuna m.13 başvurusu yapın; Kurula şikâyet sürelerini ayrıca takip edin.
5. Ceza suçu, özel hukuk tazminatı veya kamu hizmeti kusuru ihtimallerini ayrı hukuki başlıklarla değerlendirin; gerekirse koruma tedbiri ve ihtiyati talepleri inceleyin.
6. Sağlık verilerini açık e-posta, sosyal medya veya ilgisiz kişilerle gereksiz paylaşmadan, başvurulacak mercie gerekli miktarda sunun.

Hastane ve sağlık personeli için mahremiyet uyumu nasıl kurulmalıdır?

Kurumların hasta mahremiyetini yalnızca imzalatılmış gizlilik taahhütnameleriyle sağladığı varsayılamaz. Risk temelli organizasyon gereklidir: tedaviye ilişkin zorunlu rol tanımları; tekil kullanıcı hesapları; e-imza/parola paylaşımı yasağının fiilî denetimi; hasta ekranlarının ve fiziksel bankoların görünürlüğü; erişim loglarının düzenli incelenmesi; yatış, konsültasyon ve taburcu işlemlerinde gereksiz erişimin sınırlandırılması; personel işten ayrıldığında yetki kesme; kamera ve eğitim görüntülerine ilişkin saklama/erişim kuralları; eğitim; olay bildirimi; güvenli belge aktarımı; yurt dışı hizmet sağlayıcı analizi ve silme-saklama takvimi.

Hasta hakları birimine gelen başvuru, sistem içindeki personele yönlendirilip sonuçlandırılmış sayılmamalıdır; olayın sorumluları, incelenen kayıtlar, verilen cevap ve düzeltici tedbir belirli olmalıdır. Uyumun ölçüsü, yalnız doküman varlığı değil gerçek sistem davranışıdır. Kurulun e-Nabız kararlarında personel yetkisi, hesaba erişim ve kurumun teknik/idari tedbirleri birlikte değerlendirilmiştir. [6] [7] [13]

İlgili yazılar: Hasta Dosyası ve Tıbbi Kayıtlar Nasıl Alınır? Başvuru, Eksik Kayıt ve Delillerin Korunması; Özel Hayata Saygı ve Kişisel Verilerin Korunması: Hak İhlalleri ve Başvuru Yolları; Hastanede Kelepçeli Muayene ve Hasta Mahremiyeti: Tutuklu ve Hükümlülerin Hakları; Devlet Hastanesinde Doktor Hatası: İdareye Başvuru ve Tam Yargı Davası

Sonuç

Hasta mahremiyeti, sağlık kuruluşuna duyulan güvenin ve kişinin kendi bedeni ile sağlık bilgileri üzerindeki hukuki denetimin ayrılmaz parçasıdır. Tedavi için veri işlenebilmesi, sağlık kayıtlarının herkes tarafından görüntülenmesi veya sosyal medyada paylaşılabilmesi anlamına gelmez. Yasal erişim sınırları, 2024 KVKK değişiklikleri ve 2025–2026 kişisel sağlık verisi düzenlemeleri doğrultusunda somutlaştırılmalıdır. İhlal iddiasında hangi bilginin kim tarafından, ne zaman, hangi hukuki dayanakla elde edilip kullanıldığının belgelenmesi; kurum içi, KVKK, adli ve idari başvuruların görev ve süre yönünden ayrı değerlendirilmesi belirleyicidir. Koruma, ihlal sonrasındaki dava hakkından önce, hastanın tedavi sürecinde mahremiyetinin gerçekten gözetilmesiyle başlar.

Sıkça Sorulan Sorular

Hasta muayene edilirken odaya başka bir hasta alınabilir mi?

Hastanın sağlık bilgilerinin duyulması veya bedeninin görülmesi riski doğuracak biçimde başka bir kişinin muayene alanına alınması mahremiyet açısından sorun yaratır. İlgisiz kişilerin bulunması engellenmeli; tıbben gerekli personel ile hasta/ilgili kişinin rızası ve güvenli hizmet şartları ayrıca değerlendirilmelidir.

Hasta yalnız hekimiyle görüşmek isteyebilir mi?

Evet, özel görüşme talep edebilir. Ancak tıbbi güvenlik veya zorunlu sağlık hizmeti nedeniyle bulunması gereken personelin her durumda dışarı çıkarılması zorunlu değildir. Neden açıklanmalı, mümkün olan gizlilik sağlanmalıdır.

e-Nabız’da “tüm hekimler görebilsin” tercihi, her hekimin sorgulama yapmasına izin verir mi?

Hayır. Erişim ayarı, tıbbi hizmet amacı bulunmayan merak veya kişisel sebepli sorgulamayı hukuka uygun kılmaz. Her erişim için kanuni işleme şartı ve somut hizmet bağlantısı gerekir. [6] [8]

Bir hekim e-Nabız kayıtlarıma izinsiz baktıysa ne yapabilirim?

İlgili verinin hangi kurum, kullanıcı ve tarihte görüntülendiğinin açıklanmasını, mevcut teknik kayıtların korunmasını ve veri sorumlusundan yazılı cevap verilmesini talep edebilirsiniz. KVKK başvurusu, gerektiğinde savcılık ve tazminat yolları olayın niteliğine göre ayrı değerlendirilir.

Boşanmada velayeti kendisinde olmayan ebeveyn çocuğun verilerini görebilir mi?

2025 tarihli değişiklikle doğrudan erişim ve Bakanlığa başvuru ayrılmıştır. Velayeti olmayan ebeveynin Genel Müdürlüğe başvurusu incelenebilir; uygun görülürse lokasyon/adres/iletişim bilgilerinden arındırılmış sınırlı sağlık verisi verilebilir. [8]

Hasta yakınına teşhis her durumda söylenebilir mi?

Hayır. Yetişkin hastanın bilgilendirme tercihi, hukuki temsil ve varsa kanuni istisnalar incelenir. Yakınlık ilişkisi tek başına bütün sağlık geçmişine erişim sağlamaz. [2]

Avukatların sağlık verilerine erişiminde özel vekâletname zorunluluğu devam ediyor mu?

Eski Yönetmelik m.10, 3 Aralık 2025’te yürürlükten kaldırılmıştır. Ancak bu değişiklik sağlık verilerine sınırsız erişim anlamına gelmez. Temsil yetkisi, gereklilik, KVKK m.6 ve ilgili adli/idari usul ayrıca değerlendirilmelidir. [8] [9]

Vefat eden hastanın sağlık kayıtları ne kadar saklanır?

Kişisel Sağlık Verileri Hakkında Yönetmelik m.11 kapsamında asgari süre 30 yıldır. Başka özel düzenlemeler ve somut kayıt türü daha uzun saklama gerektirebilir. [8]

Geçmiş psikiyatrik tanı e-Nabız’dan silinebilir mi?

Hatalı kaydın düzeltilmesi, profilde gizlenmesi ve geçmiş tanının 2026 tarihli m.13/A uyarınca yeniden değerlendirilmesi farklı yollardır. Güncel durumla ilgili sağlık kurulu raporu her durumda geçmiş kaydın imha edilmesi demek değildir. [10]

Hastanın görüntüsü açık rızası alınarak reklamda paylaşılabilir mi?

Açık rıza tek başına yeterli değildir. Sağlık hizmetlerine ilişkin sektörel tanıtım yasakları ve diğer veri işleme şartları ayrıca uygulanır. KVKK Kurulunun 2023/787 sayılı kararı bu ayrımı göstermektedir. [5]

Hastanenin güvenlik kamerası görüntüsünün yayınlanması tazminat doğurabilir mi?

Evet, yayın için hukuki dayanak bulunmuyorsa kişilik hakkı ihlali nedeniyle tazminat koşulları oluşabilir. Yargıtay 13. Hukuk Dairesinin 2014/9953 sayılı kararı, güvenlik amaçlı elde edilen görüntünün izinsiz paylaşılmasını bu yönüyle değerlendirmiştir. [12]

Hasta mahremiyeti şikâyeti doğrudan KVKK Kuruluna yapılabilir mi?

KVKK m.14 kapsamında Kurula şikâyetten önce m.13 uyarınca veri sorumlusuna başvuru yapılmalıdır. Cevap ve başvuru tarihine göre 30 ve 60 günlük süreler önem taşır. Hasta hakları başvuruları ile ceza ihbarı farklı süreçlerdir. [20]

Kamu hastanesine karşı tazminat davasının süresi her zaman 60 gün müdür?

Hayır. Zararı doğuran durumun idari işlem veya eylem niteliği, İYUK m.12–13, idareye ön başvuru ve somut öğrenme tarihi farklı süre hesaplarına yol açabilir. [15]

Sağlık kayıtlarının yurt dışındaki bulutta saklanması tek başına yasak mıdır?

Tek başına böyle bir mutlak yasak veya izin sonucu çıkarılamaz. Veri işleme ve yurt dışına aktarım şartları, hizmet sağlayıcı rolü, KVKK m.9'un uygun güvence/yeterlilik/istisna sistemi ve güvenlik tedbirleri birlikte değerlendirilmelidir. [11]

Kaynakça

1. Türkiye Cumhuriyeti Anayasası m.17 ve m.20; Avrupa İnsan Hakları Sözleşmesi m.8. Mevzuat Bilgi Sistemi.
2. Sağlık Bakanlığı, Hasta Hakları Yönetmeliği, özellikle m.15–23.
3. 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.4, 6–14; Kişisel Verileri Koruma Kurumu.
4. Kişisel Verileri Koruma Kurumu, Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber, 2024 mevzuat değişiklikleri.
5. Kişisel Verileri Koruma Kurulu, 11.05.2023 tarihli ve 2023/787 sayılı karar, hastane reklam ve tanıtım görüntüleri.
6. Kişisel Verileri Koruma Kurulu, 02.05.2023 tarihli ve 2023/695 sayılı karar, e-Nabız yetkisiz erişim.
7. Kişisel Verileri Koruma Kurulu, 21.09.2021 tarihli ve 2021/962 sayılı karar.
8. Sağlık Bakanlığı, 03.12.2025 tarihli Kişisel Sağlık Verileri Hakkında Yönetmelik değişikliği, RG 33096.
9. Türkiye Barolar Birliği, 17.12.2025 tarihli Duyuru 2025/65, avukatların sağlık verilerine erişimi hükmünün kaldırılması.
10. Sağlık Bakanlığı, 04.07.2026 tarihli Kişisel Sağlık Verileri Hakkında Yönetmelik değişikliği, RG 33300, m.13/A.
11. Kişisel Verileri Koruma Kurumu, Yurt Dışına Aktarım, KVKK m.9 uygulama esasları.
12. Yargıtay 13. Hukuk Dairesi, 02.04.2014, E.2013/29323, K.2014/9953; tam karar.
13. Kişisel Verileri Koruma Kurumu, 24.01.2019 tarihli ve 2019/10 sayılı ihlal bildirimi kararı.
14. Yargıtay 3. Hukuk Dairesi, 04.06.2024, E.2023/2239, K.2024/1823; tam karar.
15. 2577 sayılı İdari Yargılama Usulü Kanunu, m.12 ve m.13; Mevzuat Bilgi Sistemi.
16. 5237 sayılı Türk Ceza Kanunu, m.134–140; Mevzuat Bilgi Sistemi.
17. Yargıtay 12. Ceza Dairesi, 30.06.2025, E.2022/8375, K.2025/5747; tam karar.
18. Yargıtay 12. Ceza Dairesi, 12.03.2026, E.2023/4676, K.2026/2628; tam karar.
19. Anayasa Mahkemesi Genel Kurulu, Cem Özberk, B. No: 2020/15944, 20.03.2025; karar metni, RG 05.08.2025/32977.
20. Kişisel Verileri Koruma Kurumu, Şikâyet Hakkı ve süreler; 2019/9 sayılı süre hesaplama kararı.