Конфиденциальность пациента и защита данных о здоровье: права пациентов, KVKK, нарушения и возмещение ущерба

Конфиденциальность пациента не сводится к сохранению в тайне сведений о болезнях: защищаются в совокупности тело человека, обстановка осмотра и лечения, его психологическая и социальная жизнь, медицинские записи и цифровые данные о здоровье. То, что пациент пользуется медицинскими услугами, не даёт врачу или персоналу больницы права без ограничений просматривать медицинские записи, делиться ими с родственниками или публиковать их в рекламных целях. Порядок действий при нарушении прав зависит от того, касается ли случай физической конфиденциальности или обработки персональных данных, произошёл ли он в государственном или частном медицинском учреждении, а также от последствий нарушения. В частности, при оценке обращений и доступа следует исходить из изменений KVKK 2024 года и положений о персональных данных о здоровье от 3 декабря 2025 года и 4 июля 2026 года.

Что такое конфиденциальность пациента и какие права она защищает?

Конфиденциальность пациента означает, что в ходе оказания медицинской помощи человек делится только необходимыми с медицинской точки зрения сведениями и особенностями тела, с необходимыми лицами и учреждениями и в пределах законной цели, а осмотр, диагностика и лечение проводятся в надлежащих условиях соблюдения тайны. Статья 21 Регламента о правах пациентов (Hasta Hakları Yönetmeliği) закрепляет уважение к конфиденциальности как основной принцип. Это право не зависит от гражданства или от того, является ли лечение платным. Кроме того, пациент имеет право на защиту своего материального и духовного существования согласно статье 17 Конституции, а также своей частной жизни и персональных данных согласно статье 20 Конституции. Статья 8 Европейской конвенции о защите прав человека обеспечивает защиту права на уважение частной и семейной жизни. [1] [2]

Понимать конфиденциальность лишь как задёрнутую занавеску или пароль к базе данных недостаточно. Защита имеет четыре взаимосвязанных измерения: физическая конфиденциальность (доступ к телу и зоне лечения), информационная конфиденциальность (сведения о диагнозе, лабораторные данные, рецепты, психиатрические, генетические и платёжные сведения), психологическая/когнитивная конфиденциальность (воля человека в отношении того, какими сведениями о себе и с кем делиться) и социальная конфиденциальность (недопустимость стигматизации человека из-за болезни и излишнего раскрытия сведений среди родственников или в рабочей среде). Эти измерения не оторваны друг от друга; в большинстве случаев они могут нарушаться одновременно.

Чего требует статья 21 Регламента о правах пациентов?

Защита конфиденциальности в Регламенте включает конфиденциальное проведение медицинских оценок, проведение осмотра и лечения в надлежащей обстановке, возможность присутствия родственника при отсутствии медицинских противопоказаний, недопущение лиц, не связанных с вмешательством, отказ от вмешательства в частную/семейную жизнь, не обусловленного болезнью, и защиту сведений об источнике расходов на лечение. Пациент может также отдельно потребовать соблюдения этих пунктов. Частью конфиденциальности является не только то, что врач закрывает дверь кабинета, но и то, что диагноз пациента не называют вслух у стойки регистрации, где его могут услышать другие. [2]

Конфиденциальность, информирование и информированное согласие — разные права

Информирование и информированное согласие позволяют человеку принять решение о характере, пользе, рисках и альтернативах медицинского вмешательства. Конфиденциальность же ограничивает круг лиц и условия, при которых эти пояснения, записи и процедуры могут быть увидены. Согласие, полученное на операцию, не означает общего разрешения на публикацию изображения пациента в интернете или на просмотр записей всеми сотрудниками больницы. Использование фото/видео, раскрытие сведений третьим лицам и обработка данных о здоровье в иных целях требуют отдельной правовой оценки. [1] [2] [3]

Как обеспечивается физическая конфиденциальность во время осмотра и лечения?

Кабинет поликлиники, отделение неотложной помощи, отделение интенсивной терапии, операционная, родильный зал, диализный центр и отделение визуализации находятся в разных условиях; однако общий принцип — необходимость, соразмерность и уважение человеческого достоинства пациента. Посторонних лиц следует не допускать в зону осмотра; занавески, двери, личное пространство, одежду и способы объяснения следует соразмерять с медицинской необходимостью. Экстренные вмешательства также не отменяют права на конфиденциальность; меры, которые могут ограничиваться из-за срочности, сохраняются лишь в необходимых пределах.

Поликлиника, палата пациента и отделения визуализации

В кабинете врача следует не допускать, чтобы другой пациент или сотрудник, не связанный с лечением, слышал разговоры и видел тело пациента. Пациент может попросить обсудить сведения о себе с врачом в более уединённой обстановке. Однако удалить медсестру, медицинского работника, сопровождающее лицо или переводчика, присутствие которых при осмотре необходимо для медицинской безопасности, возможно не в каждом случае; в таких ситуациях роли разъясняются и выбирается наименее инвазивный способ. При визуализации и физикальном осмотре следует открывать только необходимую часть тела, а зоны ожидания и переодевания следует обустраивать надлежащим образом. [2]

Интенсивная терапия, отделение неотложной помощи и учебные больницы

Междисциплинарная командная работа в интенсивной терапии и неотложной помощи не означает, что конфиденциальность заканчивается. При организации разговоров у постели больного, видимых экранов и клинических досок доступ следует предоставлять только необходимому персоналу. В учебных учреждениях, если во время процедуры необходимо присутствие лиц, непосредственно не участвующих в лечении, согласно статье 21 Регламента о правах пациентов следует получить отдельное согласие пациента. Присутствие студентов нельзя навязывать как обычную практику, не сообщив об этом пациенту. [2]

Сопровождающее лицо, переводчик и выбор врача/персонала

При отсутствии медицинских противопоказаний пациент может попросить, чтобы рядом с ним находился родственник и чтобы соблюдались требования конфиденциальности. При наличии коммуникативного барьера или иностранного языка конфиденциальность защищается и в беседах, проводимых через переводчика. Права на выбор/замену врача и персонала оцениваются с учётом соответствующего законодательства, возможностей медицинского учреждения, медицинской необходимости и условий оплаты, если они есть; предоставление врача определённого пола не является безусловным правом требования в любом случае. Религиозные, культурные и психологические особенности пациента учитываются в той мере, в какой это совместимо с безопасным оказанием услуги. [2]

Почему сведения о здоровье относятся к специальным категориям персональных данных?

Сведения о болезни и диагнозе, записи об операциях, психиатрические заключения, генетические результаты, справки об инвалидности, данные о сексуальном здоровье, рецепты и результаты обследований являются специальными категориями персональных данных в смысле статьи 6 Закона № 6698. Дата обращения в больницу, идентификационные или контактные данные также являются персональными данными в зависимости от контекста; иногда даже раскрытие того, что человек обращался в определённое медицинское учреждение, может позволить сделать вывод о состоянии его здоровья. То, находятся ли данные о здоровье на бумаге, в больничной информационной системе, в e-Nabız, в электронном письме или в облаке, не меняет принципа защиты. [3] [4]

Изменение 2024 года: требуется ли явно выраженное согласие для каждой операции обработки?

Нет. Статья 6 KVKK изменена Законом № 7499, и новые условия обработки вступили в силу 1 июня 2024 года. Явно выраженное согласие — не единственное допустимое условие обработки. Для конкретной операции обработки могут иметь значение такие условия, как прямое указание в законе, необходимость защиты жизни/телесной неприкосновенности самого лица или другого человека, установление/осуществление/защита права, а также — применительно к лицам, обязанным хранить тайну, или к уполномоченным учреждениям — охрана здоровья населения, диагностика, лечение, уход и финансирование медицинских услуг. Однако наличие одного из этих условий не даёт каждому, кто обрабатывает данные, права бессрочного доступа ко всем медицинским записям. Ограничение целью, минимизация данных, соблюдение тайны и меры безопасности по-прежнему применяются. [3] [4]

Если требуется явно выраженное согласие, оно должно быть конкретным, основанным на информировании и данным по свободной воле. Обусловливание получения пациентом лечения согласием на рекламу, коммерческие сообщения или публикацию, не нужные для лечения, может само по себе повлечь противоправность. Получение согласия не создаёт неограниченного разрешения на деятельность, прямо запрещённую другим законодательством. [3] [5]

Больница как контролёр данных и ответственность сотрудников

Медицинскому учреждению следует применять технические/организационные меры, такие как роли доступа, управление учётными записями пользователей, хранение записей, отзыв полномочий при смене персонала, журналы доступа, защита использования пароля/электронной подписи, обучение по вопросам конфиденциальности и реагирование на инциденты. Если врач или секретарь передаёт другим выделенную ему учётную запись, учреждение не осуществляет необходимого контроля либо невозможно установить, кто из сотрудников осуществил доступ, это в зависимости от конкретных обстоятельств затрагивает обязанность по обеспечению безопасности данных. То, что данные пациента находятся на экране, который может видеть только уполномоченный персонал, не означает, что все запросы этого персонала можно считать правомерными. [6] [7]

Кто может получать доступ к данным о здоровье в e-Nabız?

Система e-Nabız облегчает доступ к информации для пациента и уполномоченных поставщиков медицинских услуг, но требует, чтобы полномочия доступа использовались в целях лечения и в пределах, установленных законодательством. То, что пользователь выбрал более широкую настройку просмотра, не означает согласия на запрос данных пациента из любопытства или в силу личных отношений. В решении № 2023/695 Совета по защите персональных данных (Kişisel Verileri Koruma Kurulu) от 2 мая 2023 года открытость записей в силу широкой настройки доступа не узаконила запрос со стороны сотрудника, не связанного с лечением. Совет также отдельно рассмотрел защиту учётной записи сотрудника и меры, принятые контролёром данных. [6]

Сроки доступа после 3 декабря 2025 года и предел медицинской цели

Статья 6 Регламента о персональных данных о здоровье (Kişisel Sağlık Verileri Hakkında Yönetmelik) была изложена в новой редакции 3 декабря 2025 года. С ограничением условиями обработки, предусмотренными ч. 3 ст. 6 Закона, для доступа семейного врача общее временное ограничение не установлено; доступ врача, к которому обратился пациент, и дежурных врачей медицинского учреждения урегулирован до окончания дней получения медицинской помощи, периода консультации/контрольного осмотра и процедур, непосредственно связанных с услугой. В учреждении, где пациент госпитализирован, соответствующие врачи могут получать доступ до выписки, а при поступлении через отделение неотложной помощи дежурные врачи этого учреждения — до выписки и только в пределах соответствующей медицинской услуги. С учётом этого регулирования нельзя говорить об общем 24-часовом сроке доступа, применимом ко всем. В любом случае запрос должен быть связан с услугой, оказываемой соответствующему пациенту. [8]

Настройки безопасности пациента в e-Nabız и способы доступа к системе по коду применяются дополнительно. Изменение 2025 года урегулировало определённые исключения для госпитализации/отделения неотложной помощи и для ситуаций, когда код подтверждения фактически недоступен, например при содержании под стражей или отбывании наказания. Ни одно из этих положений не разрешает запросы вне целей лечения. Запись, которая хранится в системе как «скрытая» или невидимая, не выводится автоматически из-под установленной законом обязанности хранения; отключение видимости в профиле и удаление данных — не одна и та же операция. [8]

Как следует расследовать несанкционированный запрос?

Первый шаг пациента — зафиксировать подозрение о доступе с указанием даты, учреждения и сведений о враче/сотруднике и при необходимости запросить у контролёра данных и соответствующих органов здравоохранения объяснение по запросу. Особенно важно потребовать сохранения журналов доступа: можно проверить идентификатор пользователя, время сеанса, вид запрошенной записи, основание доступа, а также операции передачи или экспорта. Снимок экрана сам по себе не всегда доказывает, к каким данным и зачем получил доступ человек, или что он передал данные третьему лицу. Технические записи учреждения следует оценивать вместе с объяснениями сотрудников и журналом операций. [6] [7]

Право доступа детей, разводящихся родителей и лиц, осуществляющих уход

В отношении данных о здоровье ребёнка в совокупности оцениваются родительские права, возраст, способность к разумному суждению и наилучшие интересы ребёнка. Согласно статье 8 Регламента, хотя по общему правилу родители имеют доступ к медицинским записям ребёнка через e-Nabız, ребёнок, обладающий способностью к разумному суждению, может поставить доступ родителей к своей истории болезни в зависимость от своего разрешения. Это право не следует толковать как неограниченное, независимое от семейных отношений полномочие на доступ или сокрытие; обязанность защищать ребёнка и соответствующее законодательство следует применять в совокупности. [8]

Доступ во время бракоразводного процесса и после определения родительских прав

Согласно изменению от 3 декабря 2025 года, во время бракоразводного процесса доступ к данным о здоровье ребёнка имеет родитель, которому родительские права временно предоставлены в порядке обеспечительной меры, а после развода — сторона, за которой закреплены родительские права. Родитель, не имеющий родительских прав, может обратиться в соответствующую генеральную дирекцию Министерства здравоохранения (Sağlık Bakanlığı). Если это будет признано уместным, могут быть предоставлены ограниченные данные о состоянии здоровья ребёнка, не раскрывающие местонахождение и контактные данные родителя, осуществляющего родительские права, или ребёнка. При таком рассмотрении особое значение имеют защитные меры, домашнее насилие и безопасность ребёнка. Поэтому общее утверждение вида «родители в любом случае могут видеть всё без разрешения» является неполным. [8]

Доступ в отношении лиц с инвалидностью и лиц, осуществляющих уход

Положение, добавленное в статью 9 Регламента в 2025 году, предусматривает, что лица, осуществляющие уход, могут получать доступ к данным о здоровье лиц, имеющих справку об инвалидности. Однако статус лица, осуществляющего уход, не означает, что право человека на конфиденциальность полностью утрачивается. Полномочия необходимо определять с учётом цели ухода и правового/фактического положения человека. [8]

Можно ли передавать сведения о здоровье родственникам пациента и адвокатам?

Определяющей является воля совершеннолетнего пациента, способного принимать решения. Согласно статье 18 Регламента о правах пациентов пациент может попросить, чтобы вместо него информировали определённое лицо; эта просьба должна быть зафиксирована в подписанной форме. То, что близкий родственник пришёл в больницу или звонит на телефон пациента, само по себе не оправдывает передачу всей истории диагнозов и лечения. В особых ситуациях, таких как медицинская срочность, установленная законом обязанность сообщения или полномочия представителя, необходимое раскрытие ограничивается минимальным объёмом. [2]

Информирование семьи под предлогом того, что это «негативно повлияет на пациента»

В Регламенте содержатся исключительные положения о сообщении пациенту серьёзных диагнозов, подлежащие узкому толкованию. Эти положения не дают врачу общего полномочия раскрывать членам семьи любые сведения о здоровье по своему усмотрению. Право пациента на получение информации, его просьбу не информировать его, медицинскую необходимость и порядок, предусмотренный действующим регулированием, следует рассматривать в совокупности. [2]

Изменение 2025 года в отношении доступа адвокатов к медицинским записям

Прежняя статья 10 Регламента о персональных данных о здоровье, согласно которой генеральной доверенности было недостаточно и требовалось положение об особом согласии, утратила силу 3 декабря 2025 года. Поэтому прежнее положение нельзя описывать так, как будто оно всё ещё действует. Вместе с тем отмена статьи 10 не означает, что адвокат может получить доступ к медицинским записям любого пациента без документов или без ограничений. Представительство по статье 16 Регламента о правах пациентов, Закон об адвокатуре (Avukatlık Kanunu), статью 6 KVKK, цель передачи персональных данных и соответствующую административную/судебную процедуру следует оценивать в совокупности. Важно установить на основании конкретного документа полномочия и основание, необходимое для передачи специальных категорий данных. Союз адвокатских палат Турции (Türkiye Barolar Birliği) также сообщил в своём объявлении от 17 декабря 2025 года, что прежняя статья 10 утратила силу. [2] [8] [9]

Защищаются ли данные о здоровье умерших пациентов?

Да. Согласно статье 21 Регламента о правах пациентов смерть не прекращает права на конфиденциальность. Статья 11 Регламента о персональных данных о здоровье содержит положение о том, что законные наследники, представившие свидетельство о праве на наследство (veraset ilamı), могут по отдельности запрашивать данные о здоровье. Минимальный срок хранения, установленный той же статьёй, был увеличен изменением от 3 декабря 2025 года с 20 до 30 лет. Этот срок не означает, что все медицинские документы в любом случае будут удалены ровно на 30-й год; следует учитывать особые обязанности по хранению, предусмотренные другими законами, и характер запрашиваемой записи. [2] [8]

Права личности умершего оцениваются вместе с интересами наследников в получении информации, предъявлении иска и защите неприкосновенности семьи. Даже после смерти пациента передача заключений прессе или публикация больничных записей в социальных сетях может затрагивать обязанности по соблюдению тайны.

Право пациента знакомиться со своей медицинской документацией и получать копии

Статья 16 Регламента о правах пациентов регулирует право пациента знакомиться со своей медицинской документацией и получать копии непосредственно или через надлежащим образом уполномоченного им поверенного/законного представителя. В этих рамках в зависимости от характера случая могут быть запрошены выписной эпикриз (epikriz), протокол операции, анестезиологическая карта, результаты обследований, рентгенологические снимки, данные патологии, документы о согласии и документы о выписке. Обязанность больницы вести записи отличается от обязанности предоставлять записи управомоченному лицу; если запись отсутствует, это следует разъяснить и отдельно оценить в пределах соответствующих сроков и в материалах дела. [2]

В запросе следует указать, за какой период и какие документы запрашиваются, безопасный способ передачи, проверку личности/полномочий представителя и, если применимо, установленные законом пределы оплаты. Право доступа к записям не следует смешивать с правом обнародовать данные. Особенно в споре о врачебной ошибке или нарушении конфиденциальности важно сохранить записи в неизменном виде.

Как исправить ошибочный диагноз, заключение, запись в e-Nabız и сведения о прошлом здоровье?

Пациент может потребовать исправления неполных или неверных медицинских и персональных записей в соответствии со статьёй 17 Регламента о правах пациентов и статьёй 13 Регламента о персональных данных о здоровье. Для этого могут быть представлены документы об осмотре, на которых основано обращение, анализы разных дат, заключения специалистов и описание характера ошибки. Изменение настройки видимости, удаление проверяемой медицинской записи, исправление неверных данных и повторная оценка прошлого диагноза — разные процедуры. [2] [10]

4 июля 2026 года: повторная оценка прошлых диагнозов (статья 13/A)

Согласно статье 13/A, добавленной Регламентом от 4 июля 2026 года, ранее поставленные диагнозы могут быть повторно оценены исходя из текущего состояния здоровья человека. Для диагноза, поставленного одним врачом, предусмотрена врачебная комиссия из трёх врачей; для диагноза, поставленного комиссией из трёх врачей или комиссией полного состава, — оценка комиссией полного состава. Если имеется заключение врачебной комиссии о текущем состоянии, согласно которому диагноз в настоящее время отсутствует, это заключение необходимо учитывать при будущих процедурах без ущерба для положений соответствующего специального законодательства. Эта процедура не тождественна удалению из истории диагноза, который действительно был поставлен в прошлом. В частности, смешение прежнего диагноза с текущим состоянием при трудоустройстве, проверке безопасности или в процедуре, требующей медицинского заключения, может привести к утрате прав. [10]

Требования об удалении, уничтожении и обезличивании

Если в смысле статьи 7 KVKK основание обработки отпало, контролёру данных следует оценить обязанность удалить, уничтожить или обезличить данные в рамках применимого законодательства. Однако слова пациента «я не хочу этой записи» не порождают обязанности немедленно уничтожить обязательные медицинские архивные записи или документы, подлежащие хранению по закону. Обезличивание означает, что данные невозможно связать с человеком даже путём их сопоставления с другими сведениями; простое скрытие имени не всегда является настоящим обезличиванием. [3]

В каких случаях данные о здоровье могут быть раскрыты или переданы?

Передача данных может потребоваться в таких ситуациях, как экстренное лечение, сообщение по требованию закона, охрана здоровья населения, судебно-медицинское исследование, судебное решение, а также процедуры социального обеспечения и финансирования здравоохранения. Для каждой передачи отдельно оцениваются правовое основание, функции и полномочия, необходимый объём данных и безопасность доступа. Обязанность сообщить о преступлении или о судебно-медицинском случае не оправдывает раскрытия всех прошлых диагнозов пациента широкому кругу сотрудников или общественности. [2] [3]

Исследования, медицинское образование и научные публикации

Использование персональных данных о здоровье в медицинских исследованиях отдельно оценивается с точки зрения правового основания и этических процедур. Использование действительно обезличенных данных и использование медицинских карт, позволяющих повторно идентифицировать пациента, не влекут одинаковых последствий. Если в ходе обучения предполагается использовать изображение или лицо пациента, отдельно рассматриваются конфиденциальность пациента, характер изображения, согласие и отраслевые правила. Статус учебного учреждения не создаёт исключения из конфиденциальности. [2] [3]

Облако, системы искусственного интеллекта и передача данных за рубеж

Если медицинские учреждения используют облачное хранение записей, дистанционные консультации, анализ заключений с помощью искусственного интеллекта, лабораторные платформы или иностранных поставщиков услуг, следует документировать отношения обработчика и контролёра данных, место доступа и хранения, категории передаваемых данных и меры безопасности. Статья 9 KVKK в редакции, действующей с 1 июня 2024 года, предусматривает для передачи за рубеж поэтапную систему, включающую решение об адекватности, надлежащие меры защиты и ограниченные исключения для эпизодической передачи. Сам по себе факт нахождения данных в облаке или указание в договоре, что они «конфиденциальны», не делает передачу правомерной. [11]

Можно ли распространять фото, видео пациента или записи операции?

Запись камеры, показывающая, что пациент находится в больнице, фотография, на которой видно его лицо, изображения до и после операции, аудиозапись или история лечения являются персональными данными, а в ряде случаев — данными о частной жизни. Сам по себе факт, что пациент ранее опубликовал собственную фотографию на какой-либо платформе, не даёт медицинскому учреждению разрешения использовать её в иных целях. Медицинское согласие, разрешение на публикацию в социальных сетях и соответствие законодательству о рекламе — самостоятельные предметы проверки. [3] [5]

В решении Совета по защите персональных данных от 11 мая 2023 года № 2023/787 было признано, что, несмотря на наличие документов о согласии в отношении видео с пациентами, снятых в рекламных целях, эта деятельность не имела правового основания из-за отраслевых ограничений рекламы в сфере здравоохранения. Редакцию отраслевых правил, на которых основано это решение, действовавшую на дату события, следует проверять отдельно; само по себе согласие не делает запрещённую рекламу правомерной. [5]

В решении 13-й гражданской палаты Кассационного суда (Yargıtay 13. Hukuk Dairesi) от 2 апреля 2014 года, E. 2013/29323, K. 2014/9953 было признано, что передача телеканалу без согласия пациента записей камер видеонаблюдения, относящихся к автостоянке больницы, нарушила права личности. То, что записи камер были получены в целях безопасности, не допускает их использования для трансляции. [12]

Правовые последствия нарушения конфиденциальности: административная, гражданско-правовая и уголовная ответственность

Административный надзор и санкции по KVKK

В случае незаконной обработки персональных данных, несанкционированного доступа к ним или их незащищённости Совет по защите персональных данных может провести проверку контролёра данных; если надлежащие меры не приняты, возможны административный штраф и решения об устранении противоправности. В решении № 2023/695 несанкционированный запрос в e-Nabız и недостаточная защищённость пароля были оценены в совокупности. Эти санкции не являются возмещением, автоматически выплачиваемым пациенту; возмещение за нарушение прав личности требуется отдельно, и его условия оцениваются отдельно. [6] [7]

Уведомление о нарушении данных, предусмотренное ч. 5 ст. 12 KVKK и решением Совета № 2019/10, урегулировано так, что контролёр данных направляет уведомление Совету не позднее 72 часов после того, как узнал о нарушении, а затронутым лицам также даётся разъяснение в кратчайший разумный срок. Не каждая ошибочная запись данных равнозначна каждому событию, подпадающему под установленное законом уведомление о нарушении; следует оценить масштаб события и сохранить записи. [13]

Возмещение ущерба с частной больницы и врача

В зависимости от характера спора могут применяться положения о договоре, заключённом с частным медицинским учреждением, о деликте или о защите прав личности. Значение могут иметь статьи 24–25 Турецкого гражданского кодекса, статьи 49, 58 и 112 Турецкого закона об обязательствах, а при необходимости — положения о действиях вспомогательных лиц. При возмещении материального ущерба отдельно исследуются вред, противоправное деяние и причинно-следственная связь; при возмещении морального ущерба — характер и конкретные последствия нарушения прав личности. То, что потерпевший вообще не понёс материальных потерь, не исключает оценки морального ущерба при наличии условий. Суд, компетентный по предмету спора, и условия процесса определяются в зависимости от того, считаются ли отношения потребительской сделкой, и от правовой природы требования; не все иски к частным больницам автоматически относятся к коммерческому суду. [12] [14]

В решении 3-й гражданской палаты Кассационного суда (Yargıtay 3. Hukuk Dairesi) от 4 июня 2024 года, E. 2023/2239, K. 2024/1823 было рассмотрено раскрытие результата анализа, проведённого без согласия пациента, до завершения его подтверждения; определение размера возмещения морального ущерба как недостаточного с учётом особенностей конкретного дела стало основанием для отмены. Решение показывает, что правовые последствия может повлечь не только медицинская процедура, но и раскрытие сведений об анализе. [14]

Административная ответственность и сроки в государственной больнице

Требование о возмещении вреда, причинённого в связи с оказанием медицинских услуг государственной больницей, в зависимости от правовой квалификации события может рассматриваться в административных судах в рамках служебной вины или иных принципов административной ответственности. По требованиям о полном возмещении, вытекающим из административного действия в смысле статьи 13 Закона № 2577 об административном судопроизводстве (İYUK), по общему правилу требуется обращение в соответствующий административный орган в течение одного года с момента, когда стало известно о действии, причинившем вред, и в любом случае в течение пяти лет с момента действия, а также соблюдение срока для подачи иска после ответа/подразумеваемого отказа на административное обращение. Вред, причинённый административным актом в смысле статьи 12 Закона об административном судопроизводстве, может подчиняться иной процедуре. Поскольку момент осведомлённости, возникновение вреда и разграничение действия и акта имеют решающее значение в конкретном деле, правило вроде «по всем искам к государственной больнице — сразу 60 дней» применять нельзя. [15]

Преступление незаконной передачи или завладения персональными данными

В зависимости от конкретного деяния могут обсуждаться статья 135 TCK № 5237 (запись персональных данных), статья 136 (незаконная передача, распространение или завладение данными), статья 137 (отдельные квалифицированные составы), статья 138 (неуничтожение данных) и статья 134 (нарушение тайны частной жизни). Ч. 1 ст. 136 TCK предусматривает базовое наказание в виде лишения свободы на срок от 2 до 4 лет; дополнительно учитываются квалифицированные составы и дата деяния. Для уголовной ответственности следует исследовать характер персональных данных, деяние, противоправность, умысел, способ получения и передачи, а также доказательства. Не каждое нарушение законодательства о защите данных автоматически означает совершение преступления по статье 136 TCK. [16]

В решении 12-й уголовной палаты Кассационного суда (Yargıtay 12. Ceza Dairesi) от 30 июня 2025 года, E. 2022/8375, K. 2025/5747 было рассмотрено получение формы экстренного осмотра пациента с использованием возможностей, которые давала профессия врача, и её публикация в интернете; обвинительный приговор был оставлен в силе с исправлением в части меры безопасности. В решении от 12 марта 2026 года, E. 2023/4676, K. 2026/2628 было признано, что элементы состава преступления имеются, если психиатрическое заключение получено супругом и передано третьему лицу. То, что данные о здоровье были использованы в материалах судебного дела, само по себе не делает правомерными их первоначальное получение и передачу. [17] [18]

Что показывают решения Конституционного суда и высших судов?

Пленум Конституционного суда (Anayasa Mahkemesi Genel Kurulu) в решении Cem Özberk (жалоба № 2020/15944, 20 марта 2025 года) подчеркнул, что по жалобе, касающейся сведений о здоровье совершеннолетнего лица, уголовное судопроизводство должно обеспечить достаточное исследование с точки зрения права требовать защиты персональных данных. Решение не означает, что любое утверждение о нарушении конфиденциальности автоматически влечёт осуждение; оно устанавливает обязанность эффективного расследования, обоснования вмешательства и обсуждения конституционного веса персональных данных. [19]

Если рассматривать в совокупности приведённые выше решения Кассационного суда о записях камер в больнице, о результате анализа без согласия и о несанкционированной передаче медицинского заключения, выявляются три разграничения: (i) получение больницей данных для законной цели не даёт ей права без ограничений использовать их для иной цели; (ii) правовые последствия может повлечь не только фактическое состояние здоровья человека, но и введение в оборот записи об этом состоянии; (iii) надзор по KVKK, возмещение ущерба и уголовное расследование подчиняются разным процедурам и условиям доказывания. [12] [14] [17] [18] [19]

Какие доказательства необходимо сохранить при нарушении конфиденциальности?

Защита своих прав, как правило, зависит от сохранения записей первых дней. Если имеется несанкционированное изображение или раскрытие сведений, сохраняются URL публикации, её дата, учётная запись, снимок экрана, видео (если есть) и способ распространения. При утверждении о доступе через больничную систему запрашивается сохранение журналов доступа и операций с указанием времени события, использованного приложения и соответствующей медицинской карты пациента. При утверждении о физическом нарушении в зоне осмотра значение имеют свидетели, графики смен, записи о входе и выходе, первое сообщение в отдел по правам пациентов (hasta hakları birimi) и протокол о происшествии.

Пределы, которые следует соблюдать при истребовании доказательств

• Несанкционированное получение доказательств из больничной системы, сбор записей других пациентов или незаконное использование учётных записей сотрудников могут превратиться в новое нарушение прав.
• Медицинские документы, представляемые в суд или уполномоченный орган, следует ограничивать необходимой частью; записи третьих лиц следует надлежащим образом скрывать.
• Подлинность публикации, возможность монтажа/фальсификации, связь между устройством и учётной записью, точность журнала доступа и то, к кому на самом деле попали данные, при необходимости могут быть исследованы судебным экспертом.
• Для цифровых записей, которым угрожает удаление, в зависимости от условий могут рассматриваться меры по их сохранению путём нотариальной фиксации, обеспечения доказательств, через прокуратуру или суд. [6] [7] [17]

Порядок обращения и сроки при нарушении конфиденциальности пациента

Способы обращения не заменяют друг друга. Сообщение в отдел по правам пациентов может касаться медицинской/институциональной проверки; обращение к контролёру данных — требования об обработке данных по KVKK; обращение в прокуратуру — уголовного расследования; иск о возмещении ущерба — утверждения о вреде и нарушении прав личности. То, является ли медицинское учреждение государственным или частным, и дата, когда произошла противоправность, влияют на компетентный орган и срок.

Для жалобы в Совет по защите персональных данных обязательно предварительное обращение к контролёру данных. Если ответ получен в течение 30 дней, действует срок 30 дней с момента, когда стало известно об этом ответе; если ответа нет вовсе — 60 дней с первого обращения. Ожидание ответа, поступившего после 30 дней, само по себе не продлевает установленный законом предельный срок 60 дней. Жалоба по KVKK не лишает пациента права предъявить иск о возмещении материального/морального ущерба. [20]

Порядок действий для пациента, узнавшего о нарушении

1. Определите характер нарушения: обстановка осмотра, раскрытие сведений о здоровье, цифровой запрос, публикация фото/видео или ошибочная запись.
2. Сохраните первоначальные доказательства законным способом; зафиксируйте ссылку на публикацию, её дату, учреждение, связанные события и свидетелей.
3. Если существует риск удаления/изменения медицинских записей и журналов доступа, направьте в соответствующее учреждение письменное требование об их сохранении.
4. По утверждению об обработке данных в рамках KVKK направьте обращение по статье 13 надлежащему контролёру данных; сроки жалобы в Совет отслеживайте отдельно.
5. Оцените возможности уголовного преследования за преступление, гражданско-правового возмещения ущерба или вины государственной службы в рамках отдельных правовых вопросов; при необходимости рассмотрите меры защиты и ходатайства об обеспечительных мерах.
6. Представляйте данные о здоровье органу, в который вы обращаетесь, в необходимом объёме, не делясь ими без нужды по незашифрованной электронной почте, в социальных сетях или с посторонними лицами.

Как больнице и медицинскому персоналу выстроить соблюдение конфиденциальности?

Нельзя считать, что учреждения обеспечивают конфиденциальность пациентов лишь подписанными обязательствами о неразглашении. Необходима организация на основе оценки рисков: обязательные описания ролей, связанных с лечением; индивидуальные учётные записи пользователей; фактический контроль запрета на передачу электронной подписи/пароля; видимость экранов с данными пациентов и физических стоек регистрации; регулярная проверка журналов доступа; ограничение излишнего доступа при госпитализации, консультации и выписке; отзыв полномочий при увольнении персонала; правила хранения/доступа для записей камер и учебных съёмок; обучение; сообщение об инцидентах; безопасная передача документов; анализ иностранных поставщиков услуг и график удаления и хранения.

Обращение, поступившее в отдел по правам пациентов, не следует считать завершённым только потому, что оно перенаправлено сотрудникам в системе; должны быть определены ответственные за событие, проверенные записи, данный ответ и корректирующая мера. Мерой соблюдения является не только наличие документов, но и фактическое поведение системы. В решениях Совета по e-Nabız полномочия персонала, доступ к учётным записям и технические/организационные меры учреждения оценивались в совокупности. [6] [7] [13]

Связанные статьи: Как получить медицинскую карту и медицинские записи: обращение, отсутствующие записи и сохранение доказательств; Уважение частной жизни и защита персональных данных: нарушения прав и порядок обращения; Осмотр в наручниках в больнице и конфиденциальность пациента: права лиц, содержащихся под стражей, и осуждённых; Врачебная ошибка в государственной больнице: обращение в административный орган и иск о полном возмещении

Заключение

Конфиденциальность пациента — неотъемлемая часть доверия к медицинскому учреждению и правового контроля человека над собственным телом и сведениями о своём здоровье. То, что данные могут обрабатываться для лечения, не означает, что медицинские записи может просматривать каждый или что их можно распространять в социальных сетях. Законные пределы доступа следует конкретизировать с учётом изменений KVKK 2024 года и положений 2025–2026 годов о персональных данных о здоровье. При утверждении о нарушении решающее значение имеют документирование того, какие сведения, кем, когда и на каком правовом основании были получены и использованы, а также раздельная оценка внутренних обращений, обращений по KVKK, судебных и административных обращений с точки зрения компетенции и сроков. Защита начинается ещё до права на иск после нарушения — с реального соблюдения конфиденциальности пациента в ходе лечения.

Часто задаваемые вопросы

Можно ли впускать в кабинет другого пациента во время осмотра?

Допуск другого лица в зону осмотра таким образом, что возникает риск, что сведения о здоровье пациента будут услышаны или его тело будет увидено, создаёт проблему с точки зрения конфиденциальности. Присутствие посторонних лиц следует не допускать; медицински необходимый персонал, согласие пациента/заинтересованного лица и условия безопасного оказания услуги следует оценивать отдельно.

Может ли пациент попросить поговорить с врачом наедине?

Да, он может попросить о конфиденциальной беседе. Однако персонал, присутствие которого необходимо для медицинской безопасности или обязательной медицинской помощи, не обязательно удалять в каждом случае. Причину следует разъяснить и обеспечить возможную конфиденциальность.

Позволяет ли настройка «могут видеть все врачи» в e-Nabız любому врачу делать запросы?

Нет. Настройка доступа не делает правомерными запросы из любопытства или по личным причинам без цели оказания медицинской услуги. Для каждого доступа необходимы установленное законом условие обработки и конкретная связь с услугой. [6] [8]

Что делать, если врач без разрешения просмотрел мои записи в e-Nabız?

Вы можете потребовать разъяснить, каким учреждением, каким пользователем и в какую дату были просмотрены соответствующие данные, сохранить имеющиеся технические записи и дать письменный ответ от контролёра данных. Обращение по KVKK, а при необходимости обращение в прокуратуру и требование о возмещении ущерба оцениваются отдельно в зависимости от характера события.

Может ли после развода родитель, не имеющий родительских прав, видеть данные ребёнка?

Изменение 2025 года разграничило прямой доступ и обращение в Министерство. Обращение родителя, не имеющего родительских прав, в генеральную дирекцию может быть рассмотрено; если это будет признано уместным, могут быть предоставлены ограниченные данные о здоровье без сведений о местонахождении/адресе/контактах. [8]

Можно ли в любом случае сообщить диагноз родственнику пациента?

Нет. Исследуются предпочтения совершеннолетнего пациента в отношении информирования, правовое представительство и установленные законом исключения, если они есть. Само по себе родство не даёт доступа ко всей истории здоровья. [2]

Сохраняется ли требование специальной доверенности для доступа адвокатов к данным о здоровье?

Прежняя статья 10 Регламента утратила силу 3 декабря 2025 года. Однако это изменение не означает неограниченного доступа к данным о здоровье. Полномочия представителя, необходимость, статью 6 KVKK и соответствующую судебную/административную процедуру следует оценивать отдельно. [8] [9]

Сколько хранятся медицинские записи умершего пациента?

Согласно статье 11 Регламента о персональных данных о здоровье минимальный срок составляет 30 лет. Другие специальные нормы и конкретный вид записи могут требовать более длительного хранения. [8]

Можно ли удалить прошлый психиатрический диагноз из e-Nabız?

Исправление ошибочной записи, её скрытие в профиле и повторная оценка прошлого диагноза по статье 13/A 2026 года — разные пути. Заключение врачебной комиссии о текущем состоянии не во всех случаях означает уничтожение прошлой записи. [10]

Можно ли использовать изображение пациента в рекламе с его явно выраженного согласия?

Одного явно выраженного согласия недостаточно. Дополнительно применяются отраслевые запреты на продвижение медицинских услуг и иные условия обработки данных. Решение Совета по защите персональных данных № 2023/787 иллюстрирует это разграничение. [5]

Может ли публикация записей камеры видеонаблюдения больницы повлечь возмещение ущерба?

Да, если для публикации нет правового основания, могут возникнуть условия для возмещения ущерба за нарушение прав личности. Решение 13-й гражданской палаты Кассационного суда № 2014/9953 оценило с этой точки зрения несанкционированную передачу записей, полученных в целях безопасности. [12]

Можно ли подать жалобу о нарушении конфиденциальности пациента непосредственно в Совет по защите персональных данных?

Перед жалобой в Совет по статье 14 KVKK следует обратиться к контролёру данных по статье 13. В зависимости от дат ответа и обращения значение имеют сроки 30 и 60 дней. Обращения по правам пациентов и сообщение о преступлении — разные процедуры. [20]

Всегда ли срок иска о возмещении ущерба к государственной больнице составляет 60 дней?

Нет. Характер обстоятельства, причинившего вред, как административного акта или действия, статьи 12–13 Закона об административном судопроизводстве, предварительное обращение в административный орган и конкретная дата осведомлённости могут приводить к разным расчётам сроков. [15]

Запрещено ли само по себе хранение медицинских записей в облаке за рубежом?

Само по себе вывести такой безусловный запрет или разрешение нельзя. Условия обработки данных и передачи за рубеж, роль поставщика услуг, система надлежащих мер защиты/адекватности/исключений по статье 9 KVKK и меры безопасности следует оценивать в совокупности. [11]

Источники и правовые основания

1. Конституция Турецкой Республики (Türkiye Cumhuriyeti Anayasası), статьи 17 и 20; Европейская конвенция о защите прав человека, статья 8. Информационная система законодательства (Mevzuat Bilgi Sistemi).
2. Министерство здравоохранения (Sağlık Bakanlığı), Регламент о правах пациентов (Hasta Hakları Yönetmeliği), в частности статьи 15–23.
3. Закон № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu), статьи 4 и 6–14; Управление по защите персональных данных (Kişisel Verileri Koruma Kurumu).
4. Управление по защите персональных данных, Руководство по обработке специальных категорий персональных данных (Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber), изменения законодательства 2024 года.
5. Совет по защите персональных данных (Kişisel Verileri Koruma Kurulu), решение от 11 мая 2023 года № 2023/787, рекламные и имиджевые съёмки в больнице.
6. Совет по защите персональных данных, решение от 2 мая 2023 года № 2023/695, несанкционированный доступ к e-Nabız.
7. Совет по защите персональных данных, решение от 21 сентября 2021 года № 2021/962.
8. Министерство здравоохранения, изменение Регламента о персональных данных о здоровье (Kişisel Sağlık Verileri Hakkında Yönetmelik) от 3 декабря 2025 года, Официальная газета № 33096.
9. Союз адвокатских палат Турции (Türkiye Barolar Birliği), объявление 2025/65 от 17 декабря 2025 года, отмена положения о доступе адвокатов к данным о здоровье.
10. Министерство здравоохранения, изменение Регламента о персональных данных о здоровье от 4 июля 2026 года, Официальная газета № 33300, статья 13/A.
11. Управление по защите персональных данных, Передача за рубеж (Yurt Dışına Aktarım), принципы применения статьи 9 KVKK.
12. 13-я гражданская палата Кассационного суда (Yargıtay 13. Hukuk Dairesi), 2 апреля 2014 года, E. 2013/29323, K. 2014/9953; полный текст решения.
13. Управление по защите персональных данных, решение об уведомлении о нарушении от 24 января 2019 года № 2019/10.
14. 3-я гражданская палата Кассационного суда (Yargıtay 3. Hukuk Dairesi), 4 июня 2024 года, E. 2023/2239, K. 2024/1823; полный текст решения.
15. Закон № 2577 об административном судопроизводстве (İdari Yargılama Usulü Kanunu), статьи 12 и 13; Информационная система законодательства.
16. Турецкий уголовный кодекс № 5237 (Türk Ceza Kanunu), статьи 134–140; Информационная система законодательства.
17. 12-я уголовная палата Кассационного суда (Yargıtay 12. Ceza Dairesi), 30 июня 2025 года, E. 2022/8375, K. 2025/5747; полный текст решения.
18. 12-я уголовная палата Кассационного суда, 12 марта 2026 года, E. 2023/4676, K. 2026/2628; полный текст решения.
19. Пленум Конституционного суда (Anayasa Mahkemesi Genel Kurulu), Cem Özberk, жалоба № 2020/15944, 20 марта 2025 года; текст решения, Официальная газета от 5 августа 2025 года № 32977.
20. Управление по защите персональных данных, Право на жалобу и сроки (Şikâyet Hakkı); решение № 2019/9 о расчёте сроков.