Doktor ve Sağlık Kurumları İçin KVKK Rehberi: Kişisel Sağlık Verilerinin İşlenebilmesi Şartları
Güncelleme tarihi: 4 Kas
Güncelleme: 04.11.2026
Sağlık hizmetinin yerine getirilebilmesi için hekimlerin ve sağlık kuruluşlarının hastalara ait kişisel sağlık verilerini işlemesi kaçınılmazdır. Hastanın tıbbi geçmişinin öğrenilmesi, teşhis ve tedavi süreçlerinin kayıt altına alınması, tetkik sonuçlarının değerlendirilmesi ve sağlık hizmetine ilişkin yasal yükümlülüklerin yerine getirilmesi, kişisel veri işleme faaliyetlerini de beraberinde getirir.
Ancak sağlık verileri, kişinin özel hayatı ve mahremiyetiyle doğrudan bağlantılı olduğundan, diğer kişisel verilere göre daha sıkı bir hukuki korumaya tabidir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel sağlık verilerinin hangi şartlarda işlenebileceğini ve bu verilerin korunması için alınması gereken önlemleri düzenlemektedir. 12 Mart 2024 tarihinde yayımlanan 7499 sayılı Kanun ile KVKK'nın 6. maddesinde önemli değişiklikler yapılmış, özel nitelikli kişisel verilerin işlenebilmesine ilişkin hukuki sebepler yeniden belirlenmiştir. Bu değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmiştir.
Bu yazımızda, hekimlerin ve sağlık kuruluşlarının kişisel sağlık verilerini hangi hukuki şartlarla işleyebileceklerini, açık rızanın gerekli olduğu ve olmadığı durumları, veri güvenliği yükümlülüklerini ve güncel Yönetmelik hükümlerini değerlendiriyoruz.
Kişisel Sağlık Verileri ve Hukuki Koruma
KVKK'nın 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Ad, soyad, T.C. kimlik numarası, adres, telefon numarası ve iletişim bilgileri kişisel veri niteliğindedir. Bununla birlikte kişinin sağlık durumunu ortaya koyan bilgiler, Kanunun 6. maddesi kapsamında özel nitelikli kişisel veri olarak korunmaktadır.
Kişisel sağlık verileri; kişinin fiziksel ve ruhsal sağlık durumuna, geçirdiği hastalıklara, konulan tanılara, uygulanan tedavilere, kullandığı ilaçlara, ameliyatlarına, tetkik ve laboratuvar sonuçlarına ilişkin bilgileri kapsar. Genetik veriler de Kanunda ayrıca özel nitelikli kişisel veri olarak düzenlenmiştir.
Bir sağlık kuruluşunda tutulan hasta dosyası, yalnızca hastanın kimliğini belirlemeye yarayan bilgilerden oluşmaz. Dosyada yer alan tıbbi kayıtlar, hastanın sağlık geçmişini ve özel hayatına ilişkin önemli bilgileri içerir.
Bazı veriler tek başına genel nitelikli kişisel veri olarak değerlendirilse de sağlık hizmetiyle bağlantısı nedeniyle kişinin sağlık durumunu ortaya çıkarıyorsa özel nitelikli kişisel veri niteliği kazanabilir. Bu nedenle verinin hukuki niteliği belirlenirken yalnızca adına veya kayıt türüne değil, içerdiği bilgiye ve işlendiği bağlama da bakılmalıdır.
Kişisel Sağlık Verilerinin İşlenebilmesi Şartları
KVKK, genel nitelikli kişisel verilerin işlenme şartlarını 5. maddede, özel nitelikli kişisel verilerin işlenme şartlarını ise 6. maddede düzenlemiştir.
Bu ayrım, hekimler ve sağlık kuruluşları bakımından önemlidir. Örneğin hastanın iletişim bilgilerinin randevu işlemleri için kullanılması ile hastalık geçmişinin tıbbi değerlendirme amacıyla incelenmesi aynı hukuki hükümlere tabi değildir.
Genel nitelikli kişisel veriler için KVKK m. 5'te, sağlık verileri gibi özel nitelikli kişisel veriler için ise KVKK m. 6'da öngörülen işleme şartları uygulanmalıdır.
7499 sayılı Kanun ile değiştirilen KVKK m. 6/3 uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. Ancak aynı fıkrada sayılan hukuki şartlardan birinin bulunması hâlinde bu verilerin işlenmesi mümkündür.
Sağlık hizmetleri açısından önem taşıyan başlıca işleme şartları şunlardır:
Kanunlarda açıkça öngörülmesi (m. 6/3-b): Kanuni düzenlemelerin zorunlu kıldığı sağlık verisi işleme ve bildirim faaliyetleri bu kapsamda değerlendirilebilir.
Hayatın veya beden bütünlüğünün korunması (m. 6/3-c): Fiili imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatının veya beden bütünlüğünün korunması için zorunlu olan veri işlemleri bu hükme dayanabilir.
Bir hakkın tesisi, kullanılması veya korunması (m. 6/3-d): Hukuki uyuşmazlıklarda, bir hakkın ileri sürülmesi veya savunulması için zorunlu olan sağlık verilerinin işlenmesi mümkündür.
Sağlık hizmetlerinin yürütülmesi (m. 6/3-e): Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olan veri işlemleri bu kapsamda yer alır.
İstihdam ve iş sağlığına ilişkin yükümlülükler (m. 6/3-f): İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olan özel nitelikli veri işlemleri bu hükme dayanabilir.
Kanunda ayrıca ilgili kişinin açık rızasına, kişinin kendisi tarafından alenileştirilen verilerin alenileştirme iradesine uygun şekilde işlenmesine ve belirli kâr amacı gütmeyen kuruluşların faaliyetlerine ilişkin işleme şartları da bulunmaktadır.
Bu düzenleme sonucunda, sağlık verilerinin işlenebilmesi için her durumda hastanın açık rızasının alınması gerektiği yönündeki yaklaşımın hukuki dayanağı bulunmamaktadır.
Bununla birlikte bir veri işleme şartının mevcut olması, sağlık kuruluşuna hastanın bütün sağlık verilerini sınırsız biçimde toplama, inceleme veya paylaşma yetkisi vermez.
KVKK'nın 4. maddesinde düzenlenen hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaçlarla işleme, amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri her durumda uygulanmaya devam eder.
Sağlık Hizmetlerinde Açık Rızanın Yeri
Açık rıza, KVKK'nın 3. maddesinde belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmıştır.
Sağlık hizmetlerinde açık rızanın gerekli olup olmadığı, gerçekleştirilecek veri işleme faaliyetinin amacı ve hukuki dayanağına göre belirlenmelidir.
Teşhis, tedavi ve bakım hizmetlerinin yürütülmesi için gerekli olan sağlık verileri, KVKK m. 6/3-e hükmündeki koşulların bulunması hâlinde hastanın ayrıca açık rızası alınmadan işlenebilir.
Örneğin bir hekimin hastasının önceki tetkik sonuçlarını incelemesi, mevcut hastalıkları ve kullandığı ilaçlar hakkında bilgi edinmesi veya uyguladığı tedaviyi hasta dosyasına kaydetmesi, sunulan sağlık hizmeti bakımından gerekli olabilir.
Bu işlemlerin hukuki dayanağı, ilgili koşullar mevcutsa, KVKK m. 6/3-e hükmüdür.
Ancak sağlık hizmetinin yürütülmesi amacıyla işlenen verilerin daha sonra farklı amaçlarla kullanılması, aynı hukuki sebebe dayanılarak her durumda mümkün değildir.
Örneğin hastaya ait sağlık bilgilerinin tanıtım faaliyetlerinde, hasta deneyimlerinin paylaşılmasında veya tedaviyle bağlantılı olmayan başka çalışmalarda kullanılması, ayrı bir hukuki değerlendirme gerektirir. Açık rızaya dayanılması gereken durumlarda rızanın belirli, bilgilendirilmiş ve özgür iradeye dayalı olması zorunludur. Ayrıca açık rızanın bulunması, sağlık hizmetlerinin tanıtımına ilişkin mevzuatta yer alan yasak ve sınırlamaları ortadan kaldırmaz.
Kişisel Verileri Koruma Kurumunun Şubat 2025 tarihinde yayımladığı Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber, açık rıza ile diğer işleme şartları arasında bir hiyerarşi bulunmadığını, başka bir hukuki işleme şartı mevcutken açık rızaya dayanılmasının hukuka ve dürüstlük kuralına aykırılık oluşturabileceğini açıklamaktadır.
Bu nedenle hekimlerin ve sağlık kuruluşlarının, yürüttükleri bütün veri işleme faaliyetleri için genel bir açık rıza formu kullanmak yerine, her bir faaliyetin hukuki dayanağını ayrı ayrı belirlemeleri gerekir.
Açık rızaya dayanan bir veri işleme faaliyetinde ilgili kişi rızasını geri alabilir. Geri alma beyanı ileriye yönelik sonuç doğurur. Buna karşılık başka bir hukuki işleme şartına dayanılarak sürdürülmesi zorunlu olan işlemler, yalnızca açık rızanın geri alınması nedeniyle kendiliğinden hukuka aykırı hâle gelmez.
Kişisel sağlık verilerinin işlenmesine ilişkin açık rıza ile tıbbi müdahaleye ilişkin aydınlatılmış onam birbirinden farklıdır.
Hastanın sağlık verilerinin KVKK kapsamında hukuka uygun biçimde işlenebilmesi, hekimin tıbbi müdahale öncesinde hastayı bilgilendirme ve gerekli durumlarda tıbbi müdahale onamını alma yükümlülüğünü ortadan kaldırmaz.
Aynı şekilde hastanın bir ameliyata veya tedaviye onam vermesi, sağlık verilerinin her amaçla işlenmesine ve üçüncü kişilerle paylaşılmasına izin verdiği anlamına gelmez.
Sağlık Verilerinin Hukuki Uyuşmazlıklarda Kullanılması
7499 sayılı Kanun ile yapılan değişikliklerin sağlık hukuku açısından önemli sonuçlarından biri, KVKK m. 6/3-d hükmünün özel nitelikli kişisel veriler bakımından açık bir işleme şartı olarak düzenlenmesidir.
Bu hükme göre, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması hâlinde özel nitelikli kişisel veriler ilgili kişinin açık rızası bulunmadan işlenebilir.
Sağlık hizmetlerinden kaynaklanan hukuki uyuşmazlıklarda hasta kayıtları, tıbbi uygulamanın değerlendirilmesi ve tarafların iddia veya savunmalarının incelenmesi açısından önemli delillerdir.
Örneğin bir malpraktis davasında hekimin teşhis ve tedavi sürecini ortaya koyan hasta dosyası, ameliyat kayıtları, konsültasyon notları ve tetkik sonuçları, uyuşmazlığın çözümü için gerekli olabilir.
Aynı şekilde bir tazminat talebinin ileri sürülmesi veya bu talebe karşı savunma yapılması sırasında ilgili sağlık kayıtlarının incelenmesi gerekebilir.
Bununla birlikte, KVKK m. 6/3-d hükmü, bir hukuki uyuşmazlık bulunduğu gerekçesiyle hastanın tüm sağlık kayıtlarının koşulsuz biçimde üçüncü kişilere aktarılmasını mümkün kılmaz.
İşlenecek veya aktarılacak verilerin, ileri sürülen hakkın tesisi, kullanılması veya korunması bakımından zorunlu olması ve işlemin bu amaçla sınırlı tutulması gerekir. Veri aktarımında KVKK'nın 8. maddesi, ilgili usul hükümleri ve sağlık mesleğine ilişkin sır saklama yükümlülükleri de dikkate alınmalıdır.
3 Aralık 2025 tarihinde Kişisel Sağlık Verileri Hakkında Yönetmeliğin avukatların sağlık verilerine erişimini düzenleyen 10. maddesinin yürürlükten kaldırılması da bu konuyla bağlantılıdır. Ancak ilgili maddenin kaldırılması, avukatların veya diğer üçüncü kişilerin sağlık kayıtlarına sınırsız erişebileceği anlamına gelmez. Temsil yetkisi, veri işleme şartları ve talep edilen kayıtların hukuki uyuşmazlık bakımından gerekliliği ayrıca değerlendirilmelidir.
Hekimlerin ve Sağlık Kuruluşlarının Veri Güvenliği Yükümlülükleri
Kişisel sağlık verilerinin hukuka uygun bir işleme şartına dayanılarak elde edilmiş olması, verilerin korunmasına ilişkin yükümlülükleri ortadan kaldırmaz.
KVKK'nın 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Sağlık kuruluşlarının veri sorumlusu sıfatı, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirlemelerine bağlıdır. Bağımsız çalışan hekimlerin, hastanelerin ve sağlık bilgi sistemleri hizmeti sunan kuruluşların veri sorumlusu veya veri işleyen sıfatı, somut veri işleme ilişkisindeki görev ve yetkilerine göre değerlendirilmelidir.
Bir sağlık kuruluşunda görev yapan hekimin hasta verilerine erişmesi, tek başına onun bağımsız bir veri sorumlusu olduğu anlamına gelmez. Bununla birlikte hekimin mesleki sır saklama ve hasta mahremiyetine saygı yükümlülükleri devam eder.
Kişisel Sağlık Verilerinin Korunmasında Teknik ve İdari Önlemler
Kişisel sağlık verilerinin korunmasında alınması gereken önlemler, verilerin niteliği ve işlendikleri ortam dikkate alınarak belirlenmelidir.
Kişisel Verileri Koruma Kurulunun 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı, özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemleri düzenlemektedir.
Sağlık kuruluşları bakımından bu önlemler özellikle şunları kapsamaktadır:
Erişim yetkilerinin sınırlandırılması: Hekim, hemşire, sekreter ve diğer çalışanların erişim yetkileri görevleriyle sınırlı belirlenmeli; yetkiler düzenli olarak kontrol edilmeli ve görev değişikliği veya işten ayrılma hâlinde kaldırılmalıdır.
Verilerin güvenli biçimde saklanması: Elektronik sağlık kayıtları uygun kriptografik yöntemlerle korunmalı, bilgi sistemlerinin güvenlik güncellemeleri yapılmalı ve gerekli güvenlik testleri gerçekleştirilmelidir.
Erişim ve işlem kayıtlarının tutulması: Sağlık verileri üzerinde gerçekleştirilen işlemler güvenli biçimde kayıt altına alınmalı; yetkisiz erişimlerin belirlenebilmesi ve incelenebilmesi sağlanmalıdır.
Kimlik doğrulama ve güvenli aktarım: Sağlık verilerine uzaktan erişimde gerekli kimlik doğrulama önlemleri uygulanmalı; elektronik veya fiziksel veri aktarımlarında uygun güvenlik yöntemleri kullanılmalıdır.
Çalışanların bilgilendirilmesi ve denetlenmesi: Özel nitelikli veri işleme süreçlerine ilişkin kurumsal politika ve prosedürler oluşturulmalı, çalışanlara düzenli eğitim verilmeli ve gizlilik yükümlülüklerine uyulması sağlanmalıdır.
Bu yükümlülükler yalnızca bilgi işlem birimlerinin sorumluluğunda değildir. Sağlık kuruluşunun yönetimi, hasta kayıtlarına erişimi bulunan bütün çalışanların görev ve yetkilerini dikkate alan bir veri güvenliği sistemi oluşturmalıdır.
Nitekim Kişisel Verileri Koruma Kurulunun 2 Mayıs 2023 tarihli ve 2023/695 sayılı kararında, bir özel tıp merkezinde hastanın e-Nabız verilerine hukuka aykırı erişilmesi değerlendirilmiştir.
Kurul, kişinin e-Nabız sistemindeki erişim tercihlerinin geniş tutulmasının, sağlık personeline bu verileri sağlık hizmeti dışında amaçlarla inceleme yetkisi vermeyeceğini belirtmiştir. Veri sorumlusunun gerekli güvenlik önlemlerini almaması nedeniyle idari yaptırım uygulanmıştır.
Bu karar, 2024 yılındaki Kanun değişikliğinden önce verilmiş olmakla birlikte, sağlık verilerine erişimin amaçla sınırlı olması ve veri güvenliği yükümlülükleri bakımından önemini korumaktadır.
Hekimlerin hasta kayıtlarını yalnızca erişim yetkileri bulunduğu için değil, sunulan sağlık hizmetinin gerektirdiği ölçüde incelemeleri gerekir.
Sağlık Verilerine Erişim ve Yönetmelik Değişiklikleri
21 Haziran 2019 tarihli ve 30808 sayılı Resmî Gazete'de yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik, sağlık verilerinin korunmasına ve bu verilere erişime ilişkin ayrıntılı hükümler içermektedir.
Yönetmelikte 3 Aralık 2025 ve 4 Temmuz 2026 tarihlerinde yapılan değişiklikler, sağlık verilerine erişim yetkileri ile kayıtların düzeltilmesi ve yeniden değerlendirilmesi bakımından önem taşımaktadır.
Sağlık Personelinin Hastaların Verilerine Erişimi
3 Aralık 2025 tarihli Yönetmelik değişikliği ile sağlık personelinin verilere erişimini düzenleyen 6. maddenin ikinci, üçüncü, dördüncü ve beşinci fıkraları yeniden düzenlenmiştir.
Yeni düzenlemede hekimlerin erişim yetkileri, hastaya sunulan sağlık hizmetinin kapsamı ve bu hizmetle bağlantılı işlemler esas alınarak belirlenmiştir.
Hastanın başvurduğu hekim ile aynı sağlık kuruluşunda görev yapan hekimlerin erişimi, sağlık hizmeti alınan günler ve konsültasyon veya kontrol muayenesi dâhil ilgili sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanıncaya kadar mümkün olabilecek şekilde düzenlenmiştir. Yatarak tedavi gören hastalar ile acil servise başvuran kişiler bakımından ayrıca hükümler öngörülmüştür.
Ancak bu erişim yetkilerinin tamamı KVKK m. 6/3'teki işleme şartları ve sağlık hizmetinin gereğiyle sınırlıdır.
Yönetmeliğin 6. maddesinin birinci fıkrasında yer alan temel ilke değişmemiştir: Sağlık hizmeti sunumunda görevli kişiler, hastanın sağlık verilerine ancak verilecek sağlık hizmetinin gereğiyle sınırlı olarak erişebilir.
Hastanın e-Nabız üzerinden belirlediği güvenlik tercihleri de ilgili Yönetmelik hükümleri çerçevesinde dikkate alınmalıdır. Teknik erişim imkânının bulunması, verinin her durumda hukuka uygun biçimde işlenebileceği anlamına gelmez.
Bu konudaki ayrıntılı değerlendirmemiz için Sağlık Personelinin Kişisel Sağlık Verilerine Erişimi başlıklı yazımız incelenebilir.
Hasta yakınlarının sağlık kayıtlarına erişimi de ayrı hukuki koşullara tabidir. Özellikle hastanın iradesi, kanuni temsil yetkisi, çocukların sağlık verileri ve bakım veren kişilerin erişim yetkileri birbirinden farklı değerlendirilmelidir.
Bu konuya ilişkin açıklamalarımız Hasta Yakınlarının Kişisel Sağlık Verilerine Erişimi başlıklı makalemizde yer almaktadır.
Sağlık Kayıtlarının Doğruluğu ve Güncellenmesi
KVKK'nın 4. maddesi gereğince kişisel verilerin doğru ve gerektiğinde güncel olması esastır. Bu ilke, sağlık kayıtları bakımından ayrıca önem taşır.
4 Temmuz 2026 tarihinde Kişisel Sağlık Verileri Hakkında Yönetmeliğin 13. maddesinin ikinci fıkrası değiştirilmiş ve Yönetmeliğe 13/A maddesi eklenmiştir.
Yeni düzenlemeyle, önceden konulmuş tanıların kişinin güncel sağlık durumu esas alınarak yeniden değerlendirilmesine ilişkin usul belirlenmiştir. İlgili sağlık kurullarınca düzenlenen durum bildirir sağlık kurulu raporlarının, sonraki işlemlerde hangi koşullarda dikkate alınacağı düzenlenmiştir.
Bu hüküm, geçmişteki bütün sağlık kayıtlarının silinmesini veya önceden konulmuş tanıların kendiliğinden geçersiz sayılmasını öngörmemektedir. Geçmiş tanıların güncel sağlık durumu bakımından yeniden değerlendirilmesi ile sağlık kayıtlarının düzeltilmesi veya imha edilmesi birbirinden farklı hukuki işlemlerdir.
2025 ve 2026 tarihli düzenlemeler hakkındaki ayrıntılı incelememiz Kişisel Sağlık Verileri Yönetmeliği Değişikliği (3 Aralık 2025) başlıklı yazımızda yer almaktadır.
Sağlık Verilerinin Aktarılması ve Yurt Dışındaki Veri Sistemleri
Sağlık kuruluşlarının kişisel sağlık verilerini işlemesi ile bu verileri başka kişi veya kuruluşlara aktarması aynı hukuki işlem değildir.
Kişisel verilerin yurt içindeki üçüncü kişilere aktarılmasında KVKK'nın 8. maddesi, yurt dışına aktarılmasında ise 9. maddesi uygulanır.
Özellikle bulut tabanlı hasta kayıt sistemlerinin, yurt dışında bulunan sunucuların ve uluslararası sağlık hizmetleri kapsamında kullanılan dijital sistemlerin KVKK yönünden ayrıca değerlendirilmesi gerekir.
7499 sayılı Kanun ile KVKK'nın 9. maddesi de yeniden düzenlenmiş; yurt dışına kişisel veri aktarımında yeterlilik kararı, uygun güvenceler ve kanunda sınırlı biçimde düzenlenen arızi aktarım hâllerine dayalı yeni bir sistem oluşturulmuştur.
Sağlık verilerinin Türkiye'de KVKK m. 6 kapsamında hukuka uygun biçimde işlenebilmesi, bu verilerin kendiliğinden yurt dışına aktarılabileceği anlamına gelmez. Aktarım bakımından KVKK m. 9'daki koşulların ayrıca karşılanması gerekir.
Hekimler ve Sağlık Kuruluşları Açısından Genel Değerlendirme
Kişisel sağlık verilerinin korunması, hekimler ve sağlık kuruluşları bakımından yalnızca teknik bir bilgi güvenliği meselesi değildir. Sağlık hizmetinin niteliği, hasta mahremiyeti, sır saklama yükümlülüğü ve kişisel verilerin korunmasına ilişkin hukuki sorumluluklar birbiriyle bağlantılıdır.
7499 sayılı Kanun ile yapılan değişiklikler, sağlık verilerinin işlenmesinde açık rızanın yerini yeniden değerlendirmeyi gerekli kılmıştır.
Yeni düzenleme, sağlık verilerinin işlenmesini serbest hâle getirmemiş; hangi durumlarda açık rıza olmadan veri işlenebileceğini daha geniş ve açık bir hukuki çerçevede düzenlemiştir.
Bu nedenle hekimlerin ve sağlık kuruluşlarının öncelikle hangi kişisel verileri, hangi amaçlarla ve hangi hukuki işleme şartına dayanarak işlediklerini belirlemeleri gerekir.
Hukuka uygun bir işleme şartının bulunması yanında, hastanın aydınlatılması, verilere erişim yetkilerinin sınırlandırılması, gerekli teknik ve idari önlemlerin alınması ve sağlık kayıtlarının mevzuata uygun biçimde saklanması da zorunludur.
Sağlık verilerinin korunmasında belirleyici olan, yalnızca hastadan alınmış bir açık rıza formunun bulunması değil; veri işleme faaliyetinin hukuki dayanağının, amacının ve sınırlarının doğru belirlenmesidir.
Arb. Av. Ayşe Gül HANYALOĞLU
