Sağlık Personelinin Kişisel Sağlık Verilerine Erişimi
Güncelleme tarihi: 4 Kas
Sağlık Personelinin Kişisel Sağlık Verilerine Erişimi
Güncelleme: 04.11.2026
21 Haziran 2019 tarihli ve 30808 sayılı Resmî Gazete'de yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik, kişisel sağlık verilerinin korunmasına ilişkin önceki düzenlemelere göre daha kapsamlı hükümler getirmiştir. Yönetmeliğin 6. maddesinde, sağlık personelinin hastalara ait kişisel sağlık verilerine hangi koşullarda erişebileceği düzenlenmiştir.
3 Aralık 2025 tarihli ve 33096 sayılı Resmî Gazete'de yayımlanan Yönetmelik değişikliği ile 6. maddenin ikinci, üçüncü, dördüncü ve beşinci fıkraları yeniden düzenlenmiş; hekimlerin erişim yetkileri, erişim süreleri ve e-Nabız güvenlik tercihlerinin uygulanması bakımından önemli değişiklikler yapılmıştır.
Bu yazımızda, sağlık personelinin kişisel sağlık verilerine erişimine ilişkin hükümleri, yürürlükteki düzenlemeler ve kişisel verilerin korunması ilkeleri çerçevesinde değerlendiriyoruz. Yönetmelikte 2025 yılında yapılan diğer değişiklikler ise Kişisel Sağlık Verileri Yönetmeliği Değişikliği (3 Aralık 2025) başlıklı yazımızda incelenmiştir.
Sağlık Personelinin Verilere Erişim Yetkisinin Sınırları
Yönetmeliğin "Sağlık personelinin verilere erişimi" başlıklı 6. maddesinin birinci fıkrası gereğince, sağlık hizmeti sunumunda görevli kişiler, ilgili kişinin sağlık verilerine ancak verilecek sağlık hizmetinin gereği ile sınırlı olmak kaydıyla erişebilir.
Fıkra metninden de anlaşıldığı üzere, sağlık hizmeti sunan kişilere, hastaların kişisel sağlık verilerine erişmeleri konusunda amaçsal bir sınırlama getirilmiştir. Bu düzenleme isabetli olmakla birlikte, "sağlık hizmetinin gereği" ifadesi, hangi verilere hangi koşullarda erişilebileceğini her somut olay bakımından kesin biçimde belirlememektedir.
Kanaatimizce, sağlık hizmetinin gereği olarak kabul edilebilecek erişimin kapsamı; hastanın başvuru nedeni, sunulan sağlık hizmetinin niteliği, sağlık personelinin görevi ve ilgili verilerin teşhis veya tedavi bakımından gerekliliği dikkate alınarak değerlendirilmelidir. Bir sağlık personelinin hasta verilerini teknik olarak görüntüleyebilmesi, bu verilere her durumda hukuken erişme yetkisi bulunduğu anlamına gelmez.
Yönetmeliğin 6. maddesinin ilk fıkrasında bütün sağlık hizmeti sunumunda görevli kişiler için öngörülen bu sınırlama, sonraki fıkralarda hekimler bakımından ayrıntılandırılmıştır.
Hekimlerin Kişisel Sağlık Verilerine Erişimi
Yönetmeliğin 2019 yılında yayımlanan ilk metninde, kişilerin sağlık verilerine erişim koşulları e-Nabız hesabı bulunan ve bulunmayan kişiler bakımından ayrı ayrı düzenlenmişti.
3 Aralık 2025 tarihli değişiklikle bu ayrım kaldırılmış ve hekimlerin sağlık verilerine erişim yetkileri, hastaya sunulan sağlık hizmeti esas alınarak yeniden belirlenmiştir.
Yönetmeliğin 6. maddesinin ikinci fıkrasına göre, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesinin üçüncü fıkrasında yer alan veri işleme şartlarıyla sınırlı olmak üzere, kişilerin sağlık verilerine aşağıdaki koşullarda erişilebilir:
Aile hekimleri: Kişinin kayıtlı olduğu aile hekimi, hastanın sağlık verilerine herhangi bir süre sınırı olmaksızın erişebilir.
Hastanın başvurduğu hekim: Hastanın sağlık hizmeti almak amacıyla başvurduğu hekim, sağlık hizmeti aldığı günlerde, konsültasyon veya kontrol muayenesi süresi de dâhil olmak üzere, alınan sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanıncaya kadar verilere erişebilir.
Aynı sağlık kuruluşunda görevli hekimler: Hastanın sağlık hizmeti almak amacıyla başvurduğu sağlık hizmeti sunucusunda görevli hekimler de sağlık hizmeti alınan günler, konsültasyon veya kontrol muayenesi süreleri dâhil olmak üzere, ilgili sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanıncaya kadar verilere erişebilir.
Yatarak tedavi gören hastalar: Hastanın yatışının yapıldığı sağlık hizmeti sunucusunda görev yapan hekimler, hasta taburcu oluncaya kadar sağlık verilerine erişebilir.
Acil servise başvuran hastalar: Acil servis üzerinden girişi yapılan kişilerin sağlık verilerine, ilgili sağlık hizmetiyle sınırlı olmak ve hasta taburcu oluncaya kadar devam etmek üzere, acil servisin bulunduğu sağlık tesisinde görevli bütün hekimler erişebilir.
Bu düzenleme ile önceki Yönetmelikte yer alan, hastanın randevu aldığı gün ve aynı sağlık kuruluşundaki hekimler bakımından yirmi dört saat ile sınırlı erişim süreleri değiştirilmiştir. Yeni düzenlemede, özellikle ayaktan sağlık hizmetlerinde erişim süresi, sunulan sağlık hizmetiyle doğrudan bağlantılı işlemlerin tamamlanmasına bağlanmıştır.
Konsültasyon veya kontrol muayenesi gerektiren durumlarda da hastanın sağlık verilerine erişimin devam edebilmesi, teşhis ve tedavi süreçlerinin bütünlüğü bakımından önemlidir. Bununla birlikte, konsültasyona katılan veya aynı sağlık kuruluşunda görev yapan hekimin erişim yetkisi, hastaya sunulan sağlık hizmetinin gerektirdiği kapsamla sınırlıdır.
Aile hekimleri bakımından herhangi bir süre sınırı öngörülmemiş olması da sağlık verilerine sınırsız erişim hakkı tanındığı şeklinde yorumlanmamalıdır. Erişimin sağlık hizmetiyle bağlantılı olması ve KVKK'da öngörülen veri işleme şartlarına dayanması gerekmektedir.
e-Nabız Güvenlik Tercihleri ve Geçmiş Sağlık Verilerine Erişim
Yönetmeliğin 6. maddesinin üçüncü fıkrasında, e-Nabız hesabı üzerinden güvenlik ayarı tercihinde bulunan kişilerin sağlık verilerine, kendi güvenlik ayarları çerçevesinde erişilmesi öngörülmüştür.
İlgili kişilerin güvenlik ayarları ve bu tercihlerin sonuçları konusunda ayrıntılı biçimde bilgilendirilmesi de aynı fıkrada düzenlenmiştir.
Hastanın geçmiş sağlık verilerinin hangi koşullarda görüntülenebileceğini belirleyebilmesi, kişisel sağlık verilerinin korunması bakımından önemli bir güvencedir. Bununla birlikte, hastanın güvenlik tercihleri nedeniyle bazı sağlık kayıtlarının hekim tarafından görüntülenememesi, teşhis ve tedavi sürecini etkileyebilir.
Örneğin, geçmişte kaydedilmiş bir ilaç alerjisine ilişkin bilginin güvenlik tercihleri nedeniyle görüntülenememesi, hastaya uygulanacak tedavinin belirlenmesinde güçlük yaratabilir.
Yönetmeliğin 6/3 hükmü, güvenlik ayarları ve geçmiş sağlık verilerinin görüntülenememesi nedeniyle sağlık hizmeti sunumunda meydana gelebilecek aksaklık ve zararlardan Sağlık Bakanlığının sorumlu olmayacağını düzenlemektedir.
Ancak bu hüküm, sağlık hizmetinin sunulmasından veya kişisel sağlık verilerinin korunmasından kaynaklanabilecek bütün sorumlulukları ortadan kaldıran genel bir sorumsuzluk düzenlemesi olarak değerlendirilmemelidir. Somut olayda meydana gelen zararın nedeni ve ilgili kişi veya kurumların yükümlülükleri ayrıca incelenmelidir.
Yatan Hastalar ve Acil Servis Başvurularında Güvenlik Tercihleri
3 Aralık 2025 tarihli değişiklikle, hastanın e-Nabız üzerinden belirlediği güvenlik tercihlerine önemli bir istisna getirilmiştir.
Yönetmeliğin 6/3 hükmüne göre, hastanın yatışının yapıldığı sağlık hizmeti sunucusunda görevli hekimler ile acil servis üzerinden başvuru yapılan sağlık tesisinde görevli hekimlerin erişiminde, ilgili fıkranın güvenlik tercihlerine uyulmasını öngören ilk cümlesi uygulanmaz.
Bununla birlikte, bu istisna KVKK'nın 6. maddesinin üçüncü fıkrasında yer alan veri işleme şartlarının bulunmasına bağlıdır. Dolayısıyla hastanın güvenlik tercihinin uygulanmaması, sağlık verilerinin sunulan sağlık hizmetinin gereği dışında incelenebileceği anlamına gelmez.
SMS Doğrulama Koduyla Erişim
Yönetmeliğin 6. maddesinin dördüncü fıkrasında, geçmiş sağlık verilerine erişimi güvenlik tercihleriyle sınırlandıran kişilerin verilerine, SMS doğrulama kodu kullanılarak erişilebilmesi düzenlenmiştir.
Buna göre, kişinin e-Nabız profilinde kendisi tarafından bildirilen telefon numarasına gönderilen kodun hekimle paylaşılması ve hekim tarafından sisteme girilmesi hâlinde geçmiş sağlık verilerine erişim sağlanabilir.
Bu düzenleme, hastanın geçmiş sağlık verilerinin görüntülenmesini kendi kontrolü altında tutabilmesine imkân sağlamaktadır. Bununla birlikte, doğrulama kodunun paylaşılması, sağlık verilerinin her amaçla işlenmesine yönelik genel bir izin veya tıbbi müdahaleye ilişkin aydınlatılmış onam olarak değerlendirilmemelidir.
Yönetmeliğin 6. maddesinin beşinci fıkrasında ise tutukluluk, hükümlülük veya benzeri nedenlerle doğrulama koduna ulaşılamayan durumlara ilişkin özel bir düzenleme bulunmaktadır.
Bu durumlarda, KVKK'nın 6. maddesinin üçüncü fıkrasında yer alan işleme şartlarıyla sınırlı olmak kaydıyla, güvenlik ayarı kontrolü yapılmaksızın kişinin aile hekimi ve muayene olduğu bütün hekimler sağlık verilerine erişebilir. Söz konusu engelin ortadan kalkması hâlinde kişi yeniden güvenlik ayarı tercihinde bulunabilir.
Buradaki istisnanın uygulanabilmesi için yalnızca kişinin tutuklu veya hükümlü olması yeterli değildir. Bu veya benzeri bir nedenle doğrulama koduna ulaşamaması gerekmektedir.
Sağlık Verilerinin İşlenmesi ve Veri Güvenliği
Kişisel sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veri olarak kabul edilmektedir.
12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile KVKK'nın 6. maddesi değiştirilmiş ve özel nitelikli kişisel verilerin işlenme şartları yeniden düzenlenmiştir. Değişiklik 1 Haziran 2024 tarihinde yürürlüğe girmiştir.
Yürürlükteki KVKK m. 6/3-e hükmü uyarınca, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması hâlinde özel nitelikli kişisel veriler, ilgili kişinin açık rızası bulunmaksızın işlenebilir.
Kanunun aynı fıkrasında açık rıza, kanunlarda açıkça öngörülme ve diğer hukuki sebeplere dayalı farklı işleme şartları da düzenlenmiştir.
Ancak sağlık verilerinin işlenmesine hukuki dayanak bulunması, bu verilerin her sağlık personeli tarafından herhangi bir sınırlama olmaksızın görüntülenebileceği anlamına gelmez. Erişim yetkisinin kullanılmasında verilerin işlenme amacı, sağlık hizmetinin gereklilikleri ve kişisel verilerin korunmasına ilişkin temel ilkeler birlikte değerlendirilmelidir.
Nitekim Kişisel Verileri Koruma Kurulunun 02.05.2023 tarihli ve 2023/695 sayılı kararında, bir tıp merkezinde kişinin e-Nabız sistemindeki sağlık verilerine hukuka aykırı olarak erişilmesi incelenmiştir.
Kurul, kişinin e-Nabız güvenlik tercihleri kapsamında hekimlerin verilerini görmesine imkân tanımış olmasının, sağlık hizmetiyle ilgisi bulunmayan kişilerin bu verilere erişmesini hukuka uygun hâle getirmediğini değerlendirmiştir. Kararda, hekime tanımlanan erişim bilgilerinin yardımcı sağlık personeli tarafından kullanılabilmesi ve veri sorumlusunun gerekli teknik ve idari tedbirleri almaması da ele alınmıştır.
Bu karar, sağlık verilerine erişimde teknik yetkilendirme ile hukuki erişim yetkisinin birbirinden ayrılması gerektiğini göstermektedir.
Sağlık kuruluşlarının, çalışanlarının görevlerine uygun erişim yetkileri tanımlaması, yetkisiz erişimleri önlemesi, erişim kayıtlarını denetlemesi ve personelin kendisine tanımlanan erişim bilgilerini başkalarıyla paylaşmasını engelleyecek tedbirleri alması gerekmektedir.
Ayrıca Yönetmeliğin 6. maddesinin altıncı fıkrasında, mahremiyet düzeyi daha yüksek olan ve başkaları tarafından görülmesi veya bilinmesi hâlinde kişilerin sosyal hayatını ve ruh sağlığını olumsuz etkileme riski taşıyan kişisel sağlık verilerinin Sağlık Bakanlığı tarafından belirlenerek bu verilere erişime ölçülü kısıtlamalar getirilebileceği düzenlenmiştir.
Bu hüküm de kişisel sağlık verilerinin korunmasında, bütün sağlık kayıtlarının aynı koşullarda erişilebilir olmasının zorunlu olmadığını ve bazı veriler bakımından daha sıkı koruma tedbirlerinin uygulanabileceğini göstermektedir.
Sonuç
Kişisel Sağlık Verileri Hakkında Yönetmelik'in sağlık personelinin verilere erişimini düzenleyen hükümleri, kişisel sağlık verilerinin korunması ile sağlık hizmetinin etkin ve kesintisiz biçimde sunulması arasında bir denge kurulmasını amaçlamaktadır.
3 Aralık 2025 tarihli değişiklikle hekimlerin erişim yetkileri ve süreleri yeniden düzenlenmiş, e-Nabız hesabının bulunup bulunmamasına dayalı önceki ayrım kaldırılmış, güvenlik tercihlerinin uygulanmasına ilişkin özel durumlar belirlenmiştir.
Bununla birlikte, Yönetmeliğin 2019 yılında kabul edilen ve sağlık personelinin verilere erişimini yalnızca sağlık hizmetinin gereğiyle sınırlayan temel yaklaşımı korunmuştur.
Bu nedenle sağlık personelinin kişisel sağlık verilerine erişiminin hukuka uygunluğu değerlendirilirken yalnızca kişinin sistemde tanımlanmış erişim yetkisine değil, erişimin hangi amaçla gerçekleştirildiğine, sunulan sağlık hizmetiyle bağlantısına ve ilgili verilerin kullanılmasının gerekli olup olmadığına bakılmalıdır.
Sağlık hizmetinin gerektirdiği erişimin sağlanması kadar, bu yetkinin amacı dışında kullanılmasının önlenmesi de hasta mahremiyetinin korunması bakımından önem taşımaktadır.
İlk yayın: 06.09.2019
Av. Benay Çaylak
Güncelleme: 04.11.2026
Arb. Av. Ayşe Gül Hanyaloğlu
