24. Sağlık, biyometrik ve genetik veriler

Sağlık bilgisinin korunması, yalnız hastalığın başkalarından saklanması meselesi değildir. Hizmetin yürütülmesi için gerekli bilgiye yetkili kişilerin erişebilmesiyle, aynı bilginin ilgisiz amaçlarla dolaşıma sokulmaması birlikte sağlanmalıdır. Biyometrik ve genetik verilerde ise kimliğin doğrulanması, biyolojik örneğin incelenmesi ve yakınlar hakkında bilgi üretilebilmesi, korumanın konusunu genişletmektedir.

Bu bölüm, özel nitelikli verilere ilişkin ortak kuralları sağlık hizmetine, araştırmaya ve teknolojik uygulamalara uygular. Rızanın konusu, kayda erişim yetkisi, işlemenin amacı ve üretilen bilginin niteliği ayrı ayrı ele alınır. Böylece tedavi için gerekli paylaşımın neden ticari veya bilimsel her kullanımı kapsamadığı; koruma yükümlülüğünün de neden gerekli sağlık hizmetini bütünüyle engellemek anlamına gelmediği açıklanabilir.

24.1. Sağlık verisinin kapsamı ve sağlık hizmetindeki aktörler

Sağlık verisi, yalnız kesinleşmiş hastalık tanısından ibaret değildir. Bir tetkikin normal sonuçlanması, kişinin belirli bir sağlık hizmetine başvurması veya bir hastalık riskinin araştırılması da onun sağlığı hakkında bilgi taşıyabilir. Koruma, yalnız hasta olduğu kesinleşen kişiye değil, sağlık durumu hakkında bilgi işlenen kişiye yönelir. Bu nedenle hangi kaydın sağlık verisi olduğunu belirlerken belgenin adına veya sonucun olumlu ya da olumsuz olmasına bakmakla yetinilemez.

Kişisel Sağlık Verileri Hakkında Yönetmelik, sağlık verisini belirli veya belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin bilgilerle kişiye sunulan sağlık hizmeti hakkındaki bilgileri kapsayacak biçimde tanımlar. Kurumun 2025 tarihli rehberi de ön teşhis, tetkik, tedavi ve kişinin başvurduğu hastane ya da birim bilgisini bu kapsamda ele alır. Örneğin belirli kişiye ait psikiyatri randevusunun bulunması, kesin bir hastalık tanısını göstermese de sağlık hizmetine başvuru bilgisidir. Sağlıklı olduğuna ilişkin sonuç da bu korumanın dışında kalmaz.¹

Öğretide Akkurt, sağlık verisinin kaynağından bağımsız kapsamını; hastalık riski, tıbbi geçmiş ve inceleme sonuçları üzerinden açıklar. Özer Deniz ise bu bilgilerin sağlık kuruluşu dışında, giyilebilir cihazlardan veya farklı verilerin birleştirilmesinden de elde edilebileceğini vurgular. Böylece verinin hastanede üretilmemiş olması, sağlıkla ilgili niteliğini kendiliğinden ortadan kaldırmaz. Verinin nereden geldiği ile kişi hakkında hangi bilgiyi taşıdığı ayrı sorulardır.²

Bununla birlikte her fotoğrafı, alışveriş kaydını veya günlük hareket bilgisini peşinen sağlık verisi saymak da doğru bir sınıflandırma yöntemi değildir. Özer Deniz, verinin bağlamı ve işlenme amacıyla, başka verilerle birleştirilmesinden doğan sağlık bilgisinin değerlendirilmesini gerekli görür. Örneğin belirli kişiye ait hareket kayıtlarının bir hastalık riskini değerlendirmek üzere birleştirilmesiyle, aynı kişinin günlük adım sayısının tek başına tutulması aynı incelemeyi gerektirmez. Sağlık durumuna ilişkin bir çıkarım kaydedildiğinde ise bu çıkarımın tıbben doğrulanmış tanıyla karıştırılmaması gerekir; doğruluk ilkesi, kullanılan kaydın neyi gösterdiğinin doğru ifade edilmesini de gerektirir.³

Sağlık verisinin özel nitelikli olmasıyla, hangi koşullarda işlenebileceği de ayrılmalıdır. KVKK’nın 6. maddesinin 2024’te değişen üçüncü fıkrası, açık rıza yanında farklı işleme şartları düzenler. Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca belirli sağlık amaçları için gerekli işleme, bunlardan biridir. Bu koşulda kişi, amaç ve gereklilik birlikte değerlendirilir. Bir kuruluşun sağlık alanında faaliyet göstermesi, elindeki veriyi bütün amaçlarla kullanmasına izin vermez; diğer işleme şartları ve yeterli önlemlerle ilgili genel açıklamalar 10. bölümde yer almaktadır.⁴

Sağlık hizmetindeki aktörler de yalnız hekimden oluşmaz. Yönetmelikte sağlık hizmeti sunucusu, hizmeti sunan veya üreten gerçek kişilerle kamu hukuku ve özel hukuk tüzel kişilerini kapsar. Hasta Hakları Yönetmeliği’nin kapsamı ise resmî ve özel kuruluşlar yanında bunların içinde veya dışında hizmete katılan ilgilileri de içerir. Dolayısıyla sağlık verisini koruma sorunu, yalnız kamu hastanesinde çalışan hekimle hasta arasındaki ilişkiye indirgenemez. Hizmeti sunan kuruluş, meslek mensubu ve destek görevlerini yerine getiren kişiler bakımından görevlerin ayrıca belirlenmesi gerekir.⁵

Bu görev ayrımı, veri sorumlusunun belirlenmesiyle aynı şey değildir. KVKK’nın 3. maddesi uyarınca işleme amaç ve vasıtalarını belirleyen gerçek veya tüzel kişi araştırılır. Bir hekimin bağımsız muayenehanesindeki işleme düzeniyle, hastanenin organizasyonu içinde belirlenmiş yetkiyle çalışması aynı değerlendirmeye tabi tutulamaz. Hastane personelinin kayda veri girmesi de onu yalnız bu nedenle ayrı bir veri sorumlusu hâline getirmez. Hukuki rol, meslek unvanından veya ekrana erişebilmekten değil, ilgili işlem üzerindeki karar yetkisinden hareketle belirlenmelidir.⁶

Gizlilik yükümlülüğü ise bu kurumsal rol incelemesinin yanında devam eder. Hasta Hakları Yönetmeliği’nin 23. maddesi, hizmetin verilmesi nedeniyle edinilen bilgilerin kanunun izin verdiği hâller dışında açıklanmamasını öngörür. Aynı Yönetmelikte personel, sağlık meslekleri mensubu olmayan fakat hizmete sorumlu olarak katılan kişileri de kapsar. Bu nedenle gizlilik yalnız muayene odasında hekim tarafından tutulacak bir sır olarak ele alınamaz. Kayıt, kabul, arşiv ve diğer destek görevleri de kendi yetkileri ve bilginin korunması ihtiyacı çerçevesinde düzenlenmelidir.⁷

Sağlık hizmetinin gerektirdiği bilgi paylaşımıyla, aynı kuruluşta çalışan herkesin dosyayı görebilmesi arasında da ayrım vardır. Kişisel Sağlık Verileri Hakkında Yönetmeliğin 6. maddesinin birinci fıkrası, hizmet sunumunda görevli kişilerin erişimini verilecek hizmetin gereğiyle sınırlar. Bu sınır, bakımın sürdürülmesi için gerekli bilginin yetkili kişiye ulaşmasını engellemek amacı taşımaz; erişimin yürütülen görevle gerekçelendirilmesini gerektirir. Belirli tetkiki değerlendirecek kişiyle randevu işlemini yapan kişinin aynı ayrıntıya ihtiyaç duyduğu varsayılamaz.⁸

Merkezî sağlık veri sistemi ve e-Nabız da tek tek sağlık hizmeti sunucularının kayıtlarından farklı işlevlerle tanımlanmıştır. Yönetmelik, ilkini Bakanlık tarafından sağlık verilerinin toplandığı sistem; ikincisini kişinin, hekimlerin veya yetki verilen üçüncü kişilerin sağlık verilerine erişimini sağlayan sistem olarak açıklar. Bilginin ortak sistemde bulunması, her aktörün aynı yetkiye sahip olduğu anlamına gelmez. Sağlık hizmetinin yürütülmesi, sistemin işletilmesi ve belirli bir idari görevin yerine getirilmesi ayrı amaç ve yetki incelemelerini gerektirir. Hasta dosyası ve e-Nabız erişiminin ayrıntıları 24.3’te ele alınacaktır.⁹

Teknik hizmet sağlayıcının konumu da ayrıca değerlendirilmelidir. Hastane adına veriyi saklayan veya yazılım desteği veren kişinin görevi, sağlık verisini kendi araştırma ya da ticari amacı için kullanmakla birleşmez. Veri sorumlusu-veri işleyen ayrımı somut karar yetkilerine göre kurulmalı; KVKK’nın 12. maddesindeki güvenlik yükümlülükleri hizmet ilişkisinde de uygulanmalıdır. Teknik olarak kayda ulaşabilmek, görevle ilgisiz içeriğin incelenmesine hukuki dayanak oluşturmaz. Sigortacı veya işveren gibi başka aktörlerin bilgi talebi de sağlık hizmeti sunucusunun erişim yetkisinin devamı sayılmaz; bu amaçlar 24.4’te ayrıca incelenecektir.¹⁰

Kaydın kapsamı kadar zamanı da önemlidir. Geçmişte konulan tanıyla kişinin bugünkü sağlık durumu aynı bilgi değildir. 4 Temmuz 2026 değişikliğiyle eklenen 13/A maddesi, önceki tanıların güncel sağlık durumu esas alınarak yeniden değerlendirilmesi için başvuru ve sağlık kurulu raporu düzenini öngörür. İlgili mevzuattaki düzenlemeler saklı kalmak üzere, hükümde belirtilen raporun bulunması hâlinde bu tanıya dayalı işlemlerin rapor doğrultusunda yürütülmesi düzenlenmiştir. Bu yol, geçmiş kaydın baştan yanlış olduğu veya kendiliğinden silindiği anlamına gelmez. Yanlış kaydın düzeltilmesi, güncel durumun yeniden değerlendirilmesi ve verinin saklanması bu nedenle ayrı sorular olarak ele alınmalıdır.¹¹

Örneğin bir hastanın randevu bilgisi, laboratuvar sonucu ve ödeme kaydı aynı hizmet sürecinde oluşabilir. Bunların aynı kişiye ait olması, her görevlinin hepsine ihtiyaç duyduğunu göstermez. Önce kaydın taşıdığı bilgi, sonra yürütülen görev, işleme şartı ve gerekli erişim kapsamı belirlenmelidir. Böyle bir değerlendirme hem sağlık hizmetinin devamlılığına hem kişinin verilerinin korunmasına hizmet eder; korumayı yalnız hastane duvarlarıyla veya yalnız dosyada yazılı tanıyla sınırlamayı önler.

24.2. Tedaviye rıza, araştırma onamı ve veri işlemeye açık rıza

Bir hastanın ameliyat olmayı kabul etmesi, ameliyat sırasında edinilen bütün bilgilerin her amaçla kullanılmasını kabul ettiği anlamına gelmez. Aynı şekilde bir araştırmaya katılmayı kabul etmekle hastane kayıtlarının başka araştırmalara açılmasına izin vermek farklı kararlardır. Sağlık alanında “rıza” sözcüğünün birden fazla hukuki ilişki için kullanılması, bunların koşullarını ve sonuçlarını birbirine dönüştürmez. İnceleme, kişinin hangi işleme, hangi bilgi üzerine ve hangi sınırlar içinde izin verdiği sorusundan başlamalıdır.

Tıbbi müdahaleye rızanın konusu, kişinin bedeni ve sağlığı üzerinde gerçekleştirilecek müdahaledir. Hasta Hakları Yönetmeliği, kural olarak hastanın rızasını arar; bilgilendirmeyi müdahalenin konusu ve sonuçlarıyla ilişkilendirir. Hastanın kabulünü anlamlı kılacak açıklama, önerilen tedavinin yanında seçeneklerini, önemli risklerini ve tedaviyi reddetmenin sonuçlarını da kapsar. Bu bakımdan yalnız hastanın imzasının alınmasıyla, karar verebilmesi için gerekli bilginin verilmesi aynı şey değildir.¹²

Kişisel veri işlemeye açık rızanın konusu ise belirli verilerin belirli bir amaçla işlenmesidir. Burada açıklanması gerekenler arasında veriyi işleyen sorumlu, amaç, aktarılacak kişiler veya gruplar, toplama yöntemi, hukuki sebep ve ilgili kişinin hakları bulunur. Tedavinin risklerini açıklayan bir onam formu, bu konulardaki aydınlatmanın kendiliğinden yerine geçtiği kabul edilerek kullanılamaz. Özer Deniz’in sağlık verileri bakımından incelediği aydınlatma yükümlülüğü de kişinin veri işleme faaliyetini anlayabilmesine yönelir. Bilgilendirmenin iki alanda da gerekli olması, verilecek bilginin ve rızanın konusunun aynı olduğu sonucunu doğurmaz.¹³

Üstelik sağlık verisinin işlenmesi her durumda açık rızaya dayanmaz. KVKK’nın 2024’te değişen 6. maddesinin üçüncü fıkrasında açık rıza yanında başka işleme şartları da düzenlenmiştir. Örneğin sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca maddede belirtilen sağlık amaçları için gerekli işleme, ilgili koşullar gerçekleştiğinde açık rıza aranmadan yapılabilir. Ancak veri işlemeye ilişkin bu hukuki sebep, hastaya rızası dışında tıbbi müdahale yapma yetkisi vermez. Tersinden bakıldığında hastanın tedaviyi kabulü de veri işleme şartını, amacı ve gerekliliği araştırmayı gereksiz kılmaz.¹⁴

Bu ayrım acil durumlarda daha görünür hâle gelir. Hasta Hakları Yönetmeliği, hastanın rızasının alınamadığı ve hükümde belirtilen hayati tehlike, bilinç kapalılığı veya organ kaybı yahut işlev kaybı koşullarının gerçekleştiği durumları ayrıca düzenler. Veri işlemenin dayanağı da kendi koşulları içinde belirlenir; KVKK’nın 6/3-c hükmündeki fiilî imkânsızlık ve hayat veya beden bütünlüğünü koruma zorunluluğu, bu incelemede değerlendirilebilecek sebeplerden biridir. Dolayısıyla acil durum etiketi, ne bütün tıbbi işlemlere ne de verilerin daha sonra ilgisiz amaçlarla kullanılmasına genel bir izin olarak ele alınabilir.¹⁵

Araştırmaya katılım onamında ise kişinin yalnız tedavisine değil, bilimsel bir çalışmaya dâhil edilmesine ilişkin karar söz konusudur. Hasta Hakları Yönetmeliğinin 32–34. maddeleri, araştırmaya ilişkin bilgilendirme, serbest irade, yazılı rıza ve katılımdan vazgeçebilme üzerinde durur. Bunun yanında araştırmanın türüne göre uygulanacak özel mevzuatın izin ve etik değerlendirme koşulları bulunur. Bu nedenle araştırmacının kişiden onam almış olması, gerekli diğer izinlerin veya veri işleme şartının varlığını tek başına göstermez. Aynı şekilde etik kurulun değerlendirmesi de kişinin onamı ve verilerinin hangi hukuki sebeple işleneceği sorularını ortadan kaldırmaz.¹⁶

Araştırma ile tedavinin aynı ortamda yürütülmesi bu ayrımları daha da önemli kılar. Hastanın bakımını sürdüren hekimin araştırmacı olarak da görev yapması, araştırmaya katılma kararının tedaviyi kabul kararından ayrılmasını gerektirir. Araştırmanın konusu, beklenen yararı, riskleri ve kişinin vazgeçebilmesi açıklanırken, katılımın olağan tedaviyle ilişkisi de anlaşılır olmalıdır. Bekiroğlu Ergün, Toksözlü ve Ergün’ün 2026 tarihli incelemesi, araştırma tasarımlarıyla bunlara ilişkin onam ve kişisel veri kurallarının birlikte değerlendirilmesi gereğini ortaya koyar. Bununla birlikte her araştırmaya aynı izin rejimini uygulamak veya müdahalesiz bir kayıt incelemesini kendiliğinden yeni bir tıbbi müdahale saymak doğru değildir; ikincil kullanımın özel sorunları 24.6’da ele alınmaktadır.¹⁷

Belgelerin düzenlenmesinde de hukuki işlev açıklığı korunmalıdır. Tedavi onamı, araştırmaya katılım kararı ve açık rızaya dayanan veri işlemleri aynı kabul cümlesinin içine yerleştirildiğinde kişi birini kabul edip diğerini reddedip reddedemeyeceğini anlayamayabilir. Belirleyici olan yalnız kaç sayfa veya kaç form bulunduğu değildir; farklı kararların kapsamının ve sonuçlarının ayırt edilebilmesi, gerçekten seçim gereken yerde bu seçimin kullanılabilmesidir. Aydınlatmanın yapıldığını gösteren kayıt da veri işlemeye izin verme beyanıyla karıştırılmamalıdır.¹⁸

Kurulun 2 Mayıs 2023 tarihli ve 2023/692 sayılı kararının yayımlanan özetindeki olay, bu karışıklığın uygulamadaki sonucunu gösterir. Randevu işleminin tanıtım amacıyla veri kullanımına izin verilmesine bağlanması, rızanın özgürlüğü bakımından hukuka aykırı bulunmuştur. Ayrıca aydınlatma metninin okunduğunu bildiren ifadeyle veri işlemeye onay veren ifadenin birleştirilmesi eleştirilmiştir. Karar, tedavi onamını veya bütün sağlık araştırmalarını konu alan genel bir hüküm değildir; hizmet için gereken işlemle isteğe bağlı başka amaçların ve bilgilendirmeyle iznin ayrılması bakımından önem taşır.¹⁹

Rızanın geri alınmasında da hangi hukuki karardan dönüldüğü belirlenmelidir. Tedavinin durdurulmasını istemek, araştırmadan çekilmek ve yalnız açık rızaya dayanan belirli bir veri kullanımına son vermek aynı sonucu doğurmaz. Kişinin araştırmadan çekilmesi, onun üzerinde yeni araştırma işlemlerine devam edilmesiyle ilgili değerlendirmeyi gerektirir; daha önce oluşmuş kayıtların saklanması ise uygulanabilir saklama yükümlülüğü, hukuki sebep ve amaçla ayrıca incelenir. Salt bir zamanlar onam verilmiş olması süresiz saklama veya yeni kullanım yetkisi yaratmaz. Buna karşılık veri işlemenin açık rıza dışında gerçekten uygulanabilen bir dayanağı varsa, bu dayanağın gerektirdiği sınırlı işlem yalnız rızanın geri alınmasıyla kendiliğinden hukuka aykırı hâle gelmez.²⁰

Bu son ayrım, geri alma hakkını etkisizleştiren bir gerekçeye de dönüştürülemez. Veri sorumlusu, kişiye özgürce karar verebileceğini söylediği isteğe bağlı bir kullanımın sürmesini, sonradan soyut bir sağlık yararına dayandırmakla yetinemez. Devam eden işlemin somut amacı, dayandığı hüküm, gerekli veri kapsamı ve süresi gösterilmelidir. Örneğin yalnız açık rızaya dayanan bir araştırma kullanımıyla, varlığı ve uygulanabilirliği ayrıca belirlenen bir kayıt saklama yükümlülüğü birbirinden ayrılır. Saklamak için gereken dayanak, yeni araştırma için de yeterli sayılmaz. Bu değerlendirme, açık rızanın geri alınmasına ilişkin genel açıklamalarla 14. bölümdeki saklama ve imha rejimini birlikte uygulamayı gerektirir.²¹

Varsayımsal bir örnekte hasta, ameliyatı kabul ederken görüntülerinin ayrıca belirli bir araştırmada kullanılmasına izin vermemiş olabilir. Ameliyatın ve gerekli tedavi kaydının hukuki değerlendirmesi kendi dayanaklarıyla yapılır; araştırma kullanımı ise bağımsız biçimde incelenir. Hasta araştırmaya da katılmış, daha sonra bu katılımı sona erdirmek istemişse, yeni katılım işlemleriyle mevcut kayıtlar için hangi yükümlülüklerin sürdüğü açıklanmalıdır. Böylece kişi, “bütün rızalarımı geri alıyorum” dediğinde kendisine ne bütün kayıtların koşulsuz yok edileceği ne de hiçbir şeyin değişmeyeceği söylenir. Talep, ilişkili işlemlere ayrılarak gerekçeli biçimde cevaplandırılır.

24.3. Hasta dosyası, elektronik sağlık kaydı, e-Nabız ve erişim yetkileri

Bir sağlık kaydının elektronik ortamda bulunması, o kayda kimin hangi amaçla erişebileceği sorusunu ortadan kaldırmaz. Hastanın kendi tahlil sonucunu görmesi, hekimin tedavi için geçmiş tetkikleri incelemesi ve bir yakının hasta hakkında bilgi istemesi, aynı ekran üzerinden gerçekleşse bile farklı hukuki ilişkilerdir. Bu nedenle erişimi yalnız kullanıcı adı ve şifreyle açıklamak yeterli değildir. Önce erişen kişinin sıfatı, yürüttüğü görev veya temsil yetkisi, sonra erişimin konusu ve sınırı belirlenmelidir.

Hasta Hakları Yönetmeliğinin 16. maddesi, hastaya sağlık durumuna ilişkin dosya ve kayıtları doğrudan yahut vekili veya kanuni temsilcisi aracılığıyla inceleme ve bunların bir suretini alma hakkı tanır. Hastanın dosyayı incelemesiyle, sağlık personelinin görevini yerine getirmek için dosyayı görmesi aynı yetkinin kullanılması değildir. Nitekim hüküm, kayıtların yalnız hastanın tedavisiyle doğrudan ilgili olanlarca görülebileceğini de belirtir. Hastanın kendi kayıtlarına ulaşması, yalnız kurumun uygun gördüğü bilgileri sözlü olarak öğrenmesine indirgenemez.²²

Hastane dosyası ile e-Nabız da birbirinin yerine geçen kayıtlar olarak ele alınmamalıdır. Kişisel Sağlık Verileri Hakkında Yönetmelik, e-Nabız’ı kişinin, hekimlerin ve yetki verilen üçüncü kişilerin erişimini sağlayan sistem; merkezî sağlık veri sistemini ise Bakanlık tarafından sağlık verilerinin toplandığı sistem olarak tanımlar. Bir kaydın merkezî sisteme gönderilmesi, sağlık hizmeti sunucusundaki kaydın artık hukuken önemsizleştiğini göstermez. Nitekim 4 Temmuz 2026 değişikliğiyle düzenlenen 13/2, ilgili başvuruyla sınırlı olarak Genel Müdürlüğün tesis ettiği işlemin hizmet sunucusunun veri tabanında da gerçekleştirilmesini öngörür; diğer kurumların veri tabanlarındaki işlemi ise ilgili mevzuat çerçevesinde ayrıca değerlendirir. Dolayısıyla tek sistemdeki işlemden bütün kayıtların kendiliğinden değiştiği sonucu çıkarılamaz.²³

Sağlık personelinin erişiminde temel sınır, verilecek hizmetin gereğidir. Yönetmeliğin 6/1 hükmü bu bağı açıkça kurar. Öğretide Yelmen de erişim yetkisinin personelin görevi ve hizmetle ilişkisi ölçüsünde tanımlanması gerektiğini belirtir. Bunun sonucu, bütün hekimlerin, hemşirelerin ve kayıt görevlilerinin aynı dosya kapsamına eriştiği bir düzenin meslek unvanları sayılarak haklılaştırılamamasıdır. Öte yandan gerekli tetkike ulaşamayan hekimin hizmeti gereği gibi yürütememesi de göz ardı edilemez. İnceleme, bakım için gereken bilgiyi yetkili kişiye ulaştırırken ilgisiz erişimi sınırlayacak biçimde yapılmalıdır.²⁴

3 Aralık 2025 değişikliği, bu genel sınırın yanında hekimlerin erişim sürelerini yeniden düzenlemiştir. Kişinin kayıtlı aile hekimi bakımından süre sınırı öngörülmezken, başvurulan hekim ve başvurulan hizmet sunucusundaki hekimler bakımından sağlık hizmeti alınan günler ile konsültasyon ve kontrol dâhil doğrudan bağlantılı işlemlerin tamamlanması esas alınır. Yatışta ve acil servisten girişte ise ilgili bentlerde belirtilen hekimlerin erişimi taburcu olma anına bağlanır. Bu süreler, KVKK’nın 6/3 hükmündeki işleme şartlarıyla sınırlı bir erişimin süreleridir. Aile hekimi için süre sınırı bulunmaması da hizmetle ilgisiz merak veya başka kişisel amaçlarla inceleme yetkisi anlamına gelmez.²⁵

Güvenlik tercihleri bu yetki düzeninin diğer unsurudur. Yönetmeliğin değişik 6/3 hükmü, e-Nabız hesabından tercih yapanların verilerine kendi güvenlik ayarları çerçevesinde erişimi esas alır; yatış ve acil servis girişine ilişkin bentlerdeki hâlleri, kanuni işleme şartlarıyla sınırlı olmak üzere ayrıca tutar. Geçmiş kayıtlarının sunulan tercihler kapsamında görülmesini istemeyen kişinin telefonuna gönderilen kodu hekimle paylaşması 6/4’te; tutukluluk ve hükümlülük gibi nedenlerle koda ulaşılamayan durumlar ise 6/5’te düzenlenmiştir. Kod paylaşımı, hükümdeki erişim usulünün bir parçasıdır; bütün verilerin bütün amaçlarla işlenmesine yönelik sınırsız açık rıza olarak nitelendirilemez.²⁶

Kurulun 2 Mayıs 2023 tarihli ve 2023/695 sayılı kararının yayımlanan özeti, teknik erişimle hukuki yetkinin ayrılmasını somutlaştırır. Kurul, kişinin erişim tercihlerini geniş tutmasının amaç dışı incelemeye izin vermediğini belirtmiş; hekime özgü erişim şifresinin yardımcı personelle paylaşılmasıyla gerçekleşen hukuka aykırı erişimi ve veri sorumlusunun tedbir yükümlülüğünü değerlendirmiştir. Bu olayda gizlilik sözleşmeleri ve bazı güvenlik politikalarının bulunması yeterli görülmemiştir. Kararın önemi, bir şifrenin kullanılabilir olmasından erişimin hukuka uygun olduğu sonucunun çıkarılamamasıdır; 2023 tarihli olayın erişim ayarları ise 2025’te değişen hükümlerin yerine konulamaz.²⁷

Bakanlık birimlerinin erişimi de tedavi eden hekimin yetkisinden farklıdır. Yönetmeliğin 7/1 hükmü, kimliksizleştirilmiş verileri ait oldukları kişilerle eşleştirmeye yetkili kişilerin belirlenmesi ve yetkilendirilmesi usulünü düzenler. 2025’te değişen ikinci fıkra ise yetkinin KVKK 6/3’teki işleme şartlarıyla sınırlı ve veri koruma ilkelerine uygun kullanılmasını arar. Kimliksizleştirme burada geri dönüşsüz anonimleştirmeyle karıştırılmamalıdır: ayrıca tutulan bilgilerle eşleştirme imkânı, belirli kişiye dönülebilmesi bakımından önem taşır. Temel kavram ayrımı 2. bölümde, yeniden tanımlama riski 14. bölümde açıklanmıştır.²⁸

Bu erişimin gerekliliği yargısal tartışmaya da konu olmuştur. Danıştay Onuncu Dairesinin 17 Ekim 2023 tarihli kararında çoğunluk, 7/1’deki yetkilendirmeyi kanuni amaçlarla ve hizmetin devamı için zorunlu süreyle sınırlı değerlendirerek iptal istemini reddetmiştir. Buna karşılık bu hükme ilişkin karşı oy, merkezî kimliklendirmeyi gerekli kılan meşru amacı sorgulamış; sağlık süreçlerinin kişisel bilgiden arındırılmış verilerle izlenebileceğini belirtmiştir. Aynı kararda eski 6/4’ün ilk cümlesiyle erişim kurallarını Genel Müdürlükçe yeniden değerlendirme yetkisi verilmesi hukuka aykırı bulunmuştur. Tartışma, sistemin yararlı olup olmamasından çok, kimlikli veriye erişimin hangi somut görev ve ihtiyaçla gerekçelendirildiği üzerinde yoğunlaşır. Bu kararın eski hükümleri incelemesi, 2024 ve 2025 değişikliklerinin ayrıca hesaba katılmasını gerektirir.²⁹

Hasta yakınlığı ise tek başına bütün dosyaya erişme yetkisi değildir. Yönetmeliğin 9. maddesi, hasta yakınlarıyla paylaşımı Hasta Hakları Yönetmeliği hükümlerine bağlar. Bu Yönetmeliğin 18. maddesinde esas olan hastanın kendisinin bilgilendirilmesidir; onun yerine başkasının bilgilendirilmesi talebi imzalı olarak kayda alınır ve bilgi belirtilen kişilere verilir. 2025’te 9. maddeye eklenen engelli raporu bulunan kişilerin verilerine bakım verenlerin erişebilmesine ilişkin hüküm de kendi kapsamı içinde değerlendirilmelidir. Hasta yakınının sıfatı, kanuni temsil, hastanın belirli kişiye verdiği yetki ve özel düzenlemenin tanıdığı erişim birbirinin yerine kullanılmamalıdır.³⁰

Çocukların kayıtlarında da tek bir ebeveynlik etiketiyle yetinilemez. Yönetmeliğin 8/1 hükmü ebeveyn erişimini düzenlerken ayırt etme gücüne sahip çocuğun sağlık geçmişine erişimi izne tabi tutabilmesini de tanır. 2025 değişikliği boşanma davasında velayetin tedbiren bırakıldığı tarafı ve boşanma sonrasında velayet sahibini ayrıca düzenlemiştir. Velayet kendisine bırakılmayan anne veya babanın başvurusu ise Genel Müdürlükçe değerlendirilir; olumlu sonuçta diğer ebeveyne veya çocuğa ilişkin konum, adres ve iletişim gibi bilgilerden arındırılmış, çocuğun sağlığı hakkında çıkarım yapılabilecek veriler paylaşılabilir. Bu ayrımın hukuki sonucu, çocuk hakkında sağlık bilgisi verilmesiyle diğer ebeveynin veya çocuğun yerinin açıklanmasının aynı talep sayılmamasıdır. Çocuğun kapasitesi ve üstün yararıyla ilgili genel tartışma 27. bölümde ele alınmaktadır.³¹

Temsil yoluyla dosya istemede de yetkinin varlığı ve kapsamı doğrulanmalıdır. Bununla birlikte Yönetmeliğin avukat erişimini özel vekâletname ve açık rıza ibaresiyle düzenleyen eski 10. maddesi, 3 Aralık 2025’te yürürlükten kaldırılmıştır. Bu eski şart güncel Yönetmelik hükmüymüş gibi ileri sürülemez. Hastanın vekili veya kanuni temsilcisi yoluyla dosyayı incelemesine ilişkin Hasta Hakları Yönetmeliği 16. maddeyle birlikte, temsilin dayanağı ve talep edilen işlem ayrıca değerlendirilir. İlgili bütün temsil sorunlarını yalnız maddenin kaldırılmış olmasına bakarak çözmek de mümkün değildir; avukatlık ve savunma hakkıyla bağlantılı ayrıntılar 29. bölümün konusudur.³²

Örneğin bir hastanın eşinin tetkik sonucunu istemesi, tedavi eden hekimin aynı sonuca ulaşması ve hastanın vekilinin dosyanın suretini talep etmesi üç ayrı yetki incelemesini gerektirir. Hastanın bir hekim için kullandığı erişim kodu, eşe veya vekile kendiliğinden yetki sağlamaz; vekilin suret alma yetkisi de hekim hesabını kullanmasına izin vermez. Erişimin hukuki sınırı, kaydın hangi sistemde bulunduğuyla birlikte, kimin hangi sıfatla, hangi işlem için ve hangi veri kapsamına ihtiyaç duyduğuyla belirlenir.

24.4. Sigorta, işyeri hekimliği ve kamu sağlığı amaçlı işleme

Bir hastanede tutulan tetkik sonucu; tedavinin yürütülmesi, sigorta ödemesinin değerlendirilmesi, çalışanın belirli bir işe uygunluğunun belirlenmesi veya bulaşıcı hastalığın bildirilmesi için kullanılabilir. Verinin aynı olması, bu işlemlerin aynı hukuki sebebe dayanmasını gerektirmez. Hekimin tedavi için ihtiyaç duyduğu bilgiyle sigortacının ödeme incelemesi için ihtiyaç duyduğu bilgi örtüşebilirse de, bunları edinen kişilerin yetkileri ve kullanım amaçları ayrı belirlenmelidir.

KVKK’nın 6/3-e hükmü, sağlıkla bağlantılı her faaliyete genel bir izin vermez. Sayılan sağlık amaçları yanında işlemi yapanın sır saklama yükümlülüğü altında bulunan kişi veya yetkili kurum ve kuruluş olması ve işlemenin gerekli bulunması aranır. İstihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki hukuki yükümlülükler için zorunlu işleme ise 6/3-f’de ayrıca düzenlenmiştir. Kanunda açıkça öngörülme veya bir hakkın korunması gibi diğer şartlar da kendi unsurlarıyla incelenebilir. Bu şartların farklılığı, bir işlemin yalnız “sağlıkla ilgili” olduğu gerekçesiyle hukuka uygun sayılamamasının nedenidir.³³

Sigorta incelemesi ve sağlık dosyasına erişimin sınırı

Sigortacının sağlık bilgisine ihtiyaç duyması, özel sağlık sigortasının üstlendiği risk ve ödeme ilişkisi içinde anlam taşır. Bununla birlikte ihtiyaç, hastanenin tuttuğu bütün kayıtlara erişme yetkisiyle özdeş değildir. Özel Sağlık Sigortaları Yönetmeliğinin 1 Ocak 2026’da yürürlüğe giren değişik 5. maddesi, şirketin tedavi eden kişilerden, kurumlardan ve Sigorta Bilgi ve Gözetim Merkezinden bilgi ve belge istemesini ilgili mevzuat çerçevesinde düzenler. Değişik 15. madde ise Merkez üzerinden sağlık durumu ve geçmişine erişimi; risk değerlendirmesi, tazminat hesabı, yenileme garantisi ve hükümde belirtilen diğer sigorta amaçlarıyla ilişkilendirir. Bu düzenleme, tedavi kaydının sigortacılık bakımından hangi işlevle kullanılabileceğinin ayrıca gösterilmesini gerektirir.³⁴

Bilgi istemenin sektörel düzenlemede yer alması, KVKK’nın özel nitelikli verilere ilişkin koşullarını ortadan kaldırmaz. Nitekim değişik 16. madde, veri işleme faaliyetlerinde KVKK’ya ve ona dayalı mevzuata uyulmasını açıkça zorunlu tutmaktadır. Dolayısıyla bir ödeme incelemesinde hangi sağlık bilgisinin hangi kanuni şartla işleneceği, bu bilginin hastaneden aktarılmasının dayanağı ve erişecek kişilerin yetkisi birlikte belirlenmelidir. Genel nitelikli veriler için sözleşmenin kurulması veya ifası şartının bulunması, sağlık verisi bakımından 6. maddedeki incelemenin yerine geçmez. Buna karşılık somut olayda açık rıza dışındaki bir şart gerçekten gerçekleşmişse, sırf dosyada sağlık bilgisi bulunduğu için her işlemin mutlaka açık rızaya dayanması gerektiği de söylenemez.³⁵

Yönetmelik, Merkez tarafından tutulan sigortalılık kayıtları ve sağlık bilgilerinin sigortalılığın sona ermesinden itibaren on yıl korunmasını, ardından KVKK uyarınca silinmesini, yok edilmesini veya anonim hâle getirilmesini düzenler. Bu süre, bütün hastane dosyalarının veya sağlık verisi tutan her şirketin ortak saklama süresi değildir; hüküm belirli kayıtları ve bunları tutan Merkez bakımından yükümlülüğü gösterir. Aynı nedenle, bir grup sağlık sigortasının işveren tarafından yaptırılması da çalışanın bireysel sağlık dosyasını personel yönetiminin kullanımına kendiliğinden açmaz. Sigortanın finansmanına katılmakla sağlık bilgisini kullanmaya yetkili olmak farklı ilişkilerdir.³⁶

İşyeri hekimi ile işverenin bilgi ihtiyacının ayrılması

İşyerindeki sağlık gözetimi, çalışanın özel hayatından bağımsız bir idarî kayıt işi değildir. 6331 sayılı Kanunun 15. maddesi, maruz kalınan riskler dikkate alınarak sağlık gözetiminin sağlanmasını işverene yüklerken aynı maddenin beşinci fıkrası sağlık bilgilerinin gizli tutulmasını emreder. Gözetim yükümlülüğüyle gizlilik güvencesi birlikte uygulanmalıdır. İşverenin önlem alabilmek için bilgiye ihtiyaç duyması, muayenede edinilen her ayrıntıyı öğrenmesi gerektiğini göstermez.³⁷

İşyeri hekimi, muayene ve mesleki değerlendirme için ayrıntılı sağlık bilgisine ihtiyaç duyabilir; işin düzenlenmesine karar veren görevli bakımından ise çoğu durumda önemli olan, çalışanın işe uygunluğu ve alınması gereken önlemdir. Örneğin belirli bir maddeyle çalışmaması gereken kişinin görevini değiştirecek birime gerekli kısıtın bildirilmesiyle bütün tanı ve tedavi geçmişinin açılması aynı işlem değildir. Bu varsayımsal olayda aktarılacak kapsam, alınacak önlemin gerektirdiği bilgi üzerinden belirlenmelidir. Uygunluk veya kısıt bilgisi de kişiyi sağlık durumu bakımından tanımlıyorsa korumasız sayılmaz; ayrım, bilgiyi kişisel veri olmaktan çıkarmak için değil, erişimi göreve göre sınırlamak için yapılır.

2024 öncesi öğretide, işverenin genel gizlilik yükümlülüğünün eski sağlık verisi istisnası bakımından yeterli olup olmadığı özellikle tartışılmıştır. Evci Eralp, işverenle sağlık personelinin konumlarını ayırarak işveren yönünden açık rıza gereğini savunmuştur. Bu değerlendirme eski norm dönemi içinde okunmalıdır. Bugün 6/3-f, iş sağlığı ve güvenliği alanındaki hukuki yükümlülük için zorunlu işlemeyi ayrıca mümkün kılmaktadır. Yeni dayanak, işvereni bütün amaçlar bakımından hekimle aynı konuma getirmediği gibi, hekim dosyasının tamamına erişim de sağlamaz. Somut yükümlülük ve zorunlu bilgi kapsamı yine gösterilmelidir.³⁸

Kamu sağlığında bildirim ve açıklama arasındaki fark

Kamu sağlığı amacı, bazen kişinin isteğinden bağımsız bir bildirimi gerektirir. Umumi Hıfzıssıhha Kanununun 57 ve 58. maddeleri, kapsamındaki bulaşıcı hastalık vakalarının hekimlerce belirli makamlara bildirilmesini düzenler; 64. madde, başka hastalıklarda da kanundaki koşullarla bildirim mecburiyeti getirilmesine ilişkindir. Bu nedenle her sağlık bildiriminin dayanağını yalnız hastanın rızasında aramak doğru olmaz. Ancak hangi hastalığın, kim tarafından, kime ve hangi bilgilerle bildirileceği ilgili görev hükmünden çıkarılmalıdır. Kanuni görevle KVKK’nın işleme şartları ve yeterli önlem yükümlülüğü birlikte değerlendirilir.³⁹

Yetkili sağlık makamına bildirim yapılmasıyla hastanın adının işyerinde veya kamuoyunda açıklanması farklıdır. Bildirimin gerekli olması, aynı bilginin başka alıcılara yayılmasını meşrulaştırmaz. Örneğin salgın riskinin yönetimi için yetkili birime kimlikli bilgi verilmesi gereken bir durumda, kamuoyuna yapılacak genel bilgilendirmenin de aynı kimlik bilgilerini içermesi gerektiği sonucu çıkmaz. İkinci işlemin amacı, alıcısı ve gerekliliği ayrıca incelenir. Böylece kamu sağlığının korunması ile kişiye ilişkin gereksiz açıklamaların önlenmesi aynı hukuki değerlendirme içinde ele alınabilir.

Tedavi, sigorta, çalışma ilişkisi ve kamu sağlığı arasında veri akışı incelenirken belirleyici olan, kaydın ilk nerede oluşturulduğundan ibaret değildir. Bilgiyi sonradan kullanacak kişinin hangi görev veya hak için hangi ayrıntıya ihtiyaç duyduğu gösterilmelidir. Sağlık dosyasını bütün olarak dolaşıma sokmak yerine somut işlemi çözümlemek, hem hizmetin ve kanuni görevlerin yürütülmesine hem de gizliliğin korunmasına imkân verir.

24.5. Biyometrik tanıma, genetik analiz, biyobanka ve ailesel etkiler

Bir hastanenin hastayı parmak iziyle doğrulaması ile aynı hastadan alınan örneği genetik tanı için incelemesi, sağlık hizmeti içinde gerçekleşse de aynı işleme faaliyeti değildir. İlkinde kimliğin doğrulanması, ikincisinde kişinin biyolojik özellikleri hakkında bilgi elde edilmesi amaçlanır. Biyobanka ise örneklerin ve bunlarla ilişkili kayıtların daha uzun süreli, birden fazla kullanıma elverişli biçimde yönetilmesini gündeme getirir. Hukuki değerlendirmede kurumun sağlık kuruluşu olması kadar, hangi işlemi ne için yaptığı da belirleyicidir.

Kimliği doğrulama ile tıbbi incelemenin ayrılması

Kurumun özel nitelikli verilere ilişkin rehberinde biyometrik nitelendirme, bedensel veya davranışsal özelliğin belirli bir teknik işlemle kişiyi özgün olarak tanımlamaya ya da doğrulamaya elverişli hâle getirilmesiyle açıklanır. Bu nedenle hasta dosyasındaki her fotoğraf biyometrik veri değildir; yüz görüntüsünün kimlik doğrulama şablonuna dönüştürülmesi ayrı değerlendirilir. Genetik veride ise örnekten çıkarılan kalıtsal veya sonradan kazanılmış özelliklere ilişkin bilgi öne çıkar. Aynı kayıt birden fazla özel nitelikli veri kategorisiyle ilişkili olabilir.⁴⁰

Bu ayrım işleme şartının seçiminde sonuç doğurur. Tıbbi teşhis için gerekli genetik analiz, sır saklama yükümlülüğü altındaki kişiler veya yetkili kuruluşlar bakımından Kanun’un 6/3-e hükmüyle değerlendirilebilir. Buna karşılık randevu masasındaki kimlik kontrolünün parmak iziyle yapılması, hastanede gerçekleştiği için kendiliğinden aynı hükme dayanmaz. Sağlık hizmetiyle bağlantı, kullanılan her yöntemin gerekli olduğu anlamına gelmez. Hasta karışıklığını önleme amacı açıklansa bile, işlenecek biyometrik özelliğin bu amaç bakımından gerekliliği ve daha sınırlı yöntemlerin yeterliliği somut olarak incelenmelidir.⁴¹

Örneğin kimlik belgesi ve hasta numarasıyla güvenilir doğrulama yapılabildiği varsayılan bir hizmette, yalnız işlemleri hızlandırmak için merkezi parmak izi havuzu kurulması ayrıca gerekçelendirilmelidir. Bu varsayımsal olayda teknik kolaylık, ölçülülük incelemesini ortadan kaldırmaz. Açık rıza alınması da amaçla bağlantısız veri toplamayı hukuka uygun kılmaz; işleme şartıyla genel ilkelere uygunluk birbirinden ayrı koşullardır. Biyometrik mesai takibinin çalışma ilişkisine özgü sorunları yukarıda 23.4’te açıklanmıştır.

Biyolojik örnek ile örnekten elde edilen bilgi

Biyolojik örnek, o örneğe bağlanan kimlik kaydı ve analiz sonucu aynı şey değildir. Doku veya kanın fiziksel varlığıyla, bunlardan üretilmiş ve belirlenebilir kişiye bağlanan genetik bilgi ayrı hukuki konular oluşturur. Bu ayrım, analiz öncesindeki örneğin korumasız sayılmasını gerektirmez. Kurumun genetik veri rehberi, ham verinin ve henüz analiz edilmemiş örneğin de belirlenebilirlik potansiyeline dikkat çeker; örneğin ileride yeni tekniklerle incelenebilmesi güvenli saklamayı ayrıca önemli kılar.⁴²

Dolayısıyla bir laboratuvarın kimlik eşleştirme tablosunu ayrı tutması, örnekten elde edilen bütün bilgilerin anonimleştiğini göstermez. Kodu çözmeye veya başka kayıtlarla eşleştirmeye elverişli bağlantı sürdükçe, kodlama ile anonimleştirme arasındaki ayrım korunur. Ayrıca analiz raporunun silinmesi, saklanan örnekten yeniden bilgi üretilemeyeceği anlamına gelmez. Örnek saklama ile veri saklama kararlarının birlikte düşünülmesi, örneği doğrudan bir veri dosyası saymaktan farklıdır.⁴³

Biyobankada sorun bu nedenle tek bir araştırmaya katılma kararını aşar. Öğretide Sağlamer, örnek ve kayıtların saklanması, kimlerin erişebileceği, gelecekteki kullanım ve geri bildirim gibi konuların onamın içeriğinde açıklanmasını; farklı onam modellerinin bu ihtiyaçlar karşısında değerlendirilmesini ele alır. Gelecekteki araştırmalar için geniş onamın savunulabilmesi, sınırsız bir veri işleme izni bulunduğunu göstermez. Araştırma alanı, kullanım ve paylaşım çerçevesi ile katılımcının tercihinin hangi işlemleri kapsadığı anlaşılabilir olmalıdır.⁴⁴

Burada iki uçtan kaçınmak gerekir. Her yeni incelemenin mutlaka baştan ve aynı biçimde rıza gerektirdiği söylenemeyeceği gibi, örneğin bir kez teslim edilmesinden her türlü sonraki kullanımın serbest olduğu sonucu da çıkarılamaz. Önce uygulanacak özel araştırma rejimi, sonra somut veri işlemenin şartı ve amacı belirlenir. Etik değerlendirme ile veri işleme yetkisi aynı hukuki soruya cevap vermez. Bilimsel araştırma istisnası ve ikincil kullanımın sınırları aşağıda 24.6’da ayrıca ele alınmaktadır.

Genetik bilginin aile bireylerine etkisi

Genetik inceleme, örneği veren kişinin ötesinde yakınları hakkında da bilgi veya risk çıkarımına imkân verebilir. Sağlamer bu ailesel boyutu tartışırken Kurumun genetik rehberi, ilgili kişinin aile fertlerine ilişkin bilgiye erişim ihtimalini anlayabilmesini aydınlatmanın önemli bir unsuru olarak gösterir. Ancak ailesel etki ile bütün aile üyelerinin aynı veri üzerinde ortak ve sınırsız tasarruf yetkisi bulunduğu iddiası birbirinden ayrılmalıdır.⁴⁵

Bir kişinin genetik test yaptırmaya razı olması, belirlenebilir yakınının verisinin her amaçla işlenmesine onun adına rıza vermesi değildir. Diğer taraftan, akrabalık ihtimalinin bulunması da her analizde bütün yakınlardan topluca izin alınacağı şeklinde bir kurala dönüştürülemez. Kanun bakımından somut soru, hangi bilginin hangi belirli veya belirlenebilir kişiye ilişkin olduğu ve o kişi bakımından hangi işlemin gerçekleştirildiğidir. Yalnız genel bir kalıtım ihtimali ile adı belirlenmiş yakına ait risk kaydı aynı değerlendirmeye tabi tutulamaz.⁴⁶

Varsayımsal olarak bir test sonucunun kardeş bakımından da ciddi risk düşündürmesi, raporun kardeşe, işverene veya sigortacıya doğrudan gönderilmesini kendiliğinden haklı kılmaz. Yakının yararı, hasta mahremiyeti ve açıklamanın kapsamı ayrı ayrı değerlendirilir; varsa özel bildirim hükmü veya somut olayda uygulanabilir başka bir işleme ve aktarım şartı gösterilmelidir. Genetik danışmanlık ve paylaşımın sınırlarını açıklama, bu çatışmanın yönetilmesine yardımcı olabilir. Fakat koruma ihtiyacı, belirsiz bir aile yararı gerekçesiyle sınırsız açıklama yetkisine çevrilemez.⁴⁷

24.6. Bilimsel araştırma, anonimleştirme ve ikincil kullanım

Tedavi sırasında oluşan hasta dosyasının daha sonra bir araştırmada kullanılması, kaydın ilk elde edilmesinden farklı bir işleme amacı doğurabilir. Burada sorun, verinin hastanede zaten bulunması değil, araştırmacının hangi bilgiye, hangi yetkiyle ve hangi koruma düzeni içinde erişeceğidir. İkincil kullanım, daha önce başka bir amaçla elde edilmiş verinin yeni bir amaç için değerlendirilmesini ifade eder; kaydın eski olması bu yeni kullanımı kendiliğinden hukuka uygun hâle getirmez.

Anonim veriyle çalışma ve bilimsel amaç istisnası

KVKK’nın 28/1-b ve c bentleri aynı yolu düzenlemez. Araştırma, planlama ve istatistik gibi amaçlarla anonim hâle getirilerek işleme, b bendinde yer alırken; c bendi bilimsel amaçla kişisel veri işlemeyi, hükümde sayılan değer ve hakların ihlal edilmemesi ve işlemin suç oluşturmaması koşullarıyla istisna kapsamına alır. Bu nedenle bütün bilimsel araştırmaların ancak anonim veriyle yapılabileceği söylenemeyeceği gibi, bilimsel amaç taşıyan her işlemin koşulsuz biçimde Kanun dışında kaldığı da söylenemez. Kapsam ve istisnaların genel açıklaması 5. bölümde yer almaktadır.⁴⁸

Anonimleştirmenin araştırmadaki işlevi, yalnız veri kümesinden ad ve kimlik numarası çıkarmakla açıklanamaz. Örneğin nadir bir hastalığa ilişkin kayıt, yaş, yerleşim yeri ve tedavi tarihi birlikte değerlendirildiğinde kişiye bağlanabiliyorsa anonimlik sonucu doğmayabilir. Hastaya yeniden ulaşmayı sağlayan kod anahtarının ayrı tutulması da anonimleştirmeyle aynı şey değildir. 2.6 ve 14. bölümde açıklanan ayrım, araştırmada bağlantının gerçekten kesilip kesilmediğinin incelenmesini gerektirir. Araştırma verisinin anonimleşmesi, hastanenin kendi bakım dosyasının da silindiği anlamına gelmez.⁴⁹

Kişisel Sağlık Verileri Hakkında Yönetmeliğin 16. maddesi de bu iki yolu ayrı düzenler. Birinci fıkra anonim hâle getirilen sağlık verisiyle bilimsel çalışmayı; ikinci fıkra ise özel hayatın gizliliği ve kişilik hakları korunarak, suç oluşturmamak kaydıyla ve teknik ve idari tedbirler çerçevesinde kişisel sağlık verisinin bilimsel işlenmesini ele alır. Yönetmeliğin bu yapısı, anonimleştirmeyi tek seçenek saymaya elverişli değildir. Ancak ikinci yolun varlığı, araştırmacıya bütün hasta dosyalarının açılması sonucunu da doğurmaz; uygulanacak hükmün koşulları somut işleme bakımından gösterilmelidir.⁵⁰

Araştırma erişimi ile etik değerlendirmenin ilişkisi

Öğretide Bekiroğlu Ergün, Toksözlü ve Ergün, bilimsel araştırma için veri erişiminin sağlanmasının önemini vurgular; etik kurul onayından sonra erişimin engellenmesinin sorumluluk doğurabileceğini tartışır. Bu yaklaşımın güçlü gerekçesi, sağlık kayıtlarını elinde tutan kuruluşun bilimsel çalışmayı gerekçesiz biçimde engellememesi ihtiyacıdır. Bununla birlikte etik kurulun araştırmayı uygun bulması, belirli bir dosyaya erişimin bütün hukuki koşullarının gerçekleştiğini tek başına göstermez. Kanun’un 28/1-c hükmündeki koruma koşullarının yerine yalnız kurul onayını koymak, istisnanın sınırını ortadan kaldırır. Erişim talebinin reddi gibi kabulü de somut yetki, veri kapsamı ve uygulanacak özel düzenleme üzerinden değerlendirilmelidir.⁵¹

Kurulun 30 Ekim 2019 tarihli ve 2019/316 sayılı kararının yayımlanan özeti, anonim olmayan bilimsel kayıtlar bakımından önemli bir örnektir. Kan, serum ve doku örneklerinin bozulması ve imhasına ilişkin ihbarda Kurul, barkodlar ve isim listeleri aracılığıyla hastaya ulaşılabilmesini kişisel veri işleme olarak değerlendirmiş; buna karşılık somut olayda 28/1-c koşullarının sağlandığı gerekçesiyle o aşamada işlem yapılmamasına karar vermiştir. Dolayısıyla kişisel veri niteliği ile istisnanın uygulanması ayrı sorulardır. Bu özetten, bütün biyobankaların veya etik onaylı bütün çalışmaların aynı sonucu doğuracağı çıkarılamaz.⁵²

İstisnanın koşulları oluşmuyorsa, araştırma amacı tek başına sağlık veya genetik veri işleme şartı yerine geçmez. Kanun’un güncel 6. maddesinde somut faaliyete uygulanabilecek bir şart bulunmalıdır. Sağlık hizmeti için gerekli işlemenin dayanağı, tedavi dosyasındaki her bilginin bağımsız bir araştırma için kullanılmasına kendiliğinden uzanmaz. Ayrıca veri koruma istisnası, kişiye araştırma müdahalesi yapılmasını veya özel araştırma izinlerinden vazgeçilmesini sağlayan bir yetki değildir; onamların farklı konuları 24.2’de açıklanmıştır.⁵³

Önceki klinik verinin yeni araştırmada kullanılması

Klinik araştırma verisinin protokol dışında kullanılması ayrıca dikkat gerektirir. Beşeri Tıbbi Ürünlerin Klinik Araştırmaları Hakkında Yönetmeliğin 20/9 hükmü, KVKK’ya uyulması koşulunu koruyarak gelecekteki araştırma kullanımını, buna ilişkin ayrıca olur alınmasını ve geri çekme hakkını düzenler. Aynı hüküm, geri çekmenin daha önce yürütülmüş faaliyetlerle, geri çekilmeden önce olura dayalı elde edilmiş verilerin kullanımını etkilemediğini de belirtir. Bu cümle görmezden gelinerek önceki bütün veri kullanımının derhâl sona erdiği söylenemez. Tersine, KVKK’ya uygunluk koşulu yok sayılarak sınırsız yeni kullanım yetkisi de kurulamaz. Araştırmadan ayrılma, protokol dışı kullanıma ilişkin olur ve eldeki kayıtların tabi olduğu rejim birlikte değerlendirilmelidir.⁵⁴

Varsayımsal olarak bir hastane, geçmiş ameliyat sonuçlarını yeni bir çalışmada incelemek istediğinde, araştırma ekibinin bütün hasta dosyasına mı yoksa belirli sonuçlara mı ihtiyaç duyduğunu açıklamalıdır. Kimlik bağlantısı araştırma sorusu için gerekmiyorsa bu bağlantının korunmasının ayrıca gerekçelendirilmesi beklenir. Başka bir kuruluşun erişimi veya yeni veri toplama da aynı kararın içinde görünmez hâle getirilemez. Hukuki değerlendirme, araştırma başlığının taşıdığı genel yarardan önce, gerçekleştirilecek somut işlemi belirlemekle mümkün olur.

24.7. Giyilebilir cihazlar, sağlık uygulamaları ve yapay zekâ

Bir akıllı saatin nabız ölçmesi, bu ölçümlerin telefonda gösterilmesi, hekime iletilmesi ve bir modelin eğitiminde kullanılması aynı veri işleme faaliyeti değildir. Cihazın tek olması, amaçların ve bu amaçlar üzerinde karar veren kişilerin de tek olduğu anlamına gelmez. Hukuki sorun, ürünün “sağlık” veya “yaşam tarzı” etiketiyle sunulmasından önce, hangi bilginin kim tarafından ne için kullanıldığında somutlaşmaktadır.

Ölçümden sağlık çıkarımına

24.1’de açıklanan sağlık verisi kavramı, hastane dışında üretilen bilgiler bakımından da uygulanır. Bununla birlikte cihazın topladığı bütün veriler aynı nitelikte değildir: hesap bilgisi, konum, hareket kaydı ve sağlık ölçümü ayrı ayrı değerlendirilmelidir. Farklı kayıtların birleştirilmesiyle belirli kişi için hastalık riski çıkarılması ise yeni bir bilgi üretir. Bu bilginin olasılığa dayanması, kişiyle ilişkisinin bulunmadığı anlamına gelmez. Çıkarımın sağlık durumuna ilişkin niteliği ile tıbben doğrulanmış tanı olup olmadığı ayrı sorulardır.⁵⁵

Öğretide Badur, giyilebilir ürünlerden elde edilen bilgilerin hasta takibine ve sağlık hizmetinin geliştirilmesine katkısını vurgularken, reklam, sigorta ve işveren paylaşımının doğurabileceği riskleri de inceler. Bu iki yön birlikte değerlendirildiğinde, teknolojinin yararlı olmasının bütün kullanımlarını aynı ölçüde gerekli kılmadığı görülür. Hastanın belirli ölçümü hekimine iletmeyi istemesiyle, sağlayıcının aynı ölçümlerden ticari bir profil üretmesi farklı amaçlardır; birinin gerekçesi diğerinin hukuki dayanağı yerine geçirilemez.⁵⁶

Uygulama izni, işleme şartı ve hizmet zinciri

Telefonun bir sensöre erişim izni vermesi, KVKK bakımından geçerli açık rızanın bulunduğunu tek başına göstermez. Teknik izin, erişim imkânını açar; açık rıza ise belirli konu, bilgilendirme ve özgür irade unsurlarıyla değerlendirilir. Ayrıca sağlık verisi için uygulanacak şart 6. maddede aranmalıdır. Genel nitelikli veriler bakımından sözleşmenin ifasına veya meşru menfaate dayanılabilmesi, bu sebeplerin özel nitelikli veriye aynen taşınmasına izin vermez. Buna karşılık koşulları gerçekten oluşan bir rıza dışı sebep varsa, cihaz üzerinden işlem yapılması onu ortadan kaldırmaz. Özellikle 6/3-e bakımından amaç, gereklilik ve işlemi yapan kişinin sıfatı birlikte incelenir; bir uygulamanın kendisini sağlık hizmeti olarak adlandırması yeterli değildir.⁵⁷

Aynı ayrım, isteğe bağlı özelliklerin tasarımında da önemlidir. Nabız takibi için gereken erişimle, pazarlama amacıyla konum veya başka kayıtların toplanması tek kabul işleminin içine saklanmamalıdır. Kurumun mobil uygulama tavsiyeleri, uygulamanın temel işlevi için gerekmeyen izinler kapatıldığında da hizmetin kullanılabilmesini ve aktif iradeyi sağlayan mekanizmaları önerir. Bu yaklaşımın sağlık uygulamasına sonucu, her izni zorunlu saymak yerine işlevle veri arasındaki bağlantıyı göstermektir. Açık rıza alınmış olması da ölçülülük incelemesini gereksiz kılmaz.⁵⁸

Veriyi kimin işlediği sorusunda üretici, uygulama sağlayıcısı, hastane ve bulut işletmecisini tek bir aktör gibi ele almak yanıltıcıdır. Amaç ve vasıtaları belirleyenle yalnız onun adına teknik işlem yapan kişi ayrılmalıdır. Kurumun mobil uygulama rehberi de sağlayıcının kendi amaçlarıyla kullanımını, geliştiricinin yalnız teknik rolünü ve üçüncü taraf hizmetlerini ayrı değerlendirir. Örneğin hastane adına kayıt saklayan bir sağlayıcının veriyi kendi modelini geliştirmek için kullanmaya başlaması, yalnız saklama hizmetinin sürdürülmesi olarak açıklanamaz. Yeni kullanım üzerindeki karar yetkisi ve hukuki dayanak ayrıca belirlenmelidir.⁵⁹

Yurt dışındaki hizmetin kullanılması da yalnız bir depolama tercihi değildir. Sağlık verisinin işlenme şartıyla yurt dışına aktarımın koşulları ayrı ayrı karşılanmalıdır. Badur, giyilebilir ürünlerde sözleşmenin ifası için zorunlu aktarımı 9/6-b bakımından mümkün görür. Bununla birlikte aynı fıkranın girişindeki arızilik koşulu korunmalıdır: sürekli işleyen bir uygulamanın düzenli bulut aktarımını, sözleşmede yer aldığı için bu istisnaya sokmak mümkün değildir. Yeterlilik ve uygun güvence yollarının uygulanabilirliği, 13. bölümdeki sırayla değerlendirilir. Teknik mimarinin sürekli aktarım üzerine kurulması, kanuni istisnayı genişletmez.⁶⁰

Modelin eğitimi, çıktısı ve kişinin itirazı

Hastaya hizmet sunmak için kullanılan kayıtla, gelecekte başka kişilere ilişkin sonuçlar üretmek üzere modeli eğiten kayıt aynı amaca hizmet etmeyebilir. Bu nedenle “hizmeti geliştirme” ifadesi, hangi verinin hangi eğitim faaliyetine ayrıldığını açıklayan bir amacın yerine geçmemelidir. Eğitimde kişisel veri kullanılıyorsa işleme şartı ve ilkeler; bilimsel istisnaya dayanılıyorsa 24.6’da açıklanan koşullar ayrıca sınanır. Kodlama veya kimlik alanlarının kaldırılması da tek başına anonimlik sonucu sağlamaz. Model eğitiminin bütün aşamalarına ilişkin ortak değerlendirme 30. bölümün konusudur.⁶¹

Çıktı bakımından ise ölçüm, tahmin ve klinik değerlendirmenin birbirinden ayrılması gerekir. Varsayımsal olarak bir uygulamanın kişiye “yüksek risk” puanı vermesi, o kişinin kesin olarak hasta olduğunu göstermez. Bu puanın sonraki kayıtta tanı gibi tutulması, verinin neyi ifade ettiğini değiştirebilir. Doğruluk ilkesi, yalnız sayının hatasız kopyalanmasını değil, bilginin niteliğinin ve bağlamının da gözetilmesini gerektirir. Kurumun yapay zekâ tavsiyeleri, veri niteliği ve model doğruluğunun izlenmesiyle bağlam dışı kullanım riskini bu bakımdan ele alır. Burada teknik güvenilirlik denetimi ile hukuki işleme dayanağı birbirinin yerine geçmez.⁶²

KVKK’nın 11/1-g hükmü, verilerin münhasıran otomatik sistemlerle analizi sonucunda kişinin aleyhine bir sonucun ortaya çıkmasına itiraz hakkını düzenler. Her sağlık tavsiyesinin bu koşulları taşıdığı veya bütün otomatik analizlerin yasak olduğu söylenemez. Buna karşılık puanın sigorta veya hizmet kararında kişi aleyhine kullanılması hâlinde, analizin işleyişi ve sonucu araştırılmadan itiraz anlamsızlaştırılamaz. Kurumun yapay zekâ tavsiyelerindeki insan müdahalesi ve risk değerlendirmesi önerileri bu incelemeye yardımcıdır; bunlar kanunda bulunmayan genel bir yasak veya her işlem için ayrı izin usulü gibi sunulmamalıdır.⁶³

Güvenlik tasarımı da kullanım boyunca sürmelidir. Yetkiyle sınırlı erişim, gerekli kayıtların korunması ve görev dışı kullanımın önlenmesi, yalnız uygulamanın ilk kurulumu sırasında çözülecek meseleler değildir. Kanun’un 12. maddesi, dış hizmet alındığında da uygun teknik ve idari tedbirleri ve denetimi gerektirir. Sağlık uygulamasından bir özelliğin kaldırılması veya kişinin hesabını kapatması durumunda ise cihazdaki görünümle sunucudaki kayıtların akıbeti ayrı incelenmelidir; saklama ve imha, 14. bölümdeki koşullara göre değerlendirilir.⁶⁴

Örneğin bir kişi, ritim ölçümlerinin hastaneye iletilmesini isterken aynı bilgilerin sigorta primi hesabına veya sağlayıcının ayrı model eğitimine ayrılmasını istemeyebilir. Somut değerlendirmede bu amaçlar, alıcılar ve veri kapsamları görünür hâle getirilmelidir. Böylece kişinin tek bir cihaz kullanması, farklı işlemlerin tek ve sınırsız izin altında toplanmasının gerekçesine dönüşmez.

Dipnotlar

İçindekiler · Ayrıntılı kitap planı