Sağlık Verileri İhlali ve KVKK 6698 | Özel Nitelikli Veri Sorumluluğu 2026
Tanım: Sağlık verileri, 6698 sayılı KVKK m.6/1 uyarınca özel nitelikli kişisel veridir; m.6/3 uyarınca bu verilerin işlenmesi yasaktır ve ancak açık rıza veya kanunda sayılan diğer şartlardan birinin bulunması hâlinde mümkündür. İhlalinde idari para cezası, tazminat ve TCK m.136 kişisel verileri hukuka aykırı ele geçirme suçu gündeme gelir.
6698 sayılı Kişisel Verilerin Korunması Kanunu m.6 uyarınca sağlık verileri “özel nitelikli kişisel veri” olarak sınıflandırılır ve normal kişisel verilerden çok daha sıkı koruma rejimine tâbidir. Rehberde sağlık verisinin tanımı, işleme şartları, aydınlatma yükümlülüğü, veri ihlali bildirimi ve tazminat yolları ele alınır.
Sağlık Verisinin Tanımı ve Kapsamı
KVKK m.6/1 uyarınca sağlık verileri özel nitelikli veri sayılır. Sağlık verisi kapsamına şunlar girer: (i) tanı ve tedavi bilgileri, (ii) tetkik ve tahlil sonuçları, (iii) reçete ve ilaç kullanımı, (iv) fiziksel muayene bulguları, (v) psikiyatrik değerlendirmeler, (vi) genetik veri (KVKK m.6/1 ayrıca düzenler), (vii) cinsel sağlık verileri, (viii) alkol-madde kullanım kayıtları, (ix) kronik hastalık bilgileri, (x) engellilik durumu, (xi) fotoğraf, MR, X-ray, USG görüntüleri. Kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilebilen tüm sağlık verisi KVKK korumasındadır. Anonimleştirilmiş (kişi kimliği çıkarılmış) veriler kapsam dışındadır; ancak anonimleştirme sürecinin geri dönülemez olması gerekir.
İşleme Şartları (m.6/3)
Özel nitelikli kişisel verilerin işlenmesi KVKK m.6/3 uyarınca yasaktır; ancak ilgili kişinin açık rızası, kanunlarda açıkça öngörülme veya m.6/3’te sayılan diğer şartlardan birinin bulunması hâlinde işlenebilir. Sağlık verileri bakımından m.6/3(e) bendi, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması hâlinde açık rıza aranmaksızın işlemeye izin verir; ayrıca m.6/4 uyarınca Kurulun belirlediği yeterli önlemlerin alınması şarttır. Bu bent yalnızca sayılan amaçlar ve kişiler için geçerlidir; klinik tanıtımı, web sitesi veya pazarlama amaçlı kullanım bu kapsamda değildir ve bu hâllerde açık rıza aranır.
Aydınlatma Yükümlülüğü (m.10)
Hasta, veri sorumlusu (klinik, hastane, hekim, laboratuvar) tarafından KVKK m.10 uyarınca veri işlemeden önce aydınlatılmalıdır. Aydınlatma metninde belirtilmesi gerekenler: (i) veri sorumlusunun kimliği, (ii) verinin işlenme amaçları, (iii) aktarılacağı üçüncü kişiler (SGK, sigorta şirketi, referans laboratuvar, bulut hizmet sağlayıcı, yurtdışı), (iv) veri toplama yöntemi ve hukuki sebebi, (v) ilgilinin KVKK m.11 kapsamındaki hakları. Aydınlatma metni formda yer almalı, hasta tarafından okunmalı ve bilgilendirme gerçekleşmelidir. Aydınlatma ile birlikte açık rıza alınması gerekiyorsa bu ayrı bir irade beyanıdır; aydınlatma ile rıza tek bir formda birleştirilemez (KVKK kılavuzu).
Veri İhlali Bildirimi (m.12)
KVKK m.12/5 uyarınca veri sorumlusu, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bu durumu en kısa sürede ilgilisine ve Kurula bildirmelidir. Kurulun ilke kararı uyarınca ihlalin Kurula bildirimi, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılır; ilgili kişilere bildirim ise en kısa sürede gerçekleştirilir. İhlal bildirimi zorunlu olan haller: (i) sistem sızıntısı ile veri çalınması, (ii) kötü amaçlı yazılım (ransomware) saldırısı, (iii) belgelerin çalınması veya kaybolması, (iv) e-mail yoluyla yanlış alıcıya gönderim, (v) yetkisiz erişim. İhlal bildiriminin yapılmaması veya geç yapılması, m.12 kapsamındaki veri güvenliği yükümlülüklerinin ihlali sayılarak KVKK m.18 uyarınca idari para cezasına yol açabilir; ceza tutarları her yıl yeniden değerleme oranında artırılır.
Tazminat ve Yaptırımlar
Sağlık verisi ihlali halinde uygulanabilecek yaptırımlar: (i) İdari para cezası (m.18): KVKK tarafından uygulanır; aydınlatma yükümlülüğüne, veri güvenliğine ilişkin yükümlülüklere ve ihlal bildirimine uymamak ayrı ceza kalemleri. (ii) Cezai yaptırım (m.17): TCK m.135-140 uyarınca kişisel verilerin hukuka aykırı kaydı ve yayılması suçları gündeme gelir. (iii) Tazminat (m.12, TBK m.49 vd.): kişilik hakkı ihlali nedeniyle maddi ve manevi tazminat. (iv) Disiplin yaptırımı: 6023 s. K. uyarınca hekim meslek etiği ihlali. Tazminat davası asliye hukuk mahkemesinde açılır; sağlık verisi ihlali özellikle kişilik hakkının ağır ihlali kabul edilir. Veri sorumlusu sıfatı kliniklere/hastanelere ait olduğundan dava onlara karşı yöneltilir; hekim kişisel kusuru varsa ayrı sorumlu olur.
Yetkili Kurumlar ve Başvuru Kanalları
- Sağlık Bakanlığı İl Müdürlüğü: Hasta Hakları Birimi’ne idari başvuru, soruşturma açma.
- Yüksek Sağlık Şûrası: Hekim sorumluluğunda ilke kararı ve görüş (1219 s. Kanun).
- Türk Tabipleri Birliği (TTB) ve Tabip Odaları: Disiplin soruşturması (6023 s. Kanun m.39).
- Adli Tıp Kurumu: Malpraktis iddialarında uzman bilirkişi raporu; İhtisas Kurulları.
- Asliye Hukuk / Tüketici Mahkemesi: Özel hastane ve hekime karşı tazminat davaları.
- İdare Mahkemesi: Kamu hastanesi malpraktis davaları (İYUK m.13 tam yargı).
- Cumhuriyet Başsavcılığı: TCK m.85 (taksirle öldürme) ve m.89 (taksirle yaralama) kapsamında ceza soruşturması.
- KVKK: Sağlık verileri ihlalinde veri koruma şikayeti (6698 s. K. m.14).
İlgili İçerikler
Sıkça Sorulan Sorular
Sağlık verisi her zaman açık rıza gerektirir mi?
Hayır. KVKK m.6/3(e) uyarınca sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından, sağlık hizmetlerinin yürütülmesi ve planlanması gibi sayılan amaçlarla gerekli olması hâlinde işlenmesi açık rıza aranmaksızın mümkündür; ayrıca m.6/4 uyarınca Kurulun belirlediği yeterli önlemler alınmalıdır. Pazarlama ve reklam gibi amaçlarda ise açık rıza gerekir.
Veri ihlali bildirimi kaç saat içinde yapılmalıdır?
Kurulun ilke kararı uyarınca veri sorumlusu, ihlali öğrenmesinden itibaren en geç 72 saat içinde Kurula, ilgili kişilere ise en kısa sürede bildirmekle yükümlüdür.
Hastane veri ihlali yaparsa hasta ne yapabilir?
KVKK’ya şikayet başvurusu yapabilir; kişilik hakkı ihlali nedeniyle asliye hukuk mahkemesinde maddi-manevi tazminat davası açabilir. Veri sorumlusuna idari para cezası uygulanır; kasıtlı ihlalde TCK m.135-140 ceza soruşturması başlar.
Resmi Kaynaklar
- Mevzuat Bilgi Sistemi (mevzuat.gov.tr)
- Yargıtay Karar Arama (karararama.yargitay.gov.tr)
- UYAP Vatandaş Portalı (uyap.gov.tr)
- T.C. Adalet Bakanlığı (adalet.gov.tr)
Hazırlayan Avukat
Av. Bilal ALYAR
Marmara Üniversitesi Hukuk Fakültesi mezunu (2015). Aile hukuku, ceza hukuku, kripto para hukuku, bilişim hukuku, şirketler hukuku ve vergi hukuku alanlarında faaliyet göstermektedir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır; somut hukuki görüş ya da avukat-müvekkil ilişkisi oluşturmaz. Her dosya kendine özgü koşullar içerdiğinden, hukuki süreçlerde bir avukattan görüş alınması yararlı olabilir.