Hastane Çalışanı Sağlık Dosyasına Yetkisiz Erişti: Erişim Kaydı Nasıl İstenir?

Hastane çalışanının sağlık dosyasına tedavi veya başka geçerli bir amaç olmadan eriştiği düşünülüyorsa, erişimin zamanı, kapsamı ve hukuki nedeni araştırılabilir. Sistemde teknik erişim yetkisi bulunması, çalışanın bütün hastaların kayıtlarını merak veya kişisel talep üzerine inceleyebileceği anlamına gelmez. Sağlık verileri özel nitelikli kişisel veridir. Hastanın ilk talebi yalnızca personelin adını öğrenmek değil, kendi verisine hangi amaçla ve hangi yetkiyle erişildiğinin açıklanması olmalıdır.

Şüpheyi gösteren erişim bilgileri ve kurum cevabı korunmalıdır. e-Nabız üzerinde görünen kayıt, kurumun kendi sistemindeki erişim ve dosyanın dışarı aktarılması farklı faaliyetler olabilir. Dosyayı görüntülemek ile başkasına göndermek aynı olay değildir; ikisi de kendi koşullarında incelenir. Başvuru yapılırken sağlık verileri gereksiz kişilere gönderilmemeli ve iddia sosyal medyada kişilerin suçlu ilan edildiği bir paylaşıma dönüştürülmemelidir.

Tedaviyle ilgili erişim hangi sınırlar içinde değerlendirilir?

Sağlık hizmetinin yürütülmesi için ilgili personelin belirli kayıtlara erişmesi gerekebilir. Hekim, hemşire, laboratuvar çalışanı veya idari görevli farklı yetki ve amaçlarla işlem yapabilir. Her erişimden önce hastadan ayrıca açık rıza alınması gereken tek bir düzen yoktur; 6698 sayılı Kanunun güncel işleme şartları dikkate alınır. Bununla birlikte erişimin uygun hukuki sebebe, belirli amaca ve gerekli kapsamla sınırlı olma koşuluna dayanması gerekir.

Hasta Hakları Yönetmeliğinin 16, 21 ve 23. maddeleri, kayıt erişimi ve mahremiyet bakımından temel çerçeve sağlar. 6698 sayılı Kanunun 4 ve 6. maddeleri ile 12. maddesindeki veri güvenliği yükümlülükleri birlikte değerlendirilir. Hastanede çalışmak, kişiye bütün kayıtlar üzerinde sınırsız hak vermez. Hastanın genel görünürlük tercihi de sağlık hizmetiyle ilgisi olmayan merak amaçlı erişimi otomatik meşrulaştırmaz.

Erişim kaydı neyi kesinleştirir, neyi kesinleştirmez?

Bir kayıt, belirli hesapla belli saatte işlem yapıldığını gösterebilir. Ancak o hesabı gerçekte hangi kişinin kullandığı, hangi verinin görüntülendiği veya dışarı aktarım yapıldığı ayrı araştırılabilir. Hesap paylaşılması ya da açık kalan oturum, erişimin kurum açısından güvenlik incelemesini önemli hale getirir. Hastanın gördüğü tek satırdan bütün teknik sonucun çıkarılması doğru olmayabilir.

Sistemdeki tarih, hastanın muayene günüyle karşılaştırılır. Aynı gün erişim olması da her durumda hukuka uygunluk kanıtı değildir; işlem amacı önemlidir. Muayene dışı tarihte yapılan işlem ise bakım, faturalama veya kanuni başka amaçla bağlantılı olabilir. Böyle bir açıklamanın genel sözlerden değil somut olayın kaydından anlaşılması gerekir. Hasta talebini belirli tarih aralığıyla sınırlarsa araştırma daha işlevsel hale gelir.

Kuruma yapılacak ilgili kişi başvurusu nasıl kurulmalıdır?

Öncelikle veri sorumlusunun kim olduğu belirlenir. Hastanenin ticari adıyla işleten şirketin unvanı farklı olabilir. Başvuruda hastanın kimliği, şüpheli erişim tarihi, olayın nasıl öğrenildiği ve istenen açıklamalar yazılır. Verinin hangi amaçla işlendiği, erişim kapsamı, hukuki sebep ve uygun güvenlik önlemlerinin alınması somut sorular halinde belirtilir. İlgili kişi hakları kapsamında kayıtların korunması ve gerekiyorsa hatalı bilgilerin düzeltilmesi de istenebilir.

6698 sayılı Kanunun 13. maddesi kapsamında veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Kurula şikâyet için önce veri sorumlusuna başvuru yapılması gerekir. Cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde 14. maddede belirtilen koşullar ve süreler değerlendirilir. Başvurunun ulaşma tarihi, cevabın öğrenildiği tarih ve ekler kanıtlanabilir biçimde saklanmalıdır.

Kurula şikâyet ile tazminat talebi aynı şey midir?

Kurula şikâyet, kişisel veri işlemesinin ve veri sorumlusunun yükümlülüklerinin incelenmesine yöneliktir. Veri sorumlusunun cevabının öğrenilmesinden itibaren otuz gün ve her durumda başvuru tarihinden itibaren altmış gün sınırı dikkate alınır. Süre hesabı cevabın ne zaman verildiği ve öğrenildiğine göre somutlaştırılır. Kurum içi hasta hakları görüşmesinin devam etmesi, bu özel başvuru koşullarının yerine geçtiği anlamına gelmez.

Kurulun incelemesi hastaya otomatik tazminat ödenmesiyle aynı sonuç değildir. Zararın karşılanması talebi uygun yargı yolunda ayrıca değerlendirilir. Yetkisiz erişimin hastanın kişilik haklarına veya ekonomik durumuna somut etkileri varsa bunlar açıklanır. Sağlık verisinin bir aile uyuşmazlığında, iş ilişkisinde veya başka süreçte kullanıldığı iddia ediliyorsa bunu gösteren kayıtlar ayrıca korunur. İdari yaptırım tutarı, hastanın alacağı tazminat tutarı değildir.

Bütün teknik logların ham nüshası istenebilir mi?

Hasta kendi verisine ilişkin bilgi isteyebilir. Buna karşılık kurumun bütün kullanıcıları, sistem güvenliği veya başka hastaları gösteren ham kayıtların doğrudan teslimi sınırsız hak olarak sunulmamalıdır. Gerekli bilginin uygun biçimde açıklanması, ilgili kısmın verilmesi veya yetkili merci incelemesi gündeme gelebilir. Başvurunun amacı üçüncü kişiler hakkında geniş veri toplamak değil, kendi dosyasındaki erişimin nedenini belirlemektir.

Kurum güvenlik gerekçesiyle hiçbir bilgi veremeyeceğini söylüyorsa bunun somut gerekçesi sorulabilir. Hesap, görev rolü, erişim zamanı ve amaç gibi bilgilerin ne ölçüde açıklanabileceği değerlendirilir. Ham kayıtların değişmeden korunması talebi de önemlidir. Şüpheli erişim öğrenildikten sonra teknik izlerin otomatik silinmesi ihtimali varsa, ilgili inceleme yolunda koruma ve delil elde etme ihtiyacı somutlaştırılmalıdır.

İzin ayarını geniş tutmak bütün erişimlere rıza mıdır?

Kişisel Verileri Koruma Kurulunun resmi olarak yayımladığı 2023/695 sayılı karar özeti, e-Nabız erişim yetkilerinin amaç dışı kullanımının değerlendirilmesine ilişkin bir örnektir. Kararda genel erişim tercihinin sağlık personeline amaç dışı inceleme hakkı vermediği ele alınmıştır. Bu bir idari karar örneğidir; her yeni olayın aynı sonuçla biteceği söylenemez. Güncel Kanunun 2024 değişiklikleri de işlem tarihine göre dikkate alınmalıdır.

Hasta kendi hesabının güvenlik ayarlarını kontrol edebilir; ancak sonradan daha sınırlı ayar seçmesi önceki erişimi kendiliğinden hukuka uygun veya aykırı hale getirmez. İncelemenin konusu erişim sırasında hangi yetki ve amaç bulunduğudur. Hekimin hesabının başka personelle paylaşıldığı iddia ediliyorsa hem erişimi yapan kişinin rolü hem kurumun güvenlik tedbirleri araştırılabilir. Personelin gizlilik belgesi imzalaması tek başına bütün teknik yükümlülüklerin yerine getirildiğini kanıtlamaz.

Örnek: hiç gidilmeyen merkezden erişim görünüyorsa

Varsayımsal bir örnekte hasta, hiç hizmet almadığı bir tıp merkeziyle ilişkili erişim bilgisini görür. Başvurusunda bu tarihi ve merkeze gitmediğini belirtir. Merkez bir kimlik benzerliği nedeniyle işlem açıldığını söyler. Hasta hangi verinin görüldüğünü, işlemin kimlik doğrulama aşamasını ve düzeltme yapılıp yapılmadığını sorar. Açıklama ile teknik kayıt uyuşmuyorsa bu çelişki ayrı gösterilir.

İnceleme yanlış hasta kaydının açılması, kişisel merakla erişim ve hesabın başkası tarafından kullanılması ihtimallerini birbirinden ayırabilir. Hasta henüz bilinmeyen ayrıntıları kesin olay gibi anlatmaz. Başvuru cevabının kapsamı ve tarihler üzerinden ilgili şikâyet yolu değerlendirilir. Bu örnek bir kurumun gerçek uygulaması veya kesin ceza sonucu hakkında iddia değildir; somut talep hazırlamanın yöntemini açıklamaktadır.

Görünen erişimin tarihini koruyun

Hastanın erişim bilgisi nüshası tek başına dosyanın bütün sorularını cevaplamayabilir. Bu kayıtla araştırılacak nokta şudur: Hangi kurum veya hesap hangi gün ve saatte görünmektedir? Bu bilgi, kurumun kendi kayıtlarıyla karşılaştırmanın başlangıç noktasıdır; tam veri içeriğini her zaman göstermeyebilir. İnceleme için belgenin tarihini, kaynağını ve ilgili işlemle eşleşmesini görünür tutmak gerekir. Bir satırdan bütün dosyanın indirildiği sonucu çıkarılmamalıdır. Bir açıklama sonradan verilmişse ilk kayıt ile sonraki yanıt ayrı saklanır; belgenin üzerine yorum yazmak yerine ayrıca değerlendirme notu hazırlanabilir.

Tedaviyle bağlantıyı somutlaştırın

Belge dosyasında muayene ve hizmet tarihleri için ayrı bir bölüm açılabilir. Şüpheli erişim sırasında hastanın o kuruluşta devam eden bir hizmeti var mıdır? Tedavi sonrası idari işlem bulunabilir; açıklamanın olayla bağlantısı gösterilmelidir. İddianın dayandığı bölüm açıkça gösterildiğinde karşı taraftan istenecek açıklama da belirli hale gelir. Muayene günü dışındaki her erişim otomatik hukuka aykırı sayılmamalıdır. Eksik bilgi bulunuyorsa bunun neden eksik olduğu, kayıt hiç oluşturulmadı mı yoksa suret mi verilmediği ayrılarak sorulmalıdır. İki durumun hukuki ve delil bakımından etkisi aynı olmayabilir.

Hesap ile gerçek kullanıcıyı ayırın

Görünen kullanıcı hesabını o anda gerçekte kim kullanmıştır? Bu sorunun araştırılmasında kurumun hesap kullanım açıklaması önem taşır. Yetki paylaşımı veya açık oturum iddiası, teknik ve idari güvenlik tedbirlerinin araştırılmasını gerektirebilir. Eldeki nüsha ile kurum cevabı çelişiyorsa hangi alanların farklı olduğu tarih sırasıyla gösterilebilir. Sadece ekran adı üzerinden kişiyi kesin fail ilan etmeyin. Başka kişilerin özel bilgileri inceleme için gerekmediğinde paylaşılmamalıdır. Hasta kendi olayına ilişkin bölümü belirler; daha geniş kayıt gerektiğinde ilgili merci aracılığıyla elde edilmesi ayrıca değerlendirilir.

Başvurunun ulaşma tarihini belgeleyin

Otuz günlük cevap süresi ve sonraki şikâyet hesabı için bu tarih önemlidir. Bunun için veri sorumlusuna başvuru teslim kaydı yalnızca ek numarası verilerek dosyaya bırakılmamalı, ilgili işlemle bağlantısı açıklanmalıdır. Başvuru hangi tüzel kişiye ve hangi gün ulaşmıştır? Başka birimle sözlü konuşmayı otomatik ilgili kişi başvurusu gibi değerlendirmeyin. Belgenin bulunmaması iddianın otomatik doğru veya yanlış sayılması sonucunu doğurmaz. İncelemenin hangi veriyle tamamlanabileceği belirlenir. Mevcut kayıtların korunması, sonradan alınan bilginin önceki olayla ilişkilendirilmesine yardımcı olur.

Cevabın öğrenilme zamanını kaydedin

Kurumun ilgili kişi başvurusu cevabı tek başına dosyanın bütün sorularını cevaplamayabilir. Bu kayıtla araştırılacak nokta şudur: Cevap hangi gün alınmış ve talepteki hangi sorular yanıtlanmıştır? Şikâyet süresi ile cevabın yeterliliği bu bilgiler üzerinden ayrı değerlendirilir. İnceleme için belgenin tarihini, kaynağını ve ilgili işlemle eşleşmesini görünür tutmak gerekir. Görüşmeler sürdüğü için altmış günlük üst sınırın uzadığı varsayılmamalıdır. Bir açıklama sonradan verilmişse ilk kayıt ile sonraki yanıt ayrı saklanır; belgenin üzerine yorum yazmak yerine ayrıca değerlendirme notu hazırlanabilir.

Paylaşım iddiasını görüntülemeden ayırın

Belge dosyasında dışarı aktarıma ilişkin mevcut belge için ayrı bir bölüm açılabilir. Dosya yalnızca görüntülenmiş mi, ayrıca başka kişiye gönderilmiş midir? Her faaliyet için veri işleme amacı ve hukuki sebep ayrıca araştırılabilir. İddianın dayandığı bölüm açıkça gösterildiğinde karşı taraftan istenecek açıklama da belirli hale gelir. Dış aktarım kanıtlanmadan bütün aile veya iş çevresinin bilgiyi gördüğü ileri sürülmemelidir. Eksik bilgi bulunuyorsa bunun neden eksik olduğu, kayıt hiç oluşturulmadı mı yoksa suret mi verilmediği ayrılarak sorulmalıdır. İki durumun hukuki ve delil bakımından etkisi aynı olmayabilir.

Zararın dayanağını gösterin

Sağlık bilgisinin iş veya özel ilişkiye etkisi hangi belgeyle görünmektedir? Bu sorunun araştırılmasında verinin kullanımına ilişkin yazışma önem taşır. Tazminat iddiası varsa erişim ile somut kişisel ya da ekonomik etki bağlantısı açıklanmalıdır. Eldeki nüsha ile kurum cevabı çelişiyorsa hangi alanların farklı olduğu tarih sırasıyla gösterilebilir. Kurulun idari para cezası hastanın tazminat tutarıyla aynı şey değildir. Başka kişilerin özel bilgileri inceleme için gerekmediğinde paylaşılmamalıdır. Hasta kendi olayına ilişkin bölümü belirler; daha geniş kayıt gerektiğinde ilgili merci aracılığıyla elde edilmesi ayrıca değerlendirilir.

Koruma talebinin kapsamını belirleyin

Belirli dönem ve veri türü yazıldığında kayıp riski ile inceleme ihtiyacı daha anlaşılır olur. Bunun için teknik izlerin muhafazası talebi yalnızca ek numarası verilerek dosyaya bırakılmamalı, ilgili işlemle bağlantısı açıklanmalıdır. İnceleme için gerekli erişim izleri hangi tarih aralığında korunmalıdır? Hastanenin bütün verilerini sınırsız biçimde elde etmeye yönelik talep kurulmaz. Belgenin bulunmaması iddianın otomatik doğru veya yanlış sayılması sonucunu doğurmaz. İncelemenin hangi veriyle tamamlanabileceği belirlenir. Mevcut kayıtların korunması, sonradan alınan bilginin önceki olayla ilişkilendirilmesine yardımcı olur.

Sık sorulan sorular

Hastanede çalışan herkes dosyamı görebilir mi?

Çalışmak sınırsız erişim hakkı vermez. Görev, hizmetin amacı, güncel veri işleme şartları ve gerekli kapsam birlikte değerlendirilir. Teknik sistemin erişime izin vermesi, merak veya kişisel rica nedeniyle incelemeyi kendiliğinden meşrulaştırmaz.

Her erişim için ayrıca açık rızam gerekir mi?

Sağlık verileri için güncel Kanunda farklı işleme şartları bulunmaktadır. Her işlem sadece açık rızaya dayanmaz. Ancak geçerli hukuki sebep, amaç ve veri güvenliği gereklilikleri devam eder; sınırsız erişim sonucu çıkarılamaz.

e-Nabız’da görünen hesap kesin kullanıcı mıdır?

Kayıt belirli hesapla işlem yapıldığını gösterebilir. O hesabı gerçekte kimin kullandığı ayrıca araştırılabilir. Açık oturum veya hesap paylaşımı varsa kurumun güvenlik tedbirleri de inceleme konusu olur; isimden kesin fail sonucu çıkarılmaz.

Hiç gitmediğim kurumdan erişim görünürse ne yapmalıyım?

Görünen tarih ve kurum bilgisini saklayarak veri sorumlusuna somut başvuru yapabilirsiniz. Hangi amaçla ve hangi veri üzerinde işlem yapıldığını sorun. Kimlik karışıklığı iddiası varsa doğrulama ve düzeltme kayıtlarının açıklanması istenebilir.

Bütün logların ham nüshasını alabilir miyim?

Bu sınırsız hak olarak değerlendirilmemelidir. Kendi verinize ilişkin açıklama ve gerekli kayıtlar istenebilir. Başka kişilerin verileri veya sistem güvenliği içeren bölümler için uygun sınırlama ve yetkili merci incelemesi gündeme gelebilir.

Hastane kaç gün içinde cevap vermelidir?

İlgili kişi başvurusu en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Başvurunun doğru veri sorumlusuna ulaşma tarihi kanıtlanmalıdır. Genel hasta hakları konuşmasıyla Kanun kapsamındaki başvurunun koşulları karıştırılmamalıdır.

Kurula şikâyet için süre nedir?

Cevabın öğrenilmesinden itibaren otuz gün ve her durumda veri sorumlusuna başvuru tarihinden itibaren altmış gün sınırı dikkate alınır. Cevap verilmemesi veya geç verilmesi halinde somut takvim üzerinden doğru hesap yapılmalıdır.

Gizlilik ayarım bütün hekimlere açık olsa da başvurabilir miyim?

Genel görünürlük tercihi amaç dışı erişim için sınırsız izin değildir. Erişimin sağlık hizmeti veya başka geçerli amaçla bağlantısı incelenir. Tercih ayarı ile çalışanların hukuki veri işleme sınırları aynı kavram değildir.

Kurulun verdiği para cezası bana ödenir mi?

İdari para cezası hastaya tazminat ödenmesiyle aynı değildir. Somut zarar için uygun yargı yolu ayrıca değerlendirilir. Erişimle kişisel veya ekonomik etki arasındaki bağlantı, tazminat dosyasında açıklanmalıdır.

Logları hastanenin silmesini önlemek için ne isteyebilirim?

Belirli erişim dönemi ve kayıt türlerinin inceleme için korunmasını açıkça talep edebilirsiniz. Gerektiğinde ilgili merci üzerinden kayıt elde etme veya koruma ihtiyacı değerlendirilir. Hastanenin bütün sistemine sınırsız erişim istemekle bu talep karıştırılmamalıdır.

İlgili hukuki konular

Sağlık Verilerinin İzinsiz Paylaşılması ve KVKK Hakları

e-Nabız’da Başka Hastanın Tahlili Görünüyorsa Kayıt Nasıl Düzeltilir?

Resmî kaynaklar

• Hasta Hakları Yönetmeliği; kayıt, mahremiyet ve sır
• KVKK başvuru hakkı
• KVKK şikâyet hakkı
• KVKK 2023/695 sayılı resmi karar özeti
• 2024 Kanun değişiklikleri hakkında resmi duyuru

Yazar: Av. Emirhan Keskin. Bilgilerin kontrol tarihi: 30 Eylül 2026.

Uyuşmazlığınıza ilişkin belgelerle hukuki değerlendirme talep etmek için iletişim sayfasından büromuza ulaşabilirsiniz. Mersin merkezli büromuz, farklı şehirlerdeki dosyaların takibini yetkili mahkeme ve başvuru usullerine göre planlar.

Resmî kaynaklar: Türk Borçlar Kanunu (6098)