Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik Yayımlandı

Sağlık Bakanlığı ("Bakanlık") tarafından hazırlanan Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik ("Yönetmelik"), 27.10.2026 tarihli ve 33413 sayılı Resmî Gazete'de yayımlanmış ve yayımı tarihinde yürürlüğe girmiştir.

Yönetmelik, tıbbi müdahale öncesinde alınması gereken bilgilendirilmiş rızanın elektronik ortamda alınması hâlinde buna ilişkin süreci, rıza formunun hastaya güvenli ve erişilebilir şekilde ulaştırılmasını ve rızanın kayıt altına alınmasını düzenlemektedir.

Bu yazımızda Yönetmeliğin getirdiği süreç ile düzenlemenin kişisel verilerin korunması ve uyum süreçleri bakımından doğurduğu sonuçlar değerlendirilmektedir.

Düzenlemenin Dayanağı ve Kapsamı

Yönetmelik, 1219 sayılı Tababet ve Şuabatı San'atlarının Tarzı İcrasına Dair Kanun'un 70'inci maddesine, 3359 sayılı Sağlık Hizmetleri Temel Kanunu'nun ek 19'uncu maddesine ve 1 sayılı Cumhurbaşkanlığı Teşkilatı Hakkında Cumhurbaşkanlığı Kararnamesi'nin 358'inci maddesine dayanılarak hazırlanmıştır.

Kapsam birinci, ikinci ve üçüncü basamak sağlık tesisleri olarak belirlenmiştir. Düzenlemede kamu ve özel sağlık tesisleri bakımından bir ayrım yapılmamıştır. Bu nedenle özel hastaneler, tıp merkezleri ve poliklinikler ile birinci basamak sağlık hizmeti sunan kuruluşların da kapsam içinde olup olmadığını değerlendirmesi gerektiği düşünülebilir.

Elektronik Rıza Zorunlu Tutulmamıştır

Yönetmeliğin 1'inci maddesi, elektronik rızayı bir zorunluluk olarak değil bir seçenek olarak düzenlemektedir. Madde metninde yer alan "elektronik ortamda alınması hâlinde" ifadesi, kâğıt usulün ortadan kaldırılmadığını göstermektedir.

Nitekim Yönetmelikte hüküm bulunmayan hâllerde Hasta Hakları Yönetmeliği hükümlerinin uygulanacağı da ayrıca düzenlenmiştir.

Yönetmelik yayımı tarihinde yürürlüğe girmiş olup geçiş süresi öngörülmemiştir. Bu nedenle elektronik yöntemi hâlihazırda kullanan veya kullanmaya başlayacak olan sağlık tesislerinin sürecini bu tarihten itibaren Yönetmeliğe uygun şekilde kurması gerekmektedir.

Kimlik Doğrulama Olmadan Süreç Başlatılamaz

Yönetmeliğin 6'ncı maddesi, tıbbi müdahale öncesinde hem hastanın hem de süreci yürüten sağlık meslek mensubunun kimliğinin doğrulanmasını aramaktadır. Aynı maddede kimlik doğrulama süreci başarıyla tamamlanmadan elektronik rıza sürecinin başlatılamayacağı açıkça belirtilmiştir.

Hastanın kimlik doğrulaması, sağlık tesisinin tabi olduğu mevzuat ile Bakanlıkça yayımlanan hastaların doğru tanımlanmasına ilişkin kalite standartlarına göre yürütülmektedir. Tıbbi müdahalenin Sosyal Güvenlik Kurumu tarafından geri ödeme kapsamında olması hâlinde 5510 sayılı Kanun ve Sağlık Uygulama Tebliğindeki kimlik tespiti düzenlemelerinin de dikkate alınması öngörülmüştür.

Sağlık meslek mensubu bakımından ise kimlik tespitine ilişkin süreçlerin kendi mevzuatına göre yürütülmesi ve ilgili kişinin Entegre Kurumsal İşlem Platformunda tanımlı ve aktif olması aranmaktadır. Bu şart, yetkisi bulunmayan veya tanımı güncel olmayan personel üzerinden rıza alınmasının önüne geçmeyi amaçlamaktadır.

Doğrulanmış Cep Telefonu Numarası Şartı ve On İki Aylık Süre

Elektronik rızanın alınabilmesi için hastanın doğrulanmış cep telefonu numarasının bulunması gerekmektedir. Doğrulama yöntemi kullanılan kanala göre farklılaşmaktadır.

Rızanın e-Nabız üzerinden alınması hâlinde numaranın e-Nabız vasıtasıyla doğrulanmış olması aranmaktadır. Doğrulanmış numara bulunmuyorsa numara e-Nabızdaki ilgili alana girilmekte ve gönderilen tek kullanımlık parola hasta tarafından sisteme girilerek doğrulama tamamlanmaktadır.

Rızanın sağlık tesisinin elektronik haberleşme aracı üzerinden alınacağı durumlarda numaranın tesisin sağlık bilgi yönetim sisteminde doğrulanmış olarak bulunması gerekmektedir. Numara bulunmuyorsa hastaya tek kullanımlık parola gönderilmekte, hasta parolayı sağlık meslek mensubuna beyan etmekte ve sağlık meslek mensubu parolayı tesisin aracı vasıtasıyla çevrim içi olarak iletmektedir.

Bu yolla doğrulanan numaranın doğrulama tarihinden itibaren on iki ay süreyle tesisin kayıtlarına doğrulanmış numara olarak kaydedileceği, sürenin bitiminden sonra yeniden doğrulama yapılması gerekeceği düzenlenmiştir. Söz konusu on iki aylık sürenin aynı zamanda bir saklama ve geçerlilik süresi niteliği taşıdığı, bu nedenle tesisin saklama ve imha politikası ile kişisel veri işleme envanterinde ayrı bir kalem olarak gösterilmesinin değerlendirilebileceği düşünülmektedir.

Rızanın Alınması Süreci ve Tek Kullanımlık Parola

Yönetmeliğin 8'inci maddesi süreci ayrıntılı biçimde düzenlemektedir. Rıza, e-Nabız üzerinden veya sağlık tesisinin elektronik haberleşme aracı vasıtasıyla alınmaktadır.

Süreci yürüten sağlık meslek mensubu, tesisin kullandığı araca kullanıcı adı ve şifre veya Bakanlıkça belirlenen diğer kimlik doğrulama yöntemlerinden biriyle giriş yapmaktadır. Bilgilendirilmiş rıza formu bu araçlardan biri yoluyla onaylanarak hastanın erişimine sunulmakta, erişim ise hastanın doğrulanmış cep telefonuna gönderilen kısa mesaj içindeki bağlantı veya e-Nabız üzerinden sağlanmaktadır.

Hastanın formu incelemesi ve tıbbi müdahaleyi kabul etmesi hâlinde, doğrulanmış numarasına yalnızca ilgili tıbbi müdahale kapsamında kullanılmak üzere üretilen tek kullanımlık parola iletilmektedir. Parolanın müdahaleye özgü olarak üretildiğinin açıkça düzenlenmiş olması nedeniyle, tek bir parola ile birden fazla müdahale için rıza alınmasının Yönetmelikle bağdaşmayacağı değerlendirilebilir.

Rıza iradesinin beyanı kullanılan kanala göre değişmektedir. e-Nabız üzerinden alınan rızada hasta parolayı ilgili sekmeye doğrudan kendisi girmektedir. Tesisin elektronik haberleşme aracı üzerinden alınan rızada ise hasta parolayı sağlık meslek mensubu ile paylaşmakta, parola sağlık meslek mensubu tarafından çevrim içi olarak iletilmektedir.

Bilgilendirilmiş rıza, bu doğrulama işleminin gerçekleştirilmesi ile alınmış sayılmaktadır. Rızaya ilişkin form ise Bakanlığın merkezi sağlık veri sistemine aktarılmakta ve e-Nabız üzerinden hastanın erişimine sunulmaktadır.

Kayıtların Tutulması, Saklama Süresi ve İspat

Saklama bakımından Yönetmelikle yeni bir süre getirilmemiştir. Elektronik ortamda alınan rızaya ilişkin kayıtlar ile iz kayıtlarının, kâğıt ortamda alınan rıza belgelerinin tabi olduğu saklama ve imha sürelerine uygun olarak saklanacağı ve imha edileceği düzenlenmiştir. Mevcut süreler geçerliliğini korumaktadır.

İz kayıtlarının gizliliği, erişilebilirliği, güvenliği ve bütünlüğü sağlanarak tutulması aranmaktadır. Bu kayıtların elektronik veri bütünlük değeri ve 5070 sayılı Elektronik İmza Kanunu'nda tanımlanan zaman damgası kullanılarak adli ve idari inceleme ile denetime elverişli şekilde muhafaza edilmesi öngörülmüştür.

Yönetmelik ayrıca ispata elverişlilik bakımından asgari olarak tutulması gereken kayıtları saymıştır. Bunlar hastanın rıza iradesini beyan ettiği tarih, saat ve işlem bilgileri, parolanın gönderilmesi ve doğrulanmasına ilişkin bilgiler, işlemi gerçekleştiren sağlık meslek mensubuna ilişkin bilgiler ile şifreleme, bütünlük, zaman damgası ve diğer güvenlik tedbirlerine ilişkin bilgilerdir. Tesisin elektronik haberleşme aracı vasıtasıyla yapılan tüm işlem kayıtlarının ise ilgili sağlık tesisi tarafından muhafaza edilmesi gerekmektedir.

Bu düzenlemelerin ağırlık merkezinin, rızanın alınmasından çok rızanın kime ait olduğunun doğrulanması ve işlemin sonradan ispat edilebilmesi olduğu söylenebilir. Tesis aracı üzerinden alınan rızada parolanın hastadan sağlık meslek mensubuna sözlü olarak beyan edilmesi öngörüldüğü için, bu kanalda iz kayıtlarının eksiksiz tutulması ispat bakımından daha da önem taşımaktadır.

Bilgi Güvenliği ve Siber Güvenlik Kanunu ile İlişki

Yönetmeliğin 10'uncu maddesi, Bakanlık ve sağlık tesisinin elde ettiği bilgi ve belgeler ile yapılan işlemlere ve iz kayıtlarına ilişkin güvenliği sağlamak üzere 7545 sayılı Siber Güvenlik Kanunu, ilgili mevzuat ile ulusal ve uluslararası standartlara uygun olarak gerekli her türlü teknik ve idari tedbiri almasını öngörmektedir. Aynı maddede veri erişim yetkilerinin görev ve sorumluluk sınırları çerçevesinde belirlenmesi ve denetlenmesi de ayrıca aranmıştır.

Erişim yetkilerinin yalnızca belirlenmesinin değil denetlenmesinin de arandığı dikkate alındığında, tesislerin yetki matrisini yazılı hâle getirmesi ve periyodik yetki gözden geçirme kayıtlarını tutması önem taşıyacaktır.

Kişisel Verilerin Korunması Bakımından Öne Çıkan Hususlar

Yönetmeliğin 10/2 maddesi, kapsamdaki kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") ve 3359 sayılı Kanun'un ek 19'uncu maddesine uygun olarak işlenmesini ve gerekli idari ve teknik tedbirlerin alınmasını öngörmektedir. Düzenlemenin uygulanmasında aşağıdaki hususların öne çıktığı değerlendirilmektedir.

Öncelikle Yönetmelikteki bilgilendirilmiş rıza ile Kanun kapsamındaki açık rızanın birbirinden farklı kurumlar olduğunun gözetilmesi gerekmektedir. Yönetmelikteki rıza, tıbbi müdahaleye onam niteliğinde olup 1219 sayılı Kanun ve Hasta Hakları Yönetmeliği çerçevesinde değerlendirilmektedir. Kanun'un 6'ncı maddesinde ise sağlık verilerinin tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi ayrı bir işleme şartı olarak düzenlenmiştir. Bu nedenle tedavi sürecindeki veri işlemenin hukuki sebebinin kural olarak açık rıza olmadığı değerlendirilebilir. Onam formu ile aydınlatma metninin ayrı belgeler olarak tutulması, iki rızanın tek bir metinde birleştirilmemesi yerinde olacaktır. Aksi hâlde onamın geri alınmasının veri işlemenin hukuki sebebini de sona erdirdiği yönünde bir izlenim doğabilecektir.

Aydınlatma yükümlülüğü bakımından da güncelleme ihtiyacı doğmaktadır. Elektronik yönteme geçilmesi, hastaya gönderilen kısa mesaj, erişim bağlantısı, parola doğrulaması ve iz kaydı tutulması adımlarını içeren yeni bir veri işleme akışı yaratmaktadır. Kanun'un 10'uncu maddesi kapsamındaki aydınlatma metinlerinin bu akışı yansıtacak şekilde gözden geçirilmesi gerekmektedir.

Sağlık verileri özel nitelikli kişisel veri niteliği taşıdığından, Kanun'un 6'ncı maddesi uyarınca Kurulun belirlediği yeterli önlemlerin alınması da şarttır. Kurulun 31.01.2018 tarihli ve 2018/10 sayılı kararında sayılan önlemler arasında ayrı bir politika ve prosedürün bulunması, erişim yetkilerinin sınırlandırılması, verilerin elektronik ortamda kriptografik yöntemlerle saklanması, erişim kayıtlarının düzenli olarak tutulması ve uzaktan erişim gerekiyorsa iki kademeli kimlik doğrulama sisteminin sağlanması yer almaktadır. Yönetmelikteki tek kullanımlık parola mekanizması ile iz kaydı yükümlülüğünün bu önlemlerle önemli ölçüde örtüştüğü görülmektedir. Bu nedenle tesislerin Yönetmelik uyumunu, söz konusu karar kapsamındaki yükümlülükleriyle birlikte tek bir belgelendirme üzerinden yürütmesi önerilebilir.

Tedarikçi ilişkileri de ayrıca değerlendirilmelidir. Sağlık bilgi yönetim sistemi sağlayıcısı, kısa mesaj gönderim hizmeti sağlayıcısı ve tesisin elektronik haberleşme aracının altyapısını sunan tedarikçiler, somut duruma göre veri işleyen konumunda bulunabilecektir. Kanun'un 12'nci maddesi uyarınca veri güvenliğine ilişkin yükümlülüklerde veri sorumlusu ile veri işleyenin müştereken sorumlu olduğu dikkate alındığında, tedarikçi sözleşmelerinde veri işleyen hükümlerinin, iz kaydı tutma ve saklama yükümlülüklerinin ve alt işleyen kullanımının açıkça düzenlenmesi önem taşımaktadır.

Son olarak, elektronik rıza süreci yeni bir işleme faaliyeti oluşturmaktadır. Doğrulanmış cep telefonu numarası kaydı, parola gönderim ve doğrulama kayıtları, iz kayıtları ve merkezi sağlık veri sistemine aktarım kalemlerinin kişisel veri işleme envanterine ve VERBİS kayıtlarına işlenmesi gerekmektedir. İz kayıtlarının kendisinin de kişisel veri içerdiği gözetilerek bu kayıtların saklama ve imha politikasına dâhil edilmesi uygun olacaktır.

Küçük ve Kısıtlı Hastalar

Hasta tarafından gerçekleştirilecek işlemlerin, hastanın küçük veya kısıtlı olması hâlinde kanuni temsilcisi tarafından Hasta Hakları Yönetmeliği'ne uygun olarak gerçekleştirileceği düzenlenmiştir. Hasta bakımından öngörülen kimlik ve cep telefonu numarasının doğrulanmasına ilişkin hükümler kanuni temsilci için de uygulanmaktadır.

Yönetmeliğin 11/3 maddesi, kanuni temsilcinin bulunmadığı, hazır bulunamadığı veya elektronik ortamda doğrulanamadığı durumlarda rızanın elektronik olarak alınamayacağını belirtmektedir. Bu hâllerde kâğıt usule dönülmesi gerekeceğinden, tesislerin uygulanacak yedek süreci yazılı olarak belirlemesi ve ilgili personeli bu konuda bilgilendirmesi önerilebilir.

Sağlık Tesisleri Bakımından Yapılması Gerekenler

Yönetmelik sonrasında sağlık tesislerinin aşağıdaki başlıkları gözden geçirmesi önem taşımaktadır:

• Elektronik rıza yönteminin kullanılıp kullanılmayacağına karar verilmesi ve kullanılacaksa süreç akışının adım adım yazılı hâle getirilmesi.
• Kimlik doğrulama adımının süreç başlatılmasından önce teknik olarak zorunlu kılınması ve doğrulama tamamlanmadan rıza formunun gönderilememesinin sağlanması.
• Sağlık meslek mensuplarının Entegre Kurumsal İşlem Platformundaki tanım ve aktiflik durumunun periyodik olarak kontrol edilmesi.
• Doğrulanmış cep telefonu numaralarına ilişkin on iki aylık geçerlilik süresinin sistemde takip edilmesi ve süre sonunda yeniden doğrulamayı tetikleyecek bir uyarı mekanizmasının kurulması.
• Tek kullanımlık parolanın yalnızca ilgili tıbbi müdahale için üretilmesinin ve tekrar kullanılamamasının teknik olarak güvenceye alınması.
• İz kayıtlarında Yönetmelikte sayılan asgari içeriğin eksiksiz tutulması ve kayıtlara elektronik veri bütünlük değeri ile zaman damgası uygulanması.
• Elektronik rıza kayıtlarının saklama ve imha süresinin kâğıt rıza belgeleriyle aynı şekilde belirlenmesi ve saklama ve imha politikasının bu yönde güncellenmesi.
• Onam formu ile aydınlatma metninin ayrı belgeler olarak düzenlenmesi ve tek bir metinde birleştirilmemesi.
• Aydınlatma metninin elektronik rıza akışını, kısa mesaj gönderimini, parola doğrulamasını ve iz kaydı tutulmasını kapsayacak şekilde güncellenmesi.
• Sağlık bilgi yönetim sistemi sağlayıcısı ile kısa mesaj gönderim hizmeti sağlayıcısı başta olmak üzere ilgili tedarikçilerle veri işleyen ilişkisinin sözleşmeyle düzenlenmesi.
• Kişisel veri işleme envanteri ile VERBİS kayıtlarına yeni işleme faaliyetlerinin ve merkezi sağlık veri sistemine aktarım kaleminin eklenmesi.
• Erişim yetkilerinin görev tanımlarına göre sınırlandırılması, yetki matrisinin yazılı hâle getirilmesi ve periyodik yetki gözden geçirmelerinin kayda alınması.
• Kanuni temsilcinin bulunmadığı veya doğrulanamadığı hâllerde uygulanacak kâğıt usule geçiş adımının yazılı hâle getirilmesi.

Sonuç ve Değerlendirme

Yönetmelik, uygulamada hâlihazırda yürütülen elektronik onam süreçlerine hukuki bir çerçeve kazandırmakta ve bu süreçleri kimlik doğrulama, parola ile irade beyanı ve iz kaydı olmak üzere üç temel unsura bağlamaktadır.

Uygulamada iki noktanın tartışma yaratabileceği değerlendirilebilir. İlki, tesisin elektronik haberleşme aracı üzerinden alınan rızada parolanın hastadan sağlık meslek mensubuna sözlü olarak beyan edilmesidir. Bu yöntem, Yönetmeliğin 5'inci maddesinde yer alan rızanın ilgili kişiye ait olduğunun güvenilir yöntemlerle doğrulanması ve işlemlerin inkâr edilemezliğinin sağlanması ilkesiyle gerilim yaratabilecek niteliktedir. İkincisi, kayıt ve güvenlik standartlarının Yönetmelikte ayrıntılı biçimde belirlenmemiş olmasıdır. Yönetmeliğin 12'nci maddesi, iz kaydı standartları, zaman damgası ve şifreleme yöntemleri ile parola altyapısının temini gibi hususlarda ilave usul ve esasları belirleme yetkisini Bakanlığa tanımaktadır. Bu nedenle tesislerin ikincil düzenlemeleri ve Bakanlık talimatlarını takip etmesi gerekecektir.

Sağlık tesislerinin temel kontrol sorusunun şu şekilde kurulması önerilebilir: "Bilgilendirilmiş rızayı elektronik ortamda alıyor muyuz, alıyorsak kimlik ve cep telefonu doğrulaması teknik olarak zorunlu hâle getirilmiş midir, iz kayıtlarımız Yönetmelikte sayılan asgari içeriği bütünlük değeri ve zaman damgasıyla birlikte taşımakta mıdır ve bu süreci aydınlatma metinlerimize, envanterimize ve tedarikçi sözleşmelerimize işledik mi?"

Bu sorulara net bir cevap bulunmuyorsa, mevcut elektronik onam akışının Yönetmelik maddeleriyle karşılaştırmalı olarak haritalanması öncelikli adım olacaktır.

Konuya ilişkin detaylara Resmî Gazete'de yayımlanan "Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik" üzerinden ulaşabilirsiniz.