27 Ekim 2026 tarihli ve 33413 sayılı Resmî Gazete’de yayımlanan Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik, sağlık kuruluşlarında tıbbi müdahale öncesinde alınan hasta rızasının elektronik ortamda oluşturulması, doğrulanması ve saklanmasına ilişkin usulleri düzenledi. Yeni düzenleme, hastanın yalnızca bir SMS mesajını onaylamasından ibaret değildir; kimlik doğrulama, tıbbi bilgilendirme, işleme özel onay, Bakanlığın merkezi sağlık veri sistemine aktarım ve güvenli arşivleme adımlarının birlikte yürütülmesini gerektirir. Bu rehberde uygulama sürecini, ihtiyaç duyulan yazılım altyapısını ve KVKK yükümlülüklerini açıklıyoruz.
Yönetmeliğin Künyesi ve Yürürlük Tarihi
Düzenleme: Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik
Yayımlayan: Sağlık Bakanlığı
Resmî Gazete: 27.10.2026, sayı 33413
Yürürlük: 27 Ekim 2026 (madde 14)
Kapsam: Birinci, ikinci ve üçüncü basamak sağlık tesisleri (madde 2).
Yönetmeliğin resmî metnini inceleyin
Yönetmelik elektronik yöntemi düzenlemektedir; bu hüküm, tüm sağlık tesisleri için aynı tarihte yalnızca elektronik onam kullanılacağı veya kâğıt onamın kaldırıldığı anlamına gelmez. Yönetmelikte genel bir zorunlu dönüşüm takvimi veya geçiş süresi öngörülmemiştir.
Değişikliğin Kısa Özeti
Elektronik onam, doğrulanabilir bir sağlık işlemi kaydıdır
- Hasta ve işlemi yürüten sağlık meslek mensubunun kimliği doğrulanır.
- Hasta, ilgili müdahaleye ait bilgilendirilmiş rıza formunu inceler.
- Onay, doğrulanmış telefon numarasına gönderilen işlem özelindeki SMS OTP ile alınır.
- Onam formu Bakanlığın merkezi sağlık veri sistemine aktarılır ve e-Nabız’dan erişilebilir hâle getirilir.
- Onay ve iz kayıtları veri bütünlük değeri ve zaman damgası kullanılarak korunur.
- Tıbbi müdahaleye rıza, KVKK anlamında kişisel veri işleme açık rızasıyla aynı kavram değildir.
Elektronik Hasta Rızası Nasıl Alınacak?
Yönetmeliğin 6–8. maddeleri, elektronik onam için iki kanalı tanımlar: e-Nabız ve sağlık tesisinin elektronik haberleşme aracı. İkinci yöntemde kullanılan araç; kurum envanterine kayıtlı, sağlık tesisinin Sağlık Bilgi Yönetim Sistemine (SBYS) bağlı ve elektronik veri iletişimi yapabilen bir araç olmalıdır.
- Kimlik doğrulama: Hasta, sağlık tesisinin tabi olduğu kurallar uyarınca doğrulanır. Sağlık meslek mensubunun da yetkili olması ve Entegre Kurumsal İşlem Platformunda aktif tanımlanması gerekir.
- Telefon doğrulama: Hastaya ait doğrulanmış cep telefonu numarası bulunmalıdır. İlgili yönteme göre e-Nabız veya sağlık tesisi SBYS kaydı kullanılır.
- Bilgilendirme: Sağlık meslek mensubu ilgili müdahaleye ilişkin formu onaylayarak hastanın erişimine sunar. Hastanın yeterli, anlaşılır ve zamanında bilgilendirilmesi esastır.
- Formun incelenmesi: Form e-Nabız veya doğrulanmış numaraya gelen SMS içindeki bağlantı üzerinden incelenir.
- Onay: Hasta müdahaleyi kabul ediyorsa ilgili müdahaleye özel SMS OTP gönderilir. e-Nabız kanalında hasta kodu kendisi girer; tesisin elektronik haberleşme aracı kanalında kodu sağlık meslek mensubuna bildirir ve görevli kodu sisteme iletir.
- Merkezi kayıt: Onam formu Bakanlığın merkezi sağlık veri sistemine aktarılır ve e-Nabız üzerinden hastaya sunulur.
Önemli: Telefon numarasının doğrulanması ile tıbbi müdahaleye ilişkin rızanın doğrulanması iki ayrı aşamadır. Önceden doğrulanmış telefon numarası, her tıbbi müdahaleye kendiliğinden rıza verildiği anlamına gelmez.
SMS Doğrulaması ve 12 Aylık Süre Nasıl İşler?
Yönetmeliğin 7. maddesi uyarınca, sağlık tesisinin elektronik haberleşme aracıyla doğruladığı telefon numarası, doğrulama tarihinden itibaren 12 ay süreyle doğrulanmış numara olarak kaydedilir. Bu süre dolduğunda aynı kanalla yeni bir elektronik onam alınacaksa telefon numarası yeniden doğrulanır.
Bu süre onamın 12 ay geçerli olması şeklinde yorumlanmamalıdır. Bir müdahaleye ilişkin onam, kendi tıbbi kapsamı içerisinde değerlendirilir. SMS OTP de yalnızca ilgili tıbbi müdahale için oluşturulur.
Elektronik Rıza ve İşlem Kayıtları Nasıl Saklanacak?
Kısa cevap: Elektronik onam ve işlem izleri, kâğıt onamla uyumlu saklama-imha sürelerinde; bütünlüğü ve zaman bilgisi doğrulanabilir, erişimleri denetlenebilir biçimde korunmalıdır (m. 9).
Yönetmeliğin 9. maddesi, elektronik rıza kayıtları ile iz kayıtlarının, aynı türdeki fiziksel onam belgelerine uygulanan saklama ve imha sürelerine uygun yönetilmesini öngörür. Yönetmelik tüm sağlık kuruluşları için tek ve sabit bir yıl sayısı belirlememiştir.
| Kayıt / kontrol | Aranan özellik | Dayanak |
|---|---|---|
| Rıza beyanı | Tarih, saat ve işlem bilgisi | Md. 9/3-a |
| SMS OTP | Gönderim ve doğrulama bilgileri | Md. 9/3-b |
| Sağlık çalışanı | İşlemi gerçekleştiren kişiye ilişkin bilgiler | Md. 9/3-c |
| Teknik güvenlik | Şifreleme, bütünlük, zaman damgası ve güvenlik tedbirlerine ilişkin bilgiler | Md. 9/2–3 |
| Arşiv ve imha | Fiziksel onamla uyumlu saklama ve imha takvimi | Md. 9/1 |
Hash değeri kayıt bütünlüğünün kontrolüne; zaman damgası elektronik verinin zamanına ilişkin ispatın desteklenmesine hizmet eder. Bu tedbirler, sağlık kuruluşunun erişim kontrolü, yedekleme, iş sürekliliği, log yönetimi ve güvenli imha süreçlerinin yerini almaz.
Sağlık tesisinin elektronik haberleşme aracıyla gerçekleştirilen tüm işlem kayıtları ilgili sağlık tesisi tarafından muhafaza edilmelidir (madde 9/4).
Elektronik Hasta Onamı İçin Hangi Yazılım Kullanılabilir?
Elektronik hasta onamında özel yazılım veya mevcut SBYS/HBYS içinde elektronik onam modülü kullanılabilir. Ancak yönetmelik belirli bir markayı zorunlu tutmaz. Bir çözümün uygunluğu, sadece SMS gönderip PDF üretmesine değil; sağlık tesisinin SBYS altyapısına bağlantısına, kimlik doğrulamasına, merkezi sağlık veri sistemine aktarıma, e-Nabız erişimine ve iz kayıtlarının güvenliğine bağlıdır (Yönetmelik m. 4, 6–9).
Bağımsız elektronik onam yazılımı tek başına yeterli mi?
Her durumda değil. Tedarik edilen bağımsız yazılımın kurum envanterine kayıtlı elektronik haberleşme aracı ve sağlık tesisinin SBYS bağlantısı üzerinden yönetmeliğin öngördüğü iş akışını desteklediği; merkezi aktarımın gerçekten yapıldığı ve sağlık çalışanı yetkilendirmesinin çalıştığı gösterilmelidir. Bağımsız uygulamanın varlığı bu şartların sağlandığına tek başına kanıt değildir.
Yazılım tedarikçisine sorulması gereken sorular
- Çözüm, sağlık tesisinin kayıtlı SBYS’sine hangi yöntemle bağlanıyor ve merkezi sağlık veri sistemine aktarımı nasıl doğruluyor?
- Sağlık meslek mensubu yetki ve kimlik kontrolü Entegre Kurumsal İşlem Platformuyla uyumlu mu?
- Telefon numarası doğrulaması ile her müdahaleye özel SMS OTP birbirinden ayrılıyor mu?
- Formun hastaya sunulduğu sürüm, işlem zamanı, OTP doğrulaması, personel bilgisi ve değişiklik izleri saklanıyor mu?
- Hash, zaman damgası, şifreleme, rol bazlı erişim ve log güvenliği hangi tekniklerle sağlanıyor?
- Veri işleyen ilişkisi, sözleşme, alt yükleniciler, yurt dışı aktarım ihtimali ve silme-imha süreçleri nasıl yönetiliyor?
- Bakanlığın m. 12 kapsamında belirleyeceği ilave teknik kurallara uyarlama nasıl yapılacak?
Uygulama önerisi: Sağlık tesisi, yazılım sağlayıcısından demo ekranından önce resmî entegrasyon durumunu, teknik iş akışını ve veri güvenliği dokümantasyonunu yazılı olarak istemelidir. Bu öneri, yönetmelikte ayrı bir ürün sertifikası zorunluluğu bulunduğu anlamına gelmez.
Elektronik Hasta Onamının KVKK ile İlişkisi
Kısa cevap: Tıbbi müdahaleye verilen elektronik onam, sağlık verilerinin KVKK kapsamında işlenmesi için alınan açık rızayla aynı şey değildir. Her veri işleme faaliyeti için hukuki sebep ayrıca belirlenir (KVKK m. 6; Yönetmelik m. 10).
Tıbbi bilgilendirilmiş rıza, hastanın yapılacak müdahaleyi yeterince bilgilendirilerek ve serbest iradesiyle kabul etmesidir. KVKK kapsamında açık rıza ise kişisel verilerin işlenmesine ilişkin belirli hukuki sebeplerden biridir. İki kavram birbirinin yerine kullanılamaz.
Sağlık verileri özel nitelikli kişisel veridir. Bu verilerin işlenmesinin hukuki dayanağı, işleme amacına ve 6698 sayılı Kanun’un 6. maddesindeki şartlara göre ayrıca değerlendirilmelidir. Yönetmeliğin 10. maddesi de KVKK ve 3359 sayılı Kanun’un ek 19. maddesine uygun veri işlenmesini ve gerekli teknik-idari tedbirlerin alınmasını öngörür.
| Konu | Tıbbi bilgilendirilmiş rıza | KVKK açık rızası |
|---|---|---|
| Amaç | Tıbbi müdahaleyi kabul etmek | Belirli kişisel veri işleme faaliyetine izin vermek |
| Hukuki çerçeve | Hasta hakları ve sağlık mevzuatı | 6698 sayılı Kanun |
| Sonuç | İlgili müdahale yönünden rıza beyanı kaydı | Şartları varsa veri işleme hukuki sebebi |
Sağlık kuruluşunun ayrıca değerlendirmesi gereken alanlar
- Aydınlatma: Hastaya hangi verilerin, hangi amaçlarla, hangi hukuki sebeplere dayanılarak işlendiğinin anlaşılır biçimde bildirilmesi.
- Veri işleme envanteri: Hasta onamı, doğrulama telefonu, erişim ve işlem kayıtlarının envantere yansıtılması.
- Yetkilendirme: Sağlık çalışanı ve teknik personelin yalnızca görevleriyle sınırlı verilere erişebilmesi.
- Tedarikçi yönetimi: Yazılım ve barındırma sağlayıcılarının veri işleme rollerinin ve sözleşmesel güvenlik yükümlülüklerinin belirlenmesi.
- Saklama-imha: Onam ve log kayıtları için dayanaklı sürelerin uygulanması; süre dolduğunda hukuka uygun imha.
- İhlal yönetimi: Olası yetkisiz erişim, yanlış hasta eşleştirmesi veya veri sızıntısında olay müdahale sürecinin işletilmesi.
Çocuklar ve Kısıtlı Hastalarda Elektronik Onam
Yönetmeliğin 11. maddesi uyarınca küçük veya kısıtlı hastalar için gerekli işlemler Hasta Hakları Yönetmeliğine uygun olarak kanuni temsilci tarafından yerine getirilir. Kimlik ve telefon numarası doğrulama hükümleri temsilci için de geçerlidir. Kanuni temsilcinin bulunmadığı, hazır olmadığı veya elektronik ortamda doğrulanamadığı durumda elektronik yöntemle bilgilendirilmiş rıza alınamaz. Bu durumun klinik ve hukuki sonucu, ilgili hasta hakları hükümleri çerçevesinde ayrıca değerlendirilmelidir.
Özel Hastane, Tıp Merkezi ve Klinikler İçin Uygulama Kontrol Listesi
- Hangi müdahalelerde bilgilendirilmiş rıza alındığını ve mevcut formların güncelliğini belirleyin.
- Mevcut HBYS/SBYS sağlayıcısından elektronik onam modülünün kapsamını ve resmi entegrasyon durumunu yazılı isteyin.
- Hasta ve sağlık çalışanı kimlik doğrulama akışını ayrı ayrı test edin.
- Telefon doğrulaması, 12 aylık süre takibi ve her müdahale için ayrı OTP üretimini doğrulayın.
- Formun hastaya gösterildiğine, onayın alındığına ve merkezi sisteme aktarıldığına ilişkin kanıtları kontrol edin.
- Log, hash, zaman damgası, yetkilendirme, yedekleme ve arşivleme süreçlerini gözden geçirin.
- KVKK aydınlatma metinlerini, işleme envanterini, tedarikçi sözleşmelerini ve saklama-imha politikasını güncelleyin.
- Çocuklar, kısıtlılar, teknik kesinti ve telefon doğrulanamaması gibi istisnai senaryolar için prosedür oluşturun.
- Personelin tıbbi bilgilendirme görevinin yalnızca dijital form gönderilerek tamamlanmadığını eğitimlerle vurgulayın.
Risk değerlendirmesi: Eksik bilgilendirme veya kimlik doğrulama, onamın ispatını ve hasta haklarını etkileyebilir; zayıf erişim kontrolü veya uygunsuz veri aktarımı KVKK bakımından ayrıca değerlendirilir. Yönetmelik, bu ihlaller için kendine özgü sabit bir idari para cezası listesi öngörmemektedir. Somut olayda ilgili hasta hakları, sağlık ve kişisel veri koruma mevzuatı uygulanabilir.
Sık Sorulan Sorular
1. Elektronik hasta onamı bütün sağlık kuruluşları için zorunlu hâle mi geldi?
Yönetmelik, elektronik yöntem kullanıldığında uygulanacak kuralları belirler. Bütün kuruluşların kâğıt onamı terk ederek yalnız elektronik yönteme geçmesini şart koşan genel bir hüküm içermez.
2. Hasta yalnızca SMS'e cevap vererek rıza verebilir mi?
Hayır. Yönetmelikte öngörülen kimlik ve telefon doğrulama, forma erişim, ilgili müdahaleye özel SMS OTP ve sistem üzerinden doğrulama aşamalarının tamamlanması gerekir.
3. Elektronik onam için e-imza şart mı?
Yönetmeliğin 8. maddesi, bilgilendirilmiş rıza iradesinin tanımlanan SMS OTP doğrulamasıyla alınmış sayılacağını düzenler. Bu prosedürde hastaya ayrıca nitelikli elektronik imza zorunluluğu öngörülmemiştir.
4. Telefon numarası bir kere doğrulandıktan sonra bütün onamlar geçerli mi?
Hayır. Sağlık tesisinin elektronik haberleşme aracında telefon doğrulaması 12 ay süreyle kullanılabilir; ancak her müdahale için ayrı bilgilendirme ve o işleme özgü rıza doğrulaması gerekir.
5. Özel bir dijital onam yazılımı tek başına yeterli olur mu?
Ürünün SBYS bağlantısı, Bakanlığın merkezi sistemine aktarım, e-Nabız erişimi, kimlik doğrulama ve kayıt güvenliği gerekliliklerini karşılaması gerekir. Yalnızca SMS gönderme veya PDF arşivleme yeterlilik kanıtı değildir.
6. Elektronik onam formu e-Nabız'da görülebilir mi?
Evet. Yönetmeliğin 8/9. maddesi, elektronik ortamda alınan formun merkezi sağlık veri sistemine aktarılmasını ve e-Nabız üzerinden hastanın erişimine sunulmasını düzenler.
7. Elektronik onam kayıtları kaç yıl saklanır?
Yönetmelik her kayıt için ortak bir yıl sayısı vermez; aynı türdeki fiziksel bilgilendirilmiş rıza belgelerinin saklama ve imha sürelerine gönderme yapar.
8. Elektronik hasta onamı KVKK açık rızası yerine geçer mi?
Hayır. Tıbbi müdahaleye ilişkin bilgilendirilmiş rıza ile kişisel verilerin işlenmesi bakımından KVKK açık rızası farklı hukuki kavramlardır. Veri işleme faaliyeti için uygun hukuki sebep ayrı belirlenmelidir.
9. Çocuk veya kısıtlı hastada elektronik rıza alınabilir mi?
Kanuni temsilcinin kimliği ve telefonu doğrulanarak, Hasta Hakları Yönetmeliği hükümleri çerçevesinde alınabilir. Temsilci yoksa, hazır değilse veya elektronik ortamda doğrulanamıyorsa bu yöntem kullanılamaz.
10. Sağlık kuruluşu yazılım sağlayıcısıyla KVKK bakımından ne yapmalı?
Veri sorumlusu/veri işleyen rolleri, erişim yetkileri, saklama, veri güvenliği, alt hizmet sağlayıcılar ve varsa yurt dışı aktarım süreçleri somut sisteme göre değerlendirilmelidir.
11. Hasta bilgilendirme yapılmadan OTP kodunu girerse yeterli olur mu?
Salt OTP doğrulaması, mevzuattaki bilgilendirme yükümlülüğünü ortadan kaldırmaz. Hastanın tıbbi müdahaleye ilişkin yeterli ve anlaşılır bilgiye dayanarak serbest iradeyle karar vermesi esastır.
12. Bakanlık yeni teknik kurallar belirleyebilir mi?
Evet. Yönetmeliğin 12. maddesi, iz kayıtları, şifreleme, zaman damgası, SMS OTP altyapısı ve uygulama hakkında ek usul ve esaslar belirleme yetkisi verir.
Mevzuat ve Resmî Kaynaklar
Birincil mevzuat ve kurum kaynakları
- Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik — Resmî Gazete, 27.10.2026, sayı 33413Özellikle madde 2, 4, 6–12 ve 14. Elektronik onam yöntemi, kimlik ve telefon doğrulama, güvenli kayıt, KVKK ve yürürlük.
- Mevzuat Bilgi Sistemi6698 sayılı Kişisel Verilerin Korunması Kanunu (özellikle m. 4, 5, 6, 10, 12), Hasta Hakları Yönetmeliği ve sağlık mevzuatının güncel hükümleri.
- Kişisel Verileri Koruma KurumuÖzel nitelikli kişisel veriler, aydınlatma yükümlülüğü, veri güvenliği ve ilgili Kurul kararları.
- Sağlık Bakanlığı Kayıt ve Tescil SistemiSağlık bilgi yönetim sistemlerine ilişkin kayıt, tescil ve teknik duyurular.
Kaynak kullanımı: Bu rehber 27 Ekim 2026 tarihli yönetmelik metni esas alınarak hazırlanmıştır. Yazılım sağlayıcısının teknik yeterliliği, Bakanlığın yayımlayabileceği güncel entegrasyon kuralları dikkate alınarak ayrıca doğrulanmalıdır.
Sonuç: Elektronik Onam Bir Yazılımdan Daha Fazlasıdır
Yeni yönetmelik, hasta bilgilendirilmiş rızasının elektronik ortamda alınmasına hukuki ve teknik bir çerçeve getiriyor. Bunun merkezinde işlemi yapan personelin doğrulanması, hastanın müdahaleye ilişkin bilgilendirilmesi, işleme özel SMS OTP doğrulaması ve onam kaydının güvenli biçimde saklanması bulunuyor.
Sağlık kuruluşları için öncelik yalnızca dijital onam yazılımı satın almak değil; kullanılan SBYS’nin entegrasyonunu, kayıt güvenliğini, veri işleme süreçlerini ve KVKK yükümlülüklerini birlikte değerlendirmek olmalıdır. İlgili teknik gereklilikler ile Bakanlığın sonradan yayımlayabileceği uygulama talimatları ayrıca takip edilmelidir.
İlgili KVKK Rehberleri
Aydınlatma yükümlülüğü, özel nitelikli kişisel veriler ve veri güvenliğiyle ilgili diğer açıklamalar.
KVKK Rehber Yazılarıİlgili Danışmanlık Hizmeti
Sağlık kuruluşlarında veri işleme envanteri, aydınlatma, erişim yetkileri, veri güvenliği ve saklama-imha süreçlerinin değerlendirilmesi.
KVKK DanışmanlığıSağlık kuruluşunuzun elektronik onam ve KVKK süreçlerini birlikte değerlendirin
Hasta verisi işleme envanteri, aydınlatma yükümlülüğü, erişim yetkileri, saklama-imha ve yazılım tedarikçisi ilişkilerini mevzuat çerçevesinde gözden geçirin.
