27 Ekim 2026 tarihli Resmî Gazete’de (Sayı 33413) yayımlanan Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik aynı gün yürürlüğe girdi. Tıbbi müdahale öncesinde hastadan alınan bilgilendirilmiş rıza artık e-Nabız üzerinden ya da sağlık tesisinin kendi sistemi üzerinden, doğrulanmış cep telefonuna gönderilen tek kullanımlık şifreyle (SMS OTP) alınabilecek. Yönetmelik kâğıt onamı kaldırmıyor; elektronik yolu seçen sağlık tesisi için süreci, kimlik doğrulamayı ve iz kayıtlarını tanımlıyor. Bu yazı, düzenlemenin dayandığı kanun değişikliğini, adım adım süreci, ispat ve KVKK boyutunu, metnin bıraktığı boşlukları ve hastaneler ile dijital sağlık girişimlerinin bugün ne yapması gerektiğini anlatıyor.
Yönetmelik nereden geliyor: 1219 sayılı Kanun m. 70 ve 7557 sayılı Kanun
Tıbbi müdahalede rızanın kanuni dayanağı 1928 tarihli 1219 sayılı Tababet ve Şuabatı San’atlarının Tarzı İcrasına Dair Kanun’un 70. maddesidir. Madde, hekimlerin ve diş hekimlerinin her türlü müdahale için hastanın, hasta küçük veya kısıtlı ise veli veya vasisinin önceden muvafakatini almasını, büyük cerrahi müdahalelerde ise bu muvafakatin yazılı olmasını şart koşar. 24 Temmuz 2025 tarihli Resmî Gazete‘de yayımlanan 7557 sayılı Kanun’un 3. maddesi bu fıkraya iki cümle ekledi: muvafakat elektronik ortamda da alınabilir; elektronik muvafakat, bir bilişim veya elektronik haberleşme cihazı üzerinden ve ilgilinin kimliğini doğrulamaya elverişli kimlik belgeleri, biyometrik yöntemler ya da elektronik kimlik doğrulama yöntemleri kullanılarak alınır. Aynı kanun, usul ve esasların Bilgi Teknolojileri ve İletişim Kurumunun uygun görüşü alınarak Sağlık Bakanlığınca belirleneceğini de maddeye yazdı. Bugün yayımlanan Yönetmelik, kanunun on beş ay önce açtığı bu kapının uygulama kurallarıdır.
İkinci dayanak, 3359 sayılı Sağlık Hizmetleri Temel Kanunu’na 7538 sayılı Kanun ile Ocak 2025’te eklenen ek 19. maddedir. Bu madde, sağlık hizmeti alanların kişisel verilerinin işlenmesine, Bakanlığın merkezi veri sistemine ve kişilerin kendi verilerine erişimini sağlayan sisteme (e-Nabız) kanuni zemin sağlar. Yönetmeliğin e-Nabız’ı rıza kanalı olarak kullanabilmesi bu maddeye dayanıyor.
Kimleri kapsıyor, neyi değiştirmiyor
Yönetmelik birinci, ikinci ve üçüncü basamak sağlık tesislerinin tamamını kapsıyor; kamu ve özel ayrımı yapmıyor. Özel hastaneler, tıp merkezleri ve poliklinikler de bu tanımın içinde. Üç nokta baştan netleşmeli:
- Elektronik yol bir seçenek, zorunluluk değil. Amaç maddesi “elektronik ortamda alınması halinde” diyor. Kâğıt üzerinde imzalanan rıza formu, Hasta Hakları Yönetmeliği m. 24 ve 26 çerçevesinde geçerliliğini koruyor. Yönetmelikte hüküm bulunmayan hallerde de Hasta Hakları Yönetmeliği uygulanacak (m. 13).
- Bilgilendirme yükümlülüğü değişmedi. Yönetmelik m. 5, hastanın kararını serbest iradesiyle verebilmesi için yeterli, anlaşılır ve zamanında bilgilendirilmesini ilke olarak koruyor. SMS ile gönderilen form, bilgilendirmenin yerine geçmez; bilgilendirmenin kayıt altına alınmış sonucudur.
- Konu tıbbi müdahale rızasıdır. Klinik araştırma onamı kendi mevzuatına tabi kalmaya devam ediyor; KVKK anlamında açık rıza ise bambaşka bir kavram (aşağıda).
Süreç adım adım
Yönetmelik iki kanal tanımlıyor: hastanın kendi başına kullandığı e-Nabız ve sağlık meslek mensubunun kullandığı, kurum envanterine kayıtlı ve SBYS’ye bağlı “sağlık tesisinin elektronik haberleşme aracı”. İkinci tanım önemli: personelin kişisel telefonu veya mesajlaşma uygulaması bu araç değildir.
| Adım | e-Nabız kanalı | Sağlık tesisi kanalı |
|---|---|---|
| 1. Kimlik doğrulama (m. 6) | Hastanın kimliği tesisin tabi olduğu mevzuata ve Bakanlığın hasta kimliklendirme kalite standartlarına göre doğrulanır; SGK geri ödemesi varsa SUT kuralları da uygulanır. Meslek mensubu Entegre Kurumsal İşlem Platformu'nda tanımlı ve aktif olmalıdır. | Aynı |
| 2. Doğrulanmış cep telefonu (m. 7) | Numara e-Nabız'da doğrulanmış olmalı; değilse hasta numarayı girer, gelen SMS OTP ile doğrular. | SBYS'de doğrulanmış numara yoksa hastaya SMS OTP gönderilir, hasta kodu meslek mensubuna söyler, meslek mensubu sisteme girer. Numara 12 ay boyunca doğrulanmış sayılır; sonra yeniden doğrulama gerekir. |
| 3. Formun sunulması (m. 8/2-4) | Meslek mensubu kullanıcı adı ve şifre veya Bakanlıkça belirlenen başka bir yöntemle sisteme girer, formu onaylar; form e-Nabız üzerinden hastaya açılır. | Form, hastanın doğrulanmış telefonuna gönderilen SMS içindeki bağlantıyla açılır. |
| 4. İnceleme ve kabul (m. 8/5-6) | Hasta formu inceler. Kabul ederse yalnızca o müdahale için üretilen SMS OTP telefonuna gelir. | Aynı |
| 5. İrade beyanı (m. 8/7) | Hasta OTP'yi e-Nabız'daki ilgili alana kendisi girer. | Hasta OTP'yi meslek mensubuyla paylaşır; meslek mensubu kodu tesisin aracından girer. |
| 6. Sonuç (m. 8/8-9) | Doğrulama tamamlandığında rıza alınmış sayılır. Form Bakanlığın merkezi sağlık veri sistemine aktarılır ve e-Nabız'da hastanın erişimine açılır. | Aynı |
Küçük veya kısıtlı hastalarda işlemleri Hasta Hakları Yönetmeliği’ne uygun olarak kanuni temsilci yapar; kimlik ve telefon doğrulaması temsilci için de aranır. Temsilci yoksa, hazır değilse veya elektronik ortamda doğrulanamıyorsa rıza elektronik olarak alınamaz (m. 11).
İz kayıtları: rıza kaydı artık bir bilgi sistemi kontrolü
Yönetmeliğin en ağır hükmü m. 9. Elektronik rıza kayıtları ve bunlara ilişkin iz kayıtları, kâğıt rıza belgelerinin tabi olduğu saklama ve imha sürelerine göre saklanacak. İz kayıtları gizlilik, erişilebilirlik, güvenlik ve bütünlük sağlanarak, elektronik veri bütünlük değeri (hash) ve zaman damgası kullanılarak adli ve idari incelemeye elverişli biçimde tutulacak. Asgari kayıt listesi de belli: hastanın iradesini beyan ettiği tarih, saat ve işlem bilgileri; SMS OTP’nin gönderilmesi ve doğrulanmasına ilişkin bilgiler; işlemi yapan meslek mensubunun bilgileri; şifreleme, bütünlük, zaman damgası ve diğer güvenlik tedbirlerine ilişkin bilgiler. Tesisin kendi aracıyla yapılan tüm işlem kayıtlarını saklama yükümlülüğü tesisin üzerinde.
Bir ayrıntı maliyet doğuruyor: Yönetmelik zaman damgasını 5070 sayılı Elektronik İmza Kanunu’ndaki tanıma bağlıyor. O tanımda zaman damgası, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kayıttır. Sunucu saatine göre atılan bir “timestamp” bu tanımı karşılamaz; SBYS’nin yetkili bir sağlayıcıdan nitelikli zaman damgası alması gerekir.
m. 10, Bakanlık ve sağlık tesisini bu kayıtların güvenliği için 7545 sayılı Siber Güvenlik Kanunu ve ilgili standartlara uygun teknik ve idari tedbir almakla, erişim yetkilerini görev sınırlarına göre belirleyip denetlemekle yükümlü kılıyor. İz kaydı standartları, zaman damgası ve şifreleme yöntemleri ile SMS OTP altyapısının temini konusunda ilave usul ve esasları Bakanlık belirleyecek (m. 12). Yani teknik şartname henüz yazılmadı; SBYS üreticileri bu talimatları bekleyecek.
İspat açısından ne değişiyor?
Yerleşik Yargıtay uygulamasında hastanın aydınlatıldığını ve rıza verdiğini ispat yükü hekim ve sağlık kuruluşundadır. Bugüne kadar bu yükün karşılığı, hastanın ve hekimin imzaladığı iki nüsha rıza formuydu. Elektronik kanalda imzanın yerini OTP doğrulaması ve iz kaydı alıyor. SMS OTP, 5070 sayılı Kanun anlamında güvenli elektronik imza değildir; ancak tıbbi müdahale rızası bir sözleşme değil, hukuka uygunluk sebebi olan bir irade beyanıdır ve 7557 sayılı Kanun büyük cerrahi müdahaleler için aranan yazılılık şartının elektronik yolla da karşılanabileceğini açıkça söylüyor. Mahkeme önünde iz kaydı, HMK anlamında bir belge olarak serbestçe değerlendirilecek; m. 9’daki asgari kayıt listesi tam da bu değerlendirmeye hazırlık olarak okunmalı.
Zayıf nokta sağlık tesisi kanalında. Hastanın OTP’yi hekime söylemesi ve hekimin kodu sisteme girmesi, kayıtta “hastanın beyanı” ile “hekimin işlemi” arasındaki ayrımı inceltiyor; inkâr edilemezlik e-Nabız kanalında çok daha güçlü. Yüksek riskli müdahalelerde e-Nabız kanalının tercih edilmesi, hastanın e-Nabız kullanamadığı durumlarda ise kâğıt formun elde tutulması makul bir kurum politikası. İkinci zayıf nokta zamanlama: ameliyattan dakikalar önce gönderilen bir bağlantı, m. 5’teki “zamanında bilgilendirme” ilkesini kayıtta görünür biçimde zedeler. Elektronik kanal, bilgilendirme görüşmesinin zamanını da kaydettiği için bu konuda hekimi hem korur hem de açığa çıkarır.
Finans sektörünü bilenler için desen tanıdık: kimlik doğrulama, OTP ile güçlü kimlik doğrulama, inkâr edilemezlik ve denetlenebilir iz kaydı. TCMB'nin ödeme kuruluşları için yazdığı uzaktan kimlik tespiti kuralları ile bankacılıktaki uzaktan sözleşme düzeni aynı mantığı yıllar önce kurmuştu. Sağlık tarafındaki fark, karşı tarafın bir müşteri değil, çoğu zaman stres altındaki bir hasta olması.
KVKK tarafı: bilgilendirilmiş rıza, açık rıza değildir
Rıza formu ve iz kayıtları sağlık verisi içerir; sağlık verisi KVKK m. 6 anlamında özel nitelikli kişisel veridir. Bu verilerin işlenmesinin hukuki dayanağı hastanın KVKK açık rızası değil, sır saklama yükümlülüğü altındaki kişiler eliyle sağlık hizmetinin yürütülmesi istisnası ile 3359 sayılı Kanun ek m. 19’dur. Yönetmelik m. 10/2 de bunu söylüyor. Pratik sonuç: tıbbi müdahale rıza formuna KVKK açık rıza kutucuğu eklemek, iki farklı rızayı birbirine karıştırır ve hastanın açık rızayı geri alması halinde tedavi kaydının hukuki dayanağını tartışmalı hale getirir. KVKK aydınlatması ayrı yapılmalı, rıza formu yalnızca tıbbi müdahaleye ilişkin kalmalı.
Diğer KVKK başlıkları: doğrulanmış cep telefonu numarasının 12 ay saklanması amaçla sınırlı bir işlemedir ve veri envanterine girmelidir; SMS içeriğinde yalnızca bağlantı bulunmalı, tanı veya müdahale adı SMS metnine yazılmamalıdır; SMS ile gönderilen bağlantının yetkisiz kişilerce açılmasına karşı hangi korumanın uygulanacağını Yönetmelik söylemiyor, Bakanlığın m. 12 kapsamında belirleyeceği standartlar bu boşluğu doldurmalı. Kişisel Verileri Koruma Kurulu’nun kimlik doğrulama ve erişim güvenliğine ilişkin kararları buradaki ölçüyü gösteriyor. 2019 tarihli Kişisel Sağlık Verileri Hakkında Yönetmelik de uygulanmaya devam ediyor.
Boşluklar ve açık sorular
- Acil durumlar ve ayırt etme gücü. Yönetmelik acil hal veya bilinci kapalı hasta için ayrı hüküm içermiyor. Bu hallerde Hasta Hakları Yönetmeliği m. 24’teki istisna ve 1219 sayılı Kanun m. 70’teki “ifadeye muktedir olmama” kuralı uygulanır; elektronik kanal zaten hastanın aktif katılımını gerektirdiği için bu durumlarda devre dışıdır.
- Teknik standartlar. Hash algoritması, zaman damgası sağlayıcısı, şifreleme ve OTP altyapısının “temini” Bakanlık talimatına bırakıldı. SBYS üreticileri için gerçek uyum takvimi bu talimatlarla başlayacak.
- Yabancı hastalar. Sağlık turizmi tesisleri için e-Nabız kanalı çoğu zaman kullanılamaz; tesis kanalında yabancı numaraya SMS OTP gönderimi ve pasaportla kimlik doğrulaması mümkün görünüyor, ancak Yönetmelik bunu açıkça düzenlemiyor.
- Saklama süresi. Yönetmelik ayrı bir süre vermiyor, kâğıt belgelerin tabi olduğu arşiv sürelerine atıf yapıyor. Elektronik kayıt için imha süreci de aynı takvime bağlanmalı.
- Yaptırım. 1219 sayılı Kanun m. 70’teki idari para cezası sembolik düzeyde kalıyor. Gerçek yaptırım hukuki sorumluluk davası ve Bakanlık denetimidir; iz kaydı tutulmamışsa elektronik rızanın ispat değeri de ortadan kalkar.
Kim ne yapmalı?
Hastaneler ve klinikler: hangi müdahale gruplarının elektronik kanala alınacağına, hangilerinde kâğıt formun süreceğine karar veren yazılı bir prosedür hazırlayın; meslek mensuplarının Entegre Kurumsal İşlem Platformu kayıtlarını kontrol edin; telefon doğrulama ve 12 aylık yenileme akışını hasta kabulüne yerleştirin; iz kayıtlarının saklama ve imha takvimini arşiv mevzuatıyla hizalayın; KVKK envanterini, aydınlatma metnini ve VERBİS kaydını yeni işleme faaliyetine göre güncelleyin.
SBYS üreticileri ve dijital sağlık girişimleri: rıza modülünü m. 9’daki asgari kayıt listesine göre tasarlayın; nitelikli zaman damgası ve OTP sağlayıcı sözleşmelerini, erişim yetkisi matrisini ve bütünlük doğrulamasını ürün yol haritasına alın; SBYS Yönetmeliği kapsamındaki kayıt ve denetim süreçlerine yeni modülü dahil edin; hastane sözleşmelerinde iz kayıtlarının kimde tutulacağını, denetim hakkını ve sorumluluk paylaşımını yazın. Sağlıkta yapay zekâ ürünleri için ayrıca tıbbi cihaz sınıflandırması sorusu baki.
Hekimler: bilgilendirme görüşmesi ve süresi değişmedi; OTP’yi hasta adına girmeyin, hastanın kodu söylediği anı ve ortamı kayıt altına alın; doğrulama başarısız olduğunda kâğıt forma dönün. Veri koruma ve siber güvenlik ekibimiz süreç tasarımı ve sözleşmeler konusunda destek veriyor.
Sık sorulan sorular
Kâğıt rıza formu kalkıyor mu?
Hayır. Yönetmelik, rızanın elektronik ortamda alınması halinde uygulanacak usulü düzenliyor. İmzalı kâğıt form Hasta Hakları Yönetmeliği çerçevesinde geçerliliğini koruyor.
Büyük ameliyatlarda SMS ile alınan rıza yazılı rıza yerine geçer mi?
Evet. 7557 sayılı Kanun’la 1219 sayılı Kanun m. 70’e eklenen cümle, bu fıkra kapsamındaki muvafakatin elektronik ortamda da alınabileceğini söylüyor; Yönetmelik de bunun usulünü belirliyor. Yüksek riskli müdahalelerde inkâr edilemezliği daha güçlü olan e-Nabız kanalı tercih edilmeli.
Özel hastaneler ve poliklinikler kapsamda mı?
Evet. Yönetmelik birinci, ikinci ve üçüncü basamak sağlık tesislerinin tamamını kapsıyor ve kamu-özel ayrımı yapmıyor.
Hastanın OTP’yi hekime söylemesi güvenli bir yöntem mi?
Yönetmelik bu yola izin veriyor, ancak kayıtta kodu giren kişi hekim olduğu için inkâr edilemezlik e-Nabız kanalına göre zayıf. Tesisler bu kanalı düşük riskli müdahalelerle sınırlayabilir veya tanıklı kayıt gibi ek tedbirler alabilir.
Çocuk hastalarda süreç nasıl işliyor?
İşlemleri kanuni temsilci yapar; kimlik ve telefon doğrulaması temsilci için aranır. Temsilci yoksa, hazır değilse veya elektronik ortamda doğrulanamıyorsa rıza elektronik olarak alınamaz, kâğıt usul uygulanır.
Kaynak. Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik, Resmî Gazete 27.10.2026, Sayı 33413; 1219 sayılı Kanun m. 70 (7557 sayılı Kanun m. 3 ile değişik); 7557 sayılı Kanun, Resmî Gazete 24.7.2025, Sayı 32965; 7538 sayılı Kanun m. 2 (3359 sayılı Kanun ek m. 19), Resmî Gazete 15.1.2025; Hasta Hakları Yönetmeliği (Resmî Gazete 1.8.1998, Sayı 23420); 5070 sayılı Elektronik İmza Kanunu m. 3; 7545 sayılı Siber Güvenlik Kanunu (Resmî Gazete 19.3.2025, Sayı 32846); Sağlık Bilgi Yönetim Sistemleri Hakkında Yönetmelik (Resmî Gazete 25.8.2022, Sayı 31934); Kişisel Sağlık Verileri Hakkında Yönetmelik (Resmî Gazete 21.6.2019, Sayı 30808).
Yazar
Daha fazla Vircon İçgörüleri
Anthropic'in 1,5 Milyar Dolarlık Telif Anlaşması: Mahkeme Ne Dedi, Ne Demedi ve Türk Hukuku İçin Dersler (Bartz v. Anthropic)
28 Ekim 2026SPK Nitelikli Yatırımcı Eşiğini 50 Milyon TL'ye Çıkardı: GSYF ve GYF İstisnası Kalktı
26 Ekim 2026Stablecoin, Tokenize Mevduat ve Toptan Dijital Para: Türk Şirketleri İçin Hukuki Durum (Ekim 2026)
21 Ekim 2026Anlık ve Hesaptan Hesaba Ödemeler: FAST, TR Karekod ve AB Anlık Ödemeler Tüzüğü (İş Yerleri ve Fintech'ler İçin)
27 Ekim 2026Hibrit Çalışma Artık Yönetmelikte: Ofis ve Uzaktan Günler İş Sözleşmesine Yazılacak (RG 25.09.2026)
25 Ekim 2026DORA, Bulut Yoğunlaşması ve Kuantum Sonrası Şifreleme: Türk Fintech'ler İçin Operasyonel Dayanıklılık Haritası (2026)
24 Ekim 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →Startup Hukuku
Kuruluş, kurucu sözleşmeleri, ESOP, term sheet ve regülasyon.
Hizmet sayfası →