Bilgilendirilmiş Rızada e-Nabız ve SMS Dönemi: Sağlık Tesisleri Neyi Değiştirmeli, Nerede Risk Alıyor?

Giriş

Sağlık Bakanlığı tarafından hazırlanan Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik (“Yönetmelik”), 27 Ekim 2026 tarihli ve 33413 sayılı Resmî Gazete'de yayımlanarak aynı tarihte yürürlüğe girmiştir.

Birinci, ikinci ve üçüncü basamak sağlık tesislerini kapsayan Yönetmelik, tıbbi müdahaleler öncesinde hastalardan alınması gereken bilgilendirilmiş rızanın elektronik ortamda elde edilmesi halinde uygulanacak usul ve esasları düzenlemektedir.

Yeni düzenleme, geleneksel fiziki rıza süreçlerine elektronik bir alternatif getirirken hastanın yeterli, anlaşılır ve zamanında bilgilendirilmesi, rızanın serbest iradeyle verilmesi ve hasta haklarının korunması ilkelerini muhafaza etmektedir. Nitekim Yönetmelik'te hüküm bulunmayan hallerde Hasta Hakları Yönetmeliği hükümlerinin uygulanacağı açıkça düzenlenmiştir.

Elektronik yöntemin kullanılması ihtiyari olmakla birlikte, bu yolu tercih eden sağlık kuruluşları açısından düzenleme ilk bakışta teknik bir kolaylık niteliğinde görünse de rızanın ispatı, hasta hakları ve kişisel verilerin korunması bakımından önemli sorumluluklar getirmektedir. Bu yazımızda yeni sistemin işleyişi, uygulamada sorun yaratabilecek hükümler ve uyum sürecinde öncelik verilmesi gereken adımlar ele alınmaktadır.

Elektronik Ortamda Bilgilendirilmiş Rıza Nasıl Alınacak?

Yönetmelik uyarınca hastaların bilgilendirilmiş rızası, e-Nabız sistemi veya sağlık tesisinin elektronik haberleşme aracı üzerinden alınabilecektir. Elektronik rıza sürecinin başlatılabilmesi için öncelikle hastanın ve işlemi gerçekleştiren sağlık meslek mensubunun kimliğinin doğrulanması gerekmektedir. Ayrıca ilgili sağlık meslek mensubunun Sağlık Bakanlığının Entegre Kurumsal İşlem Platformunda (“EKİP”) tanımlı ve aktif olması zorunludur.

Rıza sürecinde hastanın doğrulanmış cep telefonu numarasının bulunması da temel şartlardan biridir. Bu kapsamda, ilgili sağlık meslek mensubu tarafından elektronik ortamda onaylanan bilgilendirilmiş rıza formu, e-Nabız veya hastanın doğrulanmış cep telefonu numarasına gönderilen SMS'te yer alan bağlantı aracılığıyla hastanın erişimine sunulacaktır.

Hastanın kendisine sunulan formu inceleyerek tıbbi müdahaleyi kabul etmesi halinde, doğrulanmış cep telefonu numarasına yalnızca ilgili tıbbi müdahale kapsamında kullanılmak üzere tek kullanımlık SMS doğrulama kodu (“SMS OTP”) gönderilecektir.

Bilgilendirilmiş rıza işlemi, kullanılan elektronik yönteme göre aşağıdaki şekilde gerçekleştirilecektir:

• e-Nabız üzerinden gerçekleştirilen işlemlerde hasta, doğrulanmış cep telefonuna gönderilen SMS OTP'yi e-Nabız sisteminin ilgili alanına doğrudan girerek rıza iradesini elektronik ortamda beyan edebilecektir.
• Sağlık tesisinin elektronik haberleşme aracı üzerinden gerçekleştirilen işlemlerde ise hasta, kendisine gönderilen SMS OTP'yi ilgili sağlık meslek mensubuyla paylaşabilecek ve kodun sağlık meslek mensubu tarafından elektronik haberleşme aracı üzerinden sisteme iletilmesiyle rıza işlemi tamamlanabilecektir.

Yönetmelik'in 8. maddesi uyarınca bilgilendirilmiş rıza, öngörülen doğrulama işleminin tamamlanmasıyla alınmış sayılacaktır. Elektronik ortamda alınan bilgilendirilmiş rızaya ilişkin form, Sağlık Bakanlığının merkezi sağlık veri sistemine aktarılacak ve hastanın e-Nabız üzerinden erişimine sunulacaktır.

• Uygulamada bu husus şu anlama gelmektedir: Elektronik rıza süreçleri, hastaların bilgilendirilmiş rıza formlarına dijital ortamda erişebilmesine ve onay işlemlerini elektronik yöntemlerle tamamlayabilmesine imkân tanıyarak sağlık kuruluşlarının operasyonel süreçlerini kolaylaştırabilecektir. Bununla birlikte, elektronik rıza yöntemlerinin kullanılması, hastanın tıbbi müdahale hakkında yeterli şekilde bilgilendirilmesi ve kararını özgür iradesiyle verebilmesi gerekliliğini ortadan kaldırmamaktadır. Bu nedenle sağlık kuruluşlarının elektronik rıza süreçlerini tasarlarken hastaların bilgilendirme içeriklerini inceleyebilmelerine, gerektiğinde soru yöneltebilmelerine ve kararlarını değerlendirebilmelerine uygun bir işleyiş oluşturmaları önem taşımaktadır.

Kayıt ve İspat: Elektronik Rıza Uyuşmazlıklarda Ne Ölçüde Koruma Sağlar?

Yeni düzenlemenin dikkat çeken yönlerinden biri, elektronik rızanın yalnızca bir onay işlemi olarak değil, kimlik doğrulama, kayıt bütünlüğü ve denetlenebilirlik esaslarına dayanan bir süreç olarak düzenlenmesidir. Yönetmelik kapsamında hastaların cep telefonu numaralarının doğrulanmasına ilişkin özel usuller belirlenmiştir. Sağlık tesisinin elektronik haberleşme aracı üzerinden doğrulanan cep telefonu numarası, doğrulama tarihinden itibaren 12 ay süreyle sağlık tesisinin kayıtlarında doğrulanmış numara olarak tutulabilecek; bu sürenin sonunda söz konusu yöntemle yeniden elektronik rıza alınmak istenmesi halinde numaranın tekrar doğrulanması gerekecektir.

Ayrıca Yönetmelik'in 9. maddesi uyarınca elektronik ortamda alınan bilgilendirilmiş rızaya ilişkin kayıtlar ve işlem izleri, fiziki ortamda alınan bilgilendirilmiş rıza belgelerinin tabi olduğu saklama ve imha sürelerine uygun olarak muhafaza edilecek ve imha edilecektir. Elektronik rızanın ispatına elverişliliğinin sağlanması amacıyla rızanın verildiği tarih, saat ve işlem bilgileri, SMS OTP'nin gönderilmesine ve doğrulanmasına ilişkin bilgiler, işlemi gerçekleştiren sağlık meslek mensubunun bilgileri ve uygulanan güvenlik tedbirleri kayıt altına alınacaktır.

Söz konusu iz kayıtlarının gizliliği, erişilebilirliği, güvenliği ve bütünlüğü sağlanarak elektronik veri bütünlük değeri (hash) ve zaman damgası kullanılması suretiyle adli ve idari incelemelere ve denetime elverişli şekilde saklanması gerekmektedir. Sağlık tesisinin elektronik haberleşme aracı üzerinden gerçekleştirilen tüm işlemlere ilişkin kayıtlar da ilgili sağlık tesisi tarafından bu yükümlülüklere uygun olarak muhafaza edilecektir.

Bu yaklaşım, özellikle tıbbi müdahalelere ilişkin olası uyuşmazlıklarda rızanın hangi tarihte, kim tarafından ve hangi işlem kapsamında verildiğinin tespit edilmesi bakımından önem taşımaktadır. Bununla birlikte, elektronik doğrulama işleminin tamamlanmış olması tek başına hastanın yeterli şekilde bilgilendirildiğini göstermeyeceğinden, sağlık kuruluşlarının hastayı bilgilendirme yükümlülüğünü usulüne uygun olarak yerine getirmesi önemini korumaktadır.

Nitekim Yargıtay, hastanın usulüne uygun şekilde bilgilendirildiğini ispat yükünün hekim ve sağlık kuruluşu üzerinde olduğunu kabul etmektedir. Yargıtay yakın tarihli bir kararında, onam formlarının yapılan işlemler için yetersiz bulunduğu ve sözlü bilgilendirmenin de ispatlanamadığı bir olayda, tıbbi hata tespit edilmemesine rağmen hastane ve hekimin tazminat sorumluluğuna hükmeden kararı onamıştır.[1]

• Uygulamada bu husus şu anlama gelmektedir: Elektronik rıza sistemlerinin yalnızca onay ve kimlik doğrulama işlemlerine odaklanılarak değil, hastanın bilgilendirilmesi ve bu sürecin belgelendirilmesiyle bir bütün olarak ele alınması önem taşımaktadır. Bu kapsamda, elektronik kayıtların oluşturulması ve muhafaza edilmesinin yanı sıra, hastaya sunulan bilgilendirmenin kapsamının ve içeriğinin gerektiğinde ortaya konulabilmesine imkân sağlayacak uygulamaların geliştirilmesi, olası uyuşmazlıklarda ispat süreçlerinin yönetilmesine ve sağlık kuruluşlarının hukuki risklerinin azaltılmasına katkı sağlayabilecektir.

KVKK Boyutu: Tıbbi Müdahaleye Rıza, Veri İşlemeye Açık Rıza Değildir

Elektronik rıza süreçlerinin uygulanması, hastalara ait kişisel verilerin ve özel nitelikli kişisel veri niteliğindeki sağlık bilgilerinin işlenmesini de beraberinde getirmektedir. Yönetmelik'in 10. maddesi, Sağlık Bakanlığı ve sağlık tesislerinin elektronik rıza kapsamında elde edilen bilgi, belge ve işlem kayıtlarının güvenliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri almasını zorunlu kılmaktadır.

Bu kapsamda özellikle 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), 7545 sayılı Siber Güvenlik Kanunu, 3359 sayılı Sağlık Hizmetleri Temel Kanunu'nun ek 19. maddesi ve ilgili mevzuat hükümlerine uyum sağlanması gerekmektedir. Sağlık kuruluşlarının elektronik rıza sistemlerini uygulamaya alırken veri erişim yetkilerini görev ve sorumluluk sınırları çerçevesinde belirlemesi ve denetlemesi, kayıtların bütünlüğünü koruması, yetkisiz erişim risklerini önlemesi ve veri saklama ile imha süreçlerini ilgili mevzuata uygun şekilde yürütmesi önem taşımaktadır.

Öte yandan, tıbbi müdahaleye ilişkin bilgilendirilmiş rıza ile kişisel verilerin işlenmesine ilişkin KVKK kapsamındaki açık rıza, farklı hukuki amaçlara hizmet etmektedir. Bu nedenle, hastanın elektronik ortamda tıbbi müdahaleye rıza vermesi, kişisel verilerinin işlenmesi bakımından tek başına KVKK kapsamında bir hukuki işleme şartının sağlandığı anlamına gelmemektedir. Sağlık kuruluşlarının kişisel veri işleme faaliyetlerini KVKK'nin 5. ve özellikle özel nitelikli kişisel veriler bakımından 6. maddesinde düzenlenen hukuki işleme şartlarına uygun olarak yürütmesi gerekmektedir.

• Uygulamada bu husus şu anlama gelmektedir: Sağlık verilerinin tedavi amacıyla işlenmesinde, KVKK’nin 6. maddesinde öngörülen şartların sağlanması halinde açık rıza dışında bir hukuki sebebe dayanılması mümkün olabileceğinden, elektronik rıza süreçlerinin bu ayrım gözetilerek tasarlanması önem taşımaktadır. Bu kapsamda, kişisel verilerin işlenmesine ilişkin açık rıza ile tıbbi müdahaleye yönelik rızanın birbirinden ayrıştırılması ve açık rızanın gerekli olduğu durumlarda ilgili kişilerin özgür iradeleriyle karar verebilecekleri bir mekanizma oluşturulması gerekmektedir. Bunun yanında, hastaların iletişim bilgilerinin doğrulanması ve SMS yoluyla bilgilendirilmesi süreçlerinde KVKK kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesi, mesaj içeriklerinin sağlık verilerinin gizliliğini koruyacak şekilde hazırlanması ve elde edilen iletişim bilgilerinin belirlenen işleme amaçlarıyla sınırlı olarak kullanılması da dikkate alınması gereken hususlar arasındadır.

Elektronik rıza süreçlerinde kişisel verilerin güvenliğinin sağlanması da önem taşıyan hususlar arasındadır. Özellikle hastalara SMS yoluyla gönderilen bağlantıların üçüncü kişiler tarafından açılması veya hastanın cep telefonu numarasının değişmesine rağmen eski numarasının sistemde kayıtlı kalması, sağlık verilerine yetkisiz erişim riskini beraberinde getirebilecektir. Bu kapsamda, rıza formlarına erişim sağlayan bağlantıların belirli bir süreyle sınırlandırılması, gerektiğinde ek kimlik doğrulama mekanizmalarının kullanılması, erişim ve işlem kayıtlarının tutulması ve iletişim bilgilerinin güncelliğinin kontrol edilmesi gibi teknik ve idari tedbirler değerlendirilebilecektir. Ayrıca SMS içeriklerinde hastanın sağlık durumunu veya gerçekleştirilecek tıbbi müdahaleyi açığa çıkarabilecek bilgilere yer verilmemesi ve bağlantıların yetkisiz kişiler tarafından kullanılmasının önlenmesi önem taşımaktadır. Sağlık kuruluşlarının bu süreçlere özgü riskleri veri güvenliği politikaları ve kişisel veri ihlali müdahale prosedürleri kapsamında ele alması, KVKK ve ilgili diğer mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesine katkı sağlayacaktır.

Küçükler ve Kısıtlılar Bakımından Uygulama

Yönetmelik, küçük veya kısıtlı hastaların bilgilendirilmiş rızalarının elektronik ortamda alınmasına ilişkin özel hükümler de içermektedir. Bu kişilere ilişkin işlemler, Hasta Hakları Yönetmeliği hükümlerine uygun olarak kanuni temsilcileri aracılığıyla gerçekleştirilecektir. Kanuni temsilcinin kimlik ve cep telefonu numarasının doğrulanmasına ilişkin işlemlerde de Yönetmelik'te hastalar bakımından belirlenen esaslar uygulanacaktır. Kanuni temsilcinin bulunmadığı, hazır olmadığı veya elektronik ortamda doğrulanamadığı durumlarda ise bilgilendirilmiş rızanın elektronik ortamda alınması mümkün olmayacaktır. Acil durumlar bakımından ise Hasta Hakları Yönetmeliği'nde rızaya ilişkin olarak öngörülen istisnaların uygulanmaya devam edeceği değerlendirilmektedir.

Uygulamada Gözden Kaçabilecek Üç Hüküm

• SMS doğrulama kodunun sağlık meslek mensubu tarafından sisteme girilebilmesi: Yönetmelik uyarınca sağlık tesisinin elektronik haberleşme aracının kullanıldığı durumlarda hasta, kendisine gönderilen SMS doğrulama kodunu ilgili sağlık meslek mensubuyla paylaşabilecek ve kodun sisteme girilmesiyle rıza işlemi tamamlanabilecektir. Bununla birlikte, bu yöntemin kullanılması halinde hastanın rıza formunu inceleyerek onay verdiğinin gerektiğinde ortaya konulabilmesi önem taşımaktadır. Bu nedenle formun hastaya sunulması ve doğrulama işleminin gerçekleştirilmesine ilişkin kayıtların uygun şekilde tutulması, olası uyuşmazlıklarda ispat bakımından fayda sağlayabilecektir.
• Elektronik rıza işlemlerinde kullanılacak cihazların belirli teknik şartları karşılaması: Yönetmelik, sağlık tesisinin elektronik haberleşme aracını kurum envanterine kayıtlı, elektronik iletişim altyapısına ve Sağlık Bilgi Yönetim Sistemi'ne (SBYS) bağlı bir araç olarak tanımlamaktadır. Bu kapsamda, elektronik rıza süreçlerinde kullanılacak cihazların söz konusu şartlar bakımından değerlendirilmesi ve sağlık kuruluşlarının mevcut teknik altyapılarının düzenlemeye uyumunun gözden geçirilmesi önem taşımaktadır.
• Uygulamaya ilişkin ilave usul ve esasların belirlenebilmesi: Yönetmelik'in 12. maddesi, Sağlık Bakanlığına iz kayıtlarının standartları, veri güvenliği, zaman damgası, şifreleme yöntemleri ve SMS doğrulama altyapısı gibi konularda ilave usul ve esaslar belirleme yetkisi tanımaktadır. Bu nedenle sağlık kuruluşlarının elektronik rıza sistemlerini oluştururken ilerleyen dönemde yayımlanabilecek teknik düzenlemeleri de dikkate almaları, mevcut sistemlerin güncellenebilirliğini gözetmeleri ve ilgili hizmet sağlayıcılarla yürütülen süreçleri bu çerçevede değerlendirmeleri faydalı olacaktır.

Sağlık Kuruluşları Açısından Uyum Süreci

Yönetmelik kapsamında elektronik ortamda bilgilendirilmiş rıza yöntemini kullanacak sağlık kuruluşlarının mevcut teknik altyapılarını ve iç süreçlerini ilgili düzenlemelere uygun şekilde yapılandırmaları önem taşımaktadır. Bu doğrultuda aşağıdaki hususlara öncelik verilmesi önerilmektedir:

• Kimlik doğrulama ve yetkilendirme süreçleri: Elektronik rıza işlemlerini gerçekleştirecek sağlık meslek mensuplarının EKİP sistemindeki kayıt ve yetkilerinin kontrol edilmesi, hastaların cep telefonu numaralarının doğrulanmasına ilişkin süreçlerin oluşturulması ve sistem erişimlerinin yetkili kişilerle sınırlandırılması.
• Rıza formları ve hasta bilgilendirme süreçleri: Bilgilendirilmiş rıza formlarının elektronik ortamda erişilebilir ve anlaşılır şekilde sunulması, tıbbi müdahaleye ilişkin bilgilendirme süreçlerinin uygun şekilde belgelendirilmesi ve hastaların kararlarını değerlendirebilmelerine imkân tanıyan uygulamaların geliştirilmesi.
• İç prosedürler ve operasyonel süreçler: e-Nabız ve sağlık tesisinin elektronik haberleşme aracı üzerinden yürütülecek işlemlere ilişkin iş akışlarının belirlenmesi, özel durumlar ve teknik aksaklıklar için alternatif yöntemlerin değerlendirilmesi ve ilgili sağlık çalışanlarının süreç hakkında bilgilendirilmesi.
• Teknik altyapı ve hizmet sağlayıcılar: Elektronik rıza sistemlerinin mevcut sağlık bilgi sistemleriyle uyumluluğunun değerlendirilmesi, yazılım ve SMS hizmet sağlayıcılarıyla yürütülen süreçlerin gözden geçirilmesi ve elektronik kayıtların güvenliğine, saklanmasına ve denetlenebilirliğine yönelik teknik tedbirlerin belirlenmesi.
• Kişisel verilerin korunması: Elektronik rıza süreçleri kapsamında işlenen kişisel verilerin ve veri işleme faaliyetlerinin değerlendirilmesi, ilgili aydınlatma metinleri ile saklama ve imha süreçlerinin gözden geçirilmesi ve özellikle sağlık verilerinin gizliliğini korumaya yönelik teknik ve idari tedbirlerin uygulanması.
• Mevzuat ve uygulama takibi: Sağlık Bakanlığı tarafından ilerleyen dönemde belirlenebilecek ilave usul ve esasların takip edilmesi ve elektronik rıza sistemlerinin gerektiğinde güncellenebilmesine imkân sağlayacak bir yaklaşım benimsenmesi.

Öte yandan Yönetmelik, sağlık kuruluşlarına elektronik rıza sistemine geçiş için belirli bir süre öngörmemekte veya tüm bilgilendirilmiş rıza işlemlerinin elektronik ortamda gerçekleştirilmesini zorunlu kılmamaktadır. Bununla birlikte, elektronik rıza yöntemini tercih eden sağlık kuruluşlarının Yönetmelik'te belirlenen usul, kayıt güvenliği ve kişisel verilerin korunmasına ilişkin yükümlülüklere uygun hareket etmesi gerekmektedir. Yöntemin ihtiyari olması, fiziki rıza seçeneğinin her zaman korunmasını da gerektirmektedir; akıllı telefonu bulunmayan, numarası bir yakınına kayıtlı olan veya dijital araçları kullanmakta zorlanan hastalara elektronik onayın dayatılması, rızanın serbest iradeyle verilmesi ilkesiyle bağdaşmayabilecektir.

Sonuç

Yönetmelik, sağlık hizmetlerinde dijitalleşmenin hukuki altyapısını güçlendiren önemli bir düzenleme niteliğindedir. Elektronik rıza uygulaması, sağlık hizmetlerinin sunumunda idari süreçleri kolaylaştırma ve kayıtların izlenebilirliğini artırma potansiyeli taşırken hasta haklarının korunması, kişisel sağlık verilerinin güvenliği ve elektronik kayıtların ispat gücü bakımından yeni yükümlülükleri de beraberinde getirmektedir. Özellikle sağlık kuruluşları açısından elektronik rıza süreçlerinin yalnızca teknik bir dönüşüm olarak değil, hasta hakları, kişisel verilerin korunması ve hukuki sorumluluk boyutlarını içeren kapsamlı bir uyum süreci olarak değerlendirilmesi gerekmektedir.

Yönetmelik metninin tamamına buradan ulaşabilirsiniz.

Kaynakça

Yargıtay 3. Hukuk Dairesinin E. 2026/87, K. 2026/3186 Sayılı ve 20.05.2026 Tarihli Kararı. (2026, 05 20). https://www.lexpera.com.tr/ictihat/yargitay/3-hukuk-dairesi-e-2026-87-k-2026-3186-t-20-5-2026 adresinden alındı