Avrupa Birliği’nde sağlık verileriniz: GDPR, EHDS ve gerçekten sahip olduğunuz haklar

Tahlilleriniz laboratuvarda. Taburcu raporunuz hastanede. Reçeteleriniz eczanede ve ulusal sistemde. Hepsi ahlaki anlamda “sizin”, ama yıllarca yasa bunları elektronik olarak isteyebileceğinizi, hemen, kullanılabilir bir formatta alabileceğinizi ve istediğiniz yere götürebileceğinizi açıkça söylemiyordu. 2025’ten beri söylüyor.

Bu rehber, Avrupa Birliği’nde sağlık verilerinizi yöneten iki yasayı herkesin anlayacağı biçimde açıklıyor: 2018’den beri yürürlükte olan GDPR ve Mart 2025’ten beri yürürlükte olup 2031’e kadar kademeli uygulanan Avrupa Sağlık Veri Alanı tüzüğü EHDS. Hukuki bir metin değil; sahip olduğunuz hakların ve bunların ne zaman somutlaştığının haritası.

GDPR: sağlık verileri “özel kategori”dir

Genel Veri Koruma Tüzüğü (GDPR) sağlık verilerini diğerlerinden ayrı ele alır: genetik ve biyometrik verilerle birlikte 9. maddede tanımlanan özel kategoridir. İşlenmeleri ilke olarak yasaktır; kesin istisnalar vardır: açık onayınız, tıbbi bakım, sağlıkta kamu yararı, güvencelerle yürütülen araştırma.

Sizin için somut anlamı:

• Sağlık verilerinizi işleyen her uygulama, laboratuvar ya da klinik açık bir hukuki dayanağa sahip olmalı ve verilerle ne yaptığını sade bir dille söylemelidir.
• Genel GDPR haklarına sağlık verileri için de sahipsiniz: erişim (hakkınızda ne tutulduğunu görmek), düzeltme, silme (sınırlarla; çünkü tıbbi kayıtların yasal saklama süreleri vardır), taşınabilirlik (verileri yapılandırılmış, yaygın kullanılan, makinece okunabilir formatta almak) ve belirli işlemelere itiraz hakkı.
• Erişim talebine yanıt süresi bir aydır; karmaşık durumlarda iki ay uzatılabilir. Erişim ücretsizdir.
• Barındırma önemlidir. Veriler AB dışına yalnızca güvencelerle (yeterlilik kararları, standart sözleşme hükümleri) aktarılabilir. Verilerinizi AB’de tutan bir uygulama bu soruyu ortadan kaldırır.

GDPR hakları verdi. Vermediği şey format ve altyapıydı: erişim isteyebiliyordunuz ama aylar sonra bir PDF ya da bir yığın kâğıt alıyordunuz, hastane de bunları başka bir hastaneye gönderebilmek zorunda değildi. EHDS tam olarak bu boşluğu dolduruyor.

EHDS: nedir ve neden önemlidir

Avrupa Sağlık Veri Alanı hakkındaki (AB) 2025/327 sayılı Tüzük Mart 2025’te yayımlandı ve 26 Mart 2025’te yürürlüğe girdi. 27 üye devletin tamamı için sağlık verilerinin nasıl dolaşacağını söyleyen ilk Avrupa düzenlemesi: sizinle doktorlarınız arasında (“birincil kullanım”) ve sıkı kurallarla araştırma ve kamu politikalarına doğru (“ikincil kullanım”).

Üç temel fikir:

1. Ulusal bir erişim hizmeti üzerinden sağlık verilerinize elektronik, anında ve ücretsiz erişiminiz var; indirebilir, ekleme yapabilir, kısıtlayabilir ve kimin okuduğunu görebilirsiniz.
2. Veriler ortak bir formatta dolaşır (HL7 FHIR gibi standartlara dayanan Avrupa elektronik sağlık kaydı değişim formatı, EEHRxF); böylece İspanya’daki bir hastane Romanya’dan gelen özetinizi okuyabilir.
3. Elektronik sağlık kaydı sistemleri ortak birlikte çalışabilirlik ve günlükleme gerekliliklerini uygunluk beyanıyla karşılamalıdır; tıbbi yazılım için bir tür CE işareti.

EHDS kapsamındaki haklarınız, tek tek

Tüzüğün II. bölümündeki maddeler size somut olarak şunları verir:

Erişim. Ülkenizin erişim hizmeti üzerinden elektronik sağlık verilerinize anında, ücretsiz ve kolay okunur biçimde erişme hakkı. “Anında”, GDPR’deki yazılı talep ve bir aylık bekleme olmadan demektir; tek istisna: doktor belirli sonuçlara (örneğin ciddi bir tanıya) erişimi size bizzat söyleyene kadar erteleyebilir.

İndirme. En azından öncelikli kategoriler için Avrupa değişim formatında elektronik bir kopya alma ve bunu herhangi bir üye devletteki seçtiğiniz sağlık sağlayıcısına iletme hakkı.

Ekleme. Elektronik kaydınıza bilgi ekleme hakkı (örneğin ev ölçümleri); sizin girdiğiniz açıkça işaretlenir ki doktor klinik verilerden ayırabilsin.

Düzeltme. Yanlış verilerin erişim hizmeti üzerinden çevrimiçi düzeltilmesini isteme hakkı.

Kısıtlama. Sağlık profesyonellerinin belirli verilere ya da tüm kayda erişimini sınırlama hakkı; kısıtlayan kişiye, acil durumda eksik bilginin bakımı etkileyebileceği bildirilir.

Erişim hakkında bilgi. Verilerinize kimin, ne zaman, hangi kurumdan eriştiğini görme hakkı: erişim günlüğü zorunlu ve hasta için görünür hâle gelir.

Vekâlet. Verilerinize sizin adınıza erişecek başka bir kişi (ebeveyn, yetişkin çocuk, vasi) atama hakkı.

İkincil kullanıma itiraz. (Takma adlı ya da anonim) verilerinizin araştırma, istatistik ya da kamu politikası için kullanılmasına, her devletin belirlediği koşullarda itiraz etme hakkı. Mutlak bir hak değil, ama var ve devletler uygulamak zorunda.

Öncelikli kategoriler: önce ne dolaşır

EHDS her şeyin ilk günden hazır olmasını istemez. Avrupa değişim formatında bulunması, erişilebilir ve iletilebilir olması gereken öncelikli kategorileri tanımlar:

1. Hasta özeti (alerjiler, ilaçlar, hastalıklar, aşılar; pratikte Uluslararası Hasta Özeti ya da Avrupa karşılığı).
2. Elektronik reçeteler ve elektronik ilaç teslimleri.
3. Tıbbi görüntüleme ve raporları.
4. Laboratuvar sonuçları.
5. Taburcu raporları.

Avrupa düzeyinde MyHealth@EU altyapısı (eski adıyla eHDSI) ulusal temas noktalarını zaten birbirine bağlar ve bağlı ülkeler arasında hasta özetleri ile e-reçetelerin değişimine olanak tanır. EHDS bunu zorunlu kılar ve diğer kategorilere genişletir.

Gerçekte ne zaman uygulanır

Basındaki yazıların çoğu burada yanılıyor. Tüzük 2025’te yürürlüğe girdi, ama kademeli uygulanıyor:

• 26 Mart 2027: genel uygulama; devletler dijital sağlık otoritelerine ve sağlık verisi erişim kurumlarına sahip olmalı, temel kurallar işler hâle gelir.
• 26 Mart 2029: hasta özeti ve e-reçeteler (ilk iki öncelikli kategori) için hasta hakları ve sağlayıcı yükümlülükleri, elektronik sağlık kaydı sistemleri gereklilikleri ve ikincil kullanımın ilk aşaması.
• 26 Mart 2031: görüntüleme, laboratuvar sonuçları ve taburcu raporları için aynı yükümlülükler, artı ikincil kullanımın geri kalanı.
• İhtiyaç duyan devletler için belirli süreler, Komisyon’a bildirimle uzatılabilir.

Sizin için anlamı: GDPR haklarına zaten şimdi sahipsiniz. EHDS hakları 2029’da özet ve reçetelerden başlayarak kademeli olarak talep edilebilir hâle gelir. O zamana kadar pek çok devlet ve sağlayıcı bunları gönüllü ya da ulusal mevzuatla uyguluyor; ciddi uygulamalar da Avrupa formatı üzerine şimdiden inşa ediyor.

Kullandığınız uygulamalar için anlamı

EHDS esas olarak sağlık sağlayıcılarının kullandığı sistemleri ve ulusal erişim hizmetlerini düzenler. Wellness uygulamalarının (fitness, uyku, beslenme) gönüllü bir rejimi vardır: üretici uygulamanın bir elektronik sağlık kaydı sistemiyle birlikte çalışabilir olduğunu beyan edip Avrupa veritabanına kaydettirebilir; zorunluluk yoktur. Kişisel sağlık kaydınızı tutan uygulamalar iki dünyanın arasındadır: sağlık sağlayıcısı değillerdir, ama değerleri Avrupa formatına ne kadar uyduklarıyla doğrudan artar.

EHDS ruhuyla bir uygulamaya sorulmaya değer sorular:

• Verilerimi standart formatta (kodlarla FHIR) mı tutuyor ve bir sağlayıcıya ya da ulusal erişim hizmetine götürebilmem için eksiksiz dışa aktarıyor mu?
• Kaydımda kimin neye eriştiğini gösteriyor mu?
• Kategori ve süreye göre erişim verip geri almama izin veriyor mu?
• Benim girdiklerimle doktordan ya da laboratuvardan gelenleri açıkça ayırıyor mu (köken)?
• Verilerimi AB’de mi barındırıyor?

Yanıtlar “evet” ise uygulama, Avrupa hukukunun tüm sistemi getirmek istediği yerde zaten.

Haklarınızı bugün nasıl kullanırsınız

Başlamak için 2029’u beklemeniz gerekmiyor.

1. Hakkınızda verisi olan her sağlayıcıdan — hastane, laboratuvar, özel klinik — GDPR kapsamında erişim isteyin. Yazılı olarak, GDPR 15. maddeye atıfla; yanıt için bir ayları var. Elektronik ve mümkünse yapılandırılmış format isteyin.
2. Varsa ulusal portalı kullanın. Türkiye’de e-Nabız tahlilleri, reçeteleri ve raporları çevrimiçi sunuyor; neyi indirebildiğinizi kontrol edin.
3. Aldıklarınızı kişisel kaydınıza kodlanmış olarak koyun ki dışa aktarılabilir ve karşılaştırılabilir olsun. Tahliller rehberi kodların neden önemli olduğunu anlatıyor.
4. Zaten mevcut olduğu yerlerde (bazı ulusal sistemler sunuyor) erişim günlüğünü isteyin ve okumayı alışkanlık edinin.
5. Bir şey net olmadığında her hizmetin privacy@ adresine yazın. Ciddi hizmetlerin ayrı bir adresi vardır ve yanıt verirler.

Anpheros nasıl yardımcı olur

Anpheros, EHDS ilkeleri zorunlu olmadan önce onların üzerine kuruldu: kaydınız Avrupa Birliği’nde standart kodlarla HL7 FHIR R4 kaynakları olarak saklanır; istediğiniz an IPS özeti dahil eksiksiz dışa aktarabilirsiniz; bir kliniğin, uygulamanın ya da yapay zekâ asistanının her erişimi sınırlı süreli, geri alınabilir onayınızı gerektirir ve gördüğünüz günlükte kalır; her verinin kökeni işaretlidir (sizin girdiğiniz, belgeden taranan, cihazdan ya da sağlayıcıdan gelen). Hesap silme dahil verilerinizle ilgili talepler GDPR süreleri içinde privacy@anpheros.com adresinde işlenir.

Sık sorulan sorular

EHDS, Avrupa’da herkesin verilerimi görebileceği anlamına mı geliyor?

Hayır. EHDS, sizi tedavi eden sağlık profesyonellerinin erişimini — günlüklemeyle ve kısıtlama hakkınızla — ve takma adlı verilerle ikincil kullanımı, bir erişim kurumunun iznine ve itiraz hakkına bağlı olarak düzenler. Herkesin kayıtlarını içeren merkezi bir Avrupa veritabanı oluşturmaz.

Verilerimi bugün FHIR formatında isteyebilir miyim?

GDPR kapsamında “yapılandırılmış, yaygın kullanılan ve makinece okunabilir formatta” taşınabilirlik isteyebilirsiniz; kesin formata sağlayıcı karar verir ve FHIR sunmak zorunda değildir. EHDS kapsamında özet ve reçeteler için 2029’dan itibaren Avrupa değişim formatı zorunlu olur. O zamana kadar sorun: pek çok sistem zaten yapabiliyor.

Kişisel kayıt uygulamasındaki verilerim EHDS kapsamına girer mi?

Uygulamanın kendisi sağlık sağlayıcısı değildir; dolayısıyla sağlayıcılara yönelik EHDS yükümlülükleri ona doğrudan uygulanmaz, GDPR ise tamamen uygulanır. EHDS onun için dolaylı olarak önemlidir: Avrupa formatını ne kadar kullanırsa verileriniz düzenlenmiş sistemlere o kadar kolay ulaşır.

Verilerimin araştırmada kullanılmasını reddedebilir miyim?

Evet, EHDS her devletin uyguladığı (somut mekanizma farklılık gösterir) ikincil kullanıma itiraz hakkı öngörür. Araştırmada kullanılan veriler takma adlı ya da anonimdir ve yalnızca güvenli ortamlarda erişilir, serbestçe indirilmez.

Bir hastane verilerimi vermeyi reddederse ne yapmalıyım?

Talebi GDPR 15. maddeye atıfla yazılı gönderin ve kanıtı saklayın. Bir ay içinde (ya da gerekçeyle üç ay) yanıt gelmezse ulusal veri koruma otoritesine şikâyet hakkınız vardır. 2029’dan itibaren öncelikli kategoriler için ulusal erişim hizmeti yolu da olacak.