Kısa cevap: GDPR kapsamında, sağlıkla ilgili veriler özel bir kategoridir. Madde 9(1) bu verilerin işlenmesini yasaklar; Madde 9(2) ise bu yasağı kaldıran istisnaları listeler. Bir ürün ekibi için dört tanesi önemlidir: (a) kişinin açık rızası, (h) gizlilik yükümlülüğü altındaki bir profesyonel tarafından veya onun sorumluluğunda sağlık hizmeti sunumu, (i) halk sağlığı ve Madde 89 kapsamındaki güvencelerle (j) bilimsel araştırma. Madde 9'daki bir istisna, Madde 6'daki sıradan bir yasal zemine ek olarak gereklidir, yerine geçmez. Sağlık verilerinin büyük ölçekte işlenmesi ayrıca bir DPIA (Madde 35) ve bir veri koruma görevlisi (Madde 37) gerektirir.
Sağlık verisi ne anlama gelir?
GDPR'a göre sağlıkla ilgili veriler, bir kişinin fiziksel veya ruhsal sağlığına ilişkin kişisel verilerdir; bu, sağlık hizmetlerinin sunulmasını da kapsar ve sağlık durumları hakkında bilgi verir (Madde 4(15)). Geniş yorumlandığında, laboratuvar değerlerini, teşhisleri, ilaçları, randevuları ve hastalık izni notlarını ve bir sağlık durumunun çıkarılabileceği her türlü veriyi kapsar.
Madde 4(15), sağlıkla ilgili verileri, bir kişinin fiziksel veya ruhsal sağlığına ilişkin kişisel veriler olarak tanımlar; bu, sağlık durumları hakkında bilgi veren sağlık hizmetlerinin sunumunu da içerir. Gerekçe 35 ve içtihatlar bunu geniş yorumlar: bir laboratuvar değeri, bir teşhis, bir ilaç, bir doktor randevusu, bir hastalık izni notu, bir kalp rahatsızlığıyla birleştirilmiş adım sayısı, bir belirti arayışı bir hesaba bağlanmış. Sağlık durumunu açığa vuran veriler, bu şekilde toplanmamış olsalar bile sağlık verisidir. Avrupa Adalet Divanı 2022'de (OT, C-184/20) özel kategori bir gerçeğin çıkarılabileceği verilerin kendisinin de özel kategori veri olduğunu teyit etmiştir.
Önemli olan istisnalar
Sağlık ürünleri için en önemli GDPR Madde 9(2) istisnaları şunlardır: açık rıza (a), tüketici sağlığı uygulamaları ve hasta kontrollü kayıtlar tarafından kullanılır; sağlık hizmeti sunumu (h), klinikler ve yazılım tedarikçileri tarafından mesleki sır saklama yükümlülüğü altında kullanılır; halk sağlığı (i); bilimsel araştırma (j), Madde 89 güvenceleriyle; ve EHDS'nin ikincil kullanım için dayandığı önemli kamu yararı (g).
| Madde 9(2) | Genellikle kim kullanır | Koşullar |
|---|---|---|
| (a) Açık rıza | Tüketici sağlık uygulamaları, zindelik hizmetleri, hasta kontrollü kayıtlar | Özgürce verilmiş, belirli, bilgilendirilmiş, belirsiz olmayan, açık ve olumlu bir eylemle verilmiş, verilmesi kadar çekilmesi de kolay; hizmetin veriye ihtiyacı olmadıkça hizmetle birlikte paketlenmemiş |
| (c) Hayati çıkarlar | Acil durum erişimi | Kişinin rıza göstermeye fiziksel veya yasal olarak muktedir olmadığı durumlarda |
| (h) Sağlık hizmeti sunumu | Klinikler, hastaneler, pratisyen hekimler, işlemci olarak yazılım tedarikçileri | Teşhis, bakım, tedavi veya sağlık sistemlerinin yönetimi için gerekli, AB veya ulusal yasaya veya bir profesyonelle yapılan bir sözleşmeye tabi ve mesleki sır saklama yükümlülüğü altında (Madde 9(3)) |
| (i) Halk sağlığı | Halk sağlığı otoriteleri, farmakovijilans | Uygun önlemler öngören yasaya dayanarak |
| (j) Araştırma, istatistik, arşivleme | Araştırma enstitüleri, kayıtlar, araştırmayı sağlayan platformlar | Yasaya dayanarak, orantılı, Madde 89 güvenceleriyle (takma adlandırma, en aza indirme) |
| (g) Önemli kamu yararı | Ulusal sağlık verisi altyapıları | Yasaya dayanarak; EHDS ikincil kullanım için buna dayanır |
Hasta tarafından kontrol edilen kişisel bir sağlık kaydı (a) üzerine kuruludur: kişi neyi saklayacağına ve kiminle paylaşacağına karar verir. O kayda yazan bir klinik, kendi işlemesi için (h) üzerine, hastanın rızası ise paylaşımı yönetir. Her ikisine de hizmet veren bir platform, kişi için sunduğu hesap için bir işlemci (Madde 28 sözleşmesi) ve kişi için bir kontrolcüdür. Bunu, işlem başına yazmak, Madde 30 tarafından zorunlu tutulan kayıtların özünü oluşturur.
Gerçekten geçerli olan rıza
GDPR kapsamında sağlık verileri için açık rıza, yalnızca amaç başına ayrı, özel bir beyan olduğunda, açık olumlu bir eylemle verildiğinde, alıcılar hakkında bilgilendirildiğinde, zaman ve yöntemle kaydedildiğinde ve verildiği kadar kolay geri alınabildiğinde geçerlidir. Önceden işaretlenmiş kutular, gruplandırılmış amaçlar ve analitiklere onay vermeden kullanılamayan uygulamalar geçersiz sayılmıştır.
Düzenleyiciler, sağlık uygulamaları için rızayı tekrar tekrar aynı nedenlerle geçersiz kılmıştır: önceden işaretlenmiş kutular; her şey için aynı anda istenen rıza; analitik için rıza göstermeden uygulamayı kullanmanın bir yolu olmaması; alıcıları belirtmeyen rıza metinleri; geri çekme yolu olmaması. Sağlık verileri için geçerli açık rıza, ayrı, belirli bir ifade ("Yüklediğim laboratuvar sonuçlarını Anpheros'un saklamasını kabul ediyorum"), amaç başına ayrıntılı (saklama; belirli bir kliniğe paylaşım; anonimleştirilmiş istatistikler), ne zaman ve nasıl verildiğinin kaydı ve gelecekteki işlemleri derhal etkisiz hale getiren bir anahtar anlamına gelir. Çocukların verileri, ebeveyn sorumluluğunu taşıyan kişinin rızasını gerektirir ve yaş sınırları her üye devlette 13 ile 16 yaş arasında belirlenir.
Gizlilik, Madde 9(3)
GDPR Madde 9(3), sağlık hizmeti istisnası için gizlilik koşulunu belirler: sağlık verileri yalnızca Madde 9(2)(h) kapsamında, AB veya ulusal yasalar uyarınca mesleki sır saklama yükümlülüğü altında olan bir profesyonel tarafından veya bu profesyonelin sorumluluğunda veya eşdeğer bir gizlilik yükümlülüğüne tabi başka bir kişi tarafından işlenebilir.
Kliniklere yazılım tedarikçileri bunu sözleşmeyle yerine getirir: işlemci sözleşmesi, erişimi olan personele gizlilik yükümlülüğü getirir ve erişim kaydedilir.
Madde 9'un Ötesinde
Madde 9(2) istisnası, sağlık verileri için tek GDPR yükümlülüğü değildir. İşleme için ayrıca bir Madde 6 temeli, genellikle Madde 35 uyarınca bir DPIA ve Madde 37 uyarınca bir veri koruma görevlisi, Madde 22 uyarınca otomatik kararlar üzerindeki sınırlamalar, AB dışı transferler için bir Bölüm V aracı, 72 saatlik ihlal bildirimi ve ulusal sağlık kaydı yasaları gereklidir.
- Madde 6 hala geçerlidir: kişinin talep ettiği hizmeti sunmak için sözleşme (6(1)(b)), rıza (6(1)(a)), yasal yükümlülük, kamu görevi veya meşru menfaatler, ancak bunlar Madde 9'u geçersiz kılmak için kullanılamaz.
- Madde 35 DPIA, özel kategorilerin büyük ölçekli işlenmesi için zorunludur; çoğu sağlık uygulaması ve tüm platformlar bu kapsama girer. Bir sağlık uygulaması için DPIA bölümüne bakın.
- Madde 37 DPO, özel kategorilerin büyük ölçekli işlenmesinden oluşan temel faaliyetler için zorunludur.
- Madde 22, önemli etkileri olan yalnızca otomatik işlemeye dayalı kararları sınırlar; bu, otomatik triyaj veya uygunluk durumlarını içerir; sağlık verileri yalnızca açık rıza veya yasada bir yasal zemine sahip olarak, güvencelerle kullanılabilir.
- Madde 44 ve sonrası: AB dışına yapılan transferler, yeterlilik (sertifikalı ABD şirketleri için AB-ABD Veri Gizliliği Çerçevesi), standart sözleşme maddeleri ve bir transfer etki değerlendirmesi veya başka bir Bölüm V aracı gerektirir. AB'de barındırma, veriler bekletilirken sorunu ortadan kaldırır; yurt dışındaki destek personeli kaldırmaz.
- Madde 33-34: 72 saat içinde yetkili makama ve yüksek risk olduğunda kişilere bildirim, ki bu sağlık verileri için genellikle böyledir.
- Ulusal yasalar katmanlar ekler: tıbbi gizlilik yasaları, sağlık kaydı yasaları, saklama süreleri ve bazı ülkelerde sağlık uygulamaları için özel kurallar (Fransa'nın HDS barındırma sertifikası, Almanya'nın DiGA çerçevesi).
EHDS Üzerine
Avrupa Sağlık Veri Alanı düzenlemesi (2025/327) Madde 9'u değiştirmez. Sağlık verilerine ortak bir formatta erişim ve taşınabilirlik hakları, EHR sistemleri için yükümlülükler ve Madde 9(2)(g), (h), (i) ve (j) üzerine kurulu, kendi güvenceleri ve bir devre dışı bırakma seçeneği ile ikincil kullanım için bir izin sistemi ekler. AB'de Tıbbi Verileriniz bölümüne bakın.
Anpheros'ta
Anpheros, tuttukları kayıt için kişinin açık rızası (Madde 9(2)(a)) uyarınca, amaç başına ve uygulamada geri alınabilir şekilde sağlık verilerini işler ve kliniklerin kendi Madde 9(2)(h) zemini altında o kayda yazdığı veriler için bir işlemci olarak görev yapar. Bir kliniğin her erişimi, kişi için bir kapsam ve süre onayı gerektirir ve erişim günlüklerinde görünür. Hasta Rıza Platformu ve Tıbbi Kaydımı Kim Görüntüledi? bölümlerine bakın.
Bu sayfa ürün ve mühendislik ekipleri için düzenlemeleri açıklar. Yasal tavsiye değildir; Kaynaklar altındaki metinler yetkilidir ve veri koruma görevliniz, onaylanmış kuruluşunuz veya danışmanınız sizin durumunuz için karar verir. Son gözden geçirme: Ekim 2026.
İlgili sayfalar
- Bir sağlık uygulaması için DPIA: kontrol listesi ve şablonu
- AB'de Tıbbi Verileriniz: GDPR, EHDS ve haklarınız
- HIPAA vs GDPR
- Sağlık verilerinin kimliksizleştirilmesi
- Hasta Rıza Platformu
- Sağlık verisi düzenleme haritası
- Geliştiriciler için GDPR (geliştirici sitesi)
Kaynaklar
- GDPR Madde 9, EUR-Lex
- GDPR Madde 4(15) ve Gerekçe 35, EUR-Lex
- EDPB: Rıza hakkında 05/2020 tarihli Kılavuzlar
- CJEU, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: COVID-19 bağlamında araştırma için sağlık verilerinin işlenmesi hakkında Kılavuzlar (03/2020)
- Düzenleme (AB) 2025/327 (EHDS), EUR-Lex
Sık sorulan sorular
Bir adım sayısı sağlık verisi midir?
Tek başına, genellikle değildir. Bir sağlık durumunu (bir teşhis, bir rehabilitasyon programı, bir kalp rahatsızlığı) ortaya koyan diğer verilerle birleştirildiğinde veya bir sağlık durumu çıkarmak için işlendiğinde, sağlıkla ilgili veri haline gelir. Düzenleyiciler, yalnızca ham alana değil, amaç ve çıkarıma bakarlar.
Sağlık verileri için meşru menfaatleri kullanabilir miyim?
Hayır. Meşru menfaatler bir Madde 6 temelidir; sağlık verileri ayrıca bir Madde 9(2) istisnası gerektirir ve bunlardan hiçbiri meşru menfaatler değildir. Sağlık verileri üzerindeki analizler rıza veya anonimleştirme gerektirir.
Bir klinik, kayıt tutmak için hastanın rızasına ihtiyaç duyar mı?
GDPR kapsamında değil: Madde 9(2)(h) ve ulusal sağlık yasası kapsamında işler. Veriler başka bir amaçla (bir uygulamayla paylaşım, araştırma, pazarlama) kullanıldığında veya ulusal yasa gerektirdiğinde rıza önem kazanır.
Sağlık verileri ne kadar süreyle saklanabilir?
GDPR, gereğinden uzun süre saklanamaz der; ulusal sağlık kaydı yasaları, klinik kayıtlar için somut saklama süreleri belirler (genellikle 10 ila 30 yıl). Kişinin kontrolündeki kişisel bir kayıt, istediği sürece saklanır ve talep üzerine silinir.
Sandbox'ta ücretsiz deneyin
İlk FHIR çağrınız 5 dakikada. Hasta izniyle yerleşik HL7 FHIR R4 API: sandbox'ta deneyin, ardından kendi uygulamanızı veya klinik sisteminizi bağlayın.
Ücretsiz · 30 sentetik hasta · kart gerekmez
Anpheros, hasta kontrolünde olan ve herhangi bir klinik ile paylaşılabilecek, AB merkezli bir HL7 FHIR R4 platformu üzerinde tıbbi kayıtlar oluşturur. Bu rehberler, sağlığınızı anlamanıza ve düzenlemenize yardımcı olur; doktorunuzun yerini tutmaz.
Anpheros Hakkında →