Elektronik Onamda Hangi Kayıtlar Tutulmalı?

Hasta rızasını SMS şifresiyle almak işin kolay kısmı. Zor kısım, aylar ya da yıllar sonra biri “ben bu işlemi onaylamadım” dediğinde ya da bir denetim geldiğinde rızanın alındığını ispat edebilmek. 27 Ekim 2026'da yürürlüğe giren Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik, bu yüzden en çok kayıt tutmaya ağırlık veriyor.

Dijiizin olarak onam ve izin kayıtlarını, TÜBİTAK zaman damgalı kanıt dosyalarıyla yönetiyoruz. Bu yazıda yönetmeliğin kayıt maddesini klinik sahibinin anlayacağı dille açıklıyoruz.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.

Yönetmelik kayıtlar için ne diyor?

Yönetmeliğin 9. maddesi üç temel şey söylüyor:

1. Saklama süreleri fiziksel belgelerle aynı. Elektronik rızaya ait kayıtlar ve iz kayıtları, kâğıt onam belgelerinin tabi olduğu saklama ve imha sürelerine uygun şekilde saklanır ve imha edilir.

2. Kayıtlar bozulmamış olmalı. İz kayıtlarının gizliliği, erişilebilirliği, güvenliği ve bütünlüğü sağlanır. Kayıtlar, elektronik veri bütünlük değeri (hash) ve zaman damgası kullanılarak adli ve idari incelemeye elverişli biçimde muhafaza edilir.

3. Asgari kayıt listesi var. İspata elverişlilik için en az dört grup bilgi tutulur.

Asgari olarak tutulması gereken dört kayıt

Kısacası: kim, ne zaman, hangi işlem için, hangi şifreyle, hangi güvenlik önlemiyle sorularının hepsi kayıtlardan cevaplanabilmeli.

Hash ve zaman damgası ne işe yarıyor?

Hash (elektronik veri bütünlük değeri): Bir dosyanın dijital parmak izi gibi düşünün. Dosyada tek bir karakter bile değişirse hash değeri de değişir. Böylece onam formunun sonradan oynanmadığını gösterebilirsiniz.

Zaman damgası: Belgenin belirli bir tarih ve saatte var olduğunu, güvenilir bir üçüncü tarafın kaydıyla gösterir. Yönetmelik, zaman damgasını 5070 sayılı Elektronik İmza Kanunu’nda tanımlanan kayıt olarak tanımlıyor. Yani kendi sunucunuzun saati değil, resmî olarak tanımlı bir damga kastediliyor.

İkisi birlikte şunu sağlar: “Bu form, bu tarihte vardı ve o günden beri değişmedi.”

Hastanın kimlik ve telefon doğrulama kayıtları da önemli

Yönetmelik rızadan önce şunların yapılmasını istiyor:

• Hasta ve işlemi yürüten sağlık çalışanının kimliğinin doğrulanması

• Hastanın doğrulanmış bir cep telefonu numarasının bulunması

• Tesis kanalında doğrulanan numaranın 12 ay boyunca kayıtlarda tutulması, süre dolunca yeniden doğrulanması

Bu adımların da kayıt altında olması, ispat zincirinin başı olur. Telefonun ne zaman ve nasıl doğrulandığı gösterilemezse, şifrenin doğru kişiye gittiği tartışılabilir.

Kayıtlarda en sık görülen eksikler

• Sadece imzalı PDF saklamak: PDF’nin kendisi yetmez, OTP ve işlem logları da gerekir.

• Sistemin saatine güvenmek: Zaman damgası olmayan kayıtta tarih ve saat tartışmaya açıktır.

• Hangi form sürümünün onaylandığını tutmamak: Hasta hangi metne rıza verdi? Form sonradan güncellendiyse eski sürüm de saklanmalı.

• Sağlık çalışanı bilgisini kaydetmemek: İşlemi kimin yürüttüğü yönetmelikte açıkça sayılıyor.

• Saklama süresini takip etmemek: Kayıtlar süresinden önce silinirse ispat kaybolur, süresi geçince de gereksiz yere saklanırsa KVKK sorunu doğar.

• Yedeksiz tutmak: Tek sunucuda tutulan kayıt, arıza ve siber saldırı karşısında risktir. Yönetmelik bilgi güvenliği için Siber Güvenlik Kanunu ve ulusal ve uluslararası standartlara uygun tedbir alınmasını istiyor.

Kişisel veri tarafı: KVKK de devrede

Onam kayıtları sağlık verisi içerdiği için özel nitelikli kişisel veri kapsamına girer. Yönetmelik de bu verilerin 6698 sayılı KVKK ve ilgili sağlık mevzuatına uygun işlenmesini ve gerekli idari ve teknik tedbirlerin alınmasını söylüyor. Yani kayıt tutmak yetmez, kimin erişebildiğini de sınırlamalı ve denetlemelisiniz. Veri erişim yetkileri görev ve sorumluluğa göre belirlenmeli.

Klinikler için kayıt kontrol listesi

• Her onam için tarih, saat ve işlem bilgisi kaydediliyor mu?

• OTP’nin gönderilmesi ve doğrulanması loglanıyor mu?

• İşlemi yapan sağlık çalışanı kayıtta görünüyor mu?

• Kayıtlara hash ve zaman damgası uygulanıyor mu?

• Hastanın onayladığı form sürümü saklanıyor mu?

• Telefon doğrulama tarihi ve yöntemi kayıtlı mı?

• Saklama ve imha süreleriniz tanımlı mı? (Kâğıt belgelerle aynı süreler geçerli, kendi sürenizi avukatınızla teyit edin.)

• Yedekleme ve erişim yetkisi düzenlemeniz var mı?

• Denetim ya da uyuşmazlık halinde kaydı hızla çıkarabiliyor musunuz?

Dijiizin bu kayıtları nasıl tutuyor?

Dijiizin’de her onam işlemi için ayrı bir kanıt seti oluşur:

• Cihaz ve IP kaydı: Hasta linke tıkladığı anda cihaz bilgileri kayıt altına alınır.

• OTP doğrulaması: Form linki ve doğrulama kodu hastaya birlikte iletilir. Hasta formu ve anamnez sorularını doldurur, kodu kendisi girerek onaylar.

• TÜBİTAK zaman damgası: Onay anında oluşan kanıt dosyaları zaman damgalanır.

• Dijital arşiv: Form cevapları ve kanıt dosyalarına panelden erişebilir, raporlayabilirsiniz.

• Hasta nüshası: Doldurulmuş form kapanmayan bir bağlantıyla hastaya iletilir.

• Güvenlik güvencesi: ISO/IEC 27001, 27701 ve 22301 belgelerimiz var, her yıl TSE onaylı A seviye sızma testinden geçiyoruz. 1000'den fazla işletme kayıtlarını bu altyapıda yönetiyor.

Bu yapı, yönetmeliğin kayıt ve ispat mantığıyla örtüşen bileşenlerden oluşuyor. Kliniğinizin kendi süreci ve kullandığı kanala göre eksik halkaları birlikte tespit edelim: [ücretsiz hazırlık görüşmesi için bize ulaşın].

Sık sorulan sorular

Zaman damgası zorunlu mu?
Yönetmelik, iz kayıtlarının hash ve zaman damgası kullanılarak muhafaza edilmesini düzenliyor.

Kayıtlar ne kadar süre saklanmalı?
Kâğıt onam belgelerinin tabi olduğu saklama ve imha süreleri kadar. Kliniğinizin tabi olduğu süreyi mevzuatınıza göre belirleyin.

Sadece imzalı form PDF’i yeterli mi?
Asgari kayıt listesi PDF’in ötesinde OTP, sağlık çalışanı ve güvenlik bilgilerini de sayıyor.

Bakanlık ek standart belirleyebilir mi?
Evet. Yönetmeliğin 12. maddesi, iz kayıtlarının standartları, zaman damgası ve şifreleme yöntemleri gibi konularda Bakanlığa ek usul ve esas belirleme yetkisi veriyor. Bu nedenle uygulamanızı güncel tutmak gerekir.