Hastane Onam Formu Artık SMS ile: Elektronik Rıza Yönetmeliği

27 Ekim 2026 tarihli Resmî Gazete’de (Sayı 33413) yayımlanan Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik, hastanede imzaladığınız onam formunun dijital karşılığını ilk kez ayrıntılı biçimde düzenledi. Bu bir değişiklik yönetmeliği değil; yeni ve bağımsız bir metin — ve yayımı tarihinde yürürlüğe girdi.

Dayanakları eski: 1219 sayılı Tababet ve Şuabatı San’atlarının Tarzı İcrasına Dair Kanunun 70. maddesi (hastanın rızası olmadan müdahale yasağı), 3359 sayılı Sağlık Hizmetleri Temel Kanununun ek 19. maddesi (sağlık verilerinin işlenmesi) ve 1 sayılı Cumhurbaşkanlığı Kararnamesinin 358. maddesi. Yani onam alma zorunluluğu yeni değil; nasıl elektronik alınacağı yeni.

Kapsam geniş: yönetmelik birinci, ikinci ve üçüncü basamak sağlık tesislerinin tamamını kapsıyor (md. 2) — aile sağlığı merkezinden eğitim ve araştırma hastanesine kadar.

İki kanal, iki farklı ispat gücü

Yönetmeliğin en pratik ayrımı burada. Elektronik rıza iki yoldan alınabiliyor (md. 8/1) ve iki yol, rızanın kime ait olduğunu kanıtlama gücü bakımından aynı değil.

İki kanalda da rıza aynı anda “alınmış sayılıyor”, ama kodu giren taraf farklı. Bunun neden önemli olduğuna aşağıda döneceğiz.

Süreç adım adım

1. Kimlik doğrulama (md. 6). Hastanın ve rıza sürecini yürüten sağlık meslek mensubunun kimliği müdahaleden önce doğrulanır. Metin kesin: “Kimlik doğrulama süreci başarıyla tamamlanmadan bilgilendirilmiş rızanın elektronik ortamda alınması süreci başlatılamaz.” Meslek mensubunun ayrıca Bakanlığın Entegre Kurumsal İşlem Platformunda tanımlı ve aktif olması gerekiyor. SGK geri ödeme kapsamındaki müdahalelerde 5510 sayılı Kanun ve Sağlık Uygulama Tebliği’ndeki kimlik tespit kuralları da birlikte uygulanıyor.
2. Doğrulanmış cep telefonu numarası (md. 7). Elektronik rızanın ön koşulu. e-Nabız kanalında numara e-Nabız’da doğrulanmış olmalı; yoksa ilgili alandan girilip gelen OTP ile doğrulanır. Hastane kanalında SBYS’de doğrulanmış numara yoksa OTP ile doğrulanır ve bu doğrulama 12 ay geçerli olur.
3. Formun sunulması (md. 8/3-4). Rıza formu meslek mensubu tarafından onaylanıp elektronik ortamda hastanın erişimine sunulur: SMS’teki URL ya da e-Nabız.
4. İnceleme ve kabul (md. 8/5-6). Hasta formu inceler. Müdahaleyi kabul ederse, yalnızca o müdahale kapsamında kullanılmak üzere üretilmiş geçerli bir SMS OTP telefonuna iletilir.
5. İrade beyanı (md. 8/7). e-Nabız’da hasta kodu kendisi girer; hastane cihazında kodu personelle paylaşır ve personel iletir.
6. Rızanın tamamlanması ve arşiv (md. 8/8-9). Doğrulama ile rıza alınmış sayılır; form merkezi sağlık veri sistemine aktarılır ve e-Nabız’dan hastanın erişimine açılır.

Kayıt, ispat ve veri güvenliği

9. madde, elektronik onamın mahkemede ne kadar dayanacağını belirleyen bölüm. İz kayıtları elektronik veri bütünlük değeri (bir hash algoritmasıyla üretilen bütünlük doğrulama değeri) ve zaman damgası (5070 sayılı Elektronik İmza Kanununda tanımlı) kullanılarak, adli ve idari inceleme ile denetime elverişli biçimde muhafaza ediliyor. Asgari tutulacak kayıtlar:

• Rıza iradesinin elektronik ortamda beyan edildiği tarih, saat ve işlem bilgileri
• SMS OTP’nin gönderilmesi ve doğrulanmasına ilişkin bilgiler
• İşlemi gerçekleştiren sağlık meslek mensubuna ilişkin bilgiler
• Şifreleme, bütünlük, zaman damgası ve diğer güvenlik tedbirlerine ilişkin bilgiler

Saklama ve imha süreleri kâğıt onam belgelerinin tabi olduğu sürelerle aynı (md. 9/1) — elektronikleşme ayrı bir saklama rejimi doğurmuyor.

Güvenlik tarafında iki dayanak birlikte çağrılıyor (md. 10): 7545 sayılı Siber Güvenlik Kanunu kapsamında teknik ve idari tedbirler, 6698 sayılı KVKK ve 3359 ek madde 19 kapsamında kişisel veri işleme. Veri erişim yetkileri “görev ve sorumluluk sınırları çerçevesinde” belirlenip denetleniyor.

Küçükler ve kısıtlılar: elektronik yolun kapandığı yer

11. madde, hastanın küçük veya kısıtlı olması hâlinde işlemlerin kanuni temsilci tarafından, Hasta Hakları Yönetmeliğine uygun olarak yapılacağını düzenliyor. Kimlik ve numara doğrulama kuralları temsilci için de geçerli.

Üçüncü fıkra net bir sınır çiziyor: kanuni temsilcinin olmadığı, hazır bulunamadığı veya elektronik ortamda doğrulanamadığı hâllerde bilgilendirilmiş rıza elektronik olarak alınamaz. Yani sistem, temsilci bulunamadığında kendi kendine bir çözüm üretmiyor — süreç kâğıt usule ve Hasta Hakları Yönetmeliğinin genel hükümlerine dönüyor.

paradefter yorumu: inkâr edilemezlik ilkesi, kendi düzenlemesinde zayıflıyor

Yönetmeliğin 5. maddesi ilkeleri sayarken şunu yazıyor: “Bilgilendirilmiş rızanın ilgili kişiye ait olduğunun güvenilir yöntemlerle doğrulanması ve işlemlerin inkâr edilemezliği sağlanır.”

Sonra 8. madde, aynı inkâr edilemezliği iki farklı güçte kuruyor.

e-Nabız kanalında hasta, kendi cihazından, kendi e-Devlet kimliğiyle açtığı ekrana kodu kendisi giriyor. Burada iki ayrı faktör var: hastanın telefonu (OTP) ve hastanın e-Nabız oturumu.

Hastane cihazı kanalında ise kod hastanın telefonuna gidiyor, hasta kodu sözlü olarak personele söylüyor, personel kodu hastanenin cihazından giriyor. Geriye kalan tek bağımsız faktör, kodun hastanın telefonuna ulaşmış olması. Kodun kim tarafından ve hangi iradeyle girildiği, kaydı tutan tarafın kendi sisteminde oluşuyor. Rızayı alan ile rızanın kanıtını üreten aynı taraf hâline geliyor.

Bu, kötü niyet varsayımı değil — ispat mimarisi sorunu. Bir uyuşmazlıkta “kodu ben vermedim” ya da “kod girildi ama ben kabul etmedim” iddiası, e-Nabız kanalında teknik kayıtla kolayca çürütülebilirken, hastane kanalında kaydın tamamı tek tarafın altyapısından geliyor. Yönetmelik bu asimetriyi hiçbir yerde telafi etmiyor: ikinci kanal için ek bir tanık, ikinci imza veya ayrı bir onay adımı öngörülmüyor.

İkinci boşluk: okuma kaydı yok. 8/5 hastanın formu “inceler” diyor, 8/8 ise rızanın OTP doğrulamasıyla alınmış sayıldığını söylüyor. Arada, hastanın formu gerçekten açtığını ya da üzerinde zaman geçirdiğini gösteren hiçbir kayıt zorunluluğu yok. 9/3’ün saydığı dört kayıt kaleminin tamamı koda ve işleme bakıyor; içeriğe maruz kalmaya bakan bir kalem yok. Oysa 1219 sayılı Kanunun 70. maddesindeki rıza, bilgilendirmeye dayalı bir rızadır — bilgilendirme yapılmadıysa alınan şey hukuken rıza değildir. Elektronik iz, SMS’in gönderildiğini ve kodun girildiğini kanıtlıyor; bilgilendirmenin yapıldığını kanıtlamıyor. Formun açıldığına dair basit bir görüntüleme kaydı (form URL’sinin açılma zamanı) bu açığı büyük ölçüde kapatırdı; 9. maddenin asgari liste kalemleri arasında yok.

Üçüncü nokta, 12 aylık numara hafızası. 7/3-ç bir kolaylık hükmü: her müdahalede yeniden SMS doğrulaması yapmamak için, bir kez doğrulanan numara tesis kayıtlarında 12 ay geçerli sayılıyor. Ama bu, numaranın 12 ay boyunca aynı kişide kaldığı varsayımına dayanıyor. Hat değişikliği, hattın kapanıp yeniden tahsis edilmesi ya da telefonun el değiştirmesi hâlinde onam SMS’i — form URL’siyle birlikte — bir yıla kadar başka birine gidebilir. Form içeriği sağlık verisidir. Yönetmelik numara değişikliğinde tesisin kaydı güncellemesi için bir yükümlülük veya periyodik kontrol öngörmüyor; sorumluluk fiilen hastaya kalıyor.

Kazanım tarafı da küçümsenmemeli. Kâğıt onamın en bilinen sorunu, imzaladığınız metnin bir kopyasının elinizde kalmamasıydı; uyuşmazlık çıktığında ne imzaladığınızı hastaneden istemek gerekiyordu. 8/9 bunu tersine çeviriyor: form merkezi sisteme aktarılıyor ve e-Nabız’dan size açılıyor. Kayıt bütünlüğü hash ve zaman damgasına bağlanıyor, saklama süresi kâğıtla aynı tutuluyor. Hasta tarafındaki delil erişimi, kâğıt döneminden belirgin biçimde iyi.

En sık yapılan hatalar

• Kâğıt onamın kalktığını sanmak. Yönetmelik elektronik yolu zorunlu kılmıyor; 1. madde “elektronik ortamda alınması halinde” diyor, kâğıt usul yürürlükte.
• Gelen SMS’teki kodu formu açmadan söylemek. Kod, formu kabul ettiğinizin kanıtı olarak kayda geçiyor. Kodu vermeden önce formu açıp okuyun — sistem sizin okuduğunuzu ayrıca kaydetmiyor.
• Numara değişikliğini sadece e-Nabız’da güncellemek. Hastane kanalındaki doğrulama tesisin kendi kaydında 12 ay yaşıyor; başvurduğunuz tesiste de güncellenmesi gerekir.
• Onam formunun kopyasını istemeyi atlamak. Artık istemenize gerek yok ama bakmanız gerekiyor: form e-Nabız’da erişiminize açılıyor, müdahaleden sonra içeriğini kontrol edin.
• Çocuk için elektronik onamın her hâlde mümkün olduğunu varsaymak. Kanuni temsilci hazır değilse veya elektronik doğrulanamıyorsa elektronik rıza alınamaz (md. 11/3).
• Kimlik doğrulaması yapılmadan süreci başlatmak (personel tarafı). 6/2 bunu açıkça yasaklıyor; eksik kimlik doğrulamasıyla alınan rızanın geçerliliği tartışmaya açılır.

2026’da pratik karar

Sonuç

Yönetmelik, onam sürecinin dijitalleşmesinde iki şeyi birlikte yapıyor: hasta tarafında delil erişimini güçlendiriyor (form artık e-Nabız’da sizde), kurum tarafında ise ispatı hash ve zaman damgasına bağlıyor. Buna karşılık iki kanalın ispat gücü eşit değil ve formun okunduğunu gösteren bir kayıt öngörülmemiş. Hasta açısından pratik sonuç tek cümleyle: kodu vermeden önce formu açıp okuyun, sonra e-Nabız’dan kaydınızı kontrol edin.

İlgili okumalar: KVKK Aydınlatma Hakkı Nasıl Kullanılır · Sağlık Kurulu Raporuna İtiraz: Yeni Dönem · e-Devlet Şifresi Nasıl Alınır

Kaynaklar

• Resmî Gazete — Bilgilendirilmiş Rızanın Elektronik Ortamda Alınması Hakkında Yönetmelik (27.10.2026, Sayı 33413)
• Resmî Gazete — 27 Ekim 2026 tarihli ve 33413 sayılı nüsha (PDF)
• Mevzuat Bilgi Sistemi — 1219 sayılı Tababet ve Şuabatı San’atlarının Tarzı İcrasına Dair Kanun
• Mevzuat Bilgi Sistemi — 3359 sayılı Sağlık Hizmetleri Temel Kanunu
• Mevzuat Bilgi Sistemi — Hasta Hakları Yönetmeliği
• Mevzuat Bilgi Sistemi — 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Mevzuat Bilgi Sistemi — 5070 sayılı Elektronik İmza Kanunu

Yasal Uyarı

Bu içerik bilgilendirme amaçlıdır, tıbbi veya hukuki görüş değildir. Tıbbi müdahale ve onam süreciyle ilgili bağlayıcı bilgi için sağlık kuruluşunuza, hukuki uyuşmazlıkta bir avukata başvurun.