Sağlık Yazılımı Regülasyonları: HealthTech Uyum Rehberi

Sağlık yazılımı regülasyonları, sağlık alanında kullanılan web sitesi, mobil uygulama ve yazılımların uyması gereken kişisel veri, tanıtım, uzaktan sağlık ve tıbbi cihaz kurallarının bütünüdür. Türkiye'de bir healthtech ürününün hangi kurala tabi olacağını ise işlevi belirler: sağlık verisi işlemek, hizmet tanıtmak, uzaktan muayene sunmak veya tıbbi amaçlı çıktı üretmek.

Bu yazıda ilgili mevzuatı resmî metinlere dayanarak özetliyor, ürün tipine göre bir kontrol tablosu sunuyoruz.

Healthtech ürünlerinde hangi mevzuat devreye girer?

Healthtech ürünlerinde devreye giren mevzuat, ürünün yaptığı işe göre değişir. Sağlık verisi işleyen her ürün KVKK'ya; sağlık kuruluşunu veya meslek mensubunu tanıtan siteler tanıtım yönetmeliğine; uzaktan muayene sunan sistemler uzaktan sağlık yönetmeliğine; tıbbi amaçlı yazılımlar ise Tıbbi Cihaz Yönetmeliği'ne göre değerlendirilir. Aşağıdaki tablo bu eşleşmeyi özetliyor.

Sağlık verisi KVKK'da neden özel nitelikli kişisel veridir?

Sağlık verisi, 6698 sayılı Kanun'un 6. maddesinde ırk, din, biyometrik ve genetik veriler gibi özel nitelikli kişisel veriler arasında açıkça sayılır. Bu verilerin işlenmesi kural olarak yasaktır; yalnızca Kanun'da sayılan şartlardan biri bulunduğunda ve Kurul'un belirlediği yeterli önlemler ayrıca alındığında mümkündür.

7499 sayılı Kanun'la yeniden düzenlenen ve 1 Haziran 2024'te yürürlüğe giren 6. maddeye göre sağlık verisi; ilgili kişinin açık rızasıyla, kanunlarda açıkça öngörüldüğünde ya da sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olduğunda işlenebilir. Madde; hayati koruma, alenileştirme ve bir hakkın tesisi gibi başka şartlar da sayar.

Bu nedenle bir sağlık uygulamasında her veri akışı için hangi şarta dayanıldığı yazılı olarak belirlenmelidir. Sağlık amaçlı şartın sır saklama yükümlülüğü altındaki kişilere ve yetkili kurumlara özgü olduğu unutulmamalıdır. Aydınlatma, açık rıza ve çerez kuralları için çerez politikası ve web sitesi KVKK uyumu rehberimize bakabilirsiniz.

e-Nabız ve Kişisel Sağlık Verileri Yönetmeliği neyi düzenler?

Kişisel Sağlık Verileri Hakkında Yönetmelik, kişisel sağlık verisi işleyen kamu ve özel kişilerin Sağlık Bakanlığı süreç ve uygulamalarına ilişkin faaliyetlerinde uyacakları esasları düzenler. Yönetmelik e-Nabız'ı, kişilerin sağlık verilerine kendilerinin, hekimlerin veya yetki verdikleri üçüncü kişilerin erişimini sağlayan ve Bakanlıkça kurulan sistem olarak tanımlar.

3 Aralık 2025 ve 4 Temmuz 2026'da değiştirilen yönetmelikte yazılım ekipleri için öne çıkan hükümler şunlardır:

• Sağlık hizmeti sunumunda görevli kişiler verilere yalnızca verilecek hizmetin gereğiyle sınırlı olarak erişebilir.
• Sağlık hizmeti sunucuları, tahlil sonucu gibi basılı materyallerde kısmi kimliksizleştirme veya maskeleme uygular.
• Veri güvenliği tedbirlerinde KVKK'nın Kişisel Veri Güvenliği Rehberi esas alınır; özel nitelikli veriler için Kurul'un yeterli önlemlerine uyulur.
• Sağlık verilerinin yurt dışına aktarımında Kanun'un 9. maddesine uyulur.
• Merkezi sağlık veri sistemine Bakanlık usullerine uygun veri göndermeyen sağlık hizmeti sunucularına 3359 sayılı Kanun'a göre işlem yapılır.

Sağlık hizmetlerinde tanıtım yönetmeliği web sitelerine ne getiriyor?

12 Kasım 2025 tarihli Resmî Gazete'de yayımlanan Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik, sağlık meslek mensupları, özel sağlık kuruluşları ve uluslararası sağlık turizmi aracı kuruluşlarının tanıtımlarını düzenler. Yönetmeliğe göre sağlık hizmet sunumunda örtülü veya açık reklam yasaktır; yalnızca belirlenen ilkelere uygun tanıtım ve bilgilendirme yapılabilir.

Yönetmelik, 29 Temmuz 2023 tarihli önceki yönetmeliği yürürlükten kaldırdı. Web siteleri ve dijital pazarlama için öne çıkan kurallar şunlardır:

• Tesisler adres, iletişim, çalışma saatleri, uzmanlık dalları, çalışanların mesleki ve akademik unvanları ile sağlığı koruyucu ve geliştirici bilgileri paylaşabilir.
• İnternet sitelerinde son güncelleme tarihi ve site editörüne ulaşılabilecek iletişim bilgisi açıkça belirtilir.
• Ücret, indirim, kampanya ve promosyon bilgisine; hasta teşekkürü üzerinden reklam niteliğinde paylaşıma yer verilemez.
• Bilimsel ve klinik olarak kanıtlanmamış yöntemlerle tedavi yapıldığına dair ifadeler kullanılamaz.
• Arama motorları ve sosyal medyada ücretli, sponsorlu veya öne çıkarma amaçlı olmayan kayıt yapılabilir; anahtar kelimeler ve sonuç sayfasındaki bilgiler de ilkelere uymalıdır. Sponsorlu tanıtıma ise esas olarak tesisin açılışını izleyen ilk bir ay boyunca izin verilir.
• Kişilerin bilgisi ve rızası olmadan telefonla arama, SMS, e-posta veya sosyal medya iletisiyle tanıtım yapılamaz.

Uluslararası sağlık turizmi yetki belgesi olan tesisler için yurt dışına yönelik ayrı platformlarda farklı kurallar uygulanır. Aykırılıklarda 3359 sayılı Kanun'un ek 11. maddesine dayanan idari yaptırımlar uygulanır; kişisel verilere ilişkin aykırılıklarda KVKK hükümleri işletilir.

Hasta görselleri hangi şartlarla paylaşılabilir?

Yönetmelik hasta görsellerini tamamen yasaklamaz, ancak sıkı şartlara bağlar. Hastaya ait görsel için hastanın, küçük veya kısıtlıysa veli ya da vasisinin açık rızası Ek-1'deki onam formuyla yazılı ya da elektronik olarak alınmalıdır. Hasta içeriği önceden görme hakkına sahiptir ve iznini herhangi bir şarta bağlı olmaksızın her zaman geri çekebilir.

• Görsellerde sonradan teknolojik değişiklik veya düzeltme yapılamaz; yanıltıcı makyaj kullanılamaz.
• Öncesi ve sonrası görselleri aynı ortam ve teknik şartlarda çekilmeli, işlem ve çekim tarihleri belirtilmelidir.
• Görselin gerçek hastaya mı ait olduğu yoksa alıntı mı olduğu belirtilmeli; paylaşımlar yorum, beğeni ve yeniden paylaşıma kapatılmalıdır.
• Tıbbi müdahale veya ameliyat sırasındaki hasta görüntüleri paylaşılamaz; görseller sponsorlu olarak yayınlatılamaz.
• Yurt içi görsellerde, sonuçların kişiden kişiye değişebileceğini ve işlem öncesinde hekimden ayrıntılı görüş alınması gerektiğini belirten zorunlu uyarı okunaklı biçimde yer almalıdır.

Uzaktan sağlık hizmeti yazılımları hangi şartlara tabidir?

10 Şubat 2022 tarihli Uzaktan Sağlık Hizmetlerinin Sunumu Hakkında Yönetmelik, uzaktan sağlık hizmetini Bakanlıktan izin almış tesislerde, sağlık meslek mensubunun uzaktan sağlık bilgi sistemi üzerinden sunduğu hizmet olarak tanımlar. Yönetmelik bu sistemleri geliştiren firmaları da kapsar ve kullanılacak yazılımın Bakanlık sistemine tescilini şart koşar.

• Sistem, Bakanlığın belirlediği asgari standartlara göre geliştirilir; tescili yapılmamış sistem uzaktan sağlık hizmetinde kullanılamaz.
• Hizmeti sunacak tesis, Bakanlıktan uzaktan sağlık hizmeti faaliyet izin belgesi almalıdır.
• Hizmet öncesinde kişiye; hizmetin yüz yüze muayenenin muadili olmadığı, acil durumda en yakın acil servise başvurması gerektiği ve ücret gibi konularda sade bir dille bilgi verilir.
• Tesis, hizmet alan kişinin kimliğini doğrulamaya yönelik tedbirleri alır.
• Görüşmeler iki tarafın açık rızası olmadan kaydedilemez; rızayla alınan kayıtlar on iki aydan fazla saklanamaz.
• Yurt dışına sunulan hizmetler hariç, TİTCK tarafından kaydedilmemiş tıbbi cihazların kullanımına izin verilemez.

Sağlık yazılımı ne zaman tıbbi cihaz sayılır?

Sağlık yazılımı, imalatçısı tarafından tanı, önleme, izleme, tahmin, prognoz, tedavi veya hafifletme gibi tıbbi bir amaç için tasarlandığında tıbbi cihaz sayılabilir. TİTCK'nın aktardığı Tıbbi Cihaz Yönetmeliği tanımı yazılımı da açıkça içerir; bu yüzden belirleyici olan, imalatçının yazılım için öngördüğü tıbbi amaçtır.

Türkiye'de Tıbbi Cihaz Yönetmeliği, AB'nin 2017/745 sayılı Tüzüğü ile tam uyumlu olarak hazırlanmış ve 2 Haziran 2021 tarihli Resmî Gazete'de yayımlanmıştır. TİTCK, yazılımın tıbbi cihaz olarak nitelendirilmesine ilişkin rehberleri, örneğin MDCG 2019-11'in çevirisini, aynı mevzuat sayfasında yayımlar.

Pratikte randevu, faturalama veya genel sağlık içeriği sunan işlevler tanımdaki tıbbi amaçları taşımaz. Ölçüm verisinden kişiye özel risk skoru ya da tedavi önerisi üreten bir modül eklendiğinde ise ürünün niteliği değişebilir; bu durumda geliştirmeye başlamadan TİTCK mevzuatına göre değerlendirme yapılmalıdır.

Uyumlu bir sağlık web sitesi veya uygulaması nasıl geliştirilir?

Uyumlu bir sağlık web sitesi veya uygulaması, geliştirme başlamadan önce ürünün işlevini ve buna bağlı mevzuatı netleştirerek geliştirilir. Kodlama sırasında veri akışları, erişim yetkileri ve içerik kuralları tasarıma yerleştirilir; yayından sonra da mevzuat değişiklikleri düzenli olarak izlenir. Aşağıdaki adımlar bu süreci özetliyor.

1. İşlevi tanımlayın: Ürün bilgilendirme mi, randevu mu, uzaktan hizmet mi yoksa tıbbi karar desteği mi sunuyor?
2. Mevzuat haritası çıkarın: KVKK, tanıtım yönetmeliği, uzaktan sağlık yönetmeliği ve gerekiyorsa Tıbbi Cihaz Yönetmeliği.
3. Veri akışını belgeleyin: Hangi sağlık verisinin, hangi şarta dayanarak, nerede işlendiğini ve kimlere aktarıldığını yazın.
4. Güvenliği tasarıma dahil edin: Rol bazlı erişim, şifreleme ve erişim kayıtlarını KVKK'nın güvenlik rehberiyle uyumlu kurun.
5. İçeriği tanıtım kurallarına göre yazın: Reklam dili, fiyat ve kampanya içermeyen, son güncelleme tarihi ve editör iletişimi bulunan sayfalar hazırlayın.
6. Tescil ve izinleri planlayın: Uzaktan hizmet varsa tescil ve faaliyet izni süreçlerini, kayıt ve saklama kurallarını takvime alın.
7. Yayından sonra denetleyin: Mevzuat değişikliklerini, içerikleri ve erişim kayıtlarını düzenli gözden geçirin.

Mobil tarafta güvenli geliştirme ilkeleri için mobil uygulama güvenliği rehberimize göz atabilirsiniz.

Uni Digital Group bu konuda ne yapıyor?

Uni Digital Group olarak klinikler ve sağlık girişimleri için web sitesi ve mobil uygulama geliştirirken içerik yapısını tanıtım yönetmeliğine, veri akışını ise KVKK'ya göre planlıyoruz. Tıbbi cihaz niteliği, tescil ve izin gibi regülasyon kararlarını sizin hukuk ve regülasyon danışmanlarınızla birlikte netleştiriyoruz; bu konularda hukuki görüş vermiyoruz.

Klinik ve doktor siteleri için klinik web sitesi hizmetimizi, uygulama projeleri için İstanbul'da mobil uygulama geliştirme hizmetimizi inceleyebilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki tavsiye değildir. Mevzuat değişebileceğinden uygulamadan önce güncel metinleri kontrol edin ve bir hukuk uzmanına danışın.