Eczanede KVKK: Hasta Verisi, VERBİS ve Etiket

Eczanede bir günde işlenen kişisel veri sanılandan fazladır. Reçetedeki teşhis, raporlu ilaç listesi, hastanın kullandığı diğer ilaçlar, ilacı almaya gelen yakının kimlik bilgisi, tarif etiketindeki ad soyad. Bunların çoğu Kişisel Verilerin Korunması Kanunu'nun (KVKK) en sıkı koruduğu gruba, özel nitelikli kişisel verilere girer.

Bu rehber hukuki danışmanlık değildir. Kanun metnine, Kişisel Verileri Koruma Kurulu kararlarına ve eczacılık mevzuatına dayanarak eczanenin temel yükümlülüklerini ve tezgâhta uygulanabilecek önlemleri özetliyor. Kendi eczanenize özgü sorular için bağlı olduğunuz eczacı odasına ya da bir hukukçuya danışın.

Sağlık verisi özel nitelikli veridir

6698 sayılı Kanunun 6. maddesinin birinci fıkrası, kişilerin sağlığıyla ilgili verileri özel nitelikli kişisel veri olarak sayar (Kanunun güncel metni). 2024'te 7499 sayılı Kanunla değiştirilen üçüncü fıkraya göre özel nitelikli kişisel verilerin işlenmesi yasaktır; ancak fıkrada sayılan hallerde mümkündür. Bu hallerden biri, eczane için en tanıdık olanıdır: sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması (md. 6/3-e).

Aynı maddenin dördüncü fıkrası bir şart daha ekler: özel nitelikli kişisel verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması gerekir.

Kurulun "yeterli önlemleri"

Kişisel Verileri Koruma Kurulu bu önlemleri 31.01.2018 tarihli ve 2018/10 sayılı kararıyla belirledi (karar). Eczane ölçeğinde karşılığı olanları şöyle özetleyebiliriz:

Çalışanlar. Veriyi işleyen çalışanlara Kanun ve özel nitelikli veri güvenliği konusunda düzenli eğitim verilmesi, gizlilik sözleşmeleri yapılması, erişim yetkilerinin kapsamının ve süresinin net tanımlanması, görev değişikliğinde ya da işten ayrılışta yetkilerin derhal kaldırılması.
Fiziksel ortam. Verilerin bulunduğu ortamın yangın, su baskını, hırsızlık gibi risklere karşı korunması, yetkisiz giriş çıkışların engellenmesi.
Aktarım. E-postayla aktarımın şifreli yapılması ya da Kayıtlı Elektronik Posta (KEP) kullanılması, taşınabilir belleklerin şifrelenmesi, kâğıt belgelerin "gizli" ibaresiyle gönderilmesi.

Kararda elektronik ortamlar için kriptografik koruma, işlem kayıtlarının tutulması ve uzaktan erişimde en az iki aşamalı kimlik doğrulama gibi önlemler de sayılır. Bu önlemlerin bir kısmı eczane otomasyon programının ve bilgisayar altyapısının işidir; programı seçerken sorulacakları eczane otomasyon programı seçimi rehberinde topladık.

Aydınlatma ve veri güvenliği

Kanunun 10. maddesine göre veri sorumlusu, kişisel veriler elde edilirken ilgili kişiyi kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile Kanundaki hakları konusunda bilgilendirir. Eczanelerde bu genellikle tezgâhta ya da girişte görünür bir aydınlatma metniyle yapılır. TEB, 2021'deki duyurusunda örnek aydınlatma metni, gizlilik taahhütnamesi ve politika belgeleri sağlayacağını bildirmişti (TEB duyurusu).

Kanunun 12. maddesi veri sorumlusunun hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almasını ister. Aynı madde iki önemli hüküm daha içerir: veri sorumluları ve veri işleyenler öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve bu yükümlülük görevden ayrıldıktan sonra da sürer (md. 12/4). Veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir (md. 12/5).

VERBİS: kim kayıt olmalı?

Kanunun 16. maddesi veri sorumlularının Veri Sorumluları Siciline (VERBİS) kaydını düzenler ve Kurula objektif kriterlerle istisna getirme yetkisi verir. Eczaneler açısından tarihçe şöyle:

2021: TEB'in 17.12.2021 tarihli duyurusuna göre Kurum, eczanelerin ana faaliyetinin sağlık verisi işlemek olduğunu belirterek eczanelerin genel olarak istisna tutulması talebini kabul etmedi; TEB de eczanelerin çalışan sayısı ya da bilanço büyüklüğünden bağımsız olarak kayıt yaptırması gerektiğini duyurdu.
2025: Kurulun 04.09.2025 tarihli ve 2025/1572 sayılı kararıyla, ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularından yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az olanlar VERBİS'e kayıt yükümlülüğünden istisna tutuldu. Kurum bunu 01.10.2025 tarihli kamuoyu duyurusuyla açıkladı (KVKK duyurusu).

İki kriterin birlikte sağlanması gerekir. İstisna yalnızca sicile kayıtla ilgilidir; yukarıdaki aydınlatma ve veri güvenliği yükümlülükleri yerinde durur.

Hasta başvurduğunda

KVKK, verisi işlenen kişiye veri sorumlusuna başvurma hakkı tanır. Kanunun 11. maddesine göre herkes kendisiyle ilgili kişisel verinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işlenme amacını öğrenme, verinin aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış işlenmişse düzeltilmesini isteme gibi haklara sahiptir. 13. madde başvurunun yazılı olarak ya da Kurulun belirleyeceği diğer yöntemlerle yapılacağını ve veri sorumlusunun talebi niteliğine göre en kısa sürede, en geç otuz gün içinde ücretsiz olarak sonuçlandıracağını söyler; işlem ayrıca bir maliyet gerektiriyorsa Kurulun tarifesindeki ücret alınabilir.

Eczanede bu tür bir başvuru seyrek gelir, ama geldiğinde kimin cevap vereceği belli olmalıdır. Başvurunun hangi tarihte alındığını kaydetmek ve otuz günlük süreyi takvime yazmak yeterli bir başlangıçtır. Cevabın içeriği konusunda tereddüt ederseniz bağlı olduğunuz eczacı odasına danışabilirsiniz.

Eczacılık mevzuatındaki gizlilik

KVKK'dan önce de eczanede gizlilik vardı. Eczacılar ve Eczaneler Hakkında Yönetmelik'in 32. maddesi, eczanede hazırlanmak üzere bırakılanlar dahil tüm reçetelerin yazan hekim ile hastadan ya da hastanın yakınından başkasına gösterilmesini ve aslının ya da kopyasının verilmesini yasaklar (yönetmelik). İyi Eczacılık Uygulamaları Kılavuzu da eczacının hastanın özel yaşamını ve mahremiyetini korumasını (5.b.2), hastayla görüşmelerin mahremiyet gözetilerek yapılmasını (6.5) ister (kılavuz).

Yönetmeliğin 28. maddesi de dolaylı olarak buraya bağlanır: internet, faks, telefon, kurye ve benzeri yollarla gelen reçeteler kabul edilmez. Hastanın mesajla gönderdiği reçete fotoğrafı hem bu hükme takılır hem de eczanede kimin telefonunda sağlık verisi biriktiği sorusunu doğurur.

Tezgâhta küçük önlemler

Mevzuatın genel cümleleri tezgâhta somut alışkanlıklara dönüşür:

Ekran: Hastanın göreceği açıda duran ekranda başka bir hastanın reçetesi açık kalmasın. Kısa aralarda ekranı kilitlemek alışkanlık olsun.
Kâğıt: Reçete çıktıları, rapor fotokopileri ve hasta notları tezgâhın hasta tarafında beklemesin.
Etiket: Hatalı basılan ya da kullanılmayan tarif etiketlerinde hasta adı yazar. Bunları çöpe atmadan önce yırtın ya da okunmaz hale getirin.
Sesli konuşma: Kalabalıkta ilacın adını ve hastalığı yüksek sesle söylemek yerine kutuyu gösterip açıklamak, mahremiyeti korur.
Ortak hesaplar: Herkesin aynı kullanıcı adıyla girdiği bir bilgisayarda kimin hangi kaydı açtığı bilinmez. Çalışan başına ayrı hesap, Kurul kararındaki yetki tanımının en basit karşılığıdır.

Personelin bu konularda nasıl eğitileceğini eczane personeli eğitimi rehberinde anlattık.

ilaçtarif® hangi veriyi görür?

Tarif etiketi TİTCK'nın 24.10.2024 tarihli yazısına göre hasta adı soyadı, ilaç adı, hekim tarafından önerilen doz ve kullanım şeklini taşır. Hasta adı etikete eczanedeki bilgisayarda yazılır. ilaçtarif® sistemine barkod ve doz bilgisi dışında bilgi iletilmez; tarifin hazırlanması için ilacın hangi ilaç olduğunu bilmek yeterlidir. Medula'daki reçete de Chrome eklentisi aracılığıyla yalnızca aynı bilgisayarda çalışan programa gönderilir (Medula reçetesinden etiket).

ilaçtarif®’i ücretsiz deneyin

Barkodu okutun; hasta adı soyadı, ilaç adı, hekimin önerdiği doz ve kullanım şekli 60×40 mm sarı termal etikete basılsın.

Ücretsiz deneyin 0850 885 07 97

Sık sorulanlar

Eczanem VERBİS'e kayıt olmak zorunda mı?

TEB'in 2021 duyurusuna göre KVK Kurumu eczanelerin ana faaliyetinin sağlık verisi işlemek olduğunu belirterek genel bir istisna talebini kabul etmemişti. Kurulun 04.09.2025 tarihli ve 2025/1572 sayılı kararıyla ise ana faaliyeti özel nitelikli veri işlemek olan veri sorumlularından yıllık çalışan sayısı 10'dan ve yıllık mali bilanço toplamı 10 milyon TL'den az olanlar kayıttan istisna tutuldu. Kendi durumunuz için eczacı odanıza ya da bir hukukçuya danışın.

VERBİS istisnası diğer KVKK yükümlülüklerini de kaldırır mı?

Hayır. Karar, Kanunun 16. maddesindeki sicile kayıt yükümlülüğüyle ilgilidir. Aydınlatma yükümlülüğü (md. 10) ve veri güvenliğine ilişkin yükümlülükler (md. 12) Kanunda ayrı maddelerde düzenlenir.

Tarif etiketinde hasta adı olması KVKK'ya aykırı mı?

TİTCK'nın 24.10.2024 tarihli yazısı tarif etiketinde hastanın adı soyadının yer almasını öngörür; etiket hastanın kendi ilacının kutusuna yapıştırılır. Dikkat edilmesi gereken, hatalı basılan ya da kullanılmayan etiketlerin çöpe atılmadan önce okunmaz hale getirilmesidir.

İlgili sayfalar

Kaynaklar

6698 sayılı Kişisel Verilerin Korunması Kanunu, güncel metin, md. 6, 10, 11, 12, 13, 16: www.mevzuat.gov.tr
Kişisel Verileri Koruma Kurumu, Kamuoyu Duyurusu (ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularının VERBİS istisnası, Kurul Kararı 2025/1572): www.kvkk.gov.tr
Kişisel Verileri Koruma Kurulu, 31.01.2018 tarihli ve 2018/10 sayılı karar (özel nitelikli kişisel verilerde yeterli önlemler): www.kvkk.gov.tr
Türk Eczacıları Birliği, VERBİS Kayıt Yükümlülüğü Hakkında Bilgilendirme (17.12.2021): www.teb.org.tr
Eczacılar ve Eczaneler Hakkında Yönetmelik, güncel metin, md. 28, 32: www.mevzuat.gov.tr
TİTCK, İyi Eczacılık Uygulamaları Kılavuzu, 5.b.2, 6.5: www.titck.gov.tr