Sağlık turizmi alanında faaliyet gösteren bir poliklinik, yurt dışından ulaştığı hasta adaylarının bilgilerinin bir çalışan aracılığıyla rakip kliniklere aktarıldığından şüphelenir. Şüpheyi doğrulamak için avukatı, il sağlık müdürlüğüne başvurarak listede adı geçen yabancı kişilerin Türkiye’de tedavi görüp görmediğini ve hangi klinikte tedavi edildiklerini sorar. Avukatlık Kanunu kamu kurumlarına avukata yardımcı olma yükümlülüğü yüklediğine göre, bu bilgiler avukata verilmek zorunda mıdır? Yoksa söz konusu bilgiler, ilgililerin açık rızası olmadan paylaşılamayacak özel nitelikli kişisel veri midir?
Danıştay Onuncu Dairesi, 20.11.2025 tarihli ve E.2022/6800, K.2025/5472 sayılı kararıyla bu soruyu kişisel verilerin korunması lehine yanıtlamıştır. Daire, bir kişinin Türkiye’de tedavi olup olmadığı ve hangi poliklinikte tedavi gördüğü bilgisinin sağlık verisi olduğunu; avukatın müvekkiline ait sağlık verilerini dahi ancak açık rızayı gösteren özel yetkili vekaletname ile talep edebileceğini, vekalet ilişkisi bulunmayan üçüncü kişilerin sağlık verilerine ise hiç erişemeyeceğini belirterek davayı oy birliğiyle reddetmiştir.
🦷 Sızıntı şüphesi ve il sağlık müdürlüğüne başvuru
Davacı, uluslararası sağlık turizmiyle uğraşan bir ağız ve diş sağlığı polikliniği limited şirketidir. Karardaki anlatıma göre şirket, yurt dışında bulunan hastalarla sosyal medya üzerinden iletişime geçmekte; iletişim kurulan hastaların verilerinin başka bir polikliniğe sızdırıldığından şüphelenmektedir. Şirket vekili, verileri sızdıran personel hakkında disiplin süreci başlatmak, şikâyet yoluna gitmek ve verilerin aktarıldığı polikliniklere karşı tazminat davası açabilmek amacıyla İzmir Valiliğine başvurmuştur.
Başvuruda, dilekçe ekindeki listede adı bulunan yabancı kişilerin Türkiye’de tedavi olup olmadıkları, tedavi oldularsa hangi poliklinikte tedavi gördükleri sorulmuş ve bu bilgilerin Avukatlık Kanunu’nun 2. maddesinin üçüncü fıkrası uyarınca verilmesi istenmiştir. İzmir Valiliği İl Sağlık Müdürlüğü, 05.10.2022 tarihli işlemiyle talebi reddetmiştir. Ret gerekçesine göre Kişisel Sağlık Verileri Hakkında Yönetmeliğin 10. maddesi uyarınca avukatlar kişisel sağlık verilerini yalnızca kendi müvekkilleri hakkında ve özel yetki bulunması hâlinde talep edebilir; sağlık verileri, hizmeti alan kişilerin açık rızası olmadıkça kimseyle paylaşılamaz.
Dava konusu Yönetmelik 21.06.2019 tarihli ve 30808 sayılı Resmî Gazete’de yayımlanmıştır. İptali istenen 10. madde şu hükmü içermektedir: Avukatlar, müvekkilinin sağlık verilerini genel vekâletname ile talep edemez; müvekkile ait sağlık verilerinin avukata aktarılması için düzenlenen vekâletnamede, ilgili kişinin özel nitelikli kişisel verilerinin işlenmesi ve aktarılmasına ilişkin açık rızasını gösteren özel bir hüküm bulunması gerekir.
⚖️ Tarafların ileri sürdükleri
| Taraf | Başlıca argümanlar |
|---|---|
| Davacı şirket | Kişisel verilerin korunması mutlak bir hak değildir; aksi yorum adil yargılanma hakkını ve silahların eşitliğini zedeler. Delile ulaşamayan tarafın dava açması dahi güçleşir. Yönetmeliğin dayanak mevzuatında vekaletnamede özel yetki arandığına dair kanuni bir hüküm yoktur ve kanunla düzenlenmeyen bir konu yönetmelikle düzenlenemez. İstenen bilgi, yalnızca tedavi olunup olunmadığı ve hangi poliklinikte tedavi görüldüğüdür; bu, özel nitelikli sağlık verisi sayılamaz. |
| Sağlık Bakanlığı | Verileri sızdırıldığı ileri sürülen kişiler yurt dışında yaşamaktadır ve işlemin asıl muhatabı onlardır. Genel vekaletnameyle hastaların özel nitelikli verileri aktarılamaz. Bir kişinin hangi poliklinikte muayene olduğu bilgisi özel nitelikli kişisel veridir. Düzenleme avukatların erişimini tamamen kısıtlamamakta, yalnızca açık rıza şartı getirmektedir. |
| İzmir Valiliği | Davanın Sağlık Bakanlığı husumetiyle görülmesi gerekir. Sağlık verileri, hizmeti alanların açık rızası olmadıkça kimseyle paylaşılamaz; aksi hâlde hukuki ve cezai sorumluluk doğar. |
Danıştay Tetkik Hâkimi de davanın reddi gerektiği görüşünü bildirmiştir.
📑 Yönetmeliğin 10. maddesi neden hukuka uygun bulundu?
Daire incelemesini iki aşamada yapmıştır: önce düzenleyici işlem, ardından bireysel işlem. Düzenleyici işlem yönünden Daire, avukat ile müvekkil arasındaki ilişkinin Türk Borçlar Kanunu’ndaki vekalet sözleşmesine dayandığını, avukatın işini özen ve sadakatle yürütme ödevinin Avukatlık Kanunu’nda da somutlaştırıldığını hatırlatmıştır. Avukatlık Kanunu’nun 2/3. maddesi, kamu kurumları ile bankalar, noterler, sigorta şirketleri ve vakıflar gibi kuruluşları avukata yardımcı olmak ve gerek duyduğu bilgi ve belgeleri incelemesine sunmakla yükümlü tutar; ancak bu yükümlülük “kanunlarındaki özel hükümler saklı kalmak kaydıyla” kurulmuştur.
Daireye göre avukat, müvekkiline ait verileri genel bir vekaletname ibrazıyla ve gerekliliğini açıklayarak isteyebilir. Ne var ki sağlık verileri söz konusu olduğunda farklı bir rejim uygulanır:
- Özel kanun: Kişisel sağlık verileri bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu, alanı düzenleyen özel kanundur.
- Açık rıza kuralı: Anayasa’nın 20/3. maddesi kişisel verilerin ancak kanunda öngörülen hâllerde veya açık rızayla işlenebileceğini öngörür; KVKK’nın 6. maddesi de sağlık verilerini özel nitelikli kişisel veri saymakta ve işlenmesini kural olarak yasaklamaktadır.
- Kanun koyucunun tercihi: Düzenlemenin yürürlüğe girdiği tarihteki hâliyle KVKK 6/3, sağlık ve cinsel hayata ilişkin veriler için “kanunlarda öngörülen hâllerde” ifadesiyle yetinmemiş, rızasız işlenebilecek hâlleri doğrudan maddede saymıştır.
- Bilgi edinme ile ilişki: 4982 sayılı Bilgi Edinme Hakkı Kanunu’nun 21. maddesi de kişinin sağlık bilgilerini, izni olmadıkça bilgi edinme hakkı kapsamı dışında tutmaktadır.
Bu çerçevede Daire, avukatın müvekkilinin sağlık verilerine ancak ilgilinin açık rızasıyla ulaşabileceğini ve vekaletnamede bu rızayı gösteren özel bir hüküm aranmasının hukuka ve üst hukuk normlarına aykırı olmadığını kabul etmiştir. Davacının “kanunda olmayan şart yönetmelikle getirilemez” itirazı, bu şartın zaten KVKK’nın açık rıza sisteminden kaynaklandığı değerlendirmesiyle karşılanmıştır.
🔐 Vekalet ilişkisi olmayan hastaların verileri
Kararın uygulamaya en doğrudan dokunan kısmı, il sağlık müdürlüğünün ret işlemine ilişkin değerlendirmedir. Daire öncelikle, yabancı ülkedeki kişilerin Türkiye’de tedavi olup olmadıkları ve hangi poliklinikte tedavi gördüklerine ilişkin bilginin kişilerin sağlığıyla ilgili veri, dolayısıyla özel nitelikli kişisel veri olduğunda duraksama bulunmadığını belirtmiştir. Davacının, bu bilginin yalnızca bir “tedavi kaydı” olduğu ve sağlık verisi sayılamayacağı yönündeki itirazı böylece kabul görmemiştir.
Ardından Daire, kademeli bir akıl yürütmeyle sonuca ulaşmıştır:
- Avukat, Yönetmeliğe göre müvekkilinin sağlık verilerini dahi ancak açık rızayı içeren özel yetkili vekaletnameyle isteyebilir.
- Davacı şirketin vekili, bu özel yetkiye dayanarak olsa olsa vekalet ilişkisi içinde bulunduğu şirketin verilerine erişebilir.
- Müvekkile ait sağlık verilerine genel vekaletnameyle bile erişilemiyorsa, vekalet ilişkisi bulunmayan ve yabancı ülkede yaşayan hastaların sağlık verilerine herhangi bir vekaletname olmaksızın erişilmesine hukuken imkân yoktur.
Bu nedenle ret işleminde de hukuka aykırılık görülmemiştir. Daire, talebin bir disiplin süreci veya tazminat davasına hazırlık amacı taşımasına ayrıca bir ağırlık tanımamış; sonucu verinin niteliği ve vekalet ilişkisinin yokluğu üzerine kurmuştur.
🆕 7499 sayılı Kanun sonrası tablo
Dava devam ederken KVKK’nın 6. maddesi, 12.03.2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun’la değiştirilmiştir. Daire kararında hem eski hem yeni metne yer vermiştir. Yeni düzenlemede özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; ancak açık rıza, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve sır saklama yükümlülüğü altındaki kişilerce sağlık hizmetlerinin yürütülmesi gibi sayılı hâllerde işlenebilir.
Yeni metinde “bir hakkın tesisi, kullanılması veya korunması için zorunlu olması” hâli de sayılmıştır. Ancak Daire, yeni metni de aktarmasına karşın sonucunu değiştirmemiş; açık rızanın kural olduğunu ve vekalet ilişkisi bulunmayan kişilerin sağlık verilerine avukat aracılığıyla erişilemeyeceğini kabul etmiştir. Kararda, bu yeni işleme şartının somut olaya uygulanıp uygulanamayacağı ayrıca tartışılmamıştır.
🧭 Kararın sınırları ve önemi
Karar, sağlık turizmi gibi veriyle yoğun çalışan sektörlerde ve sağlık kuruluşları nezdinde yürütülen bilgi taleplerinde dikkate alınacak birkaç noktayı netleştirmektedir:
- Bir kişinin belirli bir sağlık kuruluşunda tedavi görüp görmediği bilgisi, teşhis veya tedavi ayrıntısı içermese bile sağlık verisi olarak nitelendirilmiştir.
- Avukatlık Kanunu 2/3’teki bilgi ve belge sunma yükümlülüğü, KVKK’nın özel nitelikli veriler için öngördüğü açık rıza sistemini aşmamaktadır.
- Müvekkilin kendi sağlık verileri bakımından da genel vekaletname yeterli görülmemiş, açık rızayı gösteren özel hüküm aranmıştır.
- Bilgi talebinin tazminat davasına hazırlık amacı taşıması, somut olayda sonucu değiştirmemiştir.
Kararın bazı sınırları da vardır. Karar, tebliğden itibaren 30 gün içinde Danıştay İdari Dava Daireleri Kuruluna temyiz yolu açık olarak verilmiş olup kesinleşme durumu kararda yer almamaktadır. Ayrıca Daire, davalıların süre, husumet ve dava açma ehliyetine ilişkin itirazları hakkında ayrı bir değerlendirmeye yer vermeden işin esasını incelemiştir. Mahkeme müzekkeresi veya savcılık talebi gibi yargısal yollarla veri istenmesi de bu davanın konusu değildir.
Kamu görevlilerinin kişisel verilere yetkisiz erişimi ise ceza hukuku boyutuyla farklı bir tabloya sahiptir; bu konuda sitedeki görev şifresiyle tapu sorgusu yazısı ve verilerin önceden alenileşmiş olmasının etkisini ele alan önceden yayımlanan veriyi paylaşmak yazısı bu kararla birlikte okunabilir.
💡 Soru ve cevaplar
“Hangi poliklinikte tedavi oldu” bilgisi neden sağlık verisi sayıldı?
Daire, bir kişinin Türkiye’de tedavi olup olmadığı ve hangi poliklinikte tedavi gördüğüne ilişkin bilginin kişinin sağlığıyla ilgili veri olduğunu ve bu nedenle KVKK’da tanımlanan özel nitelikli kişisel veri kapsamında kaldığını açıkça belirtmiştir. Davacının bu bilginin ad, soyad veya telefon numarası gibi sıradan bir veri olduğu yönündeki itirazı kabul edilmemiştir.
Avukatlık Kanunu kurumlara bilgi verme yükümlülüğü yüklemiyor mu?
Avukatlık Kanunu’nun 2/3. maddesi böyle bir yükümlülük öngörmektedir; ancak hüküm, “kanunlarındaki özel hükümler saklı kalmak kaydıyla” düzenlenmiştir. Daire, sağlık verileri bakımından KVKK’yı özel kanun olarak kabul etmiş ve bu verilerin kural olarak ilgilinin açık rızasıyla aktarılabileceğini belirtmiştir.
Müvekkilin kendi sağlık verileri için genel vekaletname yeterli mi?
Kararda hukuka uygun bulunan Yönetmelik hükmüne göre yeterli değildir. Müvekkile ait sağlık verilerinin avukata aktarılması için vekaletnamede, ilgili kişinin özel nitelikli kişisel verilerinin işlenmesi ve aktarılmasına ilişkin açık rızasını gösteren özel bir hüküm bulunması gerekmektedir.
Karar kesinleşmiş midir?
Karar metninde, tebliğden itibaren 30 gün içinde Danıştay İdari Dava Daireleri Kuruluna temyiz yolunun açık olduğu belirtilmiştir. Temyiz edilip edilmediği ve kesinleşip kesinleşmediği kararda yer almamaktadır; bu nedenle üst merci incelemesiyle sonucun değişme ihtimali bulunmaktadır.
Detaylı bilgi ve hukuki destek için Savun Hukuk & Danışmanlık ile iletişime geçebilirsiniz. İletişim sayfası üzerinden ulaşım bilgilerine, Emsal Kararlar arşivinden serinin diğer yazılarına erişilebilir.
Bu yazı genel bilgilendirme amacı taşır; özet, Danıştay Onuncu Dairesinin UYAP Mevzuat ve İçtihat sisteminde yayımlanan ve temyiz yolu açık olan iptal davası kararından derlenmiştir. Değerlendirme, vekalet ilişkisi bulunmayan yurt dışındaki kişilerin tedavi bilgilerinin bir sağlık müdürlüğünden avukat aracılığıyla istendiği somut dosyaya dayanmaktadır; verinin türü, talep eden makam, ilgili kişinin rızası ve uygulanacak mevzuat farklı olan durumlarda sonuç değişebilir. Yazı kullanılarak yapılan başvuru, dava ve savunmalardan Savun Hukuk sorumlu tutulamaz.
