# GDPR ve geliştiriciler için sağlık verileri > Madde 9 sağlık verileri mühendislik görevleri olarak: yasal dayanak, DPA, AB ikametgahı, güvenlik, erişim ve silme, DPIA — Anpheros'un kapsadıklarıyla eşleştirilmiştir. HIPAA: Talep üzerine BAA. Yasal tavsiye değildir. Source: https://developers.anpheros.com/tr/guides/gdpr-health-data-developers **GDPR kapsamında sağlık verileri, kişisel verilerin özel bir kategorisidir (Madde 9): kişinin açık rızası veya sağlık hizmeti sunulması gibi kısa bir koşullar listesinden biri geçerli olmadıkça işlenmesi yasaktır ve sıradan kişisel verilerden daha güçlü güvenceler gerektirir.** Yazılım ekipleri için bu, somut tasarım kararlarına dönüşür: belgelenmiş bir yasal dayanak, verilere dokunan her satıcıyla bir işlemci sözleşmesi, AB veri ikametgahı veya yasal bir transfer, erişim kontrolü ve günlük kaydı ve kişilere verilerini verme ve silme yolları. Bu sayfa, bu gereksinimleri mühendislik çalışmalarına eşler ve Anpheros gibi bir sağlık verileri platformunun hangi kısımları zaten kapsadığını gösterir. Bu teknik rehberliktir, yasal tavsiye değildir. ## Gereksinimler, mühendislik görevleri olarak | GDPR gereksinimi | Kod ve operasyonlarda ne anlama geliyor | Anpheros'ta | |---|---|---| | Madde 9 yasal dayanak | Sağlık verilerini neden işlediğinize karar verin ve kaydedin (açık rıza, sağlık hizmeti, halk sağlığı, araştırma…) | Sizin kararınıza ve belgelendirmenize bağlıdır; diğer uygulamaların erişimi açık OAuth rızası yoluyla gerçekleşir ve her izin, uygulamanın belirttiği amacı kaydeder | | Madde 28 işlemci sözleşmesi | Her işlemci ile bir veri işleme sözleşmesi imzalayın | Üretim erişimi imzalanmış bir DPA gerektirir | | Bölüm V transferleri | Verileri AB/AEA'da tutun veya yasal bir transfer mekanizması kullanın | AB'de saklanır ve işlenir (Google Cloud `europe-west4`, Hollanda) | | Madde 32 güvenlik | Şifreleme, erişim kontrolü, izolasyon, günlükleme, dayanıklılık | Proje başına izolasyon, ikili hasta kimlikleri, müşteri tarafından yönetilen bir anahtarla şifrelenmiş belgeler, erişim günlüğü | | Madde 15 erişim hakkı | Kişiye verilerinin bir kopyasını verin | `Patient/$everything` (tam FHIR kaydı) ve `$summary` (IPS) | | Madde 17 silme hakkı | Dayanak sona erdiğinde veya kişi istediğinde silin | API aracılığıyla silme; silmeler yumuşaktır ve denetim için sürümler saklanır — saklama politikanızın bunları nasıl ele aldığını planlayın | | Madde 25 tasarım gereği veri koruma | Yalnızca ihtiyacınız olanı toplayın; kimin görebileceğini sınırlayın | SMART kapsamları ve kategori filtreleri, her uygulamanın okuduğunu sınırlar | | Madde 30 işleme kayıtları | Neleri işlediğinizi ve neden işlediğinizi belgeleyin | Her yazmada köken bilgisi: yazar, kuruluş, kaynak sistem | | Madde 33 ihlal bildirimi | 72 saat içinde tespit edin ve bildirin | Sizin olay süreciniz; platform her erişimi günlüğe kaydeder | | Madde 35 DPIA | Başlamadan önce yüksek riskli işlemeyi değerlendirin | Sizin yazmanıza bağlıdır; platform kendi önlemlerini belgeler | ## Rıza tek yasal dayanak değildir Hasta uygulamaları için açık rıza (Madde 9(2)(a)) yaygındır, ancak klinikler genellikle sağlık hizmeti sunumuna (Madde 9(2)(h)) ve ulusal yasaya dayalı araştırma projeleri için Madde 9(2)(j) hükümlerine güvenir. Amaç başına bir dayanak seçin, kaydedin ve yerine getirmeyeceğiniz bir rıza istemeyin: rızanın geri alınması, verilmesi kadar kolay olmalıdır. Anpheros'ta bir kişi, rıza sayfasından bir uygulamanın erişimini geri çeker ve bir sonraki istek başarısız olur. ## Avrupa Sağlık Veri Alanı (EHDS), GDPR'a Ekleniyor (AB) 2025/327 sayılı Tüzük (EHDS), GDPR'ı korur ve haklar ile formatlar ekler: insanlar öncelikli verilerine (hasta özeti, reçeteler, laboratuvar sonuçları, görüntüler, taburcu raporları) elektronik erişim elde eder ve bunları paylaşabilirler; EHR sistemleri ise Avrupa değişim formatını desteklemelidir. [Geliştiriciler için EHDS](https://developers.anpheros.com/tr/guides/ehds-for-developers) bölümüne bakınız. ## Ve HIPAA? GDPR, AB'deki kişileri kapsar; HIPAA ise ABD'deki kapsanan kuruluşları ve onların iş ortaklarını kapsar. Anpheros, GDPR ve AB veri yerleşimi için tasarlanmıştır ve aynı kontroller HIPAA'ya da hizmet eder: Anpheros, ABD'deki klinikler için bir İş Ortağı olarak hareket eder, iş ortağı sözleşmesi (BAA) ve üretim müşterileri için talep üzerine ABD veri bölgesi mevcuttur. HIPAA güvenceleri [güvenlik sayfasında](https://developers.anpheros.com/tr/guides/security) listelenmiştir. ## Sıkça Sorulan Sorular ### Sağlık verileri GDPR kapsamında özel kategori veri midir? Evet. Madde 9, sağlıkla ilgili verileri özel kategoriler arasında listeler; bunları işlemek, Madde 6'daki bir yasal zemine ek olarak Madde 9(2)'deki koşullardan birini gerektirir. ### Sağlık verilerini işlemek için açık rızaya ihtiyacım var mı? Her zaman değil. Açık rıza bir koşuldur; diğerleri arasında ulusal yasa kapsamında sağlık veya sosyal bakım sağlanması, halk sağlığı ve bilimsel araştırmalar yer alır. Her amaç için uygun olanı seçin ve belgeleyin. ### Sağlık verileri AB'de saklanmalı mı? GDPR, AB'de saklama gerektirmez, ancak EEA dışına yapılan transferler yasal bir mekanizma (yeterlilik kararı veya uygun güvenceler) gerektirir. Verileri AB'de tutmak bu soruyu ortadan kaldırır; bazı ulusal kurallar daha katıdır. ### Anpheros GDPR uyumlu mu? Anpheros, GDPR için tasarlanmıştır: AB veri ikametgahı, üretim için bir veri işleme sözleşmesi, hasta tarafından kontrol edilen onay, uygulamalar arasında izolasyon ve hastanın okuyabileceği bir erişim günlüğü. Ürününüzün uyumluluğu, kendi yasal zemininize, belgelerinize ve süreçlerinize de bağlıdır. ## İlgili Konular - [Güvenlik, gizlilik ve veri ikametgâhı](https://developers.anpheros.com/tr/guides/security) - [Geliştiriciler için Avrupa Sağlık Veri Alanı (EHDS)](https://developers.anpheros.com/tr/guides/ehds-for-developers) - [Sağlık uygulamaları için hasta onam platformu](https://developers.anpheros.com/tr/guides/patient-consent-platform) - [Tıbbi veri kökeni açıklandı](https://developers.anpheros.com/tr/guides/medical-data-provenance) - [EHR API ve tıbbi kayıtlar API'si](https://developers.anpheros.com/tr/guides/ehr-api)