DNA Testi Yaptırmak KVKK'ya Uygun mu? Genetik Veride Açık Rıza, Yurt Dışına Numune Gönderimi ve Adli DNA Kayıtlarında 2026 Değişikliği

Kısa cevap: genetik test yaptırmak yasak değil, ama genetik veri 6698 sayılı Kanun'un 6. maddesinde özel nitelikli kişisel veriler arasında sayıldığı için sıradan bir tahlilden çok daha sıkı bir rejime tabi. Kişisel Verileri Koruma Kurumu'nun Nisan 2025 tarihli Genetik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehberi ayrımı net koyuyor. Koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri kapsamında, sır saklama yükümlülüğü altındaki sağlık personeli eliyle yapılan testlerde açık rıza aranmıyor; buna karşılık soy ve köken tespiti, akrabalık analizi, spor veya yetenek yatkınlığı, beslenme testleri gibi ticari amaçlı analizlerde açık rıza zorunlu. İkinci katman sağlık mevzuatından geliyor. Genetik Hastalıklar Değerlendirme Merkezleri Yönetmeliği uyarınca bir hastalığın teşhisine, kişinin hastalıktan sorumlu bir gen taşıyıp taşımadığının belirlenmesine ya da genetik yatkınlığın ortaya çıkarılmasına yönelik testler yalnızca tıbbi gereklilik hallerinde veya tıbbi amaçlı bilimsel araştırmalar için, uygun genetik danışmanlık verilmesi şartıyla ve sadece Sağlık Bakanlığından ruhsat almış merkezlerde yapılabiliyor. İnternetten sipariş edilen ruhsatsız kitler bu çerçevenin dışında kalıyor.

Rehberin tanımı teknik, sonuçları pratik. Genetik veri; canlıya ait genomdan, hücre çekirdeğinden ya da mitokondriden kodlanan tüm DNA, RNA ve protein diziliminden elde edilen bilgilerin tamamı veya bir kısmı olarak tarif ediliyor. Tek bir SNP bilgisi de bu kapsamda, tüm genom dizilimi de. Asıl kritik ayrıntı şu: veri ancak analiz edilince anlam kazanır, fakat ham veri ve biyolojik numune analiz edilmeden önce de bir gerçek kişiyi belirlenebilir kılma potansiyeli taşır. Uygun koşullarda saklanan bir DNA örneğinden on yıl sonra yepyeni tekniklerle her türlü test çalışılabilir; rehber bunu açıkça yazıyor, hatta ölmüş kişilerden alınmış numunelerin yıllar sonra analiz edilme ihtimaline dikkat çekiyor. Kurul'un 30 Ekim 2019 tarihli ve 2019/316 sayılı kararına konu olayda, bilimsel araştırma için toplanan kan, serum ve doku örnekleri derin dondurucunun arızalanması sonucu bozulmuştu. Kurul, barkodlanmış ve hasta bilgileriyle eşleştirilebilen bu numuneleri kişisel veri saydı, olayı Kanun'un 28. maddesindeki bilimsel amaç istisnası kapsamında değerlendirip işlem tesisine yer olmadığına hükmetti. Kararın uygulamaya bakan yüzü değişmiyor: dolapta duran tüp, hukuken bir veri kaydıdır.

Genetik veride en sık kurulan yanlış cümle şudur: verileri anonimleştirdik. Rehber bu iddiaya doğrudan itiraz ediyor. İlgili kişi hakkında benzersiz bilgi sağlayan DNA örneklerinde, hangi yöntem kullanılırsa kullanılsın veri ile kişi arasındaki bağı gerçekten kesmek mümkün görünmüyor. Bu yüzden literatürde anonim hale getirme yerine kimliksizleştirme kavramı kullanılıyor. Tipik uygulamada veriler doğum tarihi ya da lokasyon gibi tanımlayıcılardan ayrıştırılıp benzersiz kodlarla yeniden etiketleniyor ve şifreleniyor, ancak kod çözücüye sahip olan için bağ yeniden kurulabiliyor. Sözleşmesine anonim veri yazan bir laboratuvar, Kanun kapsamı dışına çıkmış olmaz. Bilimsel araştırmalarda ise rehber daha somut bir eşik gösteriyor: tekil genetik verinin kimliği belirlenebilir kişiyle ilişkilendirilemez hale gelmesi, ancak çok sayıda bireye ait verinin birleştirilmesiyle elde edilen kümülatif varyant frekans listelerine, yani genom agregasyon verilerine dönüştürülmesiyle mümkün oluyor ve bu çalışmalar etik kurul izniyle yürütülüyor.

Hangi hukuki sebebe dayanacağınız, çoğu şirketin sandığından daha belirleyici. Kanun'un 6. maddesinin üçüncü fıkrasındaki şartlar arasında hiyerarşi yok. Elinizde açık rıza dışında bir şart varsa, buna rağmen kişiden açık rıza almak ilgili kişiyi yanıltıcı olacağından dürüstlük ilkesine aykırılık olarak değerlendirilebiliyor. Hastanede yapılan bir tanı testinde durum böyledir: (e) bendi işler, rıza formu değil aydınlatma metni gerekir. Kanunlarda açıkça öngörülme, hayat veya beden bütünlüğünün korunması, alenileştirme, bir hakkın tesisi veya korunması için zorunluluk, istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler de sayılan diğer şartlar. Rehber bunlara örnek de veriyor. Bitkisel hayattaki gebe bir kadının ve bebeğin sağlık durumunun takibi için zorunlu testler (c) bendine, boşanma davasında başka yol kalmadığında hukuka uygun elde edilmiş bir babalık testi sonucunun mahkemeye sunulması (d) bendine oturuyor. İkincisinin sadece zorunluluk hallerinde geçerli olduğunun altı çiziliyor.

Açık rızaya dayanıyorsanız, geçerlilik şartları kağıt üstünde kalmaya hiç müsait değil. Rehber iki hatayı özellikle işaret ediyor. Birincisi, bir ürün veya hizmetten yararlanmayı açık rıza şartına bağlamak. Verilen örnek çarpıcı: diyet hizmeti sunmak için gıda intoleransı testi yapılmasını zorunlu tutmak, rızanın özgür iradeye dayanması ilkesini sakatlar. İkincisi, matbu bir metni okutup imzalatmakla yetinmek. Kişinin işlemenin sonuçlarını, bu arada testin yalnızca kendisini değil akrabalarını da etkileyebileceğini anlaması gerekiyor; rehber bunu adeta bir ön danışmanlık yükümlülüğü gibi tarif ediyor. Sahada sık rastlanan üçüncü karışıklık ise belgelerde: Hasta Hakları Yönetmeliği kapsamındaki aydınlatılmış onam ile KVKK kapsamındaki açık rıza farklı işlemlerdir ve rehber bunların birbirine karıştırılmamasını, ilgili kişiye ayrı ayrı sunulmasını istiyor. Tek bir kağıtta birleştirilen onam ve rıza metni, denetimde ilk takılan yerlerden biri.

Genetik veriyi diğer sağlık verilerinden ayıran şey, tek kişiye ait olmaması. Bir testin sonucu kardeşiniz, çocuğunuz ya da henüz doğmamış torununuz hakkında da bilgi verir. Rehber, veri sahibi dışındaki kişilerin genetik verisinin işlenmesinin farklı bir işleme amacı doğuracağını söylüyor ve bu kişilerin verilerinin korunması için de işleme şartlarına ve genel ilkelere uyulmasını, gerekli teknik ve idari tedbirlerin alınmasını istiyor. Ticari soy testlerinde bu boyut neredeyse hiç konuşulmuyor. Diyelim ki köken merakıyla numune gönderdiniz ve sonucu kendinizle aynı etnik kökenden insanlarla tanışmak için sosyal medyada paylaştınız. Rehberin örneğine göre bu, alenileştirme iradesine uygun bir işleme sayılabilir. Ancak aynı sonucun sigorta pazarlaması ya da başka bir amaç için kullanılması, alenileştirme iradesini aşar ve ayrı bir hukuka aykırılık doğurur.

Numunenin yurt dışına gitmesi, hem sağlık hem veri koruma mevzuatını aynı anda devreye sokuyor. Tıbbi Laboratuvarlar Yönetmeliği'nin 34. maddesine göre yurt dışına tetkik amaçlı numune gönderme yetkisi sadece ruhsatlı tıbbi laboratuvarlara ait ve insan kaynaklı biyolojik numunelerin Türkiye'ye giriş çıkışı Bakanlık onayıyla yapılıyor. Genetik Hastalıklar Değerlendirme Merkezleri Yönetmeliği'nin 25. maddesi de aynı yetkiyi ruhsatlı merkezle sınırlayıp numuneleri Bakanlık takip sistemine kaydettiriyor; süreç Yurt Dışı Biyolojik Materyal Transfer Sistemi üzerinden yürüyor. Bunun üstüne Kanun'un 9. maddesi biniyor: yeterlilik kararı varsa aktarım mümkün, yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerden biri gerekiyor, hiçbiri yoksa aktarım ancak arızi hallerde yapılabiliyor. Standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kuruma bildirilmesi şart ve bu bildirimin yapılmaması 2026 rakamlarıyla 90.308 TL ile 1.806.377 TL arasında idari para cezası anlamına geliyor. Rehberin tespiti de dikkate değer: Sağlık Bakanlığından alınan bilgiye göre gelişmiş ülkelerde uygulanan genetik testlerin çok büyük bölümü Türkiye'de yapılabiliyor, bazı testler ise daha çok finansal nedenlerle yurt dışına gönderiliyor.

Bulut meselesi burada ayrı bir başlık. Rehber, genetik verilerin bulut sistemlerinde tutulmamasının tercih edilmesini söylüyor. Analiz programının bulunduğu sunucuya bağlanmak zorunluysa, bulutta hangi genetik verilerin depolandığının ayrıntılı kaydının tutulmasını, bulut dışında yedek alınmasını, uzaktan erişimde iki kademeli kimlik doğrulama uygulanmasını ve verilerin güncel kriptografik yöntemlerle şifrelenmesini istiyor. Şifreleme ve anahtar yönetimi politikasının yazılı olması, anahtarlara erişimin yetkili personelle sınırlanması, mümkünse her bulut çözümü için ayrı anahtar kullanılması da listede. Sunucusu yurt dışında olan bir bilişim sisteminin kullanılmasının başlı başına yurt dışı aktarımı anlamına geldiği ayrıca hatırlatılıyor. Listenin gözden kaçan kalemleri ise en çok iş görenler: cihaz bakıma veya kiralayan firmaya iade edilirken veri muhafaza ünitelerinin sökülmesi ya da cihazda veri kalmadığına dair yazılı taahhütname alınması, test ortamlarında mümkünse sentetik veri kullanılması, işlem kayıtlarının ayrı bir sistemde tutulması ve log yöneticisinin diğer sistem sorumlularından farklı bir kişi olması. 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi de genetik ve biyometrik veriler gibi kritik verilerin yurt içinde güvenli şekilde depolanacağını söylüyor.

İdari tarafta işin özeti şu: genetik veri işleyen bir kuruluşun kağıt düzeni de ayrı olmak zorunda. Kurul'un 19 Temmuz 2018 tarihli ve 2018/87 sayılı kararına göre ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları, herhangi bir istisna olmaksızın VERBİS'e kaydolmak zorunda. Bir genetik tanı merkezi için çalışan sayısı veya bilanço eşiği tartışması bu nedenle hiç başlamaz. Rehber ayrıca veri koruma etki değerlendirmesi yapılmasını, süreçlerin mahremiyet temelli tasarım esasıyla kurulmasını, genetik veriye yalnızca eğitim almış ve gizlilik sözleşmesi imzalamış personelin erişmesini, genetik veri süreçleri için ayrı işleme politikası ve acil durum prosedürü oluşturulmasını, yedeklerin ağ dışında tutulmasını ve hizmet alınan veri işleyenlerin periyodik olarak denetlenmesini tavsiye ediyor. Saklama sürelerinde iki mevzuatı birlikte okumak gerekiyor: Genetik Hastalıklar Değerlendirme Merkezleri Yönetmeliği raporların ve kayıtların en az otuz yıl, elektronik kayıtların yedeklemeyle birlikte süresiz, numune ve lamların uygun şartlarda en az iki yıl muhafaza edilmesini öngörüyor, Kanun'un 4. maddesi ise amaç için gerekli süreyi aşmamayı emrediyor. Bu dengenin nasıl kurulduğu saklama ve imha politikasında gerekçesiyle yazılmalı.

Peki işveren ya da sigorta şirketi genetik test isteyebilir mi? Buradaki sınır yalnızca KVKK'dan gelmiyor. Türkiye'nin 3 Aralık 2003 tarihli ve 5013 sayılı Kanunla onaylanmasını uygun bulduğu Biyoloji ve Tıbbın Uygulanması Bakımından İnsan Hakları ve İnsan Haysiyetinin Korunması Sözleşmesi, yani Oviedo Sözleşmesi, 11. maddesinde kişiye genetik kalıtımı nedeniyle ayrımcılık uygulanmasını yasaklıyor. 12. maddesi ise daha da belirleyici: genetik hastalıkları teşhise yönelik veya kişinin bir hastalığa neden olan geni taşıdığını ya da genetik bir yatkınlığı olduğunu ortaya çıkarmaya yönelik testler, sadece sağlık amaçlarıyla veya sağlık amaçlı bilimsel araştırma için ve uygun genetik danışmada bulunmak şartıyla yapılabilir. Anayasa'nın 90. maddesi gereği bu hükümler iç hukukun parçası. İşe alımda yatkınlık testi istemek ya da poliçe fiyatlamasında genetik sonuç talep etmek, bu iki maddeyle doğrudan çelişir. Kanun'un 6. maddesindeki istihdam ve iş sağlığı güvenliği bendi de sınırsız bir kapı değil; ancak hukuki yükümlülüğün başka türlü yerine getirilmesinin mümkün olmadığı zorunlu hallerde işliyor.

Adli tarafta 2026, bu alanın en hareketli yılı oldu. Ceza muhakemesinde moleküler genetik inceleme ancak hakim kararıyla yapılabiliyor, sonuçlar kişisel veri niteliğinde ve başka amaçla kullanılamıyor. Anayasa Mahkemesi 25 Aralık 2025 tarihli, E.2025/141 ve K.2025/274 sayılı kararıyla, genetik inceleme sonuçlarının kaydedilmesi ve saklanmasını düzenleyen Ceza Muhakemesi Kanunu'nun 80. maddesinin ikinci fıkrasını ve buna bağlı olarak 82. maddesini iptal etti. Gerekçe, saklama süresinin, imha usulünün ve kişilerin haklarını nasıl kullanacağının kanunda açıkça düzenlenmemiş olmasıydı. Karar 18 Mart 2026 tarihli Resmî Gazete'de yayımlandı ve yürürlüğü dokuz ay ertelendi. Boşluk, 31 Temmuz 2026 tarihli ve 33326 sayılı Resmî Gazete'de yayımlanan 7589 sayılı Kanunla dolduruldu. Yeni düzenlemeye göre inceleme sonuçları kimlik bilgilerinden arındırılmış şekilde özel bir sisteme kaydediliyor; kovuşturmaya yer olmadığı kararına itiraz süresinin dolması, itirazın reddi, beraat veya ceza verilmesine yer olmadığı kararının kesinleşmesi hallerinde kayıtlar derhal yok ediliyor, diğer hallerde ise kesinleşmeden itibaren yirmi yıl geçmesiyle imha ediliyor. İlgili kişinin hakimden veya mahkemeden silme talep etme imkanı da tanınmış durumda.

Uygulamaya dönük yapılacaklar listesi kısa tutulabilir. Genetik veri işleyen bir kuruluşsanız önce envanteri çıkarın: hangi numune, hangi ham veri, hangi analiz çıktısı nerede duruyor, kim erişiyor, ne zaman imha ediliyor. Aydınlatma metniyle açık rıza formunu birbirinden ayırın ve tıbbi onam belgesiyle karıştırmayın. Yurt dışına numune veya veri gidiyorsa hem Sağlık Bakanlığı süreçlerini hem Kanun'un 9. maddesindeki aktarım yolunu dosyalayın, standart sözleşme imzaladıysanız beş iş günlük bildirimi kaçırmayın. VERBİS kaydını, veri işleyen sözleşmelerini ve bulut kullanımını gözden geçirin; yedekleri ağ dışına alın. Birey olarak test yaptıracaksanız merkezin ruhsatlı olup olmadığına, numunenin analizden sonra ne kadar saklanacağına, verinin yurt dışına gidip gitmediğine ve sonucun araştırma ya da ticari amaçla paylaşılıp paylaşılmayacağına bakın; bu dört soru, imzaladığınız metinde cevapsız kalmamalı. KVKK Danışman'ın ücretsiz ön değerlendirmesinde genetik veri süreçlerinizi, aydınlatma ve rıza belgelerinizi, yurt dışı aktarım dosyanızı ve saklama sürelerinizi birlikte gözden geçiriyoruz.

Randevu Al