HIPAA nedir? Sade bir dille açıklama

HIPAA, yani Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirlik Yasası, hasta sağlık bilgilerinin korunmasına yönelik ulusal standartları belirleyen ve sağlık kuruluşlarından ile onların tedarikçilerinden bu bilgileri korumalarını isteyen 1996 tarihli bir ABD federal yasasıdır. Çoğu kişi HIPAA'nın yalnızca hastaneleri ve doktorları kapsadığını varsayar. Oysa yasa; faturalandırma şirketlerini, BT tedarikçilerini, cloud sağlayıcılarını ve bir sevk belgesini ileten fax hizmetini de kapsar.

Başkan Bill Clinton, HIPAA'yı 21 Ağustos 1996'da 104-191 sayılı Kamu Hukuku olarak imzaladı. Kongre ve HHS yasayı dört kez güncelledi: Gizlilik Kuralı (2003), Güvenlik Kuralı (2005), İhlal Bildirimi Kuralı (2009) ve Omnibus Kuralı (2013). Güvenlik Kuralı'nın son 20 yıldaki en kapsamlı yeniden yazımı olan beşinci bir güncelleme, OCR'nin Mayıs 2026 düzenleme gündeminde yer alıyor.

Bu rehber; HIPAA'nın ne anlama geldiğini, dört Kuralı, nelerin PHI sayıldığını, kimlerin uyum sağlaması gerektiğini, yanlış yapmanın yaptırımlarını, HIPAA'nın fax, e-posta, SMS ve Slack için nasıl geçerli olduğunu ve sekiz adımlık bir başlangıç kontrol listesini kapsar. Bir kez okuduğunuzda HIPAA'nın kuruluşunuz için geçerli olup olmadığını ve sonraki adımda ne yapmanız gerektiğini öğrenmiş olacaksınız.

HIPAA tanımı ve kısa tarihçesi (1996'dan günümüze)

HIPAA başlangıçta, çalışanların iş değiştirdiklerinde sağlık sigortalarını koruyabilmelerine yardımcı olmak için yazılmıştır. Bugün onunla özdeşleşen gizlilik ve güvenlik kuralları sonradan eklenmiştir.

HIPAA'nın açılımı

HIPAA, 1996 tarihli Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirlik Yasası'nın kısaltmasıdır. Başkan Bill Clinton yasayı 21 Ağustos 1996'da 104-191 sayılı Kamu Hukuku olarak imzaladı. Yasanın dört temel amacı vardı: sağlık sigortasını işler arasında taşınabilir kılmak, sağlık hizmetlerindeki sahtekârlığı ve kötüye kullanımı azaltmak, elektronik sağlık işlemlerini standartlaştırmak ve sağlık bilgilerini korumak.

Sağlık bilgilerinin korunması, asıl yasanın en küçük bölümüydü. Kongre, gerçek gizlilik ve güvenlik düzenlemelerini daha sonra yayımlamak üzere Sağlık ve İnsani Hizmetler Bakanlığı'na (HHS) talimat verdi. Bugün çoğu kişi “HIPAA” derken bu düzenlemeleri kastediyor.

HIPAA nasıl gelişti: dört büyük güncelleme

• Gizlilik Kuralı (2003), PHI'yi kimlerin kullanıp ifşa edebileceğine dair ilk ulusal standartları belirledi ve hastalara kayıtları üzerinde haklar tanıdı.
• Güvenlik Kuralı (2005), elektronik PHI için idari, fiziksel ve teknik güvenlik önlemleri ekledi.
• HITECH Yasası ve İhlal Bildirimi Kuralı (2009) azami cezayı yılda 25.000 dolardan yılda 1,5 milyon dolara çıkardı, zorunlu ihlal bildirimini getirdi ve 25 milyar dolarlık teşviklerle elektronik sağlık kaydı (EHR) kullanımını hızlandırdı. HITECH ayrıca eyalet başsavcılarına HIPAA'yı uygulatma yetkisi verdi.
• Omnibus Kuralı (2013) iş ortaklarını HIPAA ihlallerinden doğrudan sorumlu hale getirdi ve ihlal bildirimindeki ispat yükünü tersine çevirdi.

HIPAA'nın 2025–2026'daki durumu

HHS, Ocak 2025'te Güvenlik Kuralı'nda kapsamlı bir güncelleme önerdi. Güncelleme, çok faktörlü kimlik doğrulamayı ve şifrelemeyi zorunlu kılacak, “zorunlu” ve “ele alınabilir” spesifikasyonlar arasındaki ayrımı ortadan kaldıracak. Sektörün maliyet tahminleri 34 milyar dolara ulaşıyor. Sivil Haklar Ofisi (OCR), kuralın kesinleştirilmesini Mayıs 2026 için mevzuat gündeminde tuttu. Sonradan acele etmemek için MFA ve şifrelemeyi şimdiden zorunluymuş gibi ele alın.

Dört HIPAA kuralının açıklaması

İnsanlar “HIPAA” derken tek bir şeyden söz ediyormuş gibi konuşur. Oysa bu, birbirine geçmiş dört Kuraldır ve ihlallerin çoğu bu Kurallar arasındaki geçiş noktalarında yaşanır.

Gizlilik Kuralı (2003)

Gizlilik Kuralı, PHI'yi ve ona kimlerin hangi koşullarda erişebileceğini tanımlar. Hastalar kayıtlarına erişme, düzeltme talep etme, ifşaların dökümünü alma ve bilgilerinin nasıl kullanılacağına ilişkin kısıtlama isteme haklarına sahiptir. Sağlayıcılar erişim taleplerini 30 gün içinde yanıtlamak zorundadır; bir kez 30 günlük uzatma yapılabilir.

Kural, tedavi, ödeme ve sağlık hizmeti operasyonları için PHI'nin hasta izni olmadan kullanılmasına izin verir (“TPO” istisnası). Diğer her şey asgari gereklilik standardına tabidir: yalnızca amacı gerçekleştirmek için gereken bilgi ifşa edilir. Tedavi, tam kayıtların sağlayıcılar arasında dolaşabildiği tek istisnadır.

Klasik bir Gizlilik Kuralı ihlali: Bir doktor muayenehanesi, bir hastanın HIV durumunu personelin hastanın birinci basamak hekimi sandığı, ancak aslında hastanın işvereni olan bir numaraya faksla gönderir. Yanlış numara, asgari gereklilik kontrollerinin olmaması, doğrulama yapılmaması.

Güvenlik Kuralı (2005)

Güvenlik Kuralı yalnızca elektronik PHI (ePHI) için geçerlidir. Üç koruma kategorisi tanımlar:

• İdari: risk analizi, iş gücü eğitimi, yaptırım politikası, erişim yönetimi
• Fiziksel: tesis erişim kontrolleri, iş istasyonu güvenliği, cihazların imhası
• Teknik: erişim kontrolleri, denetim kayıtları, bütünlük kontrolleri, iletim şifrelemesi

“Zorunlu” ve “ele alınabilir” spesifikasyonlar arasındaki mevcut ayrımın, 2025 önerilen güncellemesiyle ortadan kalkması bekleniyor. Uygulama işlemlerinde risk analizi eksiklikleri başı çekiyor. 2024'te sonuçlandırılan 22 OCR çözümünün 13'ünde yer aldılar.

İhlal Bildirimi Kuralı (2009, HITECH ile)

Korumasız PHI ihlal edilirse, kapsamdaki kuruluşlar üç kesimi bilgilendirmek zorundadır:

• 60 gün içinde etkilenen kişiler
• HHS (500 veya daha fazla kişiyi etkileyen ihlallerde derhal, daha küçük ihlallerde yıl sonundan itibaren 60 gün içinde)
• Tek bir eyaletteki 500 veya daha fazla sakin etkilenmişse önde gelen medya kuruluşları

Şifreleme güvenli bir sığınak oluşturur. Düzgün şifrelenmiş verilerin kaybolması veya çalınması bildirim yükümlülüğünü doğurmaz. Warby Parker'ın 2025'teki 1,5 milyon dolarlık uzlaşması, kimlik bilgisi doldurma saldırısının müşterilerin gözlük reçetesi verilerini açığa çıkarmasının ardından Güvenlik Kuralı ve İhlal Bildirimi Kuralı eksikliklerini bir araya getirdi.

Üç ihlal istisnası vardır: yetkili bir çalışanın kasıtsız erişimi, iki yetkili kişi arasında kazara ifşa ve bilgiyi makul biçimde saklayamayacak bir tarafa ifşa.

Omnibus Kuralı (2013)

Omnibus Kuralı, iş ortaklarını ve onların alt yüklenicilerini HIPAA kapsamında doğrudan sorumlu hale getirdi. 2013'ten önce yalnızca kapsamdaki kuruluşlar para cezasıyla karşılaşıyordu.

Omnibus ayrıca ihlallerde ispat yükünü de tersine çevirdi. Gizlilik Kuralı'nın izin vermediği bir kullanım veya ifşa, kapsamdaki kuruluş dört faktörlü bir risk değerlendirmesiyle PHI'nin ele geçirilme olasılığının düşük olduğunu gösteremedikçe artık ihlal sayılır.

PHI nedir? HIPAA'yı devreye sokan 18 tanımlayıcı

PHI, bir kişinin sağlığı, sağlık hizmeti veya sağlık hizmeti ödemesiyle bağlantılı olan 18 belirli tanımlayıcıdan herhangi biridir. 18 tanımlayıcının tamamı doğru biçimde çıkarılırsa veriler kimliksizleştirilmiş olur, yani PHI olmaktan çıkar.

18 HIPAA tanımlayıcısı

1. Adlar
2. Eyaletten daha küçük coğrafi veriler
3. Bir kişiyle ilgili, yıl hariç tüm tarihler
4. Telefon numaraları
5. Faks numaraları
6. E-posta adresleri
7. Sosyal Güvenlik numaraları
8. Tıbbi kayıt numaraları
9. Sağlık planı yararlanıcı numaraları
10. Hesap numaraları
11. Sertifika veya lisans numaraları
12. Plakalar dahil araç tanımlayıcıları
13. Cihaz tanımlayıcıları ve seri numaraları
14. Web URL'leri
15. IP adresleri
16. Parmak izi ve ses izi dahil biyometrik tanımlayıcılar
17. Tam yüz fotoğrafları ve benzer görüntüler
18. Diğer her türlü benzersiz tanımlayıcı numara, özellik veya kod

Aynı verinin PHI OLMADIĞI durumlar

Sağlıkla ilgili bir bağlam içermeyen tanımlayıcılar PHI değildir. Bir perakendecinin posta listesindeki müşteri adı yalnızca bir addır. Tanımlayıcı içermeyen bir sağlık bağlamı da PHI değildir. Toplulaştırılmış ve usulüne uygun olarak kimliksizleştirilmiş hastane istatistikleri HIPAA kapsamı dışındadır. Yasanın devreye girmesi için her iki unsurun aynı anda bulunması gerekir. Bir hastanın adı ile bir teşhis birlikte PHI'dir. Herhangi bir tanımlayıcı içermeyen bir teşhis ise PHI değildir.

HIPAA'ya kimler uymak zorundadır (ve kimler zorunda değildir)

Fitbit verileriniz HIPAA kapsamında korunmaz. İşvereninizin sağlıklı yaşam programı da büyük olasılıkla kapsam dışındadır. HIPAA belirli bir kuruluş listesini kapsar ve bu liste çoğu kişinin sandığından daha dardır.

Kapsamdaki kuruluşlar (CE'ler)

HIPAA kapsamındaki bir kuruluş üç kategoriden birine girer:

1. Sağlık planları: sigortacılar, HMO'lar, Medicare, Medicaid ve işveren grup sağlık planları. İşveren grup sağlık planlarının çoğu, büyüklüğüne bakılmaksızın kapsam dahilindedir. Dar istisna, 50'den az katılımcısı olan ve kendi kendine yönetilen bir grup sağlık planıdır; bu planlar HIPAA kapsamı dışındadır. Planı bir sigortacı veya üçüncü taraf yönetici işletiyorsa plan kapsam dahilindedir.
2. Sağlık hizmeti takas merkezleri: standart olmayan verileri standart elektronik işlemlere dönüştüren kuruluşlar.
3. Sağlık hizmeti sağlayıcıları: kapsamdaki bir işlemle (talepler, uygunluk kontrolleri, sevkler) bağlantılı olarak herhangi bir sağlık bilgisini elektronik ortamda ileten sağlayıcılar.

Elektronik işlem ölçütü, neredeyse tüm modern sağlayıcıların kapsamda olmasının nedenidir. Sigortaya elektronik ortamda fatura kestiğiniz veya elektronik sevk gönderdiğiniz anda kapsama girersiniz.

İş ortakları (BA'lar)

İş ortağı, kapsamdaki bir kuruluş adına PHI içeren bir işlevi yerine getiren herhangi bir kişi veya kuruluştur. Yaygın örnekler: faturalandırma şirketleri, BT tedarikçileri, cloud depolama sağlayıcıları, imha hizmetleri, PHI'ye erişimi olan hukuk büroları, transkripsiyon hizmetleri ve HIPAA uyumlu faks sağlayıcıları.

2013 Omnibus Kuralı'ndan bu yana iş ortakları OCR'ye karşı doğrudan sorumludur. PHI el değiştirmeden önce bir Business Associate Agreement (BAA) imzalayın. Gulf Coast Pain Consultants, bir yüklenicinin sözleşmesi sona erdikten sonra sisteme erişimini sürdürmesi ve sahte Medicare talepleri sunması nedeniyle 1,19 milyon dolar ödedi; bu olay, iş ortağı erişim kontrolleri başarısız olduğunda neler yaşandığını gösteriyor.

HIPAA kapsamında OLMAYANLAR

• Çalışanların sağlık bilgilerini grup sağlık planı dışında işleyen işverenler (bunun yerine ADA ve FMLA geçerlidir)
• Sağlayıcılara satış yapmayan; Fitbit, Apple Health ve MyFitnessPal dahil tüketici fitness uygulamaları (bunun yerine FTC Sağlık İhlali Bildirim Kuralı geçerlidir)
• Okullar ve üniversiteler (öğrenci kayıtları FERPA kapsamındadır)
• Hayat sigortacıları, işçi tazminatı sigortacıları ve çoğu maluliyet sigortacısı
• Kolluk kuvvetleri
• PHI'ye erişimi olmayan pazarlama analitiği firmaları

HIPAA ve iletişim kanalları: faks, e-posta, SMS, Slack, görüntülü görüşme

Teksas'ta bir diş hekimliği kliniği, bir çalışanın tek yıldızlı bir Yelp yorumuna hasta ayrıntılarıyla yanıt vermesi nedeniyle 10.000 dolar ödedi. HIPAA, ortamı değil mesajı izler. Personelinizin PHI'yı taşımak için kullandığı her kanalın kendi yanıtı olmalıdır.

Uyumluluk matrisi

‍

Faks: sağlık hizmetlerinin hâlâ vazgeçilmez aracı

Aracı istisnası uyarınca, telefon operatörü bir faks ilettiğinde iş ortağı sayılmaz; çünkü operatör içeriği hiçbir zaman incelemez veya saklamaz. Bu da geleneksel faksı HIPAA'nın izin verdiği kanallar içinde tutar.

Analog faksın iki pratik sorunu vardır. Denetim izi yoktur ve yanlış girilen tek bir rakam PHI'nin ifşa olmasına yol açabilir (HIV durumunun işverene gönderilmesi olayı). Fax.Plus gibi HIPAA uyumlu bir cloud faks hizmeti, Enterprise planında BAA imzalar, trafiği aktarım sırasında ve beklemedeyken şifreler, her gönderimi ve alımı kaydeder ve çalışanların e-postadan veya bir web tarayıcısından göndermesine olanak tanır. Çalışanlar, zaten kullandıkları iş akışından ayrılmadan faksları doğrudan e-postadan gönderebilir.

E-posta ve mesajlaşma

Ücretsiz bireysel e-posta, en yaygın sessiz HIPAA ihlalidir. Gmail, Outlook.com, Yahoo ve iCloud ücretsiz planlarda BAA imzalamaz. Ücretli Google Workspace ve Microsoft 365 HIPAA'ya uygun hale getirilebilir; ancak bu yalnızca BAA'yı imzaladıktan ve yapılandırmayı sıkılaştırdıktan sonra mümkündür (üçüncü taraf uygulama erişimini devre dışı bırakın, denetim günlüğünü açın, MFA'yı zorunlu kılın).

Standart SMS uyumlu değildir. Operatörler BAA imzalamaz ve mesajlar cihazlarda ve operatör sistemlerinde şifrelenmemiş olarak saklanır. Bunun yerine HIPAA'ya uygun güvenli bir mesajlaşma uygulaması kullanın.

Video ve iş birliği

FaceTime ve kişisel Zoom hesapları uygun değildir. Zoom for Healthcare, Doxy.me ve Microsoft Teams (BAA ile) uygundur. Slack, BAA imzalamak için Enterprise Grid planını şart koşar. Standart Slack çalışma alanları, ne kadar iyi yapılandırılmış olursa olsun HIPAA'ya uygun değildir.

HIPAA ihlalleri ve cezaları: uyumsuzluğun bedeli

2024'te HHS Sivil Haklar Ofisi (OCR), toplam değeri 9,9 milyon dolar olan 22 yaptırım işlemini sonuçlandırdı. Bunlardan 13'ünde aynı temel neden olan “uygun bir risk analizi yapılmaması” yer aldı.

Hukuki para cezası kademeleri (2026)

• Kademe 1 (bilgisizlik): ihlal başına 145 ila 73.011 dolar, yılda en fazla 2.190.294 dolar
• Kademe 2 (makul neden): ihlal başına 1.461 ila 73.011 ABD doları
• Kademe 3 (kasıtlı ihmal, 30 gün içinde düzeltilen): ihlal başına 14.618 ila 73.011 ABD doları
• Kademe 4 (kasıtlı ihmal, düzeltilmeyen): ihlal başına 73.011 ila 2.190.294 ABD doları

Cezai yaptırımlar

OCR, cezai davaları kovuşturmayı yürüten Adalet Bakanlığı'na havale eder. PHI'yi bilerek elde etmek veya ifşa etmek: 50.000 ABD dolarına kadar para cezası ve 1 yıla kadar hapis. Yanıltıcı beyanlarla yapılması: 100.000 ABD dolarına kadar para cezası ve 5 yıla kadar hapis. Satma, devretme veya ticari avantaj ya da kötü niyetli zarar amacıyla kullanma niyetiyle yapılması: 250.000 ABD dolarına kadar para cezası ve 10 yıla kadar hapis.

2024–2025 yıllarından gerçek uygulama örnekleri

• Warby Parker, 1,5 milyon ABD doları (2025): kimlik bilgisi doldurma saldırısı; gözlük perakendecisi kapsamdaki bir kuruluştu
• Montefiore Medical Center, 4,75 milyon ABD doları: bir iç kullanıcı 12.000'den fazla kaydı çaldı; zayıf denetim kontrolleri
• Enzo Biochem, 4,5 milyon ABD doları: fidye yazılımı maruziyetinin kaynağı paylaşılan kimlik bilgileri ve on yıllık bir parola olarak belirlendi
• Gulf Coast Pain Consultants, 1,19 milyon ABD doları: sözleşmesi feshedilen bir yüklenici sistem erişimini korudu ve sahte Medicare talepleri sundu
• Teksas'taki bir diş kliniği, 10.000 ABD doları: sahibi bir Yelp yorumuna hasta ayrıntılarını paylaşarak yanıt verdi

OCR'nin Erişim Hakkı Girişimi, 2019'dan bu yana 54 yaptırım işlemi doğurdu; kayıtları zamanında teslim etmeyen sağlayıcılara 3.500 ila 160.000 ABD doları arasında para cezaları verildi.

HIPAA'yı kim uygular

HHS Sivil Haklar Ofisi (OCR) hukuki yaptırımları yürütür. Eyalet başsavcıları da HIPAA kapsamında dava açabilir (bu yetkiyi 2009'da HITECH verdi). Adalet Bakanlığı cezai davaları kovuşturur. FTC ise spor takip cihazları gibi HIPAA kapsamında olmayan sağlık uygulamaları için Sağlık İhlali Bildirim Kuralı'nı uygular.

HIPAA'nın ötesine geçen eyalet yasaları

HIPAA federal düzeydeki alt sınırdır. Bazı eyaletler bunun üzerine daha yüksek binalar inşa etti ve eyalet yasası daha katı olduğunda o geçerli olur.

• Kaliforniya CMIA: tıbbi bilgi tanımı daha geniştir, daha fazla kuruluş türüne uygulanır, hastalara doğrudan dava açma hakkı (özel dava hakkı) tanır ve HIPAA'daki 30 güne karşılık kayıtlara 5 gün içinde erişim şartı getirir.
• Teksas HB 300: “kapsamdaki kuruluş” tanımını Teksas'ta PHI işleyen hemen herkesi kapsayacak şekilde genişletir, işe alımdan sonraki 90 gün içinde iki yılda bir iş gücü eğitimi zorunlu kılar ve başsavcılığa yıllık 1,5 milyon ABD dolarına kadar para cezası verme yetkisi tanır.
• Washington MHMDA: ABD'deki en kapsamlı tüketici sağlık gizliliği yasasıdır. HIPAA'nın kapsam dışı bıraktığı spor takip cihazı verilerini, adet takibi uygulamalarını ve sağlıklı yaşam uygulaması bilgilerini kapsar ve özel dava hakkı tanır.

New York'un SHIELD Yasası ve Illinois'in Genetik Bilgi Gizliliği Yasası, kendi eyaletlerinde ek katmanlar getirir.

Eyalet yasası HIPAA'dan daha katıysa eyalet yasasına uyun. HIPAA daha katıysa HIPAA geçerlidir. PHI işlediğiniz her eyalet için ikisini de eşleştirin.

HIPAA uyumluluğuna nasıl başlanır: uygulamalı bir kontrol listesi

HIPAA uyumluluğunu “bitiremezsiniz”. Bu, sürekli bir programdır. Ancak sekiz adımda güvenilir bir program kurabilirsiniz.

8 adımlı HIPAA başlangıç kontrol listesi

1. Statünüzü belirleyin. Kapsamdaki bir kuruluş mu, iş ortağı mı, yoksa hiçbiri mi olduğunuzu netleştirin. Bu yanıt diğer tüm adımları belirler.
2. Güvenlik Risk Analizi (SRA) yapın. Bu, OCR tarafından en sık belirtilen eksikliktir (2024'te 22'den 13'ü). PHI'nin bulunduğu her yeri, ona dokunan her sistemi ve her tehdidi envanterleyin.
3. Bir Gizlilik Sorumlusu ve bir Güvenlik Sorumlusu atayın. Küçük kuruluşlarda bu aynı kişi olabilir. Rolü yazılı olarak belirtin.
4. Gerekli politikaları yazın. Gizlilik politikaları, güvenlik politikaları, bir ihlal müdahale planı, bir yaptırım politikası ve bir cihaz politikası. Genel şablonlar bir başlangıç noktasıdır, bitiş çizgisi değildir.
5. PHI'ye dokunan her satıcıyla BAA imzalayın. E-posta sağlayıcısı, cloud depolama, fax hizmeti (Fax.Plus Enterprise bir BAA içerir), faturalandırma şirketi, BT desteği, transkripsiyon hizmeti. BAA yoksa PHI yok.
6. İş gücünüzü eğitin. İşe alımda ilk eğitim, düzenli tekrar eğitimleri, klinik ve BT personeli için role özel eğitim. Katılımı belgeleyin.
7. Teknik güvenlik önlemlerini uygulayın. Role dayalı erişim kontrolleri, denetim günlükleri, iletim sırasında ve beklemede şifreleme, PHI'ye dokunan her hesapta MFA.
8. Bir ihlal müdahale kılavuzu oluşturun. Dört faktörlü risk değerlendirme süreci, 60 günlük bildirim takvimi, OCR ve eyalet başsavcıları için iletişim listesi ve en az yılda bir masa başı tatbikat.

‍