Sağlık, KVKK'nın en katı uygulandığı alandır — çünkü işlenen verinin neredeyse tamamı özel nitelikli kategorisindedir. Bir dişçi randevu defteri, bir fizyoterapi seansı notu veya bir estetik merkezinin fotoğraf arşivi, hukuken bankadaki hesap dökümünden daha hassas sayılır.
Bu rehber, hastane dışındaki küçük ve orta ölçekli sağlık kuruluşlarını hedefliyor: klinikler, muayenehaneler, diş hekimleri, fizyoterapi ve estetik merkezleri.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Sağlık mevzuatı ve meslek sırrı yükümlülükleri için ayrıca hukukçu ve meslek örgütü görüşü alın.
Kısa cevap
Sağlık verisi, KVKK'nın 6. maddesi uyarınca özel niteliklidir. Kanun; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesine açık rıza aranmaksızın izin verir. Yani tedaviye ilişkin kayıt için rıza istemeniz gerekmez. Buna karşılık tanıtım, pazarlama ve paylaşım amaçlı her kullanım ayrı bir açık rıza ister.
Kliniğin veri haritası
| Süreç | Veri | Hukuki sebep (tipik) | Not |
|---|---|---|---|
| Randevu | Ad, telefon, tarih | Sözleşmenin ifası | Şikâyet bilgisi girilirse sağlık verisi olur |
| Hasta kabul | Kimlik, iletişim | Sözleşme + hukuki yükümlülük | |
| Anamnez, tanı, tedavi | Sağlık verisi | Md. 6 istisnası (sır saklama yükümlülüğü altında) | Rıza gerekmez |
| Reçete, tetkik | Sağlık verisi | Aynı | Erişim sıkı sınırlanmalı |
| Görüntüleme, klinik fotoğraf | Sağlık verisi | Aynı (tedavi amaçlı) | Tanıtım amaçlıysa ayrı rıza |
| Ödeme, fatura | Finansal | Hukuki yükümlülük | Mali mevzuat süreleri |
| Sigorta / SGK süreçleri | Sağlık + kimlik | Hukuki yükümlülük | Aktarım vardır |
| Kamera (bekleme salonu) | Görsel | Meşru menfaat | Muayene odasında asla |
| Hatırlatma SMS'i | İletişim | Sözleşmenin ifası | İçerikte tedavi adı geçmemeli |
| Kampanya / tanıtım | İletişim, tercih | Açık rıza | Ayrı ve ön işaretsiz |
| Öncesi-sonrası fotoğrafı | Sağlık verisi + görsel | Açık rıza | En riskli başlık |
| Hasta yorumu, referans | Kimlik + sağlık | Açık rıza | Anonim olsa bile dikkat |
| Personel özlük | Kimlik, sağlık raporu | Hukuki yükümlülük | Ayrıntı |
Bu tablo envanterinizin iskeletidir. Yöntem: kişisel veri envanteri nasıl hazırlanır.
Riskli alan 1: Öncesi-sonrası fotoğrafları
Estetik, diş ve dermatoloji alanında en sık şikâyet konusu budur. Üç ayrı kullanım vardır ve üçü aynı değildir:
Tedavi kaydı olarak fotoğraf. Dosyanın parçasıdır, tedavi amaçlıdır, ayrı rıza gerekmez ama erişimi sınırlı olmalıdır.
Eğitim veya bilimsel sunum. Kimlik belirsizleştirilse bile dikkatli olun; bazı görüntülerde maskeleme kişiyi belirlenemez kılmaya yetmez.
Tanıtım ve sosyal medya. Ayrı, açık ve spesifik rıza gerekir. Genel bir "görsellerim kullanılabilir" onayı yeterli değildir. Rıza metninde şunlar bulunmalıdır:
- Hangi görselin kullanılacağı
- Hangi mecrada yayımlanacağı (web sitesi, Instagram, reklam)
- Ne kadar süreyle
- Yüzün görünüp görünmeyeceği
- Rızanın geri alınabileceği ve geri alındığında görselin kaldırılacağı
Rızanın geri alınması hâlinde görseli gerçekten kaldırmanız gerekir — üstelik yalnızca kendi hesabınızdan değil, paylaşıma açık tüm mecralardan. Bu yüzden hangi görselin nerede yayımlandığını kaydeden basit bir liste tutun. Rıza metninin nasıl yazılacağı: açık rıza metni nasıl yazılır.
Riskli alan 2: WhatsApp ve kişisel telefon
Kliniklerin gündelik gerçeği şudur: hasta fotoğrafı, tetkik sonucu ve randevu yazışması personelin kişisel WhatsApp hesabından yürür. Bu, uygulamada en yaygın ve en kolay tespit edilen ihlaldir.
Sorunlar:
- Veri, personelin kişisel cihazında ve hesabında birikir
- Personel ayrıldığında veri onunla birlikte gider
- Telefon galerisine otomatik kaydedilen görüntüler bulut yedeklemesine gider
- Sohbet grupları üçüncü kişilere ifşa riski yaratır
- Yurt dışı sunucuya aktarım doğar (ayrıntı)
Uygulanabilir çözüm sırası:
- Kurumsal numara ve kurumsal hesap kullanın; kişisel hesabı yasaklayın.
- Otomatik medya kaydını kapatın (galeriye ve buluta indirme).
- Tıbbi görsel ve tetkik sonucunu mesajlaşmayla göndermeyin; hasta yönetim sisteminden erişim verin.
- Zorunluysa süreli erişim linki kullanın.
- Personel ayrılırken cihaz ve hesap devri prosedürünü işletin.
Riskli alan 3: Bekleme salonu ve isim çağırma
Küçük ama sık görülen bir ihlal: hastanın adının yüksek sesle, tedavi adıyla birlikte çağrılması ("Ayşe Hanım, diyabet kontrolü"). Tedavi bilgisinin bekleme salonundakilere duyurulması, gereksiz bir ifşadır.
Aynı mantık şu ayrıntılar için de geçerlidir:
- Resepsiyon ekranının hastalara dönük olması
- Dosyaların bankoda açık durması
- Randevu defterinin herkesin görebileceği yerde olması
- Hasta listesinin duvara asılması
Bu kalemler pahalı bir çözüm gerektirmez; ekran açısını değiştirmek, çağrı numarası kullanmak ve dosyaları kilitli dolapta tutmak yeterlidir.
Riskli alan 4: Kamera
Bekleme salonu ve giriş güvenlik amacıyla izlenebilir. Muayene odası, tedavi odası ve soyunma alanı kesinlikle izlenemez. Sağlık verisiyle görüntünün birleşmesi riski katlar.
Ayrıntılı kurallar, saklama süresi ve levha yükümlülüğü için: kamera kaydı ve KVKK.
Riskli alan 5: Aktarımlar
Bir kliniğin verisi düşünülenden çok yere gider:
- Laboratuvar ve görüntüleme merkezi
- SGK ve özel sigorta şirketleri
- Hasta yönetim yazılımı sağlayıcısı (çoğu bulut tabanlı)
- Randevu ve doktor bulma platformları
- Muhasebe ve e-fatura
- Atık yönetimi firması (tıbbi atık kayıtları)
- Dış laboratuvar veya protez laboratuvarı (diş kliniklerinde)
Bunların her biri aydınlatma metninde alıcı grubu olarak yer almalı, sözleşmelerde veri koruma hükmü bulunmalıdır. Yazılım sunucusu yurt dışındaysa aktarım rejimi ayrıca kurulmalıdır.
Saklama süreleri
Sağlıkta saklama süreleri, KVKK'dan çok sağlık mevzuatı ve zamanaşımı kurallarıyla belirlenir. Genel yaklaşım:
| Kayıt | Yaklaşım |
|---|---|
| Hasta dosyası | Sağlık mevzuatının öngördüğü uzun süreler |
| Görüntüleme ve tetkik | Dosyayla birlikte |
| Tanıtım amaçlı görsel | Rıza sürdüğü sürece; geri alınınca derhal silinir |
| Randevu kaydı | Amaçla sınırlı; dosyaya işlenmişse dosya süresi |
| Kamera | Genellikle 30-60 gün |
| Mali kayıt | Vergi mevzuatı süreleri |
Süreleri yazılı hâle getirmenin aracı: saklama ve imha politikası. Süre dolduğunda imhanın gerçekten yapıldığını gösteren tutanak tutun.
Hasta başvurusu ve veri ihlali
Hasta, kendi verilerine erişme ve düzeltme talebiyle başvurabilir; 30 gün içinde cevap vermeniz gerekir. Dosya talebini "sistemde var, gelip bakın" diye geçiştirmek yeterli bir cevap değildir. Süreç kurgusu: veri sorumlusuna başvuru.
Veri ihlali riski sağlıkta özellikle yüksektir çünkü sızan verinin niteliği ağırdır. En sık senaryolar: hasta yönetim yazılımına zayıf şifreyle erişim, ayrılan personelin hesabının kapatılmaması, yedek diskin korumasız bırakılması ve kişisel cihazda biriken görsellerin buluta yedeklenmesi. İhlal tanımı ve süreci: KVKK ihlali nedir.
VERBİS ve özel nitelikli veri
Özel nitelikli kişisel veri işlemek, VERBİS kayıt yükümlülüğü değerlendirmesinde belirleyici olabilen bir ölçüttür. Kliniğiniz küçük olsa bile sağlık verisi işlediğiniz için yükümlülük doğabilir. Değerlendirme: KVKK hangi şirketler için zorunlu ve VERBİS kaydı nasıl yapılır.
10 maddelik klinik kontrol listesi
- Hasta aydınlatma metni var, kabulde tebliğ ediliyor mu?
- Tanıtım görselleri için ayrı ve spesifik rıza alınıyor mu?
- Rıza geri alındığında görselin kaldırılacağı prosedür yazılı mı?
- Kurumsal iletişim kanalı kuruldu, kişisel WhatsApp yasaklandı mı?
- Hasta yönetim yazılımında kişi bazlı erişim yetkisi var mı?
- Ayrılan personelin erişimi kapatılıyor mu?
- Muayene odasında kamera olmadığı doğrulandı mı?
- Resepsiyon ekranı ve dosyalar görünmez konumda mı?
- Aktarılan taraflar envanterde ve aydınlatma metninde var mı?
- Saklama süreleri belirlendi ve imha tutanakları tutuluyor mu?
Bu belgelerin çıktısını üretmek için belge sihirbazını kullanabilirsiniz; sağlık sektörünü seçtiğinizde tipik süreçler hazır gelir. Araç tamamen ücretsizdir.
Sık sorulan sorular
Hastadan KVKK rızası almak zorunlu mu?
Tanı, tedavi ve bakım hizmetlerinin yürütülmesi için işlenen sağlık verisinde, sır saklama yükümlülüğü altındaki kişilerce işlenmesi hâlinde açık rıza aranmaz. Rıza; tanıtım, pazarlama ve görsel paylaşımı gibi tedavi dışı amaçlar için gerekir. Bu ikisini tek bir formda birleştirmeyin.
Öncesi-sonrası fotoğrafını yüz kapatarak paylaşabilir miyim?
Yüzü kapatmak riski azaltır ama tek başına yeterli sayılmayabilir; dövme, iz, diş yapısı gibi ayırt edici unsurlar kişiyi belirlenebilir kılabilir. Her hâlükârda tanıtım amaçlı kullanım için ayrı ve spesifik açık rıza alın.
Hastaya WhatsApp'tan tetkik sonucu gönderebilir miyim?
Önerilmez. Kişisel hesaptan gönderim, veriyi personelin cihazında ve bulut yedeğinde biriktirir. Kurumsal bir hasta portalı veya süreli erişim linki çok daha güvenlidir. Zorunlu hâllerde kurumsal hesap kullanın ve otomatik medya kaydını kapatın.
Randevu hatırlatma mesajı göndermek için izin gerekir mi?
Randevu hatırlatması hizmetin ifasına ilişkindir ve ayrı ticari ileti izni gerektirmez. Ancak mesaj içeriğinde tedavi adı veya tanı geçmemelidir; üçüncü bir kişi telefonu gördüğünde sağlık bilgisi ifşa olmamalıdır.
Hasta yorumlarını sitemde yayımlayabilir miyim?
Yorum, kişinin sağlık hizmeti aldığını ortaya koyduğu için sağlık verisiyle bağlantılıdır. Yayımlamak için açık rıza alın, ad soyadı kısaltarak kullanın ve rızanın geri alınabileceğini belirtin.
Küçük bir muayenehaneyim, bu kadarına gerek var mı?
Yükümlülükler kuruluş büyüklüğüne göre hafiflemez; işlenen verinin niteliğine göre ağırlaşır. Sağlık verisi işleyen tek kişilik bir muayenehane, özel nitelikli veri işlemeyen orta ölçekli bir şirketten daha yüksek risk taşır.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, md. 5, 6, 10, 11, 12
- Kişisel Verileri Koruma Kurulu yayımlanmış kararları — karar arşivi
- Sağlık mevzuatındaki kayıt ve saklama yükümlülükleri
