Klinikte online randevu: sağlık verisi KVKK'da neden ayrı bir kategori?

Online randevu formu basit görünür: ad, telefon, bir de hangi bölüme gelmek istediğiniz. Ancak KVKK Kurumu'nun Şubat 2025'te yayımladığı özel nitelikli kişisel verilere ilişkin rehber, bu üç satırın ağırlığını değiştiriyor. Rehberdeki örneklerden biri, bir kişi adına oluşturulmuş psikiyatri polikliniği randevusu. Yani form sizin için sadece bir takvim kaydı olabilir; mevzuat açısından ise sağlık verisi niteliği taşıyabilir. Bu yazı bilgilendirme amaçlıdır; hukuki veya tıbbi tavsiye değildir. Kendi durumunuz için bir hukuk danışmanından görüş alın.

Sağlık verisi neden özel nitelikli sayılıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi, sağlık verisini ırk, din, siyasi düşünce, biyometrik ve genetik veri gibi başlıklarla birlikte özel nitelikli kişisel veri olarak sayıyor. Kural olarak bu verilerin işlenmesi yasak; yalnızca maddede sıralanan şartlardan biri varsa mümkün. Neden daha sıkı? Çünkü bu veri yanlış ellere geçtiğinde ayrımcılık, damgalanma ve geri alınamayan mahremiyet kaybı gibi sonuçlar doğurabiliyor. Kanun'un 6. maddesi, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanunla değiştirildi ve değişiklik 1 Haziran 2024'te yürürlüğe girdi.

Rehber, sağlık verisini yalnızca teşhis ve reçeteyle sınırlı tutmuyor. Kişinin sağlıklı olduğunu gösteren bilgiyi, hasta olma ihtimaline işaret eden bilgiyi, tetkik sonuçlarını, ön teşhis ve tedavi bilgilerini kapsayan geniş bir tanım kullanıyor. Aynı rehber şu örnekleri veriyor: randevu alınan ya da acil durumda başvurulan hastane, klinik veya birim bilgisi, doktorun istediği tetkikler ve sonuçları, reçete edilen ilaçlar. Eski tip nüfus cüzdanı, pasaport veya sürücü belgesinde yazan kan grubu bilgisi bile sağlık verisi olarak anılıyor.

Pratik sonuç: Randevu sisteminizde saklanan tarih, bölüm ve hasta kimliği birlikte düşünüldüğünde, bu kayıtlar özel nitelikli veri güvenlik standartlarıyla korunması gereken bir envanter oluşturabilir. Sistemi kurarken bu ihtimali baştan hesaba katmak sonradan düzeltmekten kolaydır.

Değişiklikten sonra: açık rıza tek yol mu?

Yaygın bir yanlış, sağlık verisi için her zaman açık rıza gerektiği düşüncesi. 2024 değişikliğinden önce sağlık ve cinsel hayata ilişkin veriler ayrı bir rejime tabiydi; değişiklikle bu ayrım kalktı ve tüm özel nitelikli veriler için aynı şartlar tek fıkrada sıralandı. KVKK Kurumu'nun rehberine göre açık rıza ile diğer şartlar arasında hiyerarşik bir fark yok. Sağlık hizmetleri açısından özellikle (e) bendi önem taşıyor: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar, kamu sağlığının korunması, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı için gerekli olduğunda veriyi işleyebilir.

Rehber ayrıca bu bentteki yetkili kuruluş kavramının yalnızca kamu kurumlarını değil, sağlık hizmeti sunan gerçek kişileri ve özel hukuk tüzel kişilerini de kapsadığını belirtiyor. Bir muayenehane de bu çerçeveye girebilir. Ama dikkat: bent amaçla sınırlı. Tedavinin yürütülmesi için gerekli olan işleme ile kampanya duyurusu göndermek aynı şey değil. Hangi işleme faaliyetinin hangi şarta dayandığını yazılı bir envanterde belirlemek, hukuk danışmanınızla birlikte yapmanız gereken ilk iştir.

Randevu formunda en çok görülen hata: zorunlu pazarlama kutusu

KVKK Kurulu'nun 2 Mayıs 2023 tarihli ve 2023/692 sayılı kararı, özel bir hastane grubunun internet sitesindeki randevu formuyla ilgili. Formda, tanıtım amaçlı iletişim onayı işaretlenmeden randevuya ilerlemek mümkün değildi. Kurul, sağlık hizmetine yönelik bir ön adımı, hizmetle ilgisi olmayan bir pazarlama işlemine bağlamanın hür iradeyi zedelediğini, rızanın bu nedenle geçerliliğini yitirdiğini değerlendirdi. Randevu verileri zaten Kanun'un 5. maddesindeki başka şartlara dayanabilecekken açık rızaya yaslanılması da yanıltıcı bulundu. Sonuç 300.000 TL idari para cezası ve düzeltme talimatları oldu.

Aynı kararın ikinci dersi ayrıntıda gizli: aydınlatma metninin altındaki ifade, kişinin aydınlatma metnine onay verdiği izlenimini yaratıyordu. Kurul, aydınlatma metninde onay ifadesinin yer almamasını, yalnızca okunduğunu belirten bir işaret kutusu kullanılmasını ve açık rıza metinlerinin ayrı hazırlanmasını istedi. Yani aydınlatma bir bilgilendirmedir, rıza değildir; ikisini aynı kutuya koymayın.

İletişim bilgisinin sonraki kullanımı da ayrı bir risk alanı. Kurul'un 2022/31 sayılı kararında bir hastanenin hasta kaydı sırasında aldığı e-posta adresine ticari ileti göndermesi, toplanma amacıyla bağdaşmadığı için hukuka aykırı bulundu ve 100.000 TL idari para cezası verildi. 2022/923 sayılı kararda ise hastaneden ayrılıp kendi muayenehanesini açan bir doktorun, muayene sırasında aldığı telefona reklam SMS'i göndermesi ele alındı. Kurul, numaranın tedavi iletişimi için alındığını, reklam için kullanımının ayrı bir hukuki sebep gerektirdiğini belirtti; bu kararda veri sorumlusu olarak kabul edilen doktora 100.000 TL idari para cezası verildi, hastane hakkında işlem tesis edilmedi.

Erişim yetkisi ve veri güvenliği: Kurul'un yeterli önlemler listesi

Kanun'un 6. maddesinin dördüncü fıkrası, özel nitelikli veri işlerken Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşuyor. Bu önlemler 31 Ocak 2018 tarihli ve 2018/10 sayılı Kurul kararında listelenmiş ve KVKK Kurumu'nun 2025 rehberinde yeniden hatırlatılmış. Rehberdeki başlıklardan bazıları şöyle:

• Özel nitelikli verinin güvenliği için ayrı, net kuralları olan bir politika ve prosedür.
• Çalışanlara düzenli eğitim, gizlilik sözleşmeleri, erişim yetkisinin kapsamı ve süresinin açıkça tanımlanması, yetkilerin periyodik kontrolü.
• Görev değiştiren veya ayrılan çalışanın yetkilerinin hemen kaldırılması.
• Elektronik ortamda verinin kriptografik yöntemlerle saklanması, tüm işlem hareketlerinin güvenli biçimde kaydedilmesi, güvenlik güncellemelerinin ve testlerinin düzenli takibi.
• Uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama.
• E-posta ile aktarım gerekiyorsa şifreli olarak kurumsal e-posta adresi veya Kayıtlı Elektronik Posta hesabıyla gönderim.

Bu listenin kâğıtta kalmasının bedeli de görülmüş. Kurul'un 2023/695 sayılı kararında, özel bir tıp merkezinde doktorun yanında çalışan bir sekreter, hiç tedavi görmemiş bir kişinin e-Nabız kayıtlarına erişti. Merkez erişim kayıtlarını, yetki matrisini, gizlilik sözleşmelerini ve şifreli bilgisayarları gösterdi. Kurul ise doktor için erişim kısıtlarının uygulanmadığını, eğitimin belgelenmediğini ve kayıtların erişimi önlemediğini değerlendirerek 200.000 TL idari para cezası verdi. Ders açık: önlem yazılı olmak yetmez, kişilere gerçekten uygulanmalı ve kanıtlanabilmeli.

Sağlık Bakanlığı tarafında da kurallar hareketli. 3 Aralık 2025 tarihli Resmî Gazete'de yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik değişikliği, Bakanlığın merkezi sistemi üzerinden sağlık verisine erişimi Kanun'un 6. maddesinin üçüncü fıkrasındaki şartlarla ilişkilendiriyor; aile hekimine süresiz, tedaviyi yürüten hekimlere ilgili işlemler tamamlanana kadar, yatan hastalarda taburculuğa kadar erişim tanımlıyor ve e-Nabız güvenlik ayarlarını esas alıyor. Bu düzenleme Bakanlığın sistemi içindir; kendi randevu veya hasta kayıt yazılımınız için doğrudan aynı kural geçerli olmayabilir, ama yetkiyi sürelendirme ve amaca bağlama mantığı bir fikir verir.

Yazılım ve sunucu sağlayıcınız: sorumluluk sizde kalır

Online randevu için çoğu klinik hazır bir yazılım kullanır. Kanun'un 12. maddesine göre veri sorumlusu, verinin kendi adına başka biri tarafından işlenmesi halinde güvenlik tedbirlerinin alınmasından o kişiyle birlikte sorumludur. Yani yazılım firmasını seçmek sorumluluğu devretmez. Sözleşmede verinin nerede tutulduğunu, kimlerin eriştiğini ve olay halinde sizi ne kadar sürede bilgilendireceklerini sormanız yerinde olur.

Sunucular yurt dışındaysa Kanun'un 9. maddesi devreye girer. 2024 değişikliğiyle aktarım için yeterlilik kararı ya da bir uygun güvence (örneğin Kurul'un ilan ettiği standart sözleşme) aranıyor; standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildiriliyor. Hangi mekanizmanın sizin için geçerli olduğu somut duruma bağlıdır; bu kısım için mutlaka uzman görüşü alın. Veriler kanuni olmayan yollarla başkalarının eline geçerse veri sorumlusu bunu en kısa sürede ilgiliye ve Kurula bildirmek zorunda.

Ne yapmalı? Kısa bir kontrol listesi

1. Randevu formundaki her alanı yazın ve neden istediğinizi sorun. Amacı olmayan alanı kaldırın.
2. Randevu için işlenen veriyle pazarlama amaçlı iletişimi ayırın. Pazarlama kutusu isteğe bağlı olsun, randevuyu engellemesin, açık rıza metni ayrı olsun.
3. Aydınlatma metninde Kanun'un 10. maddesindeki dört başlığı (kimlik, amaç, aktarım, toplama yöntemi ve hukuki sebep) ve ilgili kişinin haklarını net yazın; onay ifadesi koymayın.
4. Kimin hangi kayda, ne kadar süreyle eriştiğini gösteren bir yetki tablosu çıkarın; görev değişikliklerinde yetkiyi hemen kapatın ve düzenli kontrol tarihi koyun.
5. Yazılımda erişim kaydı, şifreleme ve uzaktan erişimde iki kademeli doğrulama olup olmadığını yazılım sağlayıcınızdan yazılı isteyin.
6. Hasta bilgilerini e-posta ile paylaşmanız gerekiyorsa şifreli ve kurumsal adres veya KEP üzerinden gönderin; alıcıyı göndermeden önce doğrulayın.
7. Sunucu konumunu ve yurt dışı aktarım durumunu öğrenin; gerekiyorsa hukuk danışmanınızla aktarım mekanizmasını netleştirin.
8. Çalışan eğitimini tarihli ve imzalı kayıtla belgeleyin; bir ihlal olursa kimin ne zaman ne yapacağını içeren kısa bir acil durum planı hazırlayın.

Bu adımlar mevzuatın tamamı değildir; sadece resmî kaynaklarda öne çıkan pratik noktalardır. Kurul her somut olayı kendi koşullarında değerlendirir. Yayımlanmış kararlar geçmişin özetidir, sizin için garanti anlamına gelmez; hangi hukuki sebebe dayandığınız ve sistemi nasıl kurduğunuz konusunda sektör bilgisi olan bir hukukçuyla çalışmak en sağlıklı yoldur.

Kaynaklar

Aşağıdaki bağlantılar yazıdaki rakam ve iddiaların dayandığı kaynaklardır; yazı 28 Ekim 2026 itibarıyla hazırlanmıştır. Resmî düzenlemeler ve platform politikaları değişebilir; karar vermeden önce güncel hâlini kaynağından kontrol edin.

1. KVKK Kurumu, Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber (Yayın No: 51, Şubat 2025, PDF)
2. Mevzuat Bilgi Sistemi, 6698 sayılı Kişisel Verilerin Korunması Kanunu
3. KVKK Kurulu, 02/05/2023 tarihli ve 2023/692 sayılı Karar Özeti (sağlık hizmetinin açık rızaya bağlanması)
4. KVKK Kurumu, 6698 sayılı Kanun kapsamındaki idari para cezası tutarları (2026 tablosu)
5. KVKK Kurulu, 08/09/2022 tarihli ve 2022/923 sayılı Karar Özeti (hekim tarafından gönderilen reklam SMS'i)
6. KVKK Kurulu, 02/05/2023 tarihli ve 2023/695 sayılı Karar Özeti (e-Nabız verilerine hukuka aykırı erişim)
7. KVKK Kurulu, 18/01/2022 tarihli ve 2022/31 sayılı Karar Özeti (sağlık sektöründe izinsiz ticari ileti)
8. KVKK Kurulu, 22/06/2022 tarihli ve 2022/594 sayılı Karar Özeti (test sonuçlarının üçüncü kişiye gönderilmesi)
9. Resmî Gazete, 3 Aralık 2025, Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik (Sayı: 33096)