Sağlık Turizminde KVKK ve GDPR: Uluslararası Hasta Verisi, Yurt Dışı Aktarım ve Web Sitesi Formları Rehberi

Sağlık turizminde veri koruma neden daha kritik?

Sağlık turizmi kuruluşları, bir hastanın tanı, rapor, görüntü, tedavi öyküsü gibi en hassas bilgilerini ülke sınırları ötesinde ve çok aktörlü bir zincirde işler: hasta, acente, tercüman, hekim, hastane, laboratuvar, ödeme sağlayıcı, bulut ve mesajlaşma hizmetleri. Her halka, ayrı bir veri sorumluluğu, güvenlik riski ve hukuki değerlendirme demektir.

Üstelik hassasiyet yalnızca hukuki değil, ticari ve itibar ilişkilidir: sağlık verisinin sızması veya yetkisiz paylaşılması, hastanın güvenini yok eder. Web sitenizin formları, mesajlaşma kanalları ve izleme etiketleri bu zincirin ilk halkasıdır. Kurum türüne özgü ayrıntılar için hastane, klinik, poliklinik ve acente rehberlerimizdeki KVKK bölümlerine de bakın. Genel çerçeve için KVKK sayfamızı ve gizlilik politikamızı inceleyebilirsiniz.

KVKK mı, GDPR mı, ikisi birden mi?

Türkiye’de yerleşik bir hastane, klinik veya acente, Türkiye’de gerçekleştirdiği veri işleme faaliyetleri nedeniyle 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Kişinin yabancı olması, KVKK’nın uygulanmasını ortadan kaldırmaz.

Öte yandan Avrupa Birliği’ndeki kişilere yönelik hizmet sunuyorsanız, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) da gündeme gelebilir. GDPR’ın coğrafi kapsamını düzenleyen md. 3(2), AB’de bulunan kişilere mal veya hizmet sunan, AB dışında yerleşik kuruluşları da kapsayabilir. Bunu değerlendirirken kullanılan işaretler arasında şunlar sayılabilir: AB dillerinde site ve iletişim, AB para birimleri, AB’ye özel pazarlama veya AB’den gelen hastalara yönelik açık hedefleme. Benzer şekilde Birleşik Krallık, Körfez ülkeleri ve diğer hedef pazarların kendi veri koruma düzenlemeleri bulunabilir.

Bu rehber KVKK’yı merkeze alır ve GDPR’a dair noktaları yol gösterici olarak anar. Hangi mevzuatın hangi faaliyetinize uygulandığı, kuruluşunuza özgü bir hukuki değerlendirme gerektirir; bu konuda veri koruma konusunda uzman bir hukukçudan görüş alın. Pazarlama ve reklam tarafı için de aynı özen gerekir; bkz. çok dilli SEO rehberi.

Özel nitelikli veri ve işleme şartları (md. 6)

6698 sayılı Kanun md. 6/1, kişinin sağlığına, cinsel hayatına, biyometrik ve genetik verilerine ve diğer sayılan verilere ilişkin bilgileri özel nitelikli kişisel veri olarak tanımlar. Özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; ancak 7499 sayılı Kanunla (2024) değiştirilen md. 6/3, sayılan hallerden birinin varlığında işlemeye izin verir. Sağlık turizmi bakımından öne çıkan hâller:

• İlgili kişinin açık rızası (md. 6/3-a).
• Kanunlarda açıkça öngörülmesi (md. 6/3-b).
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (md. 6/3-d).
• Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması (md. 6/3-e).
• Ek olarak, özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır (md. 6/4).

Bu şartların kimin için, hangi işlemde geçerli olduğu ayrı değerlendirme gerektirir. Örneğin md. 6/3-e, sır saklama yükümlülüğü altındaki kişilere (örneğin sağlık hizmeti sunan hekim ve sağlık personeli) yöneliktir; bu şartın web sitesi formu, pazarlama, acente iletişimi veya yurt dışı aktarım gibi her faaliyeti kapsayıp kapsamadığı ayrıca değerlendirilmelidir. Pek çok durumda — özellikle tedavi dışı ön yazışma, acente aracılığı, pazarlama ve analitik gibi işlemlerde — açık rıza veya başka bir hukuki dayanak gerekir. Bunu veri akışı bazında belirleyin ve kayıt altına alın. Kurumun özel nitelikli verilere ilişkin yayımladığı rehbere ve kişisel sağlık verileri mevzuatına da bakın.

Roller: veri sorumlusu, veri işleyen ve acente

Kanun, işleme amaç ve vasıtalarını belirleyen kişiyi veri sorumlusu, onun adına veri işleyeni veri işleyen olarak adlandırır. Sağlık turizmi zincirinde roller somut ilişkiye göre belirlenir ve her zaman açık değildir:

• Hastane/klinik: Genellikle hasta verisinin sorumlusudur; tedavi sürecindeki verileri belirler.
• Acente: Hastayla ilk temas, yönlendirme ve organizasyon sırasında kendi verisinin sorumlusu olabilir; tesisle paylaşımda ise ayrı bir veri sorumlusu veya veri işleyen konumunda olabilir. Rolün sözleşmeyle ve fiili durumla uyumlu belirlenmesi gerekir.
• Teknoloji sağlayıcıları: CRM, e-posta, form, bulut, mesajlaşma, çağrı merkezi ve analitik hizmetleri çoğunlukla veri işleyen konumundadır; bunlarla yazılı sözleşme, güvenlik yükümlülükleri ve alt işleyen koşulları netleştirilmelidir.

Rol belirsizliği, aydınlatma metnini, rıza yapısını ve aktarım rejimini doğrudan etkiler. Rolleri sözleşmelere ve gizlilik metinlerine açıkça yazın.

Veri akışı haritası

Veri koruma çalışmasının ilk adımı, hangi verinin nereden gelip nereye gittiğini çıkarmaktır. Aşağıdaki tablo, tipik bir sağlık turizmi sürecini örnekler; kendi sürecinizi benzer şekilde haritalayın:

Aydınlatma metni ve açık rıza

Kanun md. 10, veri toplanırken veri sorumlusunun veya yetkilendirdiği kişinin ilgili kişiye şu konularda bilgi vermesini zorunlu kılar: veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ve ilgili kişinin hakları. Sağlık turizminde bunu şöyle uygulayın:

• Anlaşılır ve hasta diliyle: Aydınlatma metni ilgili dil sürümünde sunulmalı; hasta anlamadığı bir metne rıza vermiş sayılmaz.
• Amaca özgü olun: “Tüm amaçlar için” tek bir genel metin yerine, form, tedavi, pazarlama ve aktarım için ayrı bilgilendirme yapın.
• Aktarımı açıkça yazın: Verilerin yurt dışına aktarılıp aktarılmayacağını, hangi ülkelere ve neden aktarıldığını belirtin.
• Açık rızayı ayrı alın: Rızaya dayanan işlemlerde rıza; belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır. Hizmet şartı olarak toplu, önceden işaretli kutularla rıza almayın.
• Rızayı belgeleyin: Zaman damgası, metin sürümü ve dil bilgisini kaydedin; rızanın geri alınabilmesi için kolay bir yol sunun.

Yurt dışına aktarım (md. 9)

Sağlık turizminde yurt dışı aktarım, tek seferlik bir olay değil, günlük iş akışıdır. 7499 sayılı Kanunla (2024; 1 Haziran 2024’te yürürlüğe girmiştir) yenilenen md. 9, üç kademeli bir sistem getirir:

1. Yeterlilik kararı (md. 9/1-3): Md. 5 ve 6’daki şartlardan birinin varlığı ve aktarılacak ülke, sektör veya uluslararası kuruluş hakkında Kurul tarafından verilip Resmî Gazete’de yayımlanan bir yeterlilik kararının bulunması hâlinde aktarım yapılabilir.
2. Uygun güvenceler (md. 9/4): Yeterlilik kararı yoksa, md. 5 ve 6’daki şartlardan birinin varlığı ve ilgili kişinin aktarım yapılan ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla, şu güvencelerden birinin sağlanması gerekir: (a) kamu kurumları arasında, uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni; (b) Kurulca onaylanan bağlayıcı şirket kuralları; (c) Kurulca ilan edilen standart sözleşme; (ç) yeterli korumayı sağlayan yazılı taahhütname ve Kurul izni.
3. Arızi haller (md. 9/6): Yeterlilik kararı ve uygun güvence yoksa, arızi olmak kaydıyla sınırlı hâllerde aktarım yapılabilir; örneğin ilgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesi, aktarımın ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin talebiyle alınan sözleşme öncesi tedbirler için zorunlu olması, ya da bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.

Önemli notlar:

• Standart sözleşme bildirimi (md. 9/5): Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir. Kurum, bu bildirim için çevrim içi bir modül de sunmuştur.
• Arızi hâller istisnadır: Düzenli, tekrarlanan aktarımları arızi hâllere dayandırmak, madde metnine aykırıdır. Sürekli bir aktarım ilişkiniz varsa uygun güvence mekanizması kurmalısınız.
• Sonraki aktarımlar (md. 9/8): Yurt dışına aktarılan verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarım için de Kanundaki güvenceler sağlanır ve md. 9 hükümleri uygulanır.
• Usul ve esaslar: Aktarıma ilişkin ayrıntılar yönetmelikle düzenlenmiştir (md. 9/11). Güncel yönetmelik, standart sözleşme metinleri ve Kurum rehberi için Kişisel Verileri Koruma Kurumu sayfasına bakın.

Hangi durumlar “yurt dışına aktarım” sayılır?

Aktarım yalnızca “yabancı bir kişiye mail atmak” değildir. Aşağıdaki örnekleri değerlendirin ve hukuk danışmanınızla netleştirin:

• Yurt dışındaki acente, hekim, tercüman veya hasta yakınıyla hasta verisinin paylaşılması.
• Sunucusu yurt dışında olan CRM, bulut depolama, e-posta, mesajlaşma, görüntülü görüşme veya form hizmetlerinin kullanılması.
• Yurt dışında yerleşik reklam ve analitik sağlayıcılarına sitedeki ziyaretçi verisinin gönderilmesi.
• Yurt dışındaki bir hekime ikinci görüş veya takip amacıyla rapor gönderilmesi.

Buna karşılık, yabancı hastanın kendi verisini kendisi tarafından Türkiye’deki kuruluşa göndermesi, kuruluş açısından yurt dışına aktarım değil, yurt dışından veri toplamadır; ancak sonrasında verinin üçüncü ülkelere gitmesi aktarım doğurabilir.

Web sitesi formları

• Minimum veri: Ad, iletişim bilgisi ve genel bir talep metni çoğunlukla yeterlidir. Tanı, şikâyet detayı, rapor veya fotoğraf yüklemesini ilk formdan almayın.
• Uyarı metni: Formda, hassas sağlık bilgisinin form üzerinden paylaşılmaması gerektiğini ve bunun için ne zaman, hangi güvenli kanalın kullanılacağını açıkça yazın.
• Aydınlatma bağlantısı: Formun hemen yanında, ilgili dilde aydınlatma metni; rıza gerekiyorsa ayrı, işaretlenmemiş onay kutusu.
• Güvenlik: HTTPS, sunucu tarafı doğrulama, spam koruması, yetki kontrollü yönetim paneli, düzenli yedekleme ve erişim günlükleri.
• Saklama süresi: Formdan gelen talebi ne kadar süre, hangi amaçla saklayacağınızı belirleyin; gereksiz verileri düzenli silin.
• Barındırma konumu: Form verilerinin nerede işlendiğini bilin; yurt dışında barındırılan bir form hizmeti kullanıyorsanız md. 9 etkisini değerlendirin.

WhatsApp ve mesajlaşma uygulamaları

Yabancı hastalar genellikle mesajlaşma uygulamalarını tercih eder. Bu kanallar pratik olsa da kontrolsüz kullanıldığında ciddi risk oluşturur:

• İlk yanıtta uyarı: Otomatik karşılama mesajında, hassas sağlık bilgisinin ve kimlik belgelerinin bu kanaldan paylaşılmaması gerektiğini ve ne zaman güvenli kanala geçileceğini belirtin.
• Kurumsal hesap: Personelin kişisel telefonlarını kullanmasını engelleyin; kurumsal, yönetilen ve yetki kontrollü hesaplar kullanın. Personel ayrıldığında hesap erişimi kapatılabilsin.
• Yazışma yönetimi: Hangi yazışmaların ne kadar süre saklanacağı, hasta dosyasına nasıl aktarılacağı ve ne zaman silineceği yazılı olsun.
• Grup yazışmaları: Hasta, acente, tercüman ve hekimin aynı grupta olması; kimin ne gördüğünü ve kimlere aktarım yapıldığını bulanıklaştırır. Gerektiğinde bire bir ve amaca özgü kanallar kullanın.
• Hasta tercihi ve rıza: Hastanın bu kanalı kendi isteğiyle seçtiğini ve riskler hakkında bilgilendirildiğini kayıt altına alın.

Tıbbi rapor ve görsel paylaşımı

Ön değerlendirme için hasta rapor, laboratuvar sonucu, MR/BT görüntüsü veya fotoğraf göndermek isteyebilir. Bu verilerin en hassas kategoride olduğunu unutmayın:

1. E-posta ek dosyası yerine şifreli, erişim kontrollü ve kayıt tutan bir yükleme çözümü kullanın.
2. Yüklenen dosyalara kimin eriştiğini yetkiye göre sınırlayın ve erişimi kaydedin.
3. Gereksiz yere çoğaltmayın; personelin kişisel cihazlarına indirmesini engelleyin.
4. Değerlendirme sonrasında dosyanın saklanması veya silinmesi için süre belirleyin ve hastaya bildirin.
5. Yurt dışındaki bir hekime iletilecekse, bu aktarımın md. 9 kapsamındaki koşullarını sağlayın ve hastayı bilgilendirin.

Çerez, analitik ve reklam etiketleri

Sağlık sayfalarına yerleştirilen reklam ve analitik etiketleri, ziyaretçinin hangi tedavi sayfasına baktığı gibi bilgiyi üçüncü taraf platformlara aktarabilir. Bu bilgi, bağlama göre sağlıkla ilişkili çıkarımlar içerebilir ve yurt dışı aktarım doğurabilir. Bu nedenle:

• Sitede hangi çerez ve etiketlerin çalıştığını envanter hâlinde çıkarın (reklam piksel’leri, analitik, canlı sohbet, harita, video, yazı tipi hizmetleri).
• Zorunlu olmayan çerezleri rıza almadan çalıştırmayın; çerez tercih yönetimi, reddetme seçeneğini kabul etmek kadar kolay sunmalıdır.
• Tedavi/hizmet sayfalarında ve formlarda, sağlık bilgisini ima eden olay verisini reklam platformlarına göndermekten kaçının. Mümkünse bu sayfalarda reklam piksellerini hiç kullanmayın ve sunucu tarafı izlemeyi bile hukuki değerlendirme olmadan kurmayın.
• Analitik hizmetlerinde IP adresi gizleme, veri saklama süresini kısaltma ve gereksiz veri toplamayı kapatma ayarlarını kullanın.
• Çerez ve izleme politikası, ilgili dil sürümlerinde de yayımlanmalı.

Reklam ölçümünü KVKK/GDPR uyumlu kurmak için bkz. Google Ads ve Meta reklamları rehberi.

Veri güvenliği, ihlal bildirimi ve saklama

Kanun md. 12, veri sorumlusuna verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişimi önlemek ve muhafazayı sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir; veri işleyenlerin de benzer sorumluluğu vardır. Pratikte:

• Erişim yönetimi: Rol bazlı yetki, en az yetki ilkesi, çok faktörlü kimlik doğrulama, erişim günlükleri.
• Şifreleme: Aktarım sırasında (HTTPS/TLS) ve depolamada.
• Yedekleme ve güncelleme: Düzenli yedek, yama yönetimi, eski yazılımların kaldırılması.
• Personel eğitimi ve gizlilik taahhüdü: Veri sorumluları ve veri işleyenlerin öğrendikleri kişisel verileri Kanuna aykırı açıklayamayacağı hükmü, görevden ayrılmadan sonra da sürer (md. 12/4).
• İhlal bildirimi: İşlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir (md. 12/5). Kurulun bu konudaki karar ve rehberlerinde ayrıntılı süre ve içerik bilgisi bulunur; bir ihlal planı hazırlayın: kim fark eder, kim karar verir, kim bildirir? GDPR kapsamındaki ihlallerde de benzer, kısa süreli bildirim yükümlülükleri bulunduğunu unutmayın.
• Saklama ve imha: Sağlık kayıtları için sağlık mevzuatı saklama süreleri öngörebilir. Saklama ve imha politikanızı hem KVKK hem sağlık mevzuatına göre belirleyin.

Veri sorumluları sicili (VERBİS) kayıt yükümlülüğü, kuruluşun çalışan sayısı ve mali durumuna göre değişir; yükümlülüğünüzü Kurum duyurularından ve hukuk danışmanınızdan teyit edin.

İlgili kişi hakları ve başvurular

Md. 11, herkesin veri sorumlusuna başvurarak kendi verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını öğrenme, yurt içi/yurt dışı aktarılan üçüncü kişileri bilme, düzeltme, silme/yok etme isteme ve zarar giderimi talep etme gibi haklarını sayar. Md. 13/2’ye göre veri sorumlusu başvurudaki talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Sağlık turizmi kuruluşları için pratik sonuçlar:

• Başvuru kanalını (e-posta, form, KEP) aydınlatma metninde ve sitede görünür kılın; yabancı hastanın da kolayca kullanabileceği bir yol sağlayın.
• Başvuruları kaydedin, kimlik doğrulamasını yapın, süreyi izleyin ve yanıtı belgeleyin.
• Silme taleplerinde, sağlık mevzuatındaki saklama yükümlülüklerini ve bu yükümlülüğün hastaya nasıl açıklanacağını önceden belirleyin.
• Yurt dışındaki hastaların kendi ülkelerinin mevzuatından doğan ek haklarını da (örneğin GDPR kapsamında) değerlendirmeye hazır olun.

Pazarlama iletileri ve hasta hikâyeleri

• Ticari ileti: Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik md. 5/1-k, rıza olmadan telefon, SMS, e-posta veya sosyal paylaşım araçlarıyla tanıtım yapılmasını yasaklar. Bülten ve toplu mesaj listelerini açık rızaya dayandırın ve çıkış (vazgeçme) yolunu kolaylaştırın.
• Hasta hikâyesi, fotoğraf ve video: Hasta teşekkür ve memnuniyet ifadeleri ile görsel paylaşımları ayrıca mevzuata tabidir; bunları yayımlamadan önce hem tanıtım mevzuatını hem rıza ve KVKK koşullarını birlikte değerlendirin. Rıza vermiş olmak, yasak olan içeriği yayımlamayı meşru kılmaz.
• Acente ve tesis ayrımı: Acentenin hasta hikâyesi yayımlama konusundaki sınırları farklıdır; ayrıntı için acente rehberimize bakın.

Sık yapılan hatalar

• İlk formdan tanı, rapor ve fotoğraf istemek.
• Tüm işlemleri tek bir genel rıza metnine bağlamak ve önceden işaretli onay kutusu kullanmak.
• Yurt dışı aktarımı hiç değerlendirmeden yurt dışı sunuculu araçlar kullanmak.
• Düzenli aktarımları “arızi hâl” gerekçesiyle yürütmek.
• Standart sözleşme imzalayıp Kuruma bildirimi unutmak.
• Personelin kişisel mesajlaşma hesaplarıyla hasta yazışması yapması.
• Sağlık sayfalarında kontrolsüz reklam ve analitik etiketleri çalıştırmak.
• Rol belirsizliği: acente, tesis ve teknoloji sağlayıcıları arasında sorumlulukları yazılı netleştirmemek.
• İhlal planı olmaması; ihlalin kim tarafından, nasıl bildirileceğinin bilinmemesi.
• Aydınlatma metninin yalnızca Türkçe olması ve hastanın anlamadığı dilde rıza alınması.

60 günlük uygulama planı

Kontrol listesi

• ☐ Veri akışı haritası çıkarıldı (kim, hangi veriyi, nereye gönderiyor).
• ☐ Roller yazılı belirlendi ve sözleşmelere işlendi.
• ☐ Her işleme faaliyeti için md. 6 hukuki dayanağı belirlendi.
• ☐ Aydınlatma metni her dilde mevcut ve formlardan erişilebilir.
• ☐ Açık rıza ayrı, belgelenebilir ve geri alınabilir.
• ☐ Yurt dışı aktarımlar için yeterlilik kararı, uygun güvence veya arızi hal değerlendirildi.
• ☐ Standart sözleşme imzalandıysa beş iş günü içinde Kuruma bildirildi.
• ☐ Formlar minimum veri topluyor; sağlık verisi uyarısı var.
• ☐ Mesajlaşma için kurumsal hesap ve yazışma politikası var.
• ☐ Tıbbi rapor paylaşımı güvenli ve kayıtlı bir kanaldan yapılıyor.
• ☐ Çerez ve reklam etiketleri envanterlendi, rıza öncesi çalışmıyor.
• ☐ İhlal planı ve ilgili kişi başvuru süreci hazır.
• ☐ Saklama ve imha politikası sağlık mevzuatıyla uyumlu.
• ☐ AB/diğer ülke mevzuatı (örn. GDPR) için uzman görüşü alındı.

Sağlık turizmi sitenizin form, çerez ve izleme altyapısını veri koruma açısından birlikte gözden geçirmek isterseniz bizimle iletişime geçin. Hukuki değerlendirme için mutlaka bir veri koruma hukukçusuyla çalışın.

Sık sorulan sorular