Kişisel Sağlık Verileri Hakkında Yönetmelik: Güncel Hâli ve Klinikler İçin KVKK Rehberi

Kişisel Sağlık Verileri Hakkında Yönetmelik, sağlık verilerine kimin, ne kadar süreyle erişebileceğini ve bu verilerin nasıl saklanacağını, düzeltileceğini ve aktarılacağını düzenleyen Sağlık Bakanlığı yönetmeliğidir. 21 Haziran 2019’da yürürlüğe girdi, 3 Aralık 2025 ve 4 Temmuz 2026’da değişti. Yönetmelikte hüküm bulunmayan her konuda KVKK uygulanır.

Yönetmeliğin künyesi ve kapsamı

Yönetmelik, kişisel sağlık verisi işleyen özel hukuk gerçek ve tüzel kişileri ile kamu tüzel kişilerinin, Sağlık Bakanlığınca yürütülen süreç ve uygulamalara ilişkin faaliyetlerini kapsar (md. 2/1). Web formu, reklam hesabı ya da mesajlaşma hattı için ayrı hüküm yoktur; bu konularda KVKK uygulanır (md. 22).

Kişisel sağlık verisi nedir?

Kişisel sağlık verisi, kimliği belirli ya da belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgilerdir (md. 4/1-j). KVKK da sağlık verisini özel nitelikli kişisel veri sayar (md. 6/1). Kişisel Verileri Koruma Kurumu’nun özel nitelikli veri rehberine göre randevu alınan hastane, klinik ya da birim bilgisi de sağlık verisidir; rehberdeki örnek bir psikiyatri polikliniği randevusudur. Yani ad ve telefon tek başına sağlık verisi değildir, ama aynı kayıt bir branş randevusuyla birleşince sağlık verisi işlenmiş olur.

Yönetmelik güncel hâliyle ne düzenliyor?

Kliniği ilgilendiren başlıca hükümler:

2025 ve 2026 değişiklikleri: ne değişti?

13/A maddesiyle kişi, eski bir tanının güncel durumuna göre yeniden değerlendirilmesini isteyebilir: tek hekim tanısına üç hekimli, kurul tanısına tam teşekküllü sağlık kurulu bakar. Tanının artık bulunmadığını gösteren rapor varsa işlemler buna göre yapılır; ilgili mevzuat saklı kalmak kaydıyla işe giriş başta olmak üzere süreçlerde geçmiş tanılar esas alınamaz.

KVKK’da sağlık verisi hangi şartla işlenir?

7499 sayılı Kanun KVKK’nın 6. maddesini yeniden yazdı; değişiklik 1 Haziran 2024’te yürürlüğe girdi. Güncel md. 6/3’e göre özel nitelikli veri işlemek yasaktır; açık rıza, kanunda açıkça öngörülme, fiili imkânsızlıkta hayatın ya da beden bütünlüğünün korunması, alenileştirme, hakkın tesisi ve korunması, istihdam yükümlülükleri, kâr amacı gütmeyen kuruluş üyeliği ve teşhis-tedavi gerekliliği hâllerinde mümkündür.

Kliniğin gündelik işi (e) bendine dayanır: sır saklama yükümlüsü kişi ya da yetkili kurumlarca tıbbi teşhis, tedavi, bakım ve sağlık hizmetlerinin yönetimi için gereklilik. Kurum’un rehberine göre “yetkili kurum ve kuruluşlar” ifadesi sağlık hizmeti sunan gerçek kişileri ve özel hukuk tüzel kişilerini de kapsar. Pazarlama ve reklam ise bentteki amaçlar arasında yer almaz. Bu yüzden hasta verisini kampanya iletisi ya da reklam kitlesi için kullanmak pratikte açık rızaya dayanır; somut kurguyu bir KVKK hukukçusuyla teyit edin.

Ayrıca Kişisel Verileri Koruma Kurulu’nun belirlediği yeterli önlemler şarttır (md. 6/4). Kurul’un 2018/10 sayılı kararı; ayrı politika, düzenli eğitim, gizlilik sözleşmesi, periyodik yetki kontrolü, kriptografik saklama, işlem loglaması ve uzaktan erişimde iki kademeli kimlik doğrulama ister.

Kliniklerin form, analitik ve pazarlama süreçlerine etkisi

Web formu ve randevu talebi

Randevu formu, hangi branşa başvurulduğunu topladığı anda sağlık verisi işler. KVKK verinin amaçla bağlantılı, sınırlı ve ölçülü olmasını ister (md. 4/2): formda yalnız geri dönüş için gereken alanları tutun, gerekmiyorsa “şikâyetinizi anlatın” gibi serbest metin alanını kaldırın. İşleme açık rızaya dayanıyorsa Aydınlatma Tebliği aydınlatma ile açık rızanın ayrı ayrı yerine getirilmesini ister (md. 5). Metnin unsurlarını klinikler için KVKK aydınlatma metni rehberimizde anlattık.

WhatsApp, e-posta ve yurt dışı araçlar

Sunucusu yurt dışında olan bir mesajlaşma, e-posta ya da CRM aracı kullanıyorsanız KVKK md. 9 devreye girer: yeterlilik kararı ya da Kurul’un ilan ettiği standart sözleşme gibi uygun bir güvence gerekir ve standart sözleşme imzadan itibaren 5 iş günü içinde Kurum’a bildirilir. Bunlar yoksa açık rızaya yalnız arızi, yani düzenli olmayan ve olağan faaliyet akışında bulunmayan aktarımda dayanılabilir; her gün hasta yazışılan bir hat bu tanıma uymaz. Hattın ayarlarını WhatsApp Business’ı KVKK’ya uygun kurma rehberinde ele aldık; e-postada Kurul şifreli kurumsal e-posta ya da KEP ister. Hasta yakınına bilgi verirken Hasta Hakları Yönetmeliği hükümlerine uyulur (md. 9/1); bu kuralları Hasta Hakları Yönetmeliği’ndeki mahremiyet hükümleri yazısında topladık.

Analitik, çerez ve etiketler

KVKK’nın Temmuz 2025 tarihli Çerez Rehberi’ne göre yalnız hedef kitle ölçümü yapan birinci taraf analitik çerezler, açık rıza dışındaki bir şarta dayanabilir. Bunun için anonim istatistik, çapraz site takibi yapmama, IP maskeleme ve üçüncü tarafa veri iletmeme gibi tedbirler gerekir. Davranışsal reklam çerezleri ise açık rıza ister ve siteye girmek rıza sayılmaz. Google da Analytics’e e-posta, telefon gibi kişiyi tanımlayabilecek bilgi gönderilmesini yasaklar; sızıntı en sık URL, URL parametreleri ve sayfa başlıklarında olur. Kurulum ayrıntısını klinikler için GA4 kurulum ve okuma rehberinde anlattık.

Etiketleri Google Tag Manager’da rıza durumuna bağlamak denetimi kolaylaştırır. Ölçüm altyapınızı kurmak ya da gözden geçirmek isterseniz raporlama ve analitik hizmetimizde etiket planını çerez onayına bağlı olarak hazırlıyoruz.

Reklam kitleleri

Google, “Sağlık”ı hassas ilgi alanı kategorileri arasında sayar. Bu kategoride tanıtım yapan reklamverenler Müşteri Eşleştirme ve “verilerinize göre segmentler” gibi reklamveren tarafından seçilmiş kitleleri kullanamaz; önceden tanımlanmış Google kitleleri ise kullanılabilir. KVKK’ya göre de kişisel veri kural olarak açık rıza olmadan aktarılamaz (md. 8/1); bu yüzden hasta listesini bir reklam platformuna yüklemek pratikte açık rızaya bağlıdır. Alternatif kurguyu sağlıkta mevzuata uygun Google Ads kurulumu yazısında anlattık.

Hasta görselleri ve yorumlar

Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik, tanıtımın KVKK’ya ve Kişisel Sağlık Verileri Hakkında Yönetmelik’e uygun yürütülmesini şart koşar (md. 6/2). Hasta görseli için (md. 7/1):

• Hastanın açık rızası gerekir; Ek-1 Görsel İçerik Kaydetme ve İşleme Onam Formu ile yazılı ya da elektronik alınabilir.
• Hasta görseli önceden görebilir ve iznini her zaman, şartsız geri çekebilir.
• İzin karşılığında ödeme, indirim ya da hediye verilemez.
• Müdahale ya da ameliyat sırasındaki görüntü paylaşılamaz.

Kurul’un 2022/630 sayılı kararında, estetik ameliyatta çekilen burun fotoğrafları hastanede çalışan doktorun sosyal medya hesabında reklam amacıyla paylaşılmıştı. Gözler kapalıydı ama kaş ve bıyık göründüğü için kişi belirlenebilir sayıldı; rıza doktora değil hastaneye verilmişti. Yeterli tedbiri almayan hastaneye 100.000 TL idari para cezası verildi. Tanıtım kurallarının tamamı için Sağlıkta Tanıtım ve Bilgilendirme Yönetmeliği rehberimize bakabilirsiniz.

Veri ihlali, hasta başvurusu ve VERBİS

Veri ihlali en kısa sürede ilgilisine ve Kurul’a bildirilir (KVKK md. 12/5); Kurul, kendisine bildirim için bu süreyi 72 saat olarak yorumladı; etkilenen kişilere de makul en kısa sürede bildirim yapılır. Hastanın başvurusu en geç 30 gün içinde ücretsiz sonuçlandırılır (md. 13); Kurum’un 1 Ekim 2026 duyurusuna göre yalnız telefonla ya da sözlü verilen cevap, cevap sayılmaz ve nihai cevap yazılı ya da elektronik bildirilir. VERBİS kaydındaki istisna ise yıllık çalışanı 50’den ve mali bilançosu 100 milyon TL’den az olanlardan yalnız ana faaliyet konusu özel nitelikli veri işleme olmayanlara tanınır. Sağlık hizmeti veren çoğu klinik bu istisnadan yararlanamaz; durumunuzu hukukçunuzla teyit edin.

Yaptırımlar

Yönetmelik suç ve kabahatlerde KVKK md. 17 ve 18’e göre işlem yapılacağını söyler (md. 21). KVKK md. 18’deki idari para cezası aralıkları:

İdari para cezaları her takvim yılı başında yeniden değerleme oranında artırılarak uygulanır (Kabahatler Kanunu md. 17/7). Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir; metinlerinizi ve süreçlerinizi KVKK alanında çalışan bir hukukçuya onaylatın.