Sağlık Verisi Reklam ve Tanıtımda Kullanılabilir mi? KVKK 2023/787
Kısa ve net cevap: Sağlık hizmetinin sunulması sırasında hukuka uygun biçimde elde edilen sağlık verisi, sırf sağlık kuruluşunun elinde bulunduğu için reklam ve tanıtım amacıyla serbestçe kullanılamaz. Kişisel Verileri Koruma Kurulunun 2023/787 sayılı kararında sağlık hizmeti kapsamında elde edilen kişisel verilerin tanıtım/reklam amaçlı kullanımı, 6698 sayılı Kanun’un amaçla sınırlılık ilkesi ile sağlık verilerine ilişkin özel hükümleri çerçevesinde ele alınmıştır. Tedavi, teşhis, hasta takibi, faturalama veya mevzuat yükümlülüğü için gerekli olan veri işleme faaliyeti ile pazarlama, kampanya veya ticari tanıtım amacı farklıdır. Veri sorumlusu her yeni amaç için Kanun m.4, m.5 ve sağlık verisi söz konusuysa m.6 kapsamında ayrı hukuki dayanak göstermeli; aydınlatma yükümlülüğünü m.10’a uygun yerine getirmeli ve gerektiğinde 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun’daki ticari ileti kurallarını da ayrıca uygulamalıdır.
KVKK 2023/787 Kararının Hukuki Önemi
Sağlık kuruluşlarının veri işleme faaliyetleri, hizmetin doğası gereği çok sayıda kişisel veri kategorisini aynı anda içerir. Hasta kabul sırasında kimlik ve iletişim bilgileri, muayene ve tetkik süreçlerinde sağlık verileri, ödeme aşamasında finansal bilgiler işlenebilir. Bu verilerin önemli bir bölümü sağlık hizmetinin verilebilmesi veya mevzuattan doğan yükümlülüklerin yerine getirilebilmesi için zorunludur.
Ancak sağlık kuruluşunun aynı kişiye daha sonra check-up kampanyası, estetik uygulama, farklı branş tanıtımı veya ticari içerik göndermek istemesi yeni bir işleme amacıdır. Sağlık hizmeti için mevcut olan hukuki sebep, reklam ve tanıtım amacına otomatik olarak taşınamaz.
2023/787 sayılı Kurul kararı bu amaç değişikliği sorununu sağlık verilerinin hassasiyeti üzerinden değerlendiren önemli örneklerden biridir. Kararın pratik sonucu, sağlık kuruluşlarının “hasta zaten bizim sistemimizde” yaklaşımıyla ticari pazarlama yapamayacağı; CRM ve kampanya sistemlerinde tedavi amaçlı veri ile tanıtım amaçlı veri işleme faaliyetlerini açık biçimde ayırması gerektiğidir.
Bu ayrım yalnız özel hastaneler bakımından değil; tıp merkezleri, diş klinikleri, estetik merkezleri, laboratuvarlar, görüntüleme merkezleri ve diğer sağlık hizmeti sağlayıcıları bakımından da önem taşır.
Sağlık Verisi Nedir?
6698 sayılı Kanun m.6 uyarınca sağlık verileri özel nitelikli kişisel veridir. Kişinin hastalığı, teşhisi, kullandığı ilaç, tetkik sonucu, ameliyat bilgisi, gebelik durumu, engellilik bilgisi, laboratuvar sonucu veya belirli bir sağlık hizmetini aldığına ilişkin bilgi bu kapsamda olabilir.
Bazen sağlık verisi tek başına “teşhis” şeklinde görünmez. Bir kişinin belirli onkoloji merkezi, tüp bebek kliniği, psikiyatri birimi veya belirli tedavi branşıyla ilişkilendirilmesi dahi bağlama göre sağlık durumu hakkında çıkarım yapılmasına yol açabilir.
Bu nedenle reklam hedeflemesi için “hangi hastanın hangi branşta hizmet aldığı” bilgisinin kullanılması sıradan müşteri segmentasyonundan farklıdır. Veri sorumlusu hem m.6’daki işleme şartlarını hem m.4’teki temel ilkeleri hem de m.12’deki güvenlik yükümlülüğünü birlikte uygulamalıdır.
Sağlık verisinin özel nitelikli olması, her işlemde mutlaka açık rıza alınacağı anlamına gelmez. Ancak hangi hukuki sebebin uygulandığı somut işlem bazında belirlenmelidir. Zorunlu tedavi süreci ile isteğe bağlı pazarlama faaliyeti aynı hukuki sebep altında birleştirilemez.
Tedavi Amacı ile Reklam Amacı Neden Ayrıdır?
Bir sağlık kuruluşu hastanın muayene, teşhis, tedavi, tetkik, reçete veya ödeme sürecinde belirli verileri işleyebilir. Bu işlemler sağlık hizmetinin sunulmasıyla doğrudan bağlantılıdır. Kişinin randevu günü ve saati hakkında bilgilendirilmesi de hizmetin yürütülmesi kapsamında değerlendirilebilir.
Buna karşılık “size özel estetik paketi”, “check-up indirimi”, “yeni şubemizde kampanya” veya “diş beyazlatma fırsatı” gibi içerikler hizmetin zorunlu parçası değildir. Bunlar ticari tanıtım amacı taşır ve farklı veri işleme faaliyeti oluşturur.
Veri sorumlusu, tedavi amacıyla elde ettiği telefon numarasını reklam listesine aktaracaksa bu aktarımın hukuki sebebini ayrıca belirlemelidir. Aynı şekilde bir hastalık veya tedavi geçmişini kullanarak yalnız belirli hasta grubuna reklam göstermek, sağlık verisi üzerinden profil çıkarma niteliği taşıyabilir.
Sağlık hizmetinin ifası amacıyla hukuka uygun olan veri işleme, yeni amaç için otomatik yetki vermez. Bu, KVKK’nın amaçla bağlılık sisteminin temel sonucudur.
KVKK m.4 Amaçla Sınırlılık ve Ölçülülük İlkesi
6698 sayılı Kanun m.4/2-c kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesini; m.4/2-ç ise işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını zorunlu kılar.
Sağlık kuruluşu hasta kaydı oluştururken işleme amacını “sağlık hizmetinin sunulması” olarak belirlemişse, bu veri setini daha sonra sınırsız ticari amaçlarla kullanamaz. Yeni amaç, ilk amaçla uyumlu ve hukuken dayanaklı olmalıdır.
Ölçülülük de özellikle sağlık reklamlarında önemlidir. Tanıtım SMS’i göndermek için kişinin ayrıntılı teşhis geçmişine ihtiyaç yoksa bu veri pazarlama sistemine aktarılmamalıdır. Kampanya için yalnız iletişim bilgisi yeterliyse sağlık geçmişi CRM hedefleme değişkeni hâline getirilmemelidir.
Ayrıca veri işleme süresi de amaçla sınırlı olmalıdır. Pazarlama izni geri çekilen kişinin iletişim verisi yasal saklama gerektiren hasta dosyasında bulunmaya devam edebilir; fakat pazarlama listesinde aktif tutulmamalıdır.
KVKK m.6 Sağlık Verilerinde Hangi Hukuki Sebepleri Düzenler?
6698 sayılı Kanun m.6 özel nitelikli kişisel verilerin işlenme şartlarını düzenler. 2024 yılında yapılan kanun değişiklikleriyle m.6 yeniden düzenlenmiştir. 2026 itibarıyla veri sorumluları güncel madde metnine göre hukuki sebep analizi yapmalıdır.
Sağlık verisi işleme açık rızaya dayanabileceği gibi, kanunda öngörülen diğer şartların bulunması hâlinde açık rıza aranmaksızın da mümkün olabilir. Sağlık hizmetinin sunulması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi faaliyetlerin hukuki dayanağı somut kurum ve işlem bazında değerlendirilmelidir.
Ancak reklam ve pazarlama faaliyeti tedavi hizmetinin zorunlu parçası değildir. Bu nedenle sağlık verisinin reklam hedeflemesinde kullanılabilmesi için tedavide kullanılan hukuki sebebin otomatik olarak devam ettiği kabul edilemez.
Veri sorumlusu, reklam amacı için açık rızaya dayanıyorsa rızanın m.3’teki şartları taşıması gerekir: belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyan olmalıdır.
Reklam İçin Açık Rıza Ne Zaman ve Nasıl Alınır?
Sağlık kuruluşu gerçekten açık rızaya dayanan isteğe bağlı bir pazarlama faaliyeti yürütüyorsa, rıza tedavinin koşulu haline getirilemez. Hasta “kampanya mesajı almak istemiyorum” dediğinde muayene, tetkik veya tedavi hizmetine erişimi engellenmemelidir.
Rıza genel olmamalıdır. “Tüm verilerimin her türlü reklam için kullanılmasını kabul ediyorum” gibi sınırsız ifadeler yerine, hangi veri kategorisinin hangi amaçla kullanılacağı açıklanmalıdır.
Sağlık geçmişi üzerinden reklam segmentasyonu yapılacaksa bu durum ayrıca açıkça belirtilmelidir. Kişinin yalnız iletişim mesajı almayı kabul etmesi, sağlık verisinin profil oluşturma amacıyla analiz edilmesini otomatik olarak kapsamaz.
Açık rıza geri çekilebilir. Geri çekme sonrası rızaya dayanan gelecekteki işleme faaliyetleri durdurulmalı; ret bilgisi kampanya sistemi ve dış hizmet sağlayıcılara gecikmeden yansıtılmalıdır.
6563 Sayılı Kanun ve Ticari Elektronik İleti Kuralları
Reklam SMS’i, e-posta veya telefon araması yalnız KVKK bakımından değil, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik bakımından da değerlendirilir.
KVKK’daki veri işleme şartı ile 6563’teki ticari ileti onayı aynı hukuki kurum değildir. Bir işletmenin KVKK bakımından telefon numarasını işlemesi için hukuki sebebi bulunması, reklam SMS’i gönderme bakımından 6563 yükümlülüklerini kendiliğinden ortadan kaldırmaz.
Benzer şekilde İleti Yönetim Sistemi’nde ticari ileti onayı bulunması, sağlık verisinin reklam hedeflemesinde KVKK m.6’ya uygun olarak kullanılabileceği anlamına gelmez. Her iki mevzuat katmanı ayrı ayrı kontrol edilmelidir.
Ticari ileti kuralları hakkında izinsiz SMS ve e-posta rehberimizi inceleyebilirsiniz.
Hasta Fotoğrafları ve “Öncesi-Sonrası” Reklamları
Estetik, dermatoloji, diş ve saç ekimi gibi alanlarda “öncesi-sonrası” görselleri tanıtım amacıyla kullanılabilir. Bu görseller kimliği belirlenebilir kişiye ait olduğunda kişisel veri; tedavi ve sağlık durumu hakkında bilgi verdiğinde özel nitelikli kişisel veri niteliği taşıyabilir.
Tıbbi dosya için çekilen fotoğraf ile Instagram veya web reklamında kullanılacak fotoğrafın amacı aynı değildir. Tıbbi kayıt amacıyla hukuka uygun biçimde elde edilen görsel, ayrıca hukuki dayanak bulunmadan reklama aktarılamaz.
Reklam kullanımına ilişkin açık rıza alınacaksa hangi mecra, kullanım süresi, yüzün görünürlüğü, isim kullanımı ve üçüncü taraf reklam platformlarına aktarım gibi hususlar belirli olmalıdır.
Kişinin tedavisi, reklam fotoğrafı paylaşımına rıza vermesine bağlanmamalıdır. Rıza geri çekildiğinde gelecekteki yayınların durdurulması ve kontrol edilebilen mecralardaki içeriklerin kaldırılması değerlendirilmelidir.
Hasta Verisiyle Reklam Segmentasyonu Neden Yüksek Risklidir?
Bir CRM sisteminde hastalar “diyabet”, “kanser”, “tüp bebek”, “psikiyatri”, “estetik” gibi sağlık durumunu veya alınan hizmeti gösteren etiketlerle pazarlama amacıyla gruplandırılıyorsa, özel nitelikli kişisel veri işleme ve profil çıkarma riski ortaya çıkar.
Sağlık verisi yalnız kampanya dönüşümünü artırmak amacıyla kullanılmamalıdır. Veri sorumlusu gerçekten böyle bir işleme yürütüyorsa m.6’daki hukuki sebebi, m.4’teki ölçülülüğü ve m.12’deki güvenlik tedbirlerini somut olarak gösterebilmelidir.
Reklam platformlarına “özel hedef kitle” oluşturmak için hasta e-posta veya telefon listesinin yüklenmesi de veri aktarımı ve profil oluşturma yönünden ayrıca incelenmelidir. Platformun yurt dışında bulunması hâlinde yurt dışı aktarım hükümleri de gündeme gelir.
Sağlık kuruluşları veri koruma etki değerlendirmesine benzer risk analizi yapmalı; yüksek riskli pazarlama senaryolarında veri koruma sorumlusu veya hukuk biriminin ön onayını aramalıdır.
Rıza Geri Çekilirse Hasta Dosyası da Silinir mi?
Hayır, otomatik olarak silinmez. Rıza geri çekme yalnız rızaya dayanan işlem faaliyetini geleceğe etkili olarak durdurur. Sağlık dosyasının kanuni saklama yükümlülüğü veya başka hukuki sebebi varsa ilgili kayıtlar gerekli süre boyunca saklanabilir.
Örneğin hasta reklam mesajı almayı reddettiğinde telefon numarası hasta dosyasında randevu ve sağlık hizmeti amacıyla tutulmaya devam edebilir; fakat reklam listesinde kullanılmamalıdır.
Bu nedenle veri sorumlusunun tek bir “rıza var/yok” alanı yerine amaç bazlı izin yönetimi kurması gerekir. Tedavi, randevu, pazarlama, araştırma ve görsel kullanım gibi amaçlar ayrı kayıtlarla yönetilmelidir.
Sağlık hizmetinin açık rıza şartına bağlanması konusunda KVKK 2023/692 kararına ilişkin yazımızı inceleyebilirsiniz.
Sağlık Kuruluşları İçin Uyum Modeli
Birinci adım: Tedavi için zorunlu veri işleme ile reklam/tanıtım işleme faaliyetlerini sistemsel olarak ayırın.
İkinci adım: Her veri kategorisi ve amaç için güncel m.5/m.6 hukuki sebebini belirleyin. “Hasta rızası” ifadesini genel varsayılan gerekçe olarak kullanmayın.
Üçüncü adım: Pazarlama CRM’ine gereksiz sağlık verisi aktarmayın. İletişim mesajı için sağlık geçmişi gerekmiyorsa bu alanları pazarlama ekibine açmayın.
Dördüncü adım: 6563/İYS tercihlerinin KVKK hukuki sebebinden ayrı yönetildiğini teknik olarak doğrulayın.
Beşinci adım: Fotoğraf ve video kullanımında tıbbi kayıt ile reklam kullanımını ayırın; isteğe bağlı reklam rızasını tedavi şartı yapmayın.
Altıncı adım: Rıza geri çekme ve ticari ileti ret kayıtlarını bütün pazarlama kanallarına senkronize edin.
Yedinci adım: Sağlık verisi işleyen reklam/analitik tedarikçilerini m.12, aktarım ve yurt dışı veri aktarımı bakımından denetleyin.
Sık Yapılan Hatalar
- “Hasta zaten bizde kayıtlı” diyerek reklam yapmak: İlk hukuki sebep yeni pazarlama amacını otomatik kapsamaz.
- Sağlık verisini sıradan müşteri segmenti gibi kullanmak: M.6 ve yüksek güvenlik gereklilikleri uygulanır.
- Tedavi için alınan fotoğrafı reklama taşımak: Amaç değiştiği için ayrı hukuki dayanak gerekir.
- İYS onayını sağlık verisi rızası saymak: 6563 onayı ve KVKK işleme şartları farklıdır.
- Rıza vermeyen hastaya hizmet vermemek: İsteğe bağlı reklam işlemi temel sağlık hizmetinin şartı yapılamaz.
- Ret sonrası veriyi kampanya segmentinde tutmaya devam etmek: Pazarlama sistemleri geri çekmeyi etkili biçimde uygulamalıdır.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurumu – Kurul kararları
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.3, m.4, m.5, m.6, m.10 ve m.12
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
Sık Sorulan Sorular
1. Hastanın telefon numarası reklam için kullanılabilir mi?
Sağlık hizmeti için elde edilmiş telefon numarasının reklam amacıyla kullanımı ayrı hukuki değerlendirme gerektirir; ilk hizmet amacı otomatik yetki vermez.
2. Sağlık verisi reklam hedeflemesinde kullanılabilir mi?
Sağlık verisi m.6 kapsamındadır. Pazarlama amacı için uygun hukuki sebep, amaçla sınırlılık ve güvenlik şartları ayrıca sağlanmalıdır.
3. İYS onayı varsa KVKK açık rızası da var mıdır?
Hayır. Ticari ileti onayı ile kişisel veri işleme şartı farklı hukuki kurumlardır.
4. Hasta reklam rızası vermezse tedavi reddedilebilir mi?
Hayır. Tedavi için zorunlu olmayan pazarlama faaliyeti hizmetin ön koşulu yapılamaz.
5. Tedavi fotoğrafı sosyal medyada paylaşılabilir mi?
Tıbbi kayıt amacı sosyal medya reklamını otomatik olarak kapsamaz; reklam kullanımı için ayrıca hukuki dayanak gerekir.
6. Sağlık kuruluşu geçmiş tedaviye göre kampanya gönderebilir mi?
Bu işlem sağlık verisiyle segmentasyon doğurabilir ve m.6 kapsamında ayrıca değerlendirilmelidir.
7. Açık rıza geri çekilebilir mi?
Evet. Rızaya dayanan gelecekteki işleme faaliyetleri durdurulmalıdır.
8. Rıza geri çekilince hasta dosyası silinir mi?
Başka hukuki sebep veya saklama yükümlülüğü varsa dosyanın saklanması devam edebilir; pazarlama kullanımı ise durdurulmalıdır.
9. Aydınlatma ile reklam rızası aynı formda olabilir mi?
Hukuki işlevleri ayrı olduğu için birbirinden açıkça ayrılmalı; kişinin hangi belgeyle yalnız bilgilendirildiği, hangisinde rıza verdiği anlaşılmalıdır.
10. Sağlık verisi yurt dışındaki reklam platformuna yüklenebilir mi?
Bu durumda m.6’daki işleme şartlarının yanında yurt dışı aktarım hükümleri ve platformun rolü ayrıca değerlendirilmelidir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
