Sağlık Hizmeti Açık Rıza Şartına Bağlanabilir mi? KVKK 2023/692
Kısa ve net cevap: Sağlık hizmetinin sunulması için zorunlu olmayan kişisel veri işleme faaliyetlerine açık rıza verilmesi, sağlık hizmetinden yararlanmanın ön şartı hâline getirilemez. Kişisel Verileri Koruma Kurulunun 27 Nisan 2023 tarihli ve 2023/692 sayılı kararında, sağlık hizmetinden yararlanmak isteyen ilgili kişiye sunulan kişisel veri metinleri ve açık rıza mekanizması; 6698 sayılı Kanun m.3’teki açık rıza tanımı, m.4’teki temel ilkeler, m.5-m.6’daki işleme şartları ve m.10’daki aydınlatma yükümlülüğü çerçevesinde incelendi. Kurul, hizmetin verilmesi için zaten kanundan veya sağlık hizmeti ilişkisinden doğan zorunlu veri işlemenin açık rızaya dayandırılamayacağını; gerçekten isteğe bağlı faaliyetler için alınacak açık rızanın ise özgür iradeye dayanması ve hizmete erişimin rıza verilmemesine bağlanmaması gerektiğini vurguladı. Karar, sağlık kuruluşlarında “tek kutu ile her şeye rıza” modelinin hukuken güvenli olmadığını ve aydınlatma, açık rıza, sözleşme/hizmet ilişkisi ile tıbbi zorunlulukların birbirinden ayrılması gerektiğini gösterir.
KVKK 2023/692 Kararındaki Uyuşmazlık Nedir?
Karara konu olayda sağlık hizmeti almak isteyen ilgili kişinin kişisel verilerinin işlenmesine ilişkin bilgilendirme ve açık rıza süreçleri uyuşmazlık konusu oldu. İlgili kişi, hizmetten yararlanabilmek için kendisine geniş kapsamlı kişisel veri işleme ve paylaşım metinleri sunulduğunu; hangi veri işlemenin sağlık hizmeti için zorunlu, hangisinin isteğe bağlı olduğunun açıkça ayrılmadığını ileri sürdü.
Sağlık kuruluşları hizmetin niteliği gereği kimlik, iletişim, randevu, muayene, tanı, tetkik, reçete ve ödeme bilgileri gibi çok sayıda kişisel veri işler. Bu verilerin bir kısmı tıbbi hizmetin verilebilmesi ve mevzuat yükümlülüklerinin yerine getirilebilmesi için zorunludur. Bir kısmı ise pazarlama, tanıtım, kampanya, sosyal medya paylaşımı veya farklı ticari amaçlar için isteğe bağlı olarak işlenebilir.
Kurulun değerlendirmesinde temel mesele, bu iki kategorinin aynı “açık rıza” metninde birleştirilmesinin kişiye gerçek seçim hakkı sağlayıp sağlamadığı oldu. Açık rızanın özgür iradeye dayanması, kişi rıza vermezse temel sağlık hizmetinden mahrum bırakılmaması ve hukuki sebep bulunan zorunlu işlemler için yapay biçimde rıza üretilmemesi gerektiği vurgulandı.
Karar, sağlık kurumlarında KVKK uyumunun yalnız imza almak olmadığını ortaya koyar. Doğru hukuki sebep seçilmeden alınan çok sayıda imza, sistemi hukuka uygun hâle getirmez.
Açık Rıza Hangi Unsurları Taşımalıdır?
6698 sayılı Kanun m.3’e göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Üç unsurun birlikte bulunması gerekir.
Belirli konu: “Tüm kişisel verilerimin her türlü amaçla işlenmesine izin veriyorum” gibi sınırsız ve soyut ifadeler belirli bir konuya ilişkin olma unsurunu zayıflatır. Kişi hangi veri kategorisinin hangi isteğe bağlı amaçla işleneceğini anlayabilmelidir.
Bilgilendirmeye dayanma: Kişi rıza vermeden önce işlemenin amacı, kapsamı, sonuçları ve varsa üçüncü taraf aktarımı hakkında yeterli bilgiye sahip olmalıdır. Bilgilendirme küçük puntolu ve anlaşılmaz metin içinde gizlenmemelidir.
Özgür irade: Kişi rıza vermediğinde makul olmayan bir hak kaybına uğruyorsa veya temel hizmet kendisinden esirgeniyorsa rızanın özgür iradeye dayandığı söylenemez. Özellikle sağlık hizmetinde taraflar arasındaki bilgi ve ihtiyaç dengesizliği bu unsuru daha hassas hâle getirir.
Sağlık Hizmeti Açık Rıza Verme Şartına Bağlanabilir mi?
Hizmet için gerçekten zorunlu olmayan veri işleme faaliyetlerine rıza, temel sağlık hizmetinin ön koşulu yapılamaz. Örneğin muayene olmak isteyen hastanın reklam SMS’i almayı veya fotoğrafının sosyal medyada kullanılmasını kabul etmemesi nedeniyle muayenesinin yapılmaması rızanın özgür iradesini sakatlar.
Buna karşılık tıbbi hizmetin verilebilmesi için gerekli kimlik ve sağlık verileri, uygun m.5 veya m.6 işleme şartına dayanıyorsa bu veriler işlenebilir. Veri sorumlusu bu faaliyeti “rıza verirseniz tedavi ederiz” şeklinde sunmamalıdır; gerçek hukuki sebebi aydınlatmada açıklamalıdır.
Hizmetin doğası gereği kişiden belirli bilgi alınması gerekebilir. Hekimin alerji, hastalık geçmişi veya kullanılan ilaçları sorması tedavinin güvenli yürütülmesiyle bağlantılıdır. Bu veriyi işlemek için hangi m.6 şartının uygulandığı somut sağlık hizmetine göre belirlenmelidir.
Hizmetten bağımsız pazarlama ve reklam faaliyeti ise ayrı değerlendirilir. Bu amaç için rıza gerekiyorsa “hayır” seçeneği gerçek ve hizmete erişimi etkilemeyen bir seçenek olmalıdır.
Sağlık Hizmetinde Zorunlu Veri İşleme Nasıl Belirlenir?
Sağlık kuruluşu önce süreç bazlı veri envanteri hazırlamalıdır. Hasta kabul, muayene, tetkik, reçete, faturalama, Sosyal Güvenlik Kurumu işlemleri, arşivleme, kalite, hasta hakları ve hukuki uyuşmazlık süreçleri ayrı işleme faaliyetleridir.
Her faaliyet için hangi veri kategorisinin gerçekten gerekli olduğu belirlenir. Örneğin kimlik doğrulama için T.C. kimlik numarası mevzuat gereği gerekli olabilir; ancak aynı işlem için sosyal medya kullanıcı adı gerekli değildir.
Daha sonra her faaliyet m.5 veya m.6’daki işleme şartıyla eşleştirilmelidir. Kanunda açıkça öngörülme, hukuki yükümlülük, sözleşmenin ifası, bir hakkın tesisi veya korunması gibi sebepler somut işlem bazında kullanılabilir.
Bu harita oluşturulduktan sonra gerçekten hukuki sebebi yalnız açık rıza olan isteğe bağlı faaliyetler ayrılır. Böylece hastaya gereksiz rıza belgesi imzalatmak yerine gerçek seçim alanı bırakılır.
KVKK m.6 Sağlık Verilerinin İşlenmesini Nasıl Düzenler?
Sağlık verileri özel nitelikli kişisel veridir. 6698 sayılı Kanun m.6, özel nitelikli kişisel verilerin işlenmesine ilişkin özel şartları düzenler. 2024 yılında yapılan değişikliklerle m.6’nın işleme şartları yeniden yapılandırılmıştır; 2026 itibarıyla sağlık kuruluşlarının güncel madde metni üzerinden hukuki sebep haritasını yenilemesi gerekir.
Açık rıza, m.6 bakımından olası işleme şartlarından biridir; ancak tek seçenek değildir. Kanunda açıkça öngörülme, fiili imkânsızlık, hukuki yükümlülük, alenileştirme, bir hakkın tesisi/kullanılması/korunması ve sağlık alanına özgü şartlar somut faaliyete göre uygulanabilir.
Veri sorumlusu, işleme şartını belirlerken “sağlık verisi hassastır, o halde her zaman rıza alalım” yaklaşımından kaçınmalıdır. Rızaya dayanmayan zorunlu işlem rıza metnine bağlanırsa kişi gerçekte sahip olmadığı bir ret hakkına sahipmiş gibi yanıltılabilir.
Özel nitelikli veri işlenirken ayrıca Kurulun öngördüğü yeterli önlemler ve m.12 güvenlik yükümlülükleri uygulanmalıdır. Hukuki sebep bulunması güvenlik tedbirini gereksiz hale getirmez.
Aydınlatma ile Açık Rıza Neden Ayrılmalıdır?
KVKK m.10’daki aydınlatma yükümlülüğü veri sorumlusunun kanuni görevidir. Kişiden onay beklenmez. Aydınlatma metni “okudum, kabul ediyorum” biçiminde bir sözleşmeye dönüştürülmemelidir.
Açık rıza ise kişiden belirli bir isteğe bağlı işleme faaliyeti için irade açıklaması alınmasıdır. Aydınlatma metniyle rıza beyanının aynı sayfada bulunması her durumda yasak değildir; ancak birbirinden açıkça ayrılmalı ve kişinin neyi okuduğu, neye rıza verdiği anlaşılmalıdır.
Örneğin hasta kabul formunda “KVKK aydınlatma metnini okudum ve tüm kişisel verilerimin işlenmesine rıza veriyorum” cümlesi iki farklı hukuki kurumu birbirine karıştırır. Aydınlatma kabul edilmez; yapılır. Rıza ise yalnız gerekli olduğu işlem için alınır.
Bu konuda aydınlatma metni ile açık rızanın ayrı sunulması rehberimizi inceleyebilirsiniz.
Sağlık Kuruluşunda Pazarlama Rızası Nasıl Alınmalıdır?
Muayene olan hastaya yeni kampanya, estetik paket, check-up indirimi veya farklı hizmetler için SMS/e-posta gönderilmesi tedavinin kendisinden ayrı pazarlama faaliyetidir. KVKK işleme şartları yanında 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ticari elektronik ileti kuralları da değerlendirilmelidir.
Pazarlama rızası hasta kabul masasında “imzalamazsanız işlem açamayız” şeklinde zorunlu tutulmamalıdır. Kişi rıza vermediğinde sağlık hizmeti aynı koşullarda devam etmelidir.
İzin kanalları ayrılabilir: SMS, e-posta veya telefon araması için tercihler kayıt altına alınabilir. Ret veya rıza geri çekme işlemi kolaylaştırılmalı ve pazarlama sistemlerine gecikmeden yansıtılmalıdır.
İzinsiz SMS ve arama konusunda KVKK 2026/1183 ve tekrarlı SMS yoğunluğu konusunda KVKK 2024/1350 kararları da karşılaştırmalı örneklerdir.
Hasta Fotoğrafı veya Videosu İçin Açık Rıza Nasıl Alınmalı?
Fotoğraf veya video, özellikle yüz ve tedavi sonucu içeriyorsa kişisel veri; sağlık durumunu ortaya koyuyorsa özel nitelikli kişisel veri niteliği taşıyabilir. Klinik tedavi dosyasında tıbbi zorunlulukla çekilen fotoğraf ile Instagram reklamında kullanılacak “öncesi-sonrası” görseli aynı hukuki amaç değildir.
Tıbbi kayıt için gerekli görüntü, uygun m.6 işleme şartına dayanabilir. Sosyal medya/reklam kullanımı ise ayrı ve isteğe bağlı işlem olarak değerlendirilmelidir. Hasta reklam kullanımına rıza vermediğinde tedaviden mahrum bırakılmamalıdır.
Rıza metninde hangi platformda, ne süreyle, yüzün görünüp görünmeyeceği ve üçüncü taraflarla paylaşım gibi unsurlar belirli olmalıdır. “Tüm mecralarda süresiz kullanım” gibi sınırsız rızalar belirlilik sorununa yol açabilir.
Rıza geri çekildiğinde daha önce hukuka uygun yapılan işlemler geçmişe dönük otomatik olarak hukuka aykırı hale gelmez; ancak gelecekteki işlem ve yayımlar bakımından geri çekmenin etkisi değerlendirilmelidir.
Açık Rıza Geri Çekilirse Sağlık Kuruluşu Ne Yapmalı?
Açık rıza ileriye etkili şekilde geri çekilebilir. Veri sorumlusu rızaya dayanan işleme faaliyetini durdurmalı ve verinin başka hukuki sebep olmadan işlenmeye devam edilip edilemeyeceğini değerlendirmelidir.
Örneğin hasta pazarlama SMS’i rızasını geri çekerse kampanya sisteminden çıkarılmalıdır. Ancak tedavi dosyasının mevzuat gereği belirli süre saklanması gerekiyorsa o kayıt açık rıza geri çekildi diye hemen silinmeyebilir; saklamanın hukuki sebebi farklıdır.
Bu nedenle veri sorumlusunun her veri alanı ve amaç için hukuki sebep kaydı tutması önemlidir. “Rıza çekildi, bütün verileri sil” veya “dosyamızda olduğu için her amaçla kullanmaya devam ederiz” yaklaşımlarının ikisi de doğru değildir.
Rıza yönetim sistemi geri çekme tarihini, kapsamını ve hangi sistemlere uygulandığını loglamalıdır. Pazarlama, CRM, çağrı merkezi ve dış hizmet sağlayıcılar aynı tercih bilgisini kullanmalıdır.
Sağlık Kuruluşları İçin Uyum Modeli
Hukuki sebep matrisi: Hasta kabulden arşivlemeye kadar her işlem için m.5/m.6 dayanağı ayrı belirlenmelidir.
Aydınlatma-rıza ayrımı: Aydınlatma metni bilgi verir; açık rıza yalnız isteğe bağlı faaliyet için alınır. Form tasarımı bu farkı görünür kılmalıdır.
Hizmet koşullandırmasını kaldırın: Pazarlama, fotoğraf paylaşımı veya başka isteğe bağlı işlemler temel sağlık hizmetine bağlanmamalıdır.
Rıza kayıtlarını yönetin: Kimin hangi tarihte hangi amaca rıza verdiği ve ne zaman geri çektiği denetlenebilir biçimde tutulmalıdır.
Özel nitelikli veri güvenliği: Rol bazlı erişim, şifreleme, loglama, güvenli aktarım ve personel eğitimi güçlendirilmelidir.
Metin ve sistem uyumu: Formda “isteğe bağlı” yazıp yazılımda zorunlu checkbox kullanmak hukuki uyumu sağlamaz. Gerçek kullanıcı akışı da metinle aynı olmalıdır.
Sık Yapılan Hatalar
- Her sağlık verisi için açık rıza almak: M.6’daki diğer işleme şartları somut faaliyet bakımından uygulanabilir.
- Rıza vermezse hizmet vermemek: Hizmet için zorunlu olmayan işlem bakımından özgür iradeyi sakatlar.
- Aydınlatma metninin altına “kabul ediyorum” yazmak: Aydınlatma ve rıza farklı hukuki kurumlardır.
- Pazarlama rızasını tedavi onayıyla birleştirmek: İsteğe bağlı amaç ayrı tutulmalıdır.
- Fotoğraf rızasını süresiz ve sınırsız almak: Belirlilik ve ölçülülük sorununa yol açabilir.
- Rıza geri çekilince bütün veriyi hemen silmek veya hiçbir şeyi durdurmamak: Her amaç ve hukuki sebep ayrı değerlendirilmelidir.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurulu 27.04.2023 tarihli ve 2023/692 sayılı karar özeti
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.3, m.4, m.5, m.6 ve m.10
- Aydınlatma Yükümlülüğü Tebliği
Sık Sorulan Sorular
1. Sağlık hizmeti için her zaman açık rıza gerekir mi?
Hayır. Sağlık verileri m.6’daki işleme şartlarından uygun olana dayanabilir; açık rıza tek hukuki sebep değildir.
2. Hasta pazarlama rızası vermezse muayene reddedilebilir mi?
Hayır. Tedavi için zorunlu olmayan pazarlama rızası temel sağlık hizmetinin şartı yapılamaz.
3. Aydınlatma metnini imzalamak zorunlu mu?
Aydınlatma veri sorumlusunun bilgi verme yükümlülüğüdür; kişinin “onayı” hukuken aydınlatmanın kurucu unsuru değildir.
4. Açık rıza hangi üç unsuru taşımalıdır?
Belirli konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır.
5. Tıbbi fotoğraf için açık rıza gerekir mi?
Fotoğrafın amacı ve m.6 işleme şartına göre değerlendirilir. Tıbbi kayıt ile reklam/sosyal medya kullanımı ayrı amaçlardır.
6. Reklam fotoğrafına rıza vermeyen hastaya hizmet verilmemesi mümkün mü?
İsteğe bağlı reklam kullanımı tedavinin şartı yapılamaz.
7. Açık rıza geri çekilebilir mi?
Evet. Rızaya dayanan işleme bakımından ileriye etkili geri çekme mümkündür.
8. Rıza geri çekilince hasta dosyası silinir mi?
Dosya başka bir hukuki sebep veya saklama yükümlülüğüne dayanıyorsa rıza geri çekilmesi otomatik silme sonucunu doğurmaz.
9. Tek formda hem tedavi hem pazarlama rızası alınabilir mi?
Hukuki sebepler ve amaçlar açıkça ayrılmalı; pazarlama seçeneği gerçekten isteğe bağlı olmalıdır. Tek ve zorunlu toplu rıza uygun değildir.
10. Karar yalnız hastaneler için mi geçerlidir?
Somut karar sağlık hizmetine ilişkindir; açık rızanın hizmet şartına dönüştürülmemesi ilkesi tüm veri sorumluları için genel KVKK yaklaşımıdır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
