Yabancı Hastanın Sağlık Verileri Türkiye’den Yurt Dışına Aktarılabilir mi? KVKK 2026

Sağlık Verisinin Yurt Dışına Aktarımı Ayrı Bir Hukuki İşlemdir

Sağlık turizmi hizmetinde veri akışı uluslararasıdır: Hasta Almanya’dan Türkiye’deki kliniğe pasaport ve tıbbi rapor gönderir; klinik yabancı bir bulut hizmeti kullanabilir; aracı kuruluş başka ülkedeki çağrı merkezinden hizmet alabilir; hasta ülkesine döndükten sonra tıbbi dosya yabancı doktora iletilebilir.

Bu senaryoların her birinde “veri Türkiye sınırları dışına çıkıyor mu, kim aktarıyor, kim alıyor, hangi amaçla ve hangi hukuki mekanizmayla?” soruları cevaplanmalıdır. KVKK m.9’daki 2024 değişikliği eski yalnız açık rıza/taahhütname ağırlıklı yapıyı değiştirmiş; Avrupa Birliği sistemine daha yakın çok kademeli bir aktarım modeli getirmiştir.

1. Sağlık Verisi Neden Özel Nitelikli Kişisel Veridir?

6698 sayılı Kanun m.6, kişilerin sağlık ve cinsel hayatına ilişkin verileri özel nitelikli kişisel veri olarak sayar. Tanı, tahlil, radyoloji görüntüsü, reçete, ameliyat bilgisi, genetik veri, tedavi planı, hasta fotoğrafı ve sağlık durumunu ortaya koyan yazışmalar bu kapsamda değerlendirilebilir.

Özel nitelikli veriler için Kanundaki özel işleme şartlarının yanında Kurul tarafından belirlenen yeterli önlemlerin alınması gerekir. Sağlık hizmeti yürütülmesi amacıyla sağlık verilerinin işlenmesi için açık rıza dışında kanuni işleme şartları bulunabilse de bu, verilerin pazarlama veya sınırsız aktarım amacıyla serbestçe kullanılabileceği anlamına gelmez.

Özellikle sağlık turizmi aracı kuruluşunun satış/pazarlama amacı ile sağlık tesisinin teşhis-tedavi amacı birbirinden ayrılmalıdır. Aynı sağlık verisini iki farklı kuruluş farklı hukuki sıfat ve amaçlarla işleyebilir.

2. Sağlık Verisinin Yurt Dışına Aktarılması Ne Demektir?

Verinin yurt dışındaki gerçek veya tüzel kişiye gönderilmesi açık bir yurt dışı aktarımıdır. Bunun yanında verinin yabancı ülkedeki sunucuda saklanması, yurt dışındaki grup şirketinin sisteme erişmesi veya Türkiye dışındaki çağrı merkezinin hasta kaydını görüntülemesi de aktarım rejimini gündeme getirebilir.

Örneğin Türkiye’deki klinik yabancı bulut altyapısında hasta dosyası tutuyorsa, yalnız “veri fizikî olarak klinikte girildi” denilerek yurt dışı aktarım konusu kapanmaz. Sistemin teknik mimarisi, veri merkezinin bulunduğu yer, destek erişimleri ve sözleşme tarafları incelenmelidir.

Benzer biçimde hastanın ülkesindeki doktoruna epikriz gönderilmesi de bir aktarım olabilir; ancak hastanın açık talebi, sözleşmenin ifası veya kanundaki diğer aktarım mekanizmaları somut olaya göre değerlendirilir.

3. 2026’da KVKK m.9’a Göre Yurt Dışı Aktarım Sistemi Nasıl Çalışır?

12 Mart 2024 tarihli 7499 sayılı Kanunla KVKK m.9 değiştirildi ve yeni düzenleme 1 Haziran 2024’te yürürlüğe girdi. Kişisel Verileri Koruma Kurumunun güncel açıklamalarında sistem üç basamaklıdır.

Birinci basamakta, m.5 veya m.6’daki veri işleme şartlarından biri bulunmak kaydıyla aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı olup olmadığına bakılır. Yeterlilik kararı varsa m.9’daki şartlarla aktarım yapılabilir.

Yeterlilik kararı yoksa ikinci basamak “uygun güvenceler”dir. Kanunda sayılan uygun güvencelerden biri sağlanır. Bunlar arasında Kurulun ilan ettiği standart sözleşmeler ve bağlayıcı şirket kuralları yer alır.

Yeterlilik kararı ve uygun güvence yoksa üçüncü basamakta ancak m.9’da sınırlı düzenlenen istisnai hallerden biri varsa ve aktarım arızi nitelik taşıyorsa aktarım yapılabilir. Sürekli ve sistematik veri akışı, sırf arızi istisnaya dayanılarak kurulamaz.

4. Yeterlilik Kararı Ne Anlama Gelir?

Yeterlilik kararı, Kişisel Verileri Koruma Kurulunun bir ülke, ülke içindeki belirli sektör veya uluslararası kuruluş için yeterli koruma bulunduğunu belirlemesidir. Aktarım yapan sağlık tesisi veya aracı kuruluş, işlem tarihinde geçerli Kurul kararlarını kontrol etmelidir.

“Avrupa Birliği ülkesi olduğu için otomatik yeterlidir” veya “GDPR uygulanıyor, KVKK m.9 artık önemli değil” şeklindeki yaklaşım doğru değildir. Türkiye’deki veri aktaran bakımından KVKK m.9 ve Kurul kararları esas alınır.

Yeterlilik kararı bulunsa dahi sağlık verisinin işlenmesi m.6’ya uygun olmalı, aktarım amaçla sınırlı yapılmalı, veri güvenliği ve aydınlatma yükümlülükleri devam etmelidir.

5. Standart Sözleşme ve Diğer Uygun Güvenceler

KVKK m.9’un yeni sisteminde yeterlilik kararı yoksa uygun güvenceler kullanılabilir. Kişisel Verileri Koruma Kurulu 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla dört farklı standart sözleşme modelini kabul etmiştir: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım.

Standart sözleşmenin hangi modelinin kullanılacağı, Türkiye’deki ve yabancı taraftaki aktörlerin veri sorumlusu/veri işleyen sıfatına göre belirlenir. Sözleşmenin Kurul tarafından belirlenen metninin esas alınması gerekir.

KVKK m.9/5 ve Yurt Dışına Aktarım Yönetmeliği m.14/5 uyarınca standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir. Kurum ayrıca çevrim içi Standart Sözleşme Bildirim Modülünü kullanıma açmıştır.

6. Arızi ve İstisnai Aktarım Ne Zaman Kullanılır?

Kanundaki istisnai aktarım yolu, yeterlilik kararı ve uygun güvence bulunmadığı her durumda kullanılabilecek genel bir kaçış yolu değildir. Aktarımın arızi olması ve m.9’da sayılan istisnai hallerden birinin gerçekleşmesi gerekir.

Düzenli biçimde her hastanın dosyasının aynı yabancı bulut sağlayıcısına gönderilmesi veya sürekli çalışan yabancı çağrı merkezinin günlük hasta verisine erişmesi sistematik aktarımdır. Böyle bir yapı arızi aktarım olarak nitelendirilemez.

Buna karşılık beklenmedik ve tekil bir olayda, kanunda sayılan istisnai şartlardan biri mevcutsa arızi aktarım gündeme gelebilir. Hangi istisnanın uygulanacağı somut aktarım amacı ve taraflarına göre belirlenir.

7. Hastadan Açık Rıza Almak Her Yurt Dışı Aktarımı Otomatik Olarak Hukuka Uygun Hale Getirir mi?

Hayır. 2024 değişikliğinden sonra açık rıza, m.9’daki yeni aktarım sisteminin tamamının yerine geçen sınırsız çözüm değildir. Öncelikle kişisel verinin işlenmesi m.5 veya özel nitelikli veri için m.6’ya uygun olmalı; ardından m.9’daki aktarım mekanizması uygulanmalıdır.

Kanun bazı istisnai/arızî aktarım hallerinde ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi ve açık rızası gibi şartlar öngörür. Ancak sağlık kuruluşu sürekli veri altyapısını yalnız “her hastadan genel rıza alıyoruz” yaklaşımıyla kurmamalıdır.

Açık rızanın belirli, bilgilendirmeye dayalı ve özgür iradeyle verilmesi gerekir. Tedavinin zorunlu şartı gibi sunulan geniş pazarlama/veri aktarım rızaları ayrıca incelenir.

8. Sağlık Tesisi Yabancı Bulut Sunucusu Kullanıyorsa Ne Kontrol Edilir?

İlk olarak veri merkezinin ve hizmet sağlayıcının bulunduğu ülke belirlenir. İkinci olarak bulut şirketinin veri işleyen mi, bağımsız veri sorumlusu mu olduğu sözleşmeye göre tespit edilir. Üçüncü olarak alt işleyenler ve uzaktan destek erişimleri incelenir.

Daha sonra KVKK m.9 bakımından yeterlilik kararı veya uygun güvence mekanizması belirlenir. Standart sözleşme kullanılacaksa taraf sıfatına uygun model seçilir ve beş iş günlük bildirim yükümlülüğü yerine getirilir.

Teknik ve idari tedbirler de ayrıca gerekir. Sağlık verisi özel nitelikli olduğu için erişim yetkilendirmesi, şifreleme, kayıt/izleme, yetki matrisi ve ihlal yönetimi gibi tedbirlerin somut riskle uyumlu olması gerekir.

9. Sağlık Turizmi Aracı Kuruluşu Yurt Dışındaki Çağrı Merkezine Hasta Verisi Gönderebilir mi?

Aracı kuruluşun 2025 Sağlık Turizmi Yönetmeliği m.6/2-b uyarınca en az iki yabancı dilde ve 7/24 çağrı karşılayacak altyapıya sahip olması veya bunu sağlayan çağrı merkeziyle sözleşme yapması gerekir. Çağrı merkezinin yurt dışında bulunması halinde hasta verisine erişim KVKK m.9 bakımından yurt dışı aktarımını gündeme getirir.

Aracı kuruluş “çağrı merkezi sözleşmesi yaptım” diyerek KVKK yükümlülüklerinden kurtulmaz. Hangi verinin çağrı merkezine açıldığı, çağrı merkezi şirketinin veri işleyen sıfatı, aktarım mekanizması, erişim yetkisi ve saklama süresi belirlenmelidir.

Tıbbi dosyanın tamamının satış veya randevu çağrı merkeziyle paylaşılması ayrıca veri minimizasyonu ve amaçla sınırlılık yönünden incelenmelidir. Çağrı merkezi yalnız randevu için gerekiyorsa bütün laboratuvar sonuçlarına erişim verilmesi gereksiz olabilir.

10. Hasta Kendi Dosyasının Yurt Dışındaki Doktoruna Gönderilmesini İsterse

Hasta, Hasta Hakları Yönetmeliği m.16 uyarınca tıbbi dosya ve kayıtlarının suretini alma hakkına sahiptir. Dosyayı kendisi alıp yabancı doktoruna iletebilir. Sağlık tesisinden doğrudan yabancı doktora gönderim istendiğinde ise sağlık tesisi bakımından yurt dışı veri aktarımı gerçekleşir ve KVKK m.9 şartları değerlendirilir.

Tekil ve hastanın açık talebiyle yapılan transfer ile sağlık kuruluşunun rutin olarak tüm kayıtları yabancı bir veri tabanına aktarması aynı değildir. Aktarımın amacı, sürekliliği ve tarafları hukuki mekanizmayı etkiler.

Hasta talebi yazılı alınmalı; hangi belgenin, hangi doktora/kuruma, hangi iletişim adresine gönderileceği açıkça belirtilmelidir. Yanlış e-posta adresine sağlık dosyası gönderilmesi veri ihlali riski doğurur.

11. Yabancı Hastanın KVKK Kapsamındaki Hakları Nelerdir?

6698 sayılı Kanun m.11, ilgili kişiye kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme gibi haklar tanır.

Kanundaki şartlar oluştuğunda eksik veya yanlış verilerin düzeltilmesini, silinmesini veya yok edilmesini isteme; yapılan düzeltme/silme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini talep etme ve hukuka aykırı işleme nedeniyle zarara uğranması halinde zararın giderilmesini isteme hakları da bulunur.

İlgili kişinin yabancı vatandaş olması bu hakları kural olarak ortadan kaldırmaz. Veri sorumlusu Türkiye’deki sağlık tesisi veya aracı kuruluşsa başvuru Türk KVKK rejimine göre yapılabilir.

12. Sağlık Verisinin Hukuka Aykırı Aktarıldığı Düşünülüyorsa Ne Yapılır?

İlk adım veri sorumlusunu doğru belirlemektir. Sağlık tesisi, aracı kuruluş ve bulut/çağrı merkezi farklı hukuki sıfatlara sahip olabilir. Ardından veri sorumlusuna KVKK m.13 kapsamında yazılı başvuru yapılarak hangi verilerin, hangi amaçla, hangi yabancı alıcılara, hangi hukuki aktarım mekanizmasına dayanılarak gönderildiği sorulabilir.

Veri sorumlusunun cevabına veya cevap vermemesine göre KVKK m.14 ve ilgili süreler çerçevesinde Kurula şikâyet yolu gündeme gelir. Kişilik hakkı ve maddi/manevi zarar iddiaları için genel hükümlere dayalı yargı yolları ayrıca değerlendirilir.

Başvuruda soyut “verilerim yurt dışına gitti” iddiası yerine yabancı e-posta adresi, uygulama adı, sunucu bildirimi, gizlilik politikası, sözleşme, aracı şirket mesajı ve ekran görüntüsü gibi somut veriler sunulmalıdır.

13. Sağlık Verisi Yurt Dışı Aktarım Kontrol Tablosu

Sık Sorulan Sorular

Hukukçu İncelemesi ve E-E-A-T

Resmî Kaynaklar ve İlgili İçerikler

KVKK – Yurt Dışına Aktarım · KVKK – Standart Sözleşmeler

Yabancı hastanın fotoğrafı ve açık rıza · Tıbbi dosya ve kayıt alma hakkı

Bakırcı & Keskin Hukuk Bürosu

Yurt dışındaki kişilerin Türkiye’deki sağlık turizmi, kişisel veri ve özel hukuk uyuşmazlıkları Mersin’deki ofisimizden takip edilmektedir. İhsaniye Mahallesi, 4903. Sokak, Profit İş Merkezi No:23, Kat:3, Daire:14, 33070 Akdeniz/Mersin.

Ofis konumunu Google Haritalar’da açın