Sağlık Turizminde Yabancı Hastanın Kişisel Verisi Nasıl İşlenir? Aracı Kuruluşun Sınırı, WhatsApp'tan Gelen Fotoğraflar ve Yurt Dışına Aktarım

Kısa cevap: klinik ile aracı kuruluş aynı hukuki zeminde durmuyor, bu yüzden hasta verisiyle yapabilecekleri de aynı değil. Ameliyatı yapan sağlık tesisi, teşhis ve tedavi için işlediği sağlık verisinde 6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrasındaki (e) bendine dayanabilir; bu bent, sır saklama yükümlülüğü altında bulunan kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi için gerekli olan işlemeye açık rıza aranmaksızın izin veriyor. Hastayı yurt dışında bulan, fotoğrafını isteyen, fiyat teklifini hazırlayan, uçuşu ve oteli organize eden aracı kuruluş aynı bende sığınamaz. O bir sağlık meslek mensubu değil, hekimin sır saklama yükümlülüğünün muhatabı da değil. Elindeki sağlık verisi için pratikte tek dayanağı açık rıza. Üstüne ikinci bir katman biniyor: hastanın ülkesindeki iş ortağına, yurt dışındaki bulut sistemine veya hastanın kendi hekimine giden her dosya Kanun'un 9. maddesindeki yurt dışına aktarım rejimine tabi. Bu iki ayrımı kurmadan büyüyen bir sağlık turizmi operasyonu ilk ciddi şikayette dağılır.

Rol tartışması, akışın haritası çıkarılmadan yapılamıyor. Tipik zincir şöyle işliyor: yurt dışındaki bir reklam kampanyası form doldurtuyor, form aracı kuruluşun müşteri yönetim sistemine düşüyor, danışman WhatsApp'tan yazıyor, hasta röntgenini ve ilaç listesini gönderiyor, dosya iki üç kliniğe iletiliyor, biri teklif veriyor, tarih konuyor, otel ve transfer ayarlanıyor, hasta ülkesine döndükten sonra kontrol fotoğrafları isteniyor. Bu zincirde aracı kuruluş kendi müşteri havuzunu kendi amacıyla yönetiyorsa kliniğin veri işleyeni değil, ayrı bir veri sorumlusudur. Kurul'un 30 Ocak 2020 tarihli ve 2020/71 sayılı kararındaki ölçütler burada da yol gösteriyor: hangi verinin toplanacağına kim karar veriyor, amacı ve süreyi kim belirliyor, ilgili kişiyle kim muhatap oluyor, işlemeden kim menfaat sağlıyor. Sözleşmeye "aracı kuruluş veri işleyendir" yazmak bu tabloyu tersine çevirmiyor. Klinik de kendi kaydı bakımından ayrı veri sorumlusudur ve ikisi arasındaki dosya trafiği çoğu zaman veri sorumlusundan veri sorumlusuna aktarımdır.

Sektörün mevzuatı 2025'te yenilendi. 26 Nisan 2025 tarihli ve 32882 sayılı Resmî Gazete'de yayımlanan Uluslararası Sağlık Turizmi ve Turistin Sağlığı Hakkında Yönetmelik, 2017 tarihli eski yönetmeliği yürürlükten kaldırdı. 5. madde yetki belgesini zorunlu tutuyor: sağlık tesisi için Bakanlık, aracı kuruluş için USHAŞ düzenliyor, belge devredilemiyor, her şube için ayrı başvuru gerekiyor. 8. madde kayıt tarafını bağlıyor ve kişisel sağlık verilerinin 6698 sayılı Kanun ile 3359 sayılı Kanun'un ek 19. maddesine uygun işlenmesini, merkezi sağlık veri sistemine aktarılmasını, sağlık tesisi ile aracı kuruluşun HealthTürkiye portalına üye olup veri girişini tam, doğru ve güncel yapmasını istiyor. Yaptırım somut: 16. maddenin üçüncü fıkrası, kayıtların uygunsuz tutulduğunun tespiti halinde yetki belgesinin altı ay askıya alınmasını, aynı fiilin bir yıl içinde tekrarı halinde iptalini öngörüyor. Geçici 1. madde ise hastane, tıp merkezi, tıbbi laboratuvar ve diyaliz merkezleri için akreditasyon şartını 31 Aralık 2026'ya bağladı. Bir ayrıntı daha: ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları çalışan sayısına ve bilanço büyüklüğüne bakılmaksızın VERBİS'e kayıtlı olmak zorunda, küçük klinik bu yükümlülükten muaf değil.

Veri kalemlerini tek torbaya koymak en sık yapılan hata. Ad, pasaport bilgisi, iletişim adresi, uçuş tarihi gibi veriler aracı kuruluş bakımından 5. maddenin ikinci fıkrasındaki sözleşme şartına oturabilir; aracılık sözleşmesinin ifası için gerçekten gerekliyse açık rıza aranmaz. Ameliyat geçmişi, kullanılan ilaçlar, tahlil sonucu, saçlı deri fotoğrafı ve diş röntgeni ise özel nitelikli kişisel veridir; bunlar için 6. maddenin üçüncü fıkrasındaki şartlardan biri gerekir ve o fıkrada "sözleşmenin ifası" diye bir bent yoktur. Formu ikiye ayırın: sözleşmeye dayanan kalemler bir tarafta, açık rızayla işlenen sağlık verileri diğer tarafta. Açık rızanın geçerli olması da ayrı bir konu. Özgür iradeyle verilmemiş, belirli bir konuya ilişkin olmayan ya da bilgilendirmeye dayanmayan onay yok hükmündedir. Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı bu noktada net; aydınlatma metni ile açık rıza metni aynı belgede iç içe sunulamaz, tek bir onay kutusuna bağlanamaz.

Aydınlatma yükümlülüğü sağlık turizminde iki yerden kırılıyor. Birincisi dil. 10. madde bilgilendirmeyi veri sorumlusuna yüklüyor ve bunun ilgili kişinin anlayabileceği biçimde yapılması gerekiyor; Almanca konuşan bir hastaya Türkçe metin sunmak yükümlülüğü karşılamaz. Yönetmeliğin 13. maddesi yabancı dil seçenekli internet sitesini zaten zorunlu tutuyor, aydınlatma metninin aynı dillerde bulunması bunun doğal devamı. İkincisi zamanlama. Veri doğrudan hastadan değil de yurt dışındaki bir kaynaktan, mesela satın alınan bir aday listesinden geliyorsa aydınlatmanın en geç ilk iletişim anında yapılması gerekir. Sahada olan şu: liste satın alınıyor, danışman WhatsApp'tan yazıyor, kişi numarasını nereden bulduğunuzu soruyor ve elinizde verecek cevap olmuyor. Aydınlatma yükümlülüğünün ihlali 2026 tutarlarıyla 85.437 TL ile 1.709.200 TL arasında idari para cezası anlamına geliyor. Listenin kaynağını, hangi onaya dayandığını ve nasıl doğrulandığını yazılı olarak isteyin; alamıyorsanız o listeyi hiç almayın.

Ameliyat öncesi "online konsültasyon" sanıldığından sıkı kurallara bağlı. 10 Şubat 2022 tarihli ve 31746 sayılı Resmî Gazete'de yayımlanan Uzaktan Sağlık Hizmetlerinin Sunumu Hakkında Yönetmelik, uzaktan sağlık hizmetini yalnızca Bakanlıkça tescil edilmiş bir uzaktan sağlık bilgi sistemi üzerinden ve faaliyet izni almış sağlık tesislerince sunulabilir kılıyor. 5. maddenin ikinci fıkrası tescili yapılmamış sistemin kullanılamayacağını, 14. madde izin alınmadan uzaktan sağlık hizmeti sunulamayacağını söylüyor. 12. maddenin üçüncü fıkrası her iki tarafın açık rızası olmaksızın görüntülü veya sesli kayıt alınmasını ve hizmet sırasında fotoğraf çekilmesini yasaklıyor; dördüncü fıkra, rıza varsa alınan kayıtların on iki aydan fazla saklanamayacağını belirtiyor. Bir de şuna bakın: WhatsApp'tan gelen tomografiler ve yara fotoğrafları nerede birikiyor? Danışmanın kişisel telefonunda, otomatik yedekle kişisel bulut hesabında, bazen galeride aile fotoğraflarının arasında. Kurumsal hat kullanın, medya yedeklemesini kapatın, gelen görselleri hasta bilgi yönetim sistemine taşıyıp sohbetten silin, personel ayrıldığında hattı ve cihazı aynı gün kapatın.

Yurt dışına aktarım bu sektörde istisna değil, günlük rutin. Yurt dışında barındırılan müşteri yönetim sistemi, yurt dışındaki çağrı merkezi, hastanın ülkesindeki iş ortağı acente, kontrol için epikrizi isteyen yabancı hekim, poliçeyi düzenleyen sigortacı: hepsi 9. madde kapsamına giriyor. Kurul bugüne kadar hiçbir ülke için yeterlilik kararı yayımlamadı, dolayısıyla uygun güvencelerden birine, çoğu şirket için standart sözleşmeye dayanmak gerekiyor. Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmek zorunda; usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te. Bildirimi yapmamanın 2026 karşılığı 90.308 TL ile 1.806.377 TL arasında idari para cezası. Arızi hallere sığınmak da işe yaramıyor; Kurumun yurt dışına aktarım rehberi tam da bir turizm şirketi örneği veriyor ve müşteri rezervasyon bilgilerinin aktarımını olağan faaliyet akışı sayarak arızi kabul etmiyor. Bir ayrım önemli: aktarımın tanımı, verinin yurt dışındaki bir veri sorumlusuna veya veri işleyene iletilmesini arıyor. Hastanın kendi raporunu kendi e-posta adresine göndermek bu tanıma girmez, aynı raporu ülkesindeki kliniğe göndermek girer.

Bir de ikinci hukuk var ve çoğu klinik onu hesaba katmıyor. Avrupa Veri Koruma Kurulu'nun GDPR'ın yer bakımından uygulanmasına ilişkin 3/2018 sayılı rehberindeki 14. örnek, Türkiye'de kurulu ve Türkiye'den yönetilen bir internet sitesini anlatıyor: site İngilizce, Fransızca, Flemenkçe ve Almanca yayın yapıyor, ödeme euro ile alınıyor, teslimat belirli AB ülkelerine yapılıyor. Rehber bunu AB'deki kişilere hizmet sunma iradesinin açık göstergesi sayıyor, işlemenin GDPR'ın 3(2)(a) maddesi kapsamına girdiğini ve veri sorumlusunun 27. madde uyarınca Birlik içinde temsilci atamak zorunda olduğunu söylüyor. Almanca fiyat sayfası yayımlayan, euro üzerinden paket satan ve Avrupa'ya reklam hedefleyen bir klinik ile bu örnek arasındaki mesafe kısa. Sonuç iki rejimin üst üste binmesi oluyor: sağlık verisi GDPR'da da özel kategoridir, ihlal bildirimi ilgili ülkenin denetim makamına yapılır ve ceza tavanı KVKK'dakinin üstündedir. Pazarlama ekibinizin hedefleme ayarları, farkında olmadan hangi hukuka tabi olduğunuzu belirliyor.

Hasta hikayesi pazarlaması bu işin motoru, ama Kurul'un çizgisi belli. 11 Mayıs 2023 tarihli ve 2023/787 sayılı kararda bir özel hastane, ayrı bir onam formuyla hastalardan reklam ve tanıtım amaçlı fotoğraf ve video kullanımı için açık rıza alıyordu. Kurul, Özel Hastaneler Yönetmeliği talep yaratmaya yönelik tanıtımı yasakladığı için bu amacın hukuka uygun ve meşru sayılamayacağını, alınan açık rızanın işlemeyi meşrulaştırmadığını belirtti; 250.000 TL idari para cezası verdi, verilerin imhasına ve aktarılmışsa üçüncü kişilere de bildirilmesine hükmetti. Sağlık turizmi yönetmeliğinin 13. maddesi Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik'e doğrudan yollama yapıyor. Yurt dışındaki bir ortaklık programının ya da sosyal medya hesabının sizin gönderdiğiniz öncesi sonrası görselleriyle içerik üretmesi sorumluluğu ortadan kaldırmaz; o görselin kaynağı sizsiniz.

Çevre halkası çoğu veri envanterinde eksik kalıyor. Tercüman, muayene odasında teşhisi duyan kişidir; kadroluysa yetkisi ve gizlilik taahhüdü tanımlanmalı, dışarıdan alınıyorsa 12. maddenin ikinci fıkrası gereği veri işleyen sözleşmesi yapılmalı, çünkü veriyi sizin adınıza işleyenle birlikte müştereken sorumlusunuz. Otele ve seyahat acentesine giden bilgi ad, tarih ve konaklama ayrıntısıyla sınırlı kalmalı; hangi ameliyat için gelindiği otelin bilmesi gereken bir şey değil. Yönetmeliğin 6. maddesi aracı kuruluşa en az iki yabancı dilde ve yedi gün yirmi dört saat hizmet verecek bir çağrı merkezi altyapısı ya da bunu sağlayacak bir çağrı merkeziyle hizmet alımı sözleşmesi şartı getiriyor; o çağrı merkezi yurt dışındaysa hem veri işleyen sözleşmesi hem 9. madde gündeme gelir. Refakatçi ve hasta yakını ayrı bir ilgili kişi grubudur, pasaport ve iletişim bilgileri hasta dosyasının içinde kaybolmamalı. Ameliyathane ortamında yapılacak işlemler için zorunlu tutulan komplikasyon sigortasında ise sigorta şirketi kendi amacıyla hareket eden ayrı bir veri sorumlusudur ve ona giden bilgi poliçenin gerektirdiğiyle sınırlanmalıdır.

Güvenlik tarafında sağlık kuruluşları fidye yazılımı gruplarının öncelikli hedefi; Kurumun 2026 yılında yayımladığı veri ihlali duyuruları arasında sağlık alanında faaliyet gösteren şirketler de var. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, ihlali öğrenmenizden itibaren 72 saat içinde Kuruma bildirim yapmanızı, etkilenen kişilere de makul olan en kısa sürede ulaşmanızı istiyor. Yabancı hasta dosyası bir ihlalde sıradan bir müşteri kaydından ağır basar: pasaport kopyası, tıbbi geçmiş, ameliyat fotoğrafları ve ödeme bilgisi aynı klasörde durur. Asgari tedbirler tartışmaya açık değil. Yetki matrisi kurun, danışmanların kendi portföyü dışındaki dosyaları görmesini kapatın, erişimleri kayıt altına alın, pasaport kopyalarını ortak sürücüde klasör klasör biriktirmeyi bırakın, dosyaların taşınabilir diskle taşınmasını yasaklayın. Veri güvenliğine ilişkin yükümlülüklerin ihlali 2026 tutarlarıyla 256.357 TL ile 17.092.242 TL arasında idari para cezası demek; kişisel verileri hukuka aykırı olarak yaymak ise Türk Ceza Kanunu'nun 136. maddesi kapsamında ayrı bir suçtur.

Saklama tarafında iki takvim var ve sürekli birbirine karışıyor. Hasta dosyası sağlık mevzuatının öngördüğü süre boyunca saklanır; tedaviye hiç dönüşmemiş bir fiyat talebi o sürenin arkasına saklanamaz. Müşteri yönetim sisteminizde üç yıl önce bir kez yazışılmış, hiç gelmemiş kişilerin röntgenleri duruyorsa bu bir arşiv değil, bekleyen bir ihlalin malzemesidir. Kısa bir kontrol listesiyle bitirelim. Aracı kuruluş ile klinik arasındaki rolü tek cümleyle yazıp sözleşmeye koyun. Sağlık verisi için açık rızayı ayrı bir metinle alın, aydınlatmayı hastanın dilinde yapın. WhatsApp trafiğini kurumsal hatta taşıyın, görselleri kayıt sistemine aktarıp sohbetten silin. Yurt dışına giden her akışı listeleyin, standart sözleşmeleri imzalayın, beş iş günlük bildirimi kaçırmayın. Avrupa'ya yönelik pazarlama yapıyorsanız GDPR kapsamına girip girmediğinizi bugün değerlendirin. Tedaviye dönüşmeyen kayıtlar için kısa bir imha süresi tanımlayıp periyodik imhayı takvime bağlayın. KVKK Danışman'ın ücretsiz ön değerlendirmesinde aracılık sözleşmelerinizi, hasta formlarınızı, yurt dışı aktarım akışlarınızı ve WhatsApp düzeninizi birlikte gözden geçiriyoruz.

Randevu Al