Klinik web sitesi ve KVKK: aydınlatma, çerez ve VERBİS

Klinik web sitesi, pazarlama tarafında genellikle bir vitrin gibi düşünülür. Hukuken ise bir veri toplama noktasıdır: iletişim formu, randevu talebi, çerezler ve reklam platformlarının izleme etiketleri aynı anda çalışır. Bu da üç ayrı yükümlülüğü birden doğurur — aydınlatma, çerezlerde açık rıza ve koşullar oluşuyorsa VERBİS kaydı. Bu sayfa üçünü sırayla ele alır.

Klinik siteleri neden ayrı bir kategoride?

Fark, toplanan verinin niteliğinden geliyor. 6698 sayılı Kanun'un 6. maddesi sağlığa ilişkin verileri özel nitelikli kişisel veri sayar ve bu kategoriye en yüksek korumayı tanır. Bir klinik sitesindeki form çoğu zaman farkında olmadan bu kategoriye girer: 'İlgilendiğiniz işlem' alanında implant, saç ekimi veya estetik bir prosedür seçilmesi, kişinin sağlık durumuna ilişkin bir veridir. Yani sıradan bir iletişim formu gibi görünen yapı, aslında özel nitelikli veri topluyordur.

VERBİS: kliniklerde eşik çok daha düşük

Uygulamada en çok yanlış bilinen konu bu. Kişisel Verileri Koruma Kurulu'nun 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararı (1 Ekim 2025'te yayımlandı) Sicil'e kayıt istisnasını iki ayrı eşiğe bağladı:

• —Ana faaliyeti özel nitelikli veri işleme OLMAYAN veri sorumluları: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az ise istisna
• —Ana faaliyeti özel nitelikli veri işleme OLAN veri sorumluları: yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az ise istisna

Sağlık kuruluşları, faaliyetleri gereği sağlık verisi işledikleri için ikinci grupta değerlendirilir. Yani kliniklerde geçerli eşik 50 çalışan değil, 10 çalışandır. Kriterler kümülatiftir: çalışan sayısı eşiğin altında olsa bile bilanço toplamı aşılıyorsa kayıt zorunludur. Bilanço esasına göre defter tutmayanlarda ise yalnızca çalışan sayısı kriteri değerlendirilir.

Aydınlatma yükümlülüğü: ne zaman, ne içerecek

Kanun'un 10. maddesi, kişisel verilerin elde edilmesi sırasında bilgilendirme yapılmasını zorunlu kılar. 'Elde edilme sırasında' ifadesi kritik: aydınlatma, form gönderildikten sonra değil, veri toplanmadan önce ve o noktada erişilebilir olmalıdır. Sitenin dip notunda duran bir bağlantı tek başına yeterli sayılmayabilir; formun yanında görünür olması beklenir. Usul ve esaslar ayrıca 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan tebliğ ile düzenlenmiştir.

• —Veri sorumlusunun ve varsa temsilcisinin kimliği
• —Kişisel verilerin hangi amaçla işleneceği
• —Verilerin kimlere ve hangi amaçla aktarılabileceği
• —Kişisel veri toplamanın yöntemi ve hukuki sebebi
• —İlgili kişinin 11. maddede sayılan hakları

Aydınlatma ile açık rıza birbirinden ayrı yükümlülüklerdir ve tek bir metinde birleştirilmemelidir. Aydınlatma, açık rızaya dayanmayan işlemelerde de zorunludur; açık rıza ise yalnızca hukuki sebebin rıza olduğu hâllerde gündeme gelir. İkisinin aynı onay kutusuna bağlanması, Kurul uygulamasında sık rastlanan bir hata türüdür.

Çerezler: rıza gerekenler ve gerekmeyenler

Kurum'un Çerez Uygulamaları Hakkında Rehber'i (güncel sürüm: Yayın No. 69) çerezleri hukuki sebebe göre ayırır. Hizmetin sunulabilmesi için teknik olarak zorunlu olan çerezler — oturum yönetimi, güvenlik, yük dengeleme gibi — açık rıza dışındaki hukuki sebeplere dayanabilir. Buna karşılık reklam, hedefleme, yeniden hedefleme (remarketing) ve profilleme amacı taşıyan çerezler açık rıza gerektirir. Analitik çerezler de kural olarak 'zorunlu olmayan' tarafta değerlendirilir ve rıza kapsamında ele alınması beklenir.

Geçerli bir çerez rızasının uygulamadaki karşılığı şudur: kullanıcı aktif ve olumlayıcı bir eylemle onay vermelidir. Önceden işaretlenmiş kutucuklar geçerli rıza sayılmaz; reddetmek kabul etmek kadar kolay olmalı ve rıza kategori bazında ayrıştırılabilmelidir. En kritik nokta ise teknik tarafta: kullanıcı onay vermeden zorunlu olmayan hiçbir çerez veya izleme etiketi çalışmamalıdır.

Meta Pixel ve Google etiketi: sessiz risk

Pratikte en sık görülen uyumsuzluk burada. Çoğu klinik sitesinde çerez banner'ı vardır, ama izleme etiketleri sayfa açılır açılmaz — banner'a dokunulmadan — tetiklenir. Bu durumda banner hukuki olarak bir işlev görmez; rıza alınmadan veri işlenmiş olur. Etiketlerin bir onay yönetim mekanizmasına bağlanması ve rıza gelene kadar bloke edilmesi gerekir.

Sağlık sitelerinde ikinci bir katman daha var: ziyaret edilen sayfanın adresi tek başına sağlık durumuna işaret edebilir. Bir kullanıcının 'sac-ekimi' veya 'implant-tedavisi' başlıklı sayfayı görüntülediği bilgisinin üçüncü taraf bir reklam platformuna aktarılması, özel nitelikli veri işleme ve çoğu senaryoda yurt dışına aktarım anlamına gelir. Bu, KVKK rehberimizde ele aldığımız aktarım rejimini doğrudan tetikler.

Form tarafında yapılması gerekenler

• —Aydınlatma metnini formun yanında, gönderim anından önce erişilebilir kılın
• —Pazarlama amaçlı iletişim için ayrı ve isteğe bağlı bir onay alanı koyun; tedavi/hizmet süreciyle birleştirmeyin
• —Onay kutularını önceden işaretlemeyin ve onayı hizmetin ön şartı hâline getirmeyin
• —Formda gereksiz sağlık verisi toplamayın — 'ilgilendiğiniz işlem' alanı gerçekten gerekli değilse kaldırın
• —Rıza kayıtlarını zaman damgası ve kapsamıyla saklayın; ispat yükü veri sorumlusundadır
• —Form verisinin gittiği e-posta, CRM ve tablo gibi tüm duraklar için veri işleyen sözleşmelerini imzalayın

Kısa kontrol listesi

• —VERBİS: klinik eşiği 10 çalışan / 10 milyon TL — durumunuzu kontrol edin
• —Aydınlatma metni yayımda ve veri toplama noktasında görünür
• —Çerez politikası ayrı bir belge olarak erişilebilir
• —Çerez banner'ı kategori bazlı; reddetme kabul kadar kolay
• —İzleme etiketleri rıza gelene kadar bloke
• —Pazarlama onayı ayrı, isteğe bağlı ve önceden işaretsiz
• —Rıza kayıtları arşivleniyor
• —Yurt dışı aktarım için uygun güvence mekanizması kurulu

İdari para cezaları Kanun'un 18. maddesinde düzenlenir ve her yıl yeniden değerleme oranında güncellenir; aydınlatma yükümlülüğünün ve veri güvenliğine ilişkin yükümlülüklerin ihlali ayrı ayrı yaptırıma bağlanmıştır. Güncel tutarlar Kurum'un yayımladığı tablodan takip edilmelidir.