KVKK ve hasta verisi: pazarlamada veri kullanmanın sınırları

Kliniklerin pazarlama tarafında en sık düştüğü hata, tanıtım mevzuatına odaklanıp veri mevzuatını atlamak. Oysa bu iki çerçeve birbirinden bağımsız işler: bir kampanya Sağlık Bakanlığı yönetmeliğine tamamen uygun olabilir ve yine de kişisel verilerin korunması mevzuatını ihlal ediyor olabilir. Bu sayfa, hasta verisinin pazarlamada nerede kullanılabildiğini, nerede kullanılamadığını 6698 sayılı Kanun çerçevesinde özetler.

Hasta verisi neden en korunaklı veri kategorisi?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi, sağlığa ilişkin verileri 'özel nitelikli kişisel veri' olarak sayar. Bu kategori kanunun en yüksek koruma seviyesidir: kural olarak özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesi yasaktır. Üstelik burada 'sağlık verisi' dar yorumlanmaz — hastanın adıyla birlikte tutulan randevu kaydı, tedavi türü, ilgilendiği prosedür, hatta 'implant danışmanlığı listesi' gibi bir CRM segmenti de kişinin sağlık durumuna işaret ettiği ölçüde bu kapsama girer.

Madde 6, 2 Mart 2024 tarihli 7499 sayılı Kanun'la yeniden düzenlendi ve değişiklik 1 Haziran 2024'te yürürlüğe girdi. Aynı Kanun, yurt dışına aktarımı düzenleyen 9. maddeyi ve idari yaptırımları düzenleyen 18. maddeyi de değiştirdi. Yani bu alanda 2024 öncesine dayanan uygulama notları güncelliğini yitirmiş durumda.

Tedavi için toplanan veri, pazarlamada kullanılamaz

Kanun, sağlık verilerinin açık rıza aranmaksızın işlenebileceği bir istisna tanır: kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetleri ve finansmanının planlanması ve yönetimi amaçlarıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işleme. Klinikler hasta kaydını bu istisnaya dayanarak tutar.

Kritik nokta şu: bu listede pazarlama, reklam veya müşteri kazanımı yok. Bir veriyi hangi hukuki sebeple topladıysanız, o sebebin sınırları içinde kullanabilirsiniz. Tedavi amacıyla toplanan hasta verisini sonradan kampanya duyurusu, remarketing veya hedef kitle oluşturmak için kullanmak, amaç dışı işlemedir — ve o an için elinizde geçerli bir hukuki sebep kalmaz. Veri zaten sizde olduğu için yeni bir 'toplama' yapmıyor olmanız durumu değiştirmez; kanun açısından her yeni amaç yeni bir işleme faaliyetidir.

Pazarlama için açık rıza: neyi karşılaması gerekir?

Pazarlama amaçlı kullanım için ayrı ve geçerli bir açık rıza gerekir. Kanunun 3. maddesi açık rızayı üç unsurla tanımlar: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Uygulamada bunun anlamı:

• —Rıza metni 'her türlü amaçla' gibi genel olamaz; pazarlama amacı ayrıca ve açıkça belirtilmeli
• —Tedavi onamı ile pazarlama rızası aynı belgede, tek imzayla toplanmamalı — ayrıştırılmalı
• —Rıza, hizmetin ön şartı hâline getirilemez; 'kabul etmezseniz randevu veremeyiz' kurgusu özgür iradeyi ortadan kaldırır
• —Önceden işaretlenmiş onay kutusu geçerli bir rıza sayılmaz
• —Rıza her an geri alınabilir olmalı ve geri alma kolay bir yolla sağlanmalı
• —Rızanın alındığı an, kapsam ve yöntem ispatlanabilir şekilde kayıt altında tutulmalı — ispat yükü veri sorumlusundadır

Aydınlatma yükümlülüğü ile açık rıza ayrı şeylerdir ve biri diğerinin yerine geçmez. Kanunun 10. maddesi, verilerin elde edilmesi sırasında veri sorumlusunun kimliği, işlemenin amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin 11. maddedeki hakları konusunda bilgilendirme yapılmasını zorunlu kılar. Bu yükümlülük, açık rızaya dayanmayan işlemelerde de vardır.

CRM listesini Meta veya Google'a yüklemek

Sektörde en yaygın ve en riskli uygulama bu. Hasta iletişim bilgilerini hash'leyip Meta Custom Audience veya Google Customer Match olarak yüklemek, tek bir işlemde iki ayrı yükümlülüğü tetikler: bir yandan özel nitelikli veri işleme, diğer yandan yurt dışına veri aktarımı. Verinin hash'lenmiş olması onu kişisel veri olmaktan çıkarmaz; eşleştirme yapılabildiği sürece veri hâlâ kişiselleştirilebilir durumdadır.

Yurt dışına aktarım tarafı 2024 değişikliğiyle kökten değişti. 9. madde artık kademeli bir yapı kuruyor: önce Kurul'un yeterlilik kararı, yoksa uygun güvenceler (Kurul tarafından yayımlanan standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arasında uluslararası sözleşme), o da yoksa yalnızca arızi hâllerde sayılan istisnalar. Kurul bugüne kadar herhangi bir ülke için yeterlilik kararı vermiş değil.

Benzer hedef kitle (lookalike) sorunu

Lookalike veya benzer hedef kitle, kaynak listeden türetilir. Kaynak liste hukuka aykırı biçimde oluşturulmuşsa, ondan üretilen hedef kitle de aynı sakatlığı taşır — 'nasıl olsa artık farklı kişiler' argümanı işlemez, çünkü ihlal türetme anında değil, kaynak listenin işlenmesi ve aktarılması anında gerçekleşmiştir. Ayrıca Meta, sağlık ve zindelik kategorisindeki reklamverenler için custom ve lookalike audience kullanımına kendi politikası gereği ayrıca sınırlama getirmiş durumda; yani bu yol hem hukuken hem platform tarafında daralmış vaziyette.

SMS ve e-posta: devreye giren ikinci kanun

Hasta veritabanına kampanya SMS'i veya e-postası göndermek, KVKK'ya ek olarak 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'un kapsamına girer. Bu kanun, ticari elektronik iletiler için önceden onay alınmasını ve onayların Ticaret Bakanlığı gözetimindeki İleti Yönetim Sistemi'ne (İYS) kaydedilmesini zorunlu kılar. İki kanun paralel işler: KVKK'ya uygun olmak 6563'ten muaf tutmaz.

Onay gerektirmeyen bir alan da var. Devam eden bir hizmet ilişkisine dair bilgilendirmeler — randevu hatırlatma, tahsilat veya borç bildirimi, hizmetin kullanımına ve bakımına ilişkin bildirimler ve mevzuattan doğan bilgilendirme yükümlülükleri — ticari elektronik ileti sayılmaz. Ancak sınır nettir: bu mesajlar herhangi bir mal veya hizmetin tanıtımını, promosyonunu yapamaz. Randevu hatırlatma mesajının sonuna eklenen bir kampanya cümlesi, mesajın tamamını ticari elektronik iletiye dönüştürür ve onay yükümlülüğünü doğurur.

Tanıtım mevzuatıyla kesişen nokta

Veri tarafını çözseniz bile tanıtım mevzuatı ayrıca geçerlidir. 12 Kasım 2025 tarihli Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik, hasta ve yakınlarının teşekkür ifadeleriyle tanıtım yapılmasını (Madde 5/1-e) ve ücret, indirim, kampanya, promosyon bilgisi paylaşımını (Madde 5/1-m) yasaklıyor. Yani bir hastadan yorumunu paylaşmak için usulüne uygun açık rıza almış olmanız, o yorumu tanıtımda kullanabileceğiniz anlamına gelmez — veri hukuku engeli aşılsa da tanıtım hukuku engeli yerinde durur.

Pratik kontrol listesi

• —Pazarlama rızasını tedavi onamından ayırın; ayrı metin, ayrı onay, ayrı kayıt
• —Rıza kayıtlarını zaman damgalı ve kapsamıyla birlikte arşivleyin; ispat yükü sizde
• —Reklam platformlarına yüklediğiniz her listenin hukuki dayanağını yazılı olarak belirleyin
• —Yurt dışı aktarımı için uygun güvence mekanizmasını kurun; standart sözleşme kullanıyorsanız beş iş günlük bildirim süresini kaçırmayın
• —Web sitesi formlarında aydınlatma metnini görünür kılın ve çerez yönetimini rıza mekanizmasıyla uyumlu hâle getirin
• —SMS ve e-posta gönderimlerinde İYS kaydını ve onay durumunu gönderim öncesi doğrulayın
• —Bilgilendirme mesajlarına tanıtım cümlesi eklemeyin — mesajın niteliğini değiştirir
• —VERBİS kayıt yükümlülüğünüzün bulunup bulunmadığını kontrol edin
• —Ajans ve yazılım tedarikçilerinizle veri işleyen sıfatını düzenleyen sözleşmeleri imzalayın

Yaptırım

Kanunun 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranında güncellenir; güncel tutarlar Kurum'un yayımladığı tablodan takip edilmelidir. 2026 için aydınlatma yükümlülüğünün ihlali ve veri güvenliğine ilişkin yükümlülüklerin ihlali, ölçeği milyonlarla ifade edilen üst sınırlara sahiptir. Kurul'un sağlık kuruluşlarına yönelik kararlarında, açık rıza bulunmaksızın pazarlama amaçlı SMS gönderimi somut olarak idari para cezasına konu edilmiştir. Ayrıca 6563 sayılı Kanun kapsamında Ticaret Bakanlığı ayrı bir yaptırım uygulayabilir; iki otorite birbirinden bağımsız işler.

Ticari risk cezayla da sınırlı değil. Bir veri ihlali, sağlık verisi söz konusu olduğunda itibar tarafında telafisi güç sonuçlar doğurur — kliniğin en hassas varlığı hasta güvenidir. Pazarlama kurgusunu baştan uyumlu tasarlamak, sonradan düzeltmekten hem ucuz hem hızlıdır.