Klinikler için KVKK: aydınlatma metni ve açık rıza
Yayın tarihi: 19 Ekim 2026İnceleme: 19 Ekim 20267 dk okuma
Bu sayfada
Klinik KVKK'da hangi roldedir?
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi ya da kurumdur. Hastaların başvuru, randevu, tedavi ve ödeme bilgilerini kendi işi için toplayan klinik, muayenehane ya da hastane bu verilerin veri sorumlusudur. Kullandığınız yazılımın sağlayıcısı ise veriyi sizin verdiğiniz yetkiyle, sizin adınıza işleyen veri işleyendir.
Kanun'un 12. maddesine göre veri sorumlusu gerekli teknik ve idari tedbirleri almak zorundadır ve veriyi onun adına işleyenle birlikte bu tedbirlerden sorumludur. Bu yüzden yazılım sağlayıcınızla bir veri işleme sözleşmesi yapın ve hangi tedbirleri aldığını öğrenin.
Aydınlatma metni ile açık rıza arasındaki fark nedir?
- Dayanağı
- Aydınlatma metniKanun md. 10 ve Aydınlatma Tebliği
- Açık rıza metniKanun md. 3, 5 ve 6
- Amacı
- Aydınlatma metniVerinin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlendiğini, kime aktarıldığını anlatmak
- Açık rıza metniBelirli bir işleme için kişinin özgür iradesiyle izin vermesi
- Ne zaman gerekir?
- Aydınlatma metniHer veri işlemede, işleme başlamadan önce
- Açık rıza metniYalnızca işlem açık rıza şartına dayanıyorsa
- Kişiden alınan beyan
- Aydınlatma metniOkudum ve anladım
- Açık rıza metniAçık rıza veriyorum ya da vermiyorum
- Geri alınabilir mi?
- Aydınlatma metniOnay olmadığı için geri alınacak bir şey yoktur
- Açık rıza metniEvet, dilediği zaman ve ileriye dönük olarak
Sağlık verisi neden ayrı kurallara tabi?
Kanun'un 6. maddesi sağlık verisini özel nitelikli kişisel veri sayar ve ancak maddede sayılan şartlardan biri varsa işlenmesine izin verir. Şartlar, 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun değişikliğiyle yeniden yazıldı.
Klinikler için en önemli şart 6/3-e bendidir: sır saklama yükümlülüğü altındaki kişiler ve yetkili kuruluşlar, teşhis, tedavi ve bakım gibi amaçlarla gerekli olduğunda sağlık verisini işleyebilir. Açık rıza, kanunlarda açıkça öngörülme ve bir hakkın korunması için zorunluluk da şartlar arasındadır. Ön değerlendirme ya da fotoğrafların tanıtımda kullanılması gibi işlemlerin hangi şarta dayanacağını kliniğinizin durumuna göre belirleyin.
Sağlık verisi için hangi önlemler gerekir?
Özel nitelikli veri işlerken Kurul'un belirlediği yeterli önlemler de şarttır (md. 6/4). Kurul'un 2018/10 sayılı kararı şunlar gibi önlemleri sayar:
- Personel eğitimi ve gizlilik sözleşmeleri.
- Düzenli olarak gözden geçirilen erişim yetkileri.
- Şifreleme.
- Veriye kimin ne zaman eriştiğini gösteren işlem kayıtları.
- Uzaktan erişimde en az iki kademeli kimlik doğrulama.
Aydınlatma metninde neler olmalı?
Kanun'un 10. maddesi ve Aydınlatma Tebliği'ne göre en az şunlar. Haklar için “Kanun'un 11. maddesi kapsamındaki haklarınız” demek yeterlidir.
- Veri sorumlusunun kimliği: kliniğin unvanı, adresi ve iletişim bilgileri.
- Kişisel verilerin hangi belirli, açık ve meşru amaçlarla işlendiği.
- Her amacın hukuki sebebi, yani Kanun'un 5. ve 6. maddelerindeki hangi şarta dayandığı.
- Verilerin kimlere ve hangi amaçla aktarılabileceği; yurt dışına aktarım varsa bu da.
- Verilerin hangi yöntemle toplandığı: form, telefon, e-posta, yüz yüze görüşme gibi.
- Kişinin hakları ve bunlar için size nasıl başvuracağı.
Açık rıza ne zaman ve nasıl alınır?
Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Kurum'a göre “her türlü veri işleme faaliyeti” gibi konusu belirsiz genel rızalar geçersizdir. Rıza elektronik ortamda da alınabilir ama ispatı veri sorumlusuna düşer; kişi rızasını dilediği zaman geri alabilir.
Klinikte açık rıza çoğunlukla tedavinin kendisi dışındaki işlemlerde gündeme gelir, örneğin hasta fotoğraflarının tanıtımda kullanılmasında. Pazarlama iletileri ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'a tabidir ve alıcının önceden onayını gerektirir. Bu onayı da aydınlatmadan ve sağlık verisine ilişkin rızadan ayrı tutun.
Klinikler için KVKK kontrol listesi
- Verinin girdiği her kanalı çıkarın: web formu, telefon, WhatsApp, e-posta, ön değerlendirme, fotoğraflar, randevu ve ödeme.
- Her kanalda aydınlatma metnini veri toplanmadan önce gösterin ve okunduğunu kaydedin.
- Sağlık verisi için dayandığınız hukuki sebebi belirleyin; açık rızaysa ayrı bir rıza metni kullanın.
- Fotoğrafların tanıtımda kullanılması ve pazarlama iletileri için ayrı rıza ve onay alın.
- Saklama sürelerini belirleyin; süresi dolan verileri silin, yok edin ya da anonim hâle getirin (md. 7).
- Kişilerin başvurularını en geç 30 gün içinde sonuçlandıracak bir süreç kurun (md. 13).
- Hizmet sağlayıcılarınızla veri işleme sözleşmesi yapın, erişimi görevle sınırlayın ve VERBİS durumunuzu kontrol edin.
VERBİS kaydı gerekir mi?
Kanun'un 16. maddesine göre veri sorumluları, veri işlemeye başlamadan önce Veri Sorumluları Sicili'ne (VERBİS) kaydolur; Kurul istisna tanıyabilir. Kurul'un 2025/1572 sayılı kararıyla, ana faaliyeti özel nitelikli veri işlemek olan veri sorumlularından yalnızca yıllık çalışan sayısı 10'dan ve yıllık mali bilanço toplamı 10 milyon TL'den az olanlar kayıttan muaftır.
Kurum'un 12 Ocak 2026 tarihli duyurusuna göre bilanço esasına göre defter tutanlarda iki ölçütten birinin aşılması kayıt yükümlülüğü doğurur; bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır. Muafiyet yalnızca sicile kaydı ilgilendirir, diğer yükümlülükler aynen sürer.
Sık yapılan hatalar
- Aydınlatma ve açık rızayı tek metinde birleştirmek ya da tek kutuyla almak.
- Aydınlatma metni için “okudum, kabul ediyorum” ya da “açık rıza veriyorum” beyanı istemek.
- Başka bir kurumun metnini kendi süreçlerinize uyarlamadan kopyalamak.
- “Verileriniz Kanun'un 5. ve 6. maddeleri kapsamında işlenir” gibi amacı ve hukuki sebebi belirsiz ifadeler kullanmak.
- Yurt dışına aktarımı olduğundan farklı göstermek: yokken varmış gibi yazmak ya da varken hiç söz etmemek.
Klinikbook'ta nasıl yapılır?
Klinikbook hukuki danışmanlık vermez. Metinlerinizi hazırlamanıza, yayımlamanıza ve kişilerin kararlarını kayıt altına almanıza yardım eder.
Metinleri şablondan hazırlayın
Uyum merkezindeki Türkiye paketi, aydınlatma metnini ve sağlık verisi için açık rıza metnini kliniğinizin bilgileriyle doldurulmuş ayrı şablonlar olarak getirir. Çalışma alanınızı açtığınızda ikisi de yayımlanmış gelir.
Sürüm olarak yayımlayın
Metni düzenleyip yeni sürüm olarak yayımlarsınız. Hasta portalında güncel sürüm görünür; eski sürümler okunabilir kalır.
Rızayı ayrı alın
Başvuru formları ve randevu sayfası aydınlatma metninize bağlanır; ön değerlendirmede açık rıza ayrıca istenir. Her karar, metnin sürümüyle kişinin rıza geçmişine yazılır.
Talepleri süresinde sonuçlandırın
Kopya, düzeltme, silme, kısıtlama ve itiraz taleplerini son tarihiyle izleyin. Kararı siz verirsiniz, işlemi Klinikbook yapar ve kişiye bildirim gider.
Bu konuda daha fazlası
Klinikbook'un sunucuları şu anda Almanya'dadır; Türkiye paketi bunu aydınlatma metninizde 9. madde kapsamında yurt dışına aktarım olarak yazar.
Sık sorulan sorular
Aydınlatma metni ile açık rıza aynı şey mi?
Hayır. Aydınlatma her veri işlemede yapılan bir bilgilendirmedir ve onay gerektirmez. Açık rıza ise yalnızca işlem açık rıza şartına dayanıyorsa, ayrı bir metin ve ayrı bir beyanla alınır.
Klinik tedavi için hastadan açık rıza almak zorunda mı?
Kanun'un 6/3-e bendi, sır saklama yükümlülüğü altındaki kişilere ve yetkili kuruluşlara teşhis ve tedavi amacıyla gerekli olduğunda sağlık verisini işleme imkânı verir. Hangi işlemin bu şarta, hangisinin açık rızaya dayanacağını bir avukatla belirleyin.
Hastanın veri talebine ne kadar sürede yanıt vermeliyim?
Kanun'un 13. maddesine göre en kısa sürede ve en geç 30 gün içinde. İşlem ayrı bir maliyet gerektirmiyorsa ücret alınmaz.
Kliniğim VERBİS'e kayıt olmalı mı?
Ana faaliyeti sağlık verisi işlemek olan bir veri sorumlusu, yalnızca yıllık çalışan sayısı 10'dan ve yıllık mali bilanço toplamı 10 milyon TL'den azsa kayıttan muaftır. Rakamlarınızı mali müşavirinizle birlikte kontrol edin.
Hastalarıma kampanya mesajı gönderebilir miyim?
Ticari elektronik iletiler, 6563 sayılı Kanun'a göre alıcının önceden verdiği onayla gönderilebilir. Bu onayı ayrı alın ve sağlık hizmetlerinin tanıtımına ilişkin kuralları da ayrıca kontrol edin.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (güncel metin) — Mevzuat Bilgi Sistemi
- 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun — Resmî Gazete, 12 Mart 2024
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ — Resmî Gazete, 10 Mart 2018
- Açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi hakkında ilke kararı (2026/347) — Resmî Gazete, 24 Mart 2026
- VERBİS kayıt istisnasına ilişkin Kurul kararı (2025/1572) — Resmî Gazete, 1 Ekim 2025
- 2025/1572 sayılı kararın uygulama esaslarına ilişkin kamuoyu duyurusu — Kişisel Verileri Koruma Kurumu, 12 Ocak 2026
- Aydınlatma Yükümlülüğü — Kişisel Verileri Koruma Kurumu
- Açık Rıza Alırken Dikkat Edilecek Hususlar — Kişisel Verileri Koruma Kurumu
- Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber — Kişisel Verileri Koruma Kurumu, Şubat 2025
- Kişisel Verilerin Yurt Dışına Aktarılması Rehberi — Kişisel Verileri Koruma Kurumu, Ocak 2025
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun — Mevzuat Bilgi Sistemi
İlgili sayfalar
30 gün ücretsiz deneme
Klinikbook'u kendi ekibinizle deneyin
Bütün özellikler 30 gün boyunca açık; başlamak için kredi kartı gerekmez.