Yabancı Hastalarda KVKK ve Sağlık Verilerinin Yurt Dışına Aktarılması: Sağlık Turizminde Özel Nitelikli Kişisel Verilerin Korunması ve Hukuki Sorumluluk

Yabancı Hastalarda KVKK ve Sağlık Verilerinin Yurt Dışına Aktarılması: Sağlık Turizminde Özel Nitelikli Kişisel Verilerin Korunması ve Hukuki Sorumluluk Geçersiz midir?

Sağlık turizmi kapsamında Türkiye’deki özel hastaneler, tıp merkezleri, klinikler, poliklinikler ve acenteler tarafından tedavi edilen yabancı hastaların kimlik, iletişim, pasaport, tanı, teşhis, tahlil, ameliyat görselleri, estetik öncesi/sonrası fotoğrafları ve epikriz raporları özel nitelikli kişisel veri statüsündedir.

Yabancı hastaların tıbbi verilerinin toplanması, yurt dışındaki acentelerle, sigorta şirketleriyle, otellerle veya hastanın kendi ülkesindeki hekimlerle paylaşılması (aktarılması), 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde son derece sıkı emredici kurallara tabidir.

Özellikle 2024 yılında KVKK’nın 9. maddesinde yapılan köklü değişiklikler ve uluslararası veri transferi rejimindeki yeni düzenlemeler doğrultusunda, yabancı hastaların sağlık verilerinin işlenmesi ve yurt dışına aktarılmasında temel hukuki esaslar şu başlıklar altında şekillenmektedir:

• Özel Nitelikli Veri Statüsü: Tıbbi öykü, tahlil, tanı, tıp raporları ve estetik operasyon fotoğraflarının en yüksek koruma rejimine tabi olması.

• Aydınlatma Yükümlülüğü ve Açık Rıza: Yabancı hastanın ana dilinde, açık, şeffaf ve anlaşılır şekilde bilgilendirilmesi ve özgür iradesiyle rıza vermesi.

• Yurt Dışına Veri Aktarımında Yeni Rejim (KVKK m. 9): Yeterlilik kararı, uygun güvenceler (standart sözleşmeler) veya arızi/istisnai haller çerçevesinde aktarım yapılması.

• Sosyal Medyada Görsel Paylaşımı Yasakları: Hastanın estetik öncesi ve sonrası (before/after) fotoğraflarının izinsiz ve usulsüz şekilde reklamlarda veya sosyal medyada yayınlanmasının hukuki ve cezai yaptırımları.

• Veri Sorumluları Sicili (VERBİS) ve Teknik/İdari Tedbirler: Sağlık kuruluşlarının ve acentelerin veri güvenliğini sağlama yükümlülükleri.

Sağlık verilerinin usulsüz işlenmesi veya hukuka aykırı şekilde yurt dışına aktarılması; fahiş idari para cezaları, ruhsat iptali, Türk Ceza Kanunu (TCK) kapsamında hapis cezası ve yabancı hastaya yüksek tutarlı tazminat ödeme yükümlülüğü doğurmaktadır.

Yabancı Hastaların Sağlık Verileri KVKK Kapsamında Hangi Statüdedir?

KVKK m. 6 uyarınca kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Yabancı hastanın;

• Tıbbi geçmişi, laboratuvar tahlil sonuçları, röntgen/MR görüntüleri,

• Ameliyat notları, estetik operasyon öncesi ve sonrası fotoğrafları,

• Kan grubu, bulaşıcı hastalık bilgileri, kullandığı ilaçlar

doğrudan sağlık ve cinsel hayata ilişkin özel nitelikli veri kabul edilir. Bu verilerin işlenmesi, genel kişisel verilere göre çok daha ağır ve emredici kurallara tabidir.

Yabancı Hastanın Sağlık Verileri Açık Rıza Olmadan İşlenebilir mi?

Kural olarak hayır. KVKK m. 6/2 gereğince özel nitelikli kişisel verilerin hastanın açık rızası olmaksızın işlenmesi yasaktır.

Kanunda yer alan istisnai hallerde (kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi); sağlık verileri ancak sır saklama yükümlülüğü altında bulunan kişiler (hekimler) veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilir.

Ancak hastanın verilerinin acenteye verilmesi, pazarlama faaliyetlerinde kullanılması veya yurt dışındaki sigorta şirketine gönderilmesi gibi durumlarda hastanın özgür iradeyle verilmiş açık rızası şarttır.

Yabancı Hastaya Verilen KVKK Aydınlatma Metni Yabancı Dilde Olmak Zorunda mıdır?

Evet. KVKK uyarınca aydınlatma yükümlülüğünün yerine getirilmesinde esas olan, bilgilendirmenin ilgili kişinin anlayabileceği açık, net ve sade bir dille yapılmasıdır.

Yabancı hastaya yalnızca Türkçe veya yetersiz bir İngilizce ile sunulan aydınlatma metinleri hukuken geçersiz kabul edilir. Hastanın tam olarak neye onay verdiğini anlamadığı durumlarda sakat bir rıza söz konusu olur ve Kişisel Verileri Koruma Kurulu (KVKK) tarafından sağlık kuruluşuna idari para cezası uygulanır.

Yabancı Hastanın Sağlık Verilerinin Yurt Dışına Aktarılması (KVKK m. 9) Nasıl Yapılır?

2024 yılında yapılan kanun değişikliği ile KVKK m. 9 uyarınca yurt dışına veri aktarımı rejiminde 3 kademeli bir sistem benimsenmiştir:

• 1. Yeterlilik Kararı: Kişisel Verileri Koruma Kurulu tarafından verinin aktarılacağı ülkenin yeterli korumaya sahip olduğuna karar verilmiş olması.

• 2. Uygun Güvenceler: Yeterlilik kararı yoksa; taraflar arasında Kuruluşça ilan edilen Standart Sözleşme (Standard Contractual Clauses – SCC) imzalanması veya Bağlayıcı Şirket Kuralları (BCR) tesis edilmesi.

• 3. Arızi / İstisnai Haller: Yeterlilik kararı ve uygun güvence yoksa; hastanın muhtemel riskler hakkında bilgilendirilerek arılilik göstermek (sürekli olmamak) kaydıyla açık rıza vermesi veya sözleşmenin ifası için aktarımın zorunlu olması.

Yabancı Hastanın Verileri Yurt Dışındaki Acenteye veya Sigorta Şirketine Nasıl Aktarılır?

Türkiye’deki hastane veya klinik, yabancı hastanın epikriz raporlarını veya tahlillerini hastanın kendi ülkesindeki aracı acenteye, yönlendiren doktora veya özel sigorta şirketine göndermek istediğinde;

• Hastadan aktarımın amacını ve kapsamını net olarak belirten açık rıza alınmalı,

• Hastane ile yurt dışındaki acente/sigorta şirketi arasında KVKK’ya uygun Veri Aktarım Sözleşmesi (Standart Sözleşme) akdedilmeli ve Kişisel Verileri Koruma Kurumu’na bildirilmelidir.

Aksi takdirde yapılan her e-posta gönderimi veya dosya paylaşımı hukuka aykırı veri aktarımı teşkil eder.

Yabancı Hastanın Estetik Öncesi ve Sonrası (Before/After) Fotoğraflarının Sosyal Medyada Paylaşılması Yasak mıdır?

Evet, açık rıza ve özel izin olmadan paylaşılması kesinlikle yasaktır. Hastanın estetik operasyon, dental tedavi veya saç ekimi öncesi/sonrası fotoğrafları biyometrik ve sağlık verisi niteliğindedir.

Hasta matbu bir forma imza atmış olsa dahi;

• Fotoğraf paylaşımının ticari/reklam amaçlı olduğu açıkça belirtilmemişse,

• Hastanın kimliğini ortaya çıkaracak yüz, dövme veya belirgin izler gizlenmemişse,

• Hasta rızasını sonradan geri çekmişse (rıza her zaman geri alınabilir),

bu fotoğrafların Instagram, Facebook, TikTok veya internet sitesinde yayınlanması TCK m. 136 (Verileri Hukuka Aykırı Olarak Yayma) kapsamında hapis cezasını ve fahiş KVKK idari para cezalarını doğurur.

Yabancı Hastanın Açık Rızasını Dilediği Zaman Geri Çekme (Revocation) Hakkı Var mıdır?

Evet. Kişisel verilerin korunması temel bir insan hakkı olduğundan, yabancı hasta daha önce verilerinin işlenmesi, pazarlamada kullanılması veya yurt dışına aktarılması için verdiği açık rızayı dilediği zaman, hiçbir gerekçe göstermeksizin geri çekebilir.

Rıza geri çekildiği andan itibaren sağlık kuruluşu ve acente, verileri işlemeyi ve yurt dışına aktarmayı derhal durdurmak, varsa yayınlanan görselleri sistemlerinden silmek zorundadır.

Yabancı Hastanın Verileri WhatsApp, Telegram veya Bulut Sistemleri (Cloud) Üzerinden Gönderilebilir mi?

Sunucuları yurt dışında bulunan WhatsApp, Telegram, Google Drive, Dropbox veya iCloud gibi platformlar üzerinden yabancı hastanın röntgen, tahlil, pasaport veya epikriz raporlarının gönderilmesi doğrudan yurt dışına veri aktarımı sayılır.

Sağlık kuruluşunun veya doktorun kişisel WhatsApp hesabından hastaya ait tıbbi verileri yurt dışına iletmesi, KVKK m. 9’daki aktarım şartlarına uyulmadığı takdirde açık bir veri ihlali (data breach) teşkil eder.

Yabancı Hastanın Kendi Ülkesindeki GDPR (AB Genel Veri Koruma Tüzüğü) Hükümleri Türkiye’de Uygulanır mı?

Evet. Yabancı hasta Avrupa Birliği (AB) vatandaşı veya AB üyesi bir ülkede ikamet ediyorsa, GDPR m. 3/2 (Ekstra-teritoryal etki) gereğince AB sınırları dışındaki Türk hastaneleri ve acenteleri de GDPR hükümlerine tabi olur.

AB vatandaşlarına mal veya hizmet sunan (sağlık turizmi yapan) Türk sağlık kuruluşları, hem Türk KVKK mevzuatına hem de AB GDPR mevzuatına aynı anda uymakla yükümlüdür. GDPR ihlallerinde verilen cezalar şirketin küresel cirosunun %4’üne kadar ulaşabilmektedir.

Sağlık Turizmi Acentesi ve Hastane Arasında KVKK Açısından Nasıl Bir İlişki Vardır?

Sağlık turizmi acentesi ile tedaviyi uygulayan hastane/klinik arasındaki ilişki genellikle Veri Sorumlusu – Veri İşleyen veya Müşterek Veri Sorumlusu ilişkisidir.

• Acente: Hastanın verilerini ilk toplayan ve hastaneye ileten konumda olduğu için Veri Sorumlusudur.

• Hastane: Tıbbi teşhis ve tedaviyi yürüten kurum olarak Veri Sorumlusudur.

Her iki taraf da aralarında yazılı bir Veri İşleme Sözleşmesi (Data Processing Agreement – DPA) akdetmek ve verilerin güvenliğinden müteselsilen sorumlu olmak zorundadır.

Yabancı Hastaya Ait Tıbbi Kayıtlar ve Fatura Bilgileri Saklanmak Zorunda mıdır?

Evet. KVKK m. 7 uyarınca kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması halinde silinir veya anonim hale getirilir. Ancak kanuni saklama süreleri saklıdır.

• Sağlık mevzuatı uyarınca hasta dosyaları ve epikrizler azami 20 yıl,

• Türk Borçlar Kanunu ve Vergi Usul Kanunu uyarınca fatura ve muhasebe kayıtları 10 yıl

saklanmak zorundadır. Yabancı hasta verilerinin tamamen silinmesini talep etse dahi, kanuni saklama süresi boyunca bu veriler silinmez, ancak yalnızca yargı ve denetim makamlarının erişimine açık tutulur.

Yabancı Hastaların Sağlık Verileri İçin Hangi “Teknik ve İdari Tedbirler” Alınmalıdır?

KVKK m. 12 ve Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler Kararı uyarınca sağlık kuruluşları şu tedbirleri almak zorundadır:

• Verilerin kriptografik yöntemlerle (şifrelenerek) saklanması ve aktarılması,

• Verilere erişim yetkisi bulunan personelin (doktor, hemşire, tercüman, hasta danışmanı) yetki matrislerinin belirlenmesi ve gizlilik sözleşmesi imzalatılması,

• Verilerin saklandığı fiziksel arşivlerin ve dijital sunucuların siber saldırılara karşı güvenliğinin sağlanması.

Yabancı Hasta Verilerinin Çalınması veya Sızması (Veri İhlali) Halinde Ne Yapılmalıdır?

Hastane veya acentenin sistemlerine yapılan bir siber saldırı sonucunda yabancı hastaların verileri sızdırılırsa (data breach);

• Sağlık kuruluşu durumu öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirmek zorundadır.

• İhlalden etkilenen yabancı hastalara doğrudan ve kendi dillerinde yazılı bildirim yapılarak sızıntının kapsamı ve alınabilecek önlemler açıklanmalıdır.

Sağlık Turizmi Yapan Şirketlerin VERBİS (Veri Sorumluları Sicili) Kayıt Zorunluluğu Var mıdır?

Evet. KVKK uyarınca ana faaliyeti özel nitelikli kişisel veri işlemek olan tüm gerçek ve tüzel kişi veri sorumluları (özel hastaneler, tıp merkezleri, klinikler, doktor muayenehaneleri ve sağlık turizmi acenteleri), çalışan sayısı veya cirosuna bakılmaksızın VERBİS’e kayıt olmak zorundadır.

VERBİS kaydı yapmadan yabancı hastalardan veri toplayan ve işlem yapan sağlık kuruluşlarına Kişisel Verileri Koruma Kurulu tarafından yüksek miktarlarda idari para cezası kesilmektedir.

Yabancı Hastanın “Beni Unutma Hakkı” (Right to be Forgotten) Türkiye’de Geçerli midir?

Yabancı hastanın arama motorlarından veya sağlık kuruluşunun dijital mecralarından isminin ve fotoğraflarının tamamen kaldırılmasını isteme hakkı vardır.

Görsellerin veya yorumların internet ortamından silinmesi için hasta avukatı aracılığıyla 5651 sayılı Kanun uyarınca Erişimin Engellenmesi ve İçeriğin Çıkarılması kararı aldırabilir veya KVKK m. 11 uyarınca verilerinin silinmesini talep edebilir.

Yabancı Hastaya Çağrı Merkezi Veya Chatbot Üzerinden Verilen Hizmetlerde KVKK Nasıl İşler?

Sağlık turizmi acenteleri genellikle potansiyel yabancı hastalarla WhatsApp Web, canlı destek hatları (live chat), AI chatbotlar veya çağrı merkezleri üzerinden iletişim kurmaktadır.

Bu kanallar üzerinden hastanın adı, pasaportu ve sağlık şikayeti alındığı an aydınlatma metni bağlantısı (linki) gönderilmeli ve otomatik onay mekanizmaları kurulmalıdır. Aksi halde ilk temas anından itibaren veri ihlali meydana gelmiş olur.

KVKK İhlali Durumunda Yabancı Hastaya Karşı Ceza Sorumluluğu (TCK) Nasıl Doğar?

Yabancı hastanın kişisel verilerinin ve sağlık bilgilerinin hukuka aykırı şekilde ele geçirilmesi, kaydedilmesi veya yayılması durumunda Türk Ceza Kanunu devreye girer:

• TCK m. 135: Kişisel verilerin hukuka aykırı olarak kaydedilmesi (1 yıldan 3 yıla kadar hapis),

• TCK m. 136: Verileri hukuka aykırı olarak verme veya ele geçirme (2 yıldan 4 yıla kadar hapis),

• TCK m. 137: Suçun meslek ve sanatın sağladığı kolaylık tan yararlanmak suretiyle (hekim, sağlık çalışanı veya acente tarafından) işlenmesi halinde cezalar yarı oranında artırılır.

Veri İhlaline Uğrayan Yabancı Hastanın Tazminat Hakları Nelerdir?

KVKK m. 11/1-g ve Türk Borçlar Kanunu m. 58 uyarınca, kişisel verileri hukuka aykırı şekilde işlenen, sosyal medyada izinsiz paylaşılan veya sızdırılan yabancı hasta Maddi ve Manevi Tazminat Davası açabilir.

Yabancı hasta, itibarının zedelendiğini, özel hayatının gizliliğinin ihlal edildiğini belirterek Tüketici Mahkemelerinde veya Asliye Hukuk Mahkemelerinde avukatı aracılığıyla tazminat talep etme hakkına sahiptir.

Sağlık Turizmindeki “Hanutçu ve Simsarların” Hasta Verilerini Paylaşması Suç mudur?

Evet. Sağlık Bakanlığı’ndan ruhsatı olmayan, kayıtsız çalışan komisyoncuların veya simsarların yabancı hastaların iletişim ve sağlık bilgilerini kliniklere satması veya paylaşması organize kişisel veri ticareti suçunu oluşturur.

Bu tür kayıtsız aracılardan hasta verisi satın alan veya onlarla veri paylaşan klinik ve hekimler de suça iştirak etmiş sayılarak cezai sorumlu tutulur.

Yabancı Hastalarda KVKK İhlallerine Karşı Hangi İdari ve Yargısal Mercilere Başvurulur?

Sağlık verileri ihlal edilen, rızasız fotoğrafları paylaşılan veya verileri hukuka aykırı olarak yurt dışına aktarılan yabancı hasta şu yollara başvurabilir:

• Öncelikli olarak veri sorumlusu olan hastaneye/kliniğe yazılı başvuruda bulunmak,

• Başvurunun reddedilmesi veya yanıt verilmemesi halinde Kişisel Verileri Koruma Kurulu’na (KVKK) şikayette bulunmak,

• Türk Ceza Kanunu kapsamındaki ihlaller için Cumhuriyet Başsavcılığı’na suç duyurusunda bulunmak,

• Maddi ve manevi zararların tahsili için Türk Tüketici Mahkemelerinde tazminat davası açmak.