Sağlık Turizmi: Yabancı Hasta Verisinde KVKK ve GDPR Birlikte

Tek Hasta Dosyası, İki Veri Koruma Rejimi

Uluslararası hasta süreci çoğu zaman hasta Türkiye'ye gelmeden başlar: bir aracı kuruluş tahlil sonuçlarını ister, bir tercüman görüntüleri mesajla iletir, hekim ön değerlendirme yapar. Tedavi sonrasında epikriz raporu ve görüntüler hastanın ülkesindeki hekime ya da sigorta şirketine gider. Sağlık turizmi KVKK açısından bu zincirin her halkası sağlık verisi işleme demektir.

Bu rehberde hangi hukukun uygulanacağını, aracı kurum ve tercümanların rolünü, yurt dışına rapor gönderimini, açık rızanın dilini ve ödeme ile sigorta süreçlerini adım adım ele alıyor, sonda kurumunuzu değerlendirebileceğiniz bir uyum listesi sunuyoruz.

Hangi Hukuk Uygulanır?

Türkiye'de kurulu bir sağlık tesisi, hastanın uyruğu ne olursa olsun işlediği kişisel veriler bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) tabidir. Sağlık verisi Kanun'un 6. maddesinde özel nitelikli kişisel veri olarak sayılır ve ancak aynı maddede belirtilen şartlarla işlenebilir.

AB Genel Veri Koruma Tüzüğü (GDPR) ise 3. maddesinin ikinci fıkrasıyla, AB'de yerleşik olmayan bir veri sorumlusunu da, Birlik'teki kişilere mal veya hizmet sunmasıyla bağlantılı işlemler bakımından kapsamına alır. Avrupa Veri Koruma Kurulu (EDPB) 3/2018 sayılı rehberinde, internet sitesine AB'den erişilebilmesinin tek başına yeterli olmadığını; buna karşılık bir AB dilinin veya para biriminin kullanılması, AB ülkelerine yönelik reklam kampanyaları, AB'den ulaşım tarifleri ve bazı turistik faaliyetler gibi uluslararası nitelikteki hizmetlerin birlikte değerlendirileceğini belirtir.

Almanca veya Hollandaca internet sitesi, euro fiyat listesi ve AB ülkelerinde reklam yürüten bir klinik, bu ölçütlere göre GDPR kapsamında değerlendirilebilir. Bu durumda GDPR'ın 27. maddesi uyarınca AB'de bir temsilci atanması gündeme gelir. Aynı maddenin ikinci fıkrasındaki muafiyet, EDPB rehberine göre yalnızca arızi olan ve büyük ölçekte özel nitelikli veri işlemeyi içermeyen işlemler içindir; düzenli olarak yabancı hasta kabul eden bir sağlık kuruluşunun bu muafiyete dayanması zordur. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Aracı Kurumlar ve Tercümanlar

26.04.2025 tarihli Resmî Gazete'de yayımlanan Uluslararası Sağlık Turizmi ve Turistin Sağlığı Hakkında Yönetmelik, aracı kuruluşu sağlık turistine danışmanlık yapan; sağlık tesisi organizasyonu, konaklama, ulaşım ve transfer hizmetlerini yürüten ve yetki belgeli tüzel kişilerce işletilen kuruluş olarak tanımlar. Yönetmelik, sağlık tesisinde kabul, kayıt, tercümanlık ve aracı kuruluşlarla koordinasyon gibi işleri yürüten bir uluslararası sağlık turizmi birimi kurulmasını ve tesislerin kayıt altına aldığı kişisel sağlık verilerini KVKK'ya uygun işlemesini ayrıca hükme bağlar.

KVKK açısından ilk soru her aktörün rolüdür. Kendi danışmanlık ve organizasyon hizmeti için hastadan doğrudan veri toplayan aracı kuruluş, çoğu durumda kendi işlemleri bakımından ayrı bir veri sorumlusudur. Sağlık tesisinin talimatıyla ve yalnızca onun adına hasta dosyası taşıyan bir tercüman ya da dış hizmet sağlayıcı ise veri işleyen konumunda olabilir. Rol yanlış belirlenirse sözleşmeler, aydınlatma metinleri ve sorumluluk dağılımı da yanlış kurulur.

Aracı Kurum ve Tercüman İlişkisinde Kontrol Noktaları

Yurt Dışına Rapor ve Görüntü Gönderimi

Kişisel Sağlık Verileri Hakkında Yönetmelik, kişisel sağlık verilerinin yurt dışına aktarımında KVKK'nın 9. maddesine uyulmasını ister. 7499 sayılı Kanunla 2024'te yeniden düzenlenen 9. madde üç kademeli bir yapı kurar: önce aktarımın yapılacağı ülke için Kurul'un yeterlilik kararı aranır; yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname gibi uygun güvencelerden biri sağlanır; bunlar da yoksa ancak arızi nitelikte ve sayılan istisnai hallerden birine dayanarak aktarım yapılabilir.

Arızi aktarım, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarım olarak tanımlanır. Sağlık turizmi yapan bir kurum için hastanın ülkesindeki hekime rapor göndermek olağan iş akışının parçasıysa, bu gönderimleri yalnızca istisnalara dayandırmak zayıf bir çözüm olur. Düzenli çalışılan yurt dışı hastane, sigorta şirketi veya aracı kuruluşlarla standart sözleşme imzalanması ve sözleşmenin imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi daha sağlam bir yoldur.

Görüntülerin gönderildiği araç da bir aktarımdır. Dosya paylaşım servisleri, yurt dışında barındırılan e-posta veya mesajlaşma uygulamaları kullanıldığında veri, hizmet sağlayıcının sunucularına da aktarılmış olur. Kurumsal kanalın seçimi bu nedenle bir uyum kararıdır. Yurt dışı aktarım rehberine ilişkin özetimizi KVKK'nın uygulama rehberi yazısında bulabilirsiniz.

GDPR tarafında ise EDPB'nin 05/2021 sayılı rehberi, AB'deki hastanın verisini doğrudan Türkiye'deki kliniğe iletmesini GDPR'ın V. Bölümü anlamında bir “aktarım” saymaz. Bu, kliniği GDPR yükümlülüklerinden kurtarmaz; yalnızca yükümlülüğün aktarım kuralları yerine 3. madde üzerinden doğduğunu gösterir.

Açık Rıza ve Dil

KVKK'nın 2024'te değişen 6. maddesi, sağlık verisinin sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla gerekli olması halinde açık rıza aranmadan işlenebileceğini düzenler. Yani tedavinin kendisi için her işlemde açık rıza gerekmez. Ancak tanıtım amaçlı önce-sonra fotoğrafları, hasta hikâyelerinin paylaşılması, pazarlama iletişimi veya tedavi dışı amaçlarla aracı kuruluşa bilgi verilmesi gibi işlemler bu şartın dışında kalır ve açık rızaya ihtiyaç duyabilir.

Dil burada belirleyicidir. Aydınlatma Tebliği, bildirimin anlaşılır, açık ve sade bir dille yapılmasını ve açık rızaya dayalı işlemlerde aydınlatma ile açık rızanın ayrı ayrı alınmasını ister. Türkçe bilmeyen bir hastanın Türkçe bir metni imzalaması, rızanın bilgilendirilmeye dayandığını ispat etmeyi zorlaştırır. Hastanın anladığı dilde hazırlanmış metinler kullanılmalı, tercüman aracılığıyla bilgilendirme yapıldıysa bu durum kayda geçirilmelidir.

Aydınlatma ile açık rızanın neden ayrı tutulması gerektiğini açık rıza metinlerinin geçerliliği yazımızda örneklerle anlattık.

Ödeme ve Sigorta

Yabancı hastanın tedavisi özel sağlık sigortası, uluslararası bir asistans şirketi ya da doğrudan ödemeyle karşılanabilir. Sigorta şirketinin provizyon veya geri ödeme için tıbbi rapor istemesi, özel nitelikli verinin yurt dışına aktarımı anlamına gelir ve hem 6. hem 9. maddenin şartlarını karşılamalıdır.

Burada veri minimizasyonu, yani yalnızca gerekli verinin paylaşılması ilkesi pratik bir korumadır. Sigortacıya tüm hasta dosyası yerine talep edilen işlem için gereken rapor ve fatura gönderilmeli; faturalarda tanı bilgisine ancak ödeme için zorunluysa yer verilmelidir. Kart bilgileri tıbbi kayıtlarla aynı sistemde tutulmamalı, aracı kuruluş üzerinden alınan ödemelerde hangi tarafın hangi veriyi sakladığı sözleşmede belirlenmelidir.

Sağlık Turizmi Uyum Listesi

Aşağıdaki listeyi uluslararası hasta birimi, bilgi işlem ve hasta hakları sorumlularıyla birlikte doldurun. “Hayır” yanıtı verilen her satır öncelikli bir aksiyon demektir.

Sağlık Turizmi KVKK ve GDPR Kontrol Tablosu

Bu liste kvkkrehberi.com tarafından hazırlanmış bir çalışma aracıdır; resmî bir denetim ölçütü değildir.

Sonuç ve Sonraki Adım

Sağlık turizmi KVKK ve GDPR'ı aynı hasta dosyasında buluşturur. Güvenli bir yapı, önce hangi hukukun uygulandığını belirlemekle başlar; ardından aracı kurum ve tercüman rollerini sözleşmeye bağlamak, yurt dışı gönderimleri istisnalar yerine uygun güvencelere dayandırmak ve hastayla onun anladığı dilde konuşmakla tamamlanır.

Uyum listesindeki ilk üç soru, diğer tüm adımların yönünü belirler. Sağlık kuruluşlarına özgü diğer başlıklar için sağlık sektörü KVKK sayfamızı inceleyebilirsiniz. GDPR ile KVKK arasındaki temel farkları ise KVKK'dan GDPR'a geçiş yazımızda bulabilirsiniz.

Sık Sorulan Sorular