KVKK Uyumlu Klinik Web Sitesi Tasarımı: Yasal Zorunluluklar ve Hasta Güveni 2026

Sağlık Sektöründe Kişisel Veri: Hasta Bilgisi Neden 'Özel Nitelikli'?

6698 sayılı kanuna göre isim, soyisim, telefon numarası gibi bilgiler standart kişisel verilerdir. Ancak kişilerin ırkı, etnik kökeni, siyasi düşüncesi, genetik verileri ve SAĞLIK verileri 'Özel Nitelikli Kişisel Veri' olarak tanımlanır. Bu verilerin işlenmesi (toplanması, kaydedilmesi, saklanması) çok daha sıkı şartlara bağlanmıştır.

Web sitenizdeki randevu formunda hastanın 'Şikayetiniz' bölümüne yazdığı 'Diş ağrısı' veya 'Burun estetiği olmak istiyorum' cümlesi, o kişinin sağlık verisidir. Bu veriyi web siteniz üzerinden alıp, şifresiz bir e-posta ile kendi Gmail hesabınıza yönlendirmeniz bile açık bir ihlaldir.

Bu nedenle, sağlık profesyonellerinin ve kliniklerin web siteleri, standart bir e-ticaret sitesinden çok daha yüksek güvenlik (SSL, HSTS, Şifrelenmiş Veritabanı) ve yasal onay mekanizmaları (Açık Rıza) ile tasarlanmak zorundadır.

Web Sitesinde Bulunması Zorunlu KVKK Dokümanları (Eksiksiz Liste)

Klinik sitenizin 'footer' (alt) kısmında ve veri toplayan form alanlarında belirli hukuki metinlerin, kullanıcı tarafından kolayca erişilebilir şekilde yer alması zorunludur. Bunlar standart şablonlar değil, kliniğinizin veri işleme süreçlerine özel yazılmış olmalıdır.

1. Aydınlatma Metni: Hangi verilerin, hangi amaçla toplandığını, ne kadar süre saklanacağını ve kimlerle (muhasebeci, bulut sunucu vb.) paylaşılacağını açıklar. 2. Çerez (Cookie) Politikası: Sitede çalışan analiz (Google Analytics) veya pazarlama (Facebook Pixel) çerezlerini listeler. 3. Açık Rıza Beyanları: Verinin işlenmesi ve özellikle ticari elektronik ileti (SMS/Mail kampanyaları) gönderimi için alınan izindir. 4. Veri Sahibi Başvuru Formu: Hastanın, 'Bende hangi verileriniz var, bunları silin' talebini iletebilmesi için hazırlanan resmi iletişim kanalıdır.

Bu belgelerin sadece sayfaya konulması yetmez; randevu formunu dolduran hastanın bu metinleri okuyup onayladığına dair sisteminizde zaman damgalı (timestamp) bir dijital kayıt tutulmalıdır (Loglama).

Açık Rıza Mekanizması: 'İşaretli Checkbox' Neden Yasa Dışı?

En sık yapılan yazılım/tasarım hatası, hastanın karşısına çıkan 'Aydınlatma metnini okudum, kabul ediyorum' veya 'Bana SMS gönderilmesini onaylıyorum' kutucuklarının (checkbox) sayfa açıldığında önceden işaretli (pre-ticked) olarak gelmesidir.

KVKK Kurulu'nun ilke kararlarına göre, açık rıza 'aktif bir eylem' ile verilmelidir. Kullanıcı, kendi hür iradesiyle fareye tıklayarak veya ekrana dokunarak o kutucuğu işaretlemelidir. Ayrıca 'hizmet şartı' olarak açık rıza dayatılamaz. Yani 'Bana pazarlama SMS'i atılmasına izin vermezsen, randevu da alamazsın' gibi bir kurgu yasa dışıdır.

Form mimarisinde, Aydınlatma Metni için zorunlu (required) bir checkbox bulunurken, Pazarlama/SMS onayı için isteğe bağlı (optional) ayrı bir checkbox kurgulanmalıdır.

Hasta Formu Veri Akışı: Şifreli Sunucudan İYS Entegrasyonuna

Web sitenizden form gönderildiğinde veri nereye gidiyor? Eğer hastanın sağlık şikayeti ve iletişim bilgileri doğrudan sitenin bağlı olduğu basit bir SMTP sunucusu üzerinden şifresiz e-posta (plain text) olarak gönderiliyorsa, aradaki bir siber saldırgan (Man-in-the-Middle) bu verileri rahatlıkla okuyabilir.

Uniqord medikal altyapılarında, formdan gelen veri anında veritabanında şifrelenir (Encryption) ve kliniğin CRM veya Hasta Takip Sistemine güvenli API'ler (HTTPS/SSL tünelleri) ile aktarılır.

Ayrıca, 'Kampanyalardan haberdar olmak istiyorum' kutusunu işaretleyen hastanın numarası, yasal zorunluluk gereği İYS'ye (İleti Yönetim Sistemi) otomatik olarak kaydedilmeli ve SMS gönderimleri yalnızca bu sistem üzerinden onayı olan kişilere yapılmalıdır.

Çerez (Cookie) Yönetimi: Analitik vs. Pazarlama Çerezi Ayrımı

Avrupa'daki GDPR ve Türkiye'deki KVKK yönergeleri uyarınca, web sitenize giren bir kullanıcının tarayıcısına anında pazarlama çerezleri yerleştiremezsiniz. Siteye ilk girişte çıkan 'Çerez Başlangıç Uyarı Aracı' (Cookie Consent Banner) hayati öneme sahiptir.

Kullanıcıya 'Tümünü Kabul Et', 'Tümünü Reddet' veya 'Tercihleri Yönet' seçenekleri sunulmalıdır. Zorunlu (Sitenin çalışması için gereken) çerezler dışındaki Analitik (Analytics) ve Pazarlama (Facebook Pixel, Google Ads Remarketing) çerezleri, kullanıcı 'Kabul Et' butonuna basana kadar kesinlikle devreye girmemelidir (Script engelleme).

Bu altyapıyı kurmamak, hastanın rızası olmadan onu internette reklamlarla takip etmek anlamına gelir ki bu da ciddi idari para cezası sebebidir.

KVKK İhlal Senaryoları ve Ceza Tablosu (Gerçek Davalar)

Geçmiş yıllarda Kişisel Verileri Koruma Kurulu tarafından sağlık kurumlarına kesilen cezalar, durumun ciddiyetini ortaya koymaktadır. Örneğin, bir estetik kliniği, hastasının öncesi/sonrası fotoğraflarını hastanın açık rızası (yazılı izin belgesi) olmadan Instagram ve web sitesinde yayınladığı için yüz binlerce lira ceza ödemiştir.

Bir başka örnekte, WhatsApp üzerinden alınan randevu taleplerinde hastaya aydınlatma yapılmadığı ve sağlık verilerinin yurt dışı merkezli sunucularda (WhatsApp'ın kendisi dahil) yasal prosedürlere uyulmadan işlendiği gerekçesiyle idari yaptırımlar uygulanmıştır.

Veri ihlali (hacklenme) durumunda ise, kliniğin bu durumu 72 saat içinde Kurul'a bildirme zorunluluğu vardır. Web siteniz hacklenir ve hasta listesi çalınırsa, altyapınızın teknik tedbirleri (güvenlik duvarı, sızma testi eksikliği vb.) yeterli bulunmazsa ceza katlanarak artar.

Uyumlu Sitenin Hasta Dönüşümüne Katkısı (+%35 Form Doldurma)

KVKK uyumluluğunu sadece yasal bir külfet olarak görmek büyük bir yanılgıdır. Modern, bilinçli ve özellikle yabancı (Sağlık Turizmi) hastalar veri güvenliğine son derece önem vermektedir. GDPR standartlarına alışkın bir Avrupalı hasta, sitenizdeki profesyonel çerez politikası ve güvenlik sertifikalarını gördüğünde markanıza olan güveni artar.

Verilerinin üçüncü şahıslara satılmayacağından, şifrelenerek korunduğundan emin olan hastalar, randevu formlarını doldururken daha rahat hissederler. A/B testlerimize göre, açık ve anlaşılır bir gizlilik taahhüdü bulunan ve 'Verileriniz güvende' ibaresi taşıyan iletişim formlarının doldurulma (dönüşüm) oranları, bulunmayanlara göre %35 daha yüksektir.

Yasal uyumluluk, kliniğinizin dijital itibarının ve kurumsal profesyonelliğinin en büyük göstergelerinden biridir.

Sıkça Sorulan Sorular

Klinik sahiplerinin web sitesi KVKK uyumluluğu hakkında en sık sorduğu hukuki ve teknik sorular.