Klinik WhatsApp ve KVKK: Hasta Mesajında Sağlık Verisi

Bir klinik hastasıyla WhatsApp'tan ya da Instagram DM'den yazışabilir; ama o yazışma bir sohbet değil, sağlık verisi taşıyan bir kayıttır ve KVKK'nın özel nitelikli veri kurallarına tabidir. Sorun genellikle kanalın kendisinde değil, kanalın kimin elinde durduğundadır: resepsiyon görevlisinin kişisel telefonunda yürüyen bir hasta yazışmasını klinik ne yönetebilir ne silebilir ne de çalışan ayrıldığında geri alabilir. Bu yazı, diş, estetik ve muayenehane gibi küçük ve orta ölçekli kliniklerin mesajlaşma kanallarını kanal kanal nasıl değerlendireceğini, hangi mevzuat hükmünün nerede devreye girdiğini ve kişisel telefondan kurumsal bir kanala nasıl geçileceğini anlatıyor.

Baştan bir sınır çizelim: aşağıdaki metin mevzuatın lafzına dayanıyor ama hukuki görüş değildir. Kliniğinizin hangi işleme şartına dayanacağı, yurt dışı aktarım için hangi yolu seçeceği gibi kararlar bir KVKK danışmanı ya da avukatla birlikte verilmelidir. Bizim yapabildiğimiz, sorunun nerede durduğunu göstermek ve kanal kurulumunda hangi soruların sorulması gerektiğini sıralamak.

Hasta yazışması bir sağlık verisi kaydıdır

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi sağlığa ilişkin verileri özel nitelikli kişisel veri sayar. Bir hastanın "dolgum düştü, yarın gelebilir miyim" diye yazdığı mesaj, adı ve telefon numarasıyla birlikte, kimin hangi şikâyetle kliniğe başvurduğunu gösteren bir sağlık verisidir. Randevu saatini teyit eden kısa bir mesaj bile hangi kişinin hangi uzmanlık dalına başvurduğunu ortaya koyar.

Bu tespit pratik bir sonuç doğurur. Kliniğin hasta dosyası için aldığı önlemler, hasta dosyasına giren bilginin bir kopyasını taşıyan mesaj geçmişi için de düşünülmelidir. Dosya kilitli dolaptayken aynı bilginin bir çalışanın telefonunda, şifresiz ve yedeği kişisel buluta giden bir sohbet listesinde durması, korunan alanın dışında ikinci bir arşiv yaratır.

Kanunun 12. maddesi veri sorumlusuna kişisel verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için "gerekli her türlü teknik ve idari tedbirleri" alma yükümlülüğü getiriyor. Mesaj kanalı bu tedbirlerin dışında kalan bir köşe değildir.

Kişisel telefonda yürüyen klinik iletişiminin dört riski

Kişisel telefon ve kişisel WhatsApp hesabı üzerinden yürüyen hasta iletişimi, küçük kliniklerde çoğu zaman bilinçli bir karar değil, kendiliğinden oluşmuş bir alışkanlıktır. Kliniği açan hekim numarasını vermiştir, sonra resepsiyon görevlisi kendi telefonundan yazmaya başlamıştır. Bu düzenin dört somut riski var.

Erişim kontrolü yok. Telefonu kimin açtığı, kimin hangi sohbeti okuduğu kayıt altında değildir. Telefon kaybolursa ya da çalınırsa içindeki hasta yazışmaları da gider.

Yedekleme kliniğin elinde değil. Kişisel hesabın sohbet yedeği, çalışanın kendi bulut hesabına gider. Klinik o yedeğin nerede durduğunu, ne kadar süre tutulduğunu ve kimin erişebildiğini bilmez.

Silme ve düzeltme yapılamaz. Hasta verisinin silinmesini isterse klinik, çalışanın telefonundaki kopyayı silmesini ancak rica edebilir. Kanunun 7. maddesi, işlenmesini gerektiren sebepler ortadan kalktığında verinin silinmesini, yok edilmesini ya da anonim hale getirilmesini veri sorumlusuna yüklüyor.

Kurumsal hafıza kaybolur. Hastanın üç ay önce yazdığı alerji bilgisi ya da tedavi tercihi, yalnızca o çalışanın telefonunda durur. Çalışan izne çıktığında ya da işten ayrıldığında bu bilgi kliniğin elinden çıkar.

Bu dört riskin hiçbiri WhatsApp'a özgü değildir. Aynı sorun kişisel Instagram hesabından yürüyen DM yazışmasında, kişisel e-posta adresinden gönderilen tahlil sonucunda da vardır. Belirleyici olan, kanalın kliniğe mi yoksa kişiye mi ait olduğudur.

Fotoğraf, tahlil, reçete: mesajla gelen özel nitelikli veri

Mesaj kanalının en hassas kısmı ekleridir. Estetik kliniğine "bu bölge için ne önerirsiniz" diye gönderilen bir fotoğraf, diş kliniğine gönderilen bir röntgen görüntüsü ya da muayenehaneye iletilen bir kan tahlili sonucu, yazılı mesajdan çok daha fazla sağlık bilgisi taşır. Üstelik bu dosyalar telefonun galerisine iner, oradan başka uygulamalara ve yedeklere yayılır.

Kliniğin burada önceden karar vermesi gereken üç şey var. Birincisi, hangi eklerin mesaj kanalından kabul edileceği. Ön değerlendirme için fotoğraf istemek bir hizmet gereği olabilir; ama bu karar bilinçli verilmeli ve hastaya fotoğrafın nereye kaydedileceği söylenmeli. İkincisi, gelen eklerin hasta dosyasına nasıl aktarılacağı ve aktarıldıktan sonra mesaj kanalındaki kopyanın ne olacağı. Üçüncüsü, telefon galerisine otomatik kaydın kapatılması; bu tek ayar, eklerin kontrolsüz yayılmasını büyük ölçüde keser.

Bir de tanıtım boyutu var. Hastanın ön değerlendirme için gönderdiği bir fotoğraf, onun izni olmadan sosyal medyada "önce ve sonra" paylaşımına dönüşemez. Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik'in (Resmî Gazete, 12 Kasım 2025, sayı 33075) 7. maddesinin (b) bendi, hastaya ait bir görselin kullanılması için hastanın, küçük ya da kısıtlıysa veli veya vasisinin açık rızasını ve Hasta Hakları Yönetmeliği'ne uyumu şart koşuyor. Görsel paylaşımın diğer koşullarını estetikte sosyal medya paylaşım kuralları yazımızda ayrı ayrı inceledik.

Aydınlatma: hasta metni nerede ve ne zaman okumalı

Aydınlatma, kişisel verinin elde edildiği anda yapılması gereken bilgilendirmedir. Kanunun 10. maddesi bu bilgilendirmenin içeriğini sayıyor: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin 11. maddedeki hakları.

Mesaj kanalında sorun zamanlamadır. Hasta ilk mesajını yazdığı anda veri toplanmaya başlamıştır ve o anda önüne bir metin konmamıştır. Pratikte üç yer bu boşluğu kapatır:

• Web sitesindeki WhatsApp düğmesinin hemen yanı. Düğmeye basmadan önce görülen kısa bir cümle ve aydınlatma metnine bağlantı.
• İşletme hesabının otomatik karşılama mesajı. Kurumsal bir kanalda ilk yanıt, aydınlatma metninin kısa özetini ve tam metnin bağlantısını taşıyabilir.
• Instagram profilindeki iletişim bilgisi. DM'den randevu alınıyorsa profil açıklamasında ya da sabit bir paylaşımda metne yol gösterilir.

Aydınlatma metni genel bir web sitesi metninin kopyası olmamalıdır. Mesaj kanalına özgü soruları cevaplamalı: yazışmalar nerede tutuluyor, kimler okuyor, mesajlaşma hizmetini sağlayan şirket kim ve gönderilen fotoğraf ya da belge ne oluyor. Sohbet asistanı kullanan kliniklerde bu metnin nasıl kurulacağını chatbot KVKK yükümlülükleri yazısında ayrıntılı anlattık; insan yürüttüğü bir kanalda da aynı sorular geçerlidir.

Hangi işleme şartı: açık rıza her sorunun cevabı değil

Özel nitelikli verinin işlenmesi kural olarak yasaktır ve ancak kanunda sayılan şartlardan biri varsa mümkündür. 7499 sayılı Kanunla 2024'te değiştirilen 6. maddenin üçüncü fıkrası bu şartları sayıyor. Kliniklerin mesaj kanalı açısından en çok tartışılan ikisi şunlar: (a) bendindeki "ilgili kişinin açık rızasının olması" ve (e) bendindeki "sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması".

Hangi yazışmanın hangi şarta dayanacağı somut duruma bağlıdır ve bu yazı bunu sizin yerinize belirleyemez. Söyleyebileceğimiz şu: her mesajın başına bir rıza kutusu koymak, doğru şartı seçmenin yerini tutmaz. Rıza geri alınabilir bir iradedir; tedavinin yürütülmesi için gereken bir yazışmayı tamamen rızaya bağlamak, rıza geri alındığında ne olacağı sorusunu cevapsız bırakır. Buna karşılık tanıtım amaçlı bir mesaj, görsel paylaşımı ya da tedavi dışı bir amaç için başka bir değerlendirme gerekir.

Aynı maddenin dördüncü fıkrası ayrıca şunu söylüyor: "Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır." Yani doğru şartı bulmak tek başına yetmez; erişim yetkisi, şifreleme ve çalışan eğitimi gibi önlemler de beklenir. Kliniğinizin bu önlemleri hangi Kurul kararına göre kurduğunu danışmanınızla birlikte yazılı hale getirin.

Yurt dışı sunucu ve aktarım sorusu

Mesajlaşma hizmetini sağlayan şirketin verileri nerede işlediği, yurt dışına aktarım sorusunu doğurabilir. Kanunun 9. maddesi de 2024'te değişti ve artık üç basamaklı bir yapı kuruyor: aktarım yapılacak ülke için Kurul'un verdiği bir yeterlilik kararı; bu yoksa standart sözleşme, bağlayıcı şirket kuralları gibi "uygun güvenceler"; bunlar da yoksa yalnızca "arızi olmak kaydıyla" sayılan istisnai haller. Standart sözleşme imzalandığında, maddenin beşinci fıkrasına göre "beş iş günü içinde" Kurum'a bildirilmesi gerekiyor.

Bir kliniğin hasta yazışmasını yurt dışında veri işleyen bir mesajlaşma hizmeti üzerinden yürütmesinin hukuken nasıl nitelendirileceği, hizmetin türüne (kişisel uygulama, işletme uygulaması ya da bir çözüm ortağı üzerinden API) ve sözleşme yapısına göre değişebilir. Bu ayrımı burada kesin bir hükme bağlamıyoruz. Yapılması gereken somut iş şudur: kullandığınız ya da kullanmayı düşündüğünüz hizmetin verileri hangi ülkelerde işlediğini sağlayıcının kendi belgelerinden yazılı olarak öğrenin, varsa veri işleme sözleşmesini isteyin ve bu bilgiyi danışmanınızla birlikte değerlendirin. Aynı soru, yazışmaları özetleyen ya da cevap öneren bir yapay zeka aracı eklendiğinde yeniden sorulmalıdır.

İzinsiz tanıtım mesajı: yönetmelik ne diyor

Hastayla aynı kanaldan randevu yazışması yapmak ile o kanaldan kampanya duyurusu göndermek aynı şey değildir. Tanıtım yönetmeliğinin 5. maddesinin (k) bendi şöyle diyor: "Kişilerin bilgi ve rızaları olmaksızın kişisel telefonları aranamaz, mektup, kısa ileti, elektronik posta ve sosyal paylaşım araçları vasıtasıyla ileti gönderilerek tanıtım ve bilgilendirme yapılamaz."

Aynı maddenin (m) bendi ise tanıtımda fiyat, indirim, kampanya ya da promosyon bilgisi verilmesini yasaklıyor. Yani bir sağlık tesisi açısından "beyazlatmada bu ay indirim" türünden bir toplu mesaj, rıza alınmış olsa bile ayrı bir sınıra takılır. Yönetmeliğin 6. maddesinin ikinci fıkrası da tanıtım faaliyetlerinin 6698 sayılı Kanun'a, 3359 sayılı Kanun'un ek 19. maddesine ve Kişisel Sağlık Verileri Hakkında Yönetmelik'e uygun yürütüleceğini hükme bağlıyor.

Pratik ayrım şöyle kurulabilir. Hastanın kendi randevusuyla ilgili hatırlatma, randevu değişikliği ve tedavi sonrası kontrol bilgisi hizmetin yürütülmesine dönük mesajlardır. Yeni bir tedaviyi tanıtan, kampanya duyuran ya da kliniği öne çıkaran mesaj ise tanıtım sınıfına girer. Randevu hatırlatmasının otomatik kurulumunu WhatsApp hatırlatma otomasyonu konulu yazıda anlattık; o akışta da mesaj içeriğinin hatırlatmanın ötesine geçmemesi gerekir.

Çalışan ayrılınca yazışmalar ne olur

Çalışan işten ayrıldığında kişisel telefonundaki hasta yazışmaları onunla birlikte gider. Klinik bu yazışmalara erişmek istese bile, telefona teknik olarak ulaşabilmesi ona hukuki bir erişim yetkisi vermez.

Kişisel Verileri Koruma Kurulu 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararında bunu açıkça ayırıyor: işverenin bir cihaz ya da sistem üzerinde teknik erişim imkânına sahip olması, çalışanın "kişisel anlık mesajlaşma uygulaması" gibi özel iletişim alanlarındaki yazışmalara serbestçe erişebileceği anlamına gelmiyor. Aynı karar, iş ilişkisi sona erdikten sonra kurumsal hesaplardaki verilerin işlenmesinin hukuki dayanağının ayrıca değerlendirilmesi gerektiğini ve iş ilişkisinin bitmesinin verilerin "süresiz olarak erişilebilir veya işlenebilir olduğu anlamına" gelmediğini de yazıyor.

Kararın konusu işverenin çalışanlara ait iletişim kanallarını denetlemesidir; hasta verisini ayrıca düzenlemiyor. Aşağıdaki çıkarım, kararı klinikteki hasta yazışmasına uygulayan bizim okumamızdır. Bu okumaya göre hasta yazışması bir çalışanın kişisel hesabında yürüdükçe, klinik o yazışmanın hem sahibi hem de yöneticisi olamaz. Hasta verisi kliniğin sorumluluğundadır ama fiilen kliniğin elinde değildir. Bu boşluğu sonradan kapatmanın yolu yoktur; tek çözüm, yazışmanın baştan kliniğe ait bir kanalda yürümesidir. Karar aynı zamanda kurumsal kanalda da sınırsız bir denetim yetkisi tanımıyor: çalışanların önceden ve somut biçimde bilgilendirilmesini, erişimin görevli belli sayıda kişiyle sınırlanmasını ve erişim kayıtlarının tutulmasını bekliyor.

Saklama ve silme takvimi

Mesaj kayıtları için tek bir saklama süresi yazmıyoruz, çünkü süre yazışmanın türüne göre değişir. Hasta dosyasına giren bilgiler (teşhis, tedavi planı, onam) sağlık kaydı olarak kendi mevzuatına tabidir. Yalnızca randevu teyidi içeren yazışmalar ise amacı gerçekleştiğinde Kanunun 7. maddesindeki silme yükümlülüğüne konu olur.

Uygulanabilir bir takvim üç sınıfla kurulabilir:

Takvimin işlemesi için iki koşul gerekir: yazışmaların kliniğe ait bir kanalda durması ve silme işinin bir kişinin görev tanımına yazılması. Kişisel telefonda bu iki koşulun ikisi de sağlanamaz. Kişisel Sağlık Verileri Hakkında Yönetmelik'te 4 Temmuz 2026'da Resmî Gazete'de yayımlanan değişikliği ise dördüncü bölümün başlığını, 13. maddenin ikinci fıkrasını değiştiriyor ve tanıların yeniden değerlendirilmesine ilişkin yeni bir 13/A maddesi ekliyor; mesajlaşma kanalları, rıza ya da yurt dışı aktarım hakkında yeni bir hüküm getirmiyor.

Kanal kanal risk tablosu ve kurumsal kanala geçiş

Aşağıdaki tablo, kliniklerde en sık kullanılan dört kanalı yönetilebilirlik açısından karşılaştırıyor. Değerlendirme hukuki değil işletimseldir: kanalın kliniğin kontrolünde olup olmadığına bakar.

Uygulama ile API arasındaki farkı, ücretlendirme modeliyle birlikte WhatsApp Business API ücretlendirmesi başlıklı yazıda ayrıntılı karşılaştırdık.

Geçiş için dört haftalık bir sıra yeterlidir. İlk hafta, hastaların bugün hangi numaralara ve hangi hesaplara yazdığının envanterini çıkarın. İkinci hafta, kliniğe ait tek bir numara ve işletme hesabı açın; aydınlatma metnini bu kanala göre yazın. Üçüncü hafta, web sitesindeki, harita kayıtlarındaki ve sosyal profillerdeki iletişim bilgilerini yeni kanala çevirin; eski kişisel numaralara yazan hastaya yeni kanalı bildiren kısa bir yanıt hazırlayın. Dördüncü hafta, eski kanallardaki tedaviye ilişkin bilgileri hasta dosyasına aktarın ve aktarılan kopyaları silin.

Klinik ekibinin bir haftada kapatabileceği riskler ve hukukçu soruları

Envanter çıkarmak, kliniğe ait bir numara açmak, telefon galerisine otomatik kaydı kapatmak ve saklama sınıflarını yazmak klinik ekibinin kendi başına yapabileceği işlerdir. Bunlar için harcanacak zaman birkaç günle sınırlıdır ve en büyük riski, yani hasta verisinin kişisel hesaplarda dağınık durmasını, kapatır.

Üç noktada uzman desteği gerekir. Hangi işleme şartına dayanılacağı, yurt dışı aktarım için hangi yolun seçileceği ve aydınlatma metninin son hali bir KVKK danışmanının ya da avukatın işidir. Mesaj kanalına bir sohbet asistanı ya da otomatik yanıt eklenecekse, kurulumun teknik tarafında bilgi tabanı, insan temsilciye devir ve kayıt erişimi gibi kararlar gerekir; bu kurulumun kapsamını müşteri hizmetleri yapay zeka asistanı sayfamızda anlattık. Kliniğin dijital işlerini dışarıya veriyorsanız, ajansa hangi mevzuat sorularını sormanız gerektiğini klinik ajansına sorulacak mevzuat soruları başlıklı yazıda sıraladık.

Web sitesinde ve sosyal medyada kullanılan ifadeler de aynı yönetmeliğe tabidir; hangi ifadelerin sorun yarattığını doktor sitesinde yasak ifadeler yazımızda madde madde listeledik. Klinik sitesi, randevu ve iletişim kanalı kurulumunu bir arada değerlendirmek isterseniz diş ve estetik klinikleri çözümleri sayfamız kapsamı gösteriyor. Bu yazıdaki hiçbir bilgi hukuki görüş değildir; kliniğinize özgü kararlar için bir hukukçuya danışın.

Sıkça Sorulan Sorular

Klinik hastayla WhatsApp'tan yazışabilir mi?

Yazışabilir; KVKK mesajlaşma uygulamasını yasaklayan bir hüküm içermiyor. Ama hasta yazışması sağlık verisi taşıdığı için özel nitelikli veri kurallarına tabidir: bir işleme şartına dayanmalı, hastaya aydınlatma yapılmalı ve Kurul'un belirlediği yeterli önlemler alınmalıdır. Pratikte en önemli adım, yazışmanın çalışanın kişisel telefonunda değil kliniğe ait bir numara ve işletme hesabında yürümesidir. Bu bilgi hukuki görüş değildir.

Hasta WhatsApp'tan fotoğraf gönderirse klinik ne yapmalı?

Fotoğraf sağlık verisidir ve yazılı mesajdan daha fazla bilgi taşır. Klinik, hangi görüntüleri mesaj kanalından kabul ettiğini önceden belirlemeli, gelen görüntüyü hasta dosyasına aktarıp mesaj kanalındaki kopyayı silmeli ve telefon galerisine otomatik kaydı kapatmalıdır. Hastanın gönderdiği bir görüntü, Tanıtım ve Bilgilendirme Yönetmeliği'nin 7. maddesi gereği hastanın açık rızası olmadan tanıtımda kullanılamaz.

Instagram DM'den gelen randevu talebi nasıl ele alınır?

DM'de hastadan şikâyet ayrıntısı, fotoğraf ya da tahlil istemeden, randevu için kliniğin kurumsal kanalına yönlendirmek en kontrollü yoldur. DM'den randevu alınmaya devam edilecekse hesabın kliniğe ait olması, erişimin belli kişilerle sınırlanması ve profilde aydınlatma metnine yol gösterilmesi gerekir. Kişisel bir Instagram hesabından yürüyen hasta yazışması, kişisel telefondaki WhatsApp ile aynı riskleri taşır.

Klinikte hasta mesajları ne kadar süre saklanmalı?

Tek bir süre yoktur. Tedaviye giren bilgiler hasta dosyasına aktarılıp sağlık kaydı olarak kendi mevzuatına göre saklanır; yalnızca randevu ve lojistik içeren yazışmalar ise amacı gerçekleştiğinde KVKK'nın 7. maddesi gereği silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Kliniğin saklama politikasında her yazışma sınıfı için yazılı bir süre ve silme işinden sorumlu bir kişi belirlenmesi gerekir.

Kliniğe yazan hastaya kampanya mesajı gönderilebilir mi?

Sağlık tanıtım yönetmeliğinin 5. maddesi, kişilerin bilgi ve rızası olmadan kısa ileti ve sosyal paylaşım araçlarıyla tanıtım yapılamayacağını yazıyor. Aynı madde fiyat, indirim ve kampanya bilgisinin tanıtımda kullanılmasını da yasaklıyor. Bu yüzden hastanın randevu yazışması, ona kampanya duyurusu göndermek için bir izin sayılmaz. Bu bilgi hukuki görüş değildir.