Diyetisyenler için KVKK: danışan verisi ve açık rıza

Diyetisyen KVKK açısından çoğu durumda danışan kayıtlarının veri sorumlusudur. Danışanın tahlili, ölçümleri ve hastalık öyküsü özel nitelikli kişisel veri olan sağlık verisidir ve ancak Kanun'da sayılan şartlardan biriyle ve Kurul'un belirlediği önlemlerle işlenebilir. Dikkat edilmesi gerekenler üç başlıkta toplanır: danışanı aydınlatmak, gerekiyorsa ayrı bir metinle açık rıza almak ve veriyi güvenle saklamak.

Bu yazı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun güncel metnine ve Kişisel Verileri Koruma Kurulu'nun kararlarına dayanan bir rehberdir. Bu yazı hukuki görüş değildir. Kendi çalışma düzeninizde hangi yükümlülüğün nasıl uygulanacağını bir hukukçuyla değerlendirin.

Diyetisyen KVKK kapsamında neden özel bir durumda?

Kanun, kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen kişiye veri sorumlusu der (md. 3). Danışanlarınızı kabul ettiğiniz, formu siz tasarladığınız ve hangi bilgiyi neden topladığınıza siz karar verdiğiniz için serbest çalışan bir diyetisyen çoğu durumda kendi danışan kayıtlarının veri sorumlusudur. Bir program, bulut depolama ya da e-posta hizmeti kullanmanız bu rolü ortadan kaldırmaz; veriyi sizin adınıza işleyen kişi veri işleyendir ve Kanun, veri sorumlusunu onunla birlikte müştereken sorumlu tutar (md. 12/2).

Diyetisyenin durumunu özel kılan, topladığı verinin niteliğidir. Kanun sağlık verisini özel nitelikli kişisel veriler arasında sayar (md. 6/1). Anamnezdeki hastalık öyküsü, kullanılan ilaçlar, getirilen tahlil sonuçları ve ölçümler bu kapsamda düşünülmelidir. Bu bilgilerin hangilerini toplamanız gerektiğini diyetisyen anamnez formu yazımızda anlattık; bu yazı, topladığınız veriyle ne yapmanız gerektiğine odaklanır.

Sağlık verisi hangi şartlarla işlenebilir?

Kanun'un genel kuralı, kişisel verinin açık rıza olmadan işlenemeyeceğidir; 5. madde bunun istisnalarını, örneğin sözleşmenin kurulması ya da ifası için gerekli olmayı ve hukuki yükümlülüğü sayar. Sağlık verisi için ise ayrı ve daha dar bir liste geçerlidir.

1. madde 2024'te 7499 sayılı Kanun'la yeniden düzenlendi. Güncel metne göre özel nitelikli veriler kural olarak işlenemez; ancak 6. maddenin 3. fıkrasında sayılan hâllerden biri varsa işlenebilir. Diyetisyen için öne çıkan iki bent şunlardır:

• İlgili kişinin açık rızası (md. 6/3-a).
• Sır saklama yükümlülüğü altındaki kişilerce ya da yetkili kurum ve kuruluşlarca; koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri gibi amaçlarla gerekli olması (md. 6/3-e).

Hangi bentin sizin hizmetinize uyduğu, hizmetin niteliğine ve mesleki statünüze bağlı bir hukuki değerlendirmedir; bunu kendi başınıza karara bağlamayın. Hangi şarta dayanırsanız dayanın iki yükümlülük değişmez: Kurul'un belirlediği yeterli önlemlerin alınması şarttır (md. 6/4) ve danışanın aydınlatılması gerekir (md. 10).

Kanun'un 4. maddesi de her işlemede uyulacak ilkeleri sayar: hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ve yalnızca gerekli süre kadar saklama.

Aydınlatma ile açık rıza: iki ayrı belge

Diyetisyenlerin en sık karıştırdığı konu budur. Aydınlatma bir bilgilendirmedir; açık rıza bir onaydır. Kurul'un 2018/90 sayılı kararına göre aydınlatmanın amacı ilgili kişinin bilgi sahibi olmasıdır ve herhangi bir onaya bağlı değildir. Açık rıza ise işlemenin hukuki dayanağını oluşturur. Danışan aydınlatma metnini okuyup bilgi sahibi olsa da metindekilere rıza göstermek zorunda değildir.

Aydınlatma metninde neler yer alır?

Kanun'un 10. maddesine göre veri elde edilirken danışana şunlar bildirilir:

• veri sorumlusunun (sizin) kimliği,
• verilerin hangi amaçla işleneceği,
• verilerin kimlere ve hangi amaçla aktarılabileceği,
• veri toplamanın yöntemi ve hukuki sebebi,
• danışanın 11. maddedeki hakları.

Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı ilke kararına ilişkin duyurusu, aydınlatmanın hangi hukuki sebebe dayanılırsa dayanılsın veri işlenmeye başlanmadan önce yapılması gerektiğini vurgular. Duyuru; metnin sade ve kısa olmasını, Kanun'un 11. maddesini olduğu gibi kopyalamak yerine haklara kısaca atıf yapılmasını ve başka bir veri sorumlusunun metninin uyarlanmadan kullanılmamasını ister. İnternetten indirilen hazır bir şablon bu yüzden ancak başlangıç olabilir.

Diyetisyen danışan onam formu ne içermeli?

Günlük dilde "onam formu" denen belge, KVKK açısından açık rıza metnidir. Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar (md. 3). Kişisel Verileri Koruma Kurumu'nun açık rıza rehberi buradan şu sonuçları çıkarır:

• Rıza somut bir konuyla sınırlı olmalıdır. "Her türlü veri işleme faaliyeti" gibi genel ifadeler geçersiz sayılır.
• Rıza, danışanın olumlu bir irade beyanını içermelidir.
• Yazılı alınması zorunlu değildir, ama ispat yükü veri sorumlusundadır.
• Rıza her zaman geri alınabilir ve geri alma ileriye dönük sonuç doğurur.

Kurul'un 2026/347 sayılı ilke kararına ilişkin duyurusuna göre açık rızaya dayanılıyorsa aydınlatma ve açık rıza metinleri ayrı başlıklar altında, ayrı metinler olarak hazırlanmalıdır. Aynı sayfadaysalar alt alta durmalı ve her biri için ayrı beyan alınmalıdır. "Aydınlatma metnini okudum ve onaylıyorum" türünden tek bir onay kutusu bu yüzden uygun değildir. İşleme açık rıza dışındaki bir şarta dayanıyorsa danışana ayrıca açık rıza metni sunulmaz; yalnızca aydınlatma yapılır.

Mesleki uygulama için sağlık mevzuatının aradığı bilgilendirilmiş rıza ise ayrı bir konudur; anamnez formu yazımızda bu forma değindik.

Açık rıza ve paylaşım onayının danışanın ekranında nasıl göründüğünü kendi örnek danışanınızla görmek isterseniz Demo hesabı isteyin.

Diyetisyen KVKK kontrol listesi: 6 soru

Aşağıdaki sorular kendi düzeninizi gözden geçirmeniz içindir. Her birinin yanıtını yazılı tutmak, hem aydınlatma metninizi hazırlamayı hem de bir başvuruya yanıt vermeyi kolaylaştırır.

1. Hangi veriyi topluyorsunuz?

Formunuzdaki, programınızdaki ve telefonunuzdaki bütün alanları listeleyin: kimlik ve iletişim, ölçümler, tahliller, öğün fotoğrafları, görüşme notları, ödeme kayıtları. Her alanın yanına hizmetinize ne kattığını yazın. Plan için gerekmeyen bir bilgiyi toplamamak, amaçla bağlantılı, sınırlı ve ölçülü olma ilkesinin (md. 4/2-ç) en somut uygulamasıdır.

2. Neden ve hangi hukuki sebeple topluyorsunuz?

Her veri grubu için amacı ve dayandığınız şartı eşleştirin. İletişim ve ödeme bilgisi için 5. maddedeki şartlar, sağlık verisi için 6. maddenin 3. fıkrası söz konusudur. Amaç belirli, açık ve meşru olmalıdır (md. 4/2-c). Bu eşleştirme, aydınlatma metninizin iskeletidir.

3. Nerede saklıyorsunuz?

Veri sorumlusu, verinin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almak zorundadır (md. 12/1). Kurul'un 2018/10 sayılı kararı sağlık verisi için bu tedbirleri somutlaştırır. Elektronik ortamdaki önlemleri danışan takibi nasıl yapılır yazımızda özetledik. Kararın diyetisyenler için sık atlanan diğer maddeleri şunlardır:

• Sağlık verisinin güvenliği için ayrı bir politika ve prosedür hazırlamak.
• Asistan ya da sekreter gibi çalışanlara düzenli eğitim vermek, gizlilik sözleşmesi yapmak, erişim yetkilerini tanımlamak ve işten ayrılanın yetkisini derhal kaldırmak.
• Kâğıt dosyaların durduğu ortamı yangın, su baskını ve hırsızlığa karşı korumak ve yetkisiz girişi engellemek.

4. Kimlerle ve hangi kanaldan paylaşıyorsunuz?

Danışan verisinin geçtiği her kanalı yazın: WhatsApp, e-posta, bulut depolama, muhasebeci, diyetisyen programı. Kurul kararı e-postayla aktarımda verinin şifrelenmesini ve kurumsal e-posta ya da kayıtlı elektronik posta (KEP) kullanılmasını, kâğıt evrakta kaybolma ve yetkisiz görülme riskine karşı önlem alınmasını ister. Kanalın verisi yurt dışında işleniyorsa, Kanun'un 2024'te değişen 9. maddesindeki şartlar devreye girer; ayrıntısını yapay zekâ ve diyetisyen yazımızda anlattık. Bu kanallar ve alıcılar aydınlatma metninde de yer almalıdır (md. 10).

5. Ne kadar saklıyorsunuz?

Veri, ilgili mevzuatta öngörülen ya da işlendiği amaç için gerekli olan süre kadar saklanır (md. 4/2-d). İşlenmesini gerektiren sebepler ortadan kalktığında veri, kendiliğinden ya da danışanın talebiyle silinir, yok edilir ya da anonim hâle getirilir (md. 7/1); diğer kanunlardaki saklama hükümleri ise saklıdır (md. 7/2). Hizmeti biten danışanın dosyasını ne zaman ve nasıl kapatacağınızı yazılı bir kurala bağlayın; süreyi bir hukukçuyla belirleyin.

6. Danışan başvurduğunda ne yapacaksınız?

Kanun'un 11. maddesi danışana, verisinin işlenip işlenmediğini öğrenme, bilgi isteme, aktarıldığı üçüncü kişileri bilme, düzeltme ve silme isteme ve zararının giderilmesini talep etme gibi haklar tanır. Danışan bu taleplerini yazılı olarak ya da Kurul'un belirlediği diğer yöntemlerle iletir (md. 13/1). Siz de talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırırsınız; reddederseniz gerekçesini yazılı ya da elektronik ortamda bildirirsiniz (md. 13/2 ve 13/3).

Veri ihlali olursa

Telefonunuz çalındı ya da bir dosya yanlış kişiye gitti diyelim. Kanun, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini ister (md. 12/5). Böyle bir durumda kimi arayacağınızı ve neyi kayda geçireceğinizi önceden belirlemek, panik anında yanlış adım atmanızı önler.

Kalyn'de açık rıza ve veri talepleri nasıl işler?

Danışanınız davet bağlantınızla kaydolurken sağlık verisi açık rızasını ve sizinle paylaşım onayını uygulamada verir; ardından panelinize bağlanır. Veri indirme ve silme taleplerini de uygulamadan iletir. Veriler Türkiye'deki sunucularda saklanır; bağlantılar ve yedekler şifrelenir, şifreler geri döndürülemez biçimde saklanır. Sağlık verisi yalnızca açık rızayla işlenir; diyetisyen ve yönetici erişimleri kayıt altına alınır. Veri indirme ve hesap silme her hesapta yapılabilir.

Yapay zekâ ile öğün analizi için kullanılan sağlayıcı yurt dışındadır; ona yalnızca fotoğraf ya da not gider, ad ve iletişim bilgisi gitmez. Danışanlarınız ücretsiz kullanır.

Kalyn bu akışlar için araç sağlar; kendi danışmanlık hizmetinizdeki yükümlülükleri sizin yerinize üstlenmez. Muayenehanede, telefonda ya da kâğıt formda topladığınız veriler için aydınlatma, saklama ve başvuru düzeninizi yine kendiniz kurarsınız. Program seçerken bu konuda sorulacak soruları diyetisyen programı nasıl seçilir yazımızda topladık.

Kalyn ile danışan verisini tek yerde yönetmek

Açık rızanın, paylaşım onayının ve danışan taleplerinin WhatsApp yazışmaları ve kâğıt formlar arasında dağılmasını istemiyorsanız, Kalyn'in bu akışlarını kendi örnek danışanlarınızla görebilirsiniz. Size özel bir demo hesabı açarız: Demo hesabı isteyin. Paketler etkin danışan sayısına göre ayrılır; ayrıntılar için Paketleri inceleyin. Açık rıza akışı ya da verilerin saklandığı yerle ilgili sorularınız için Bize yazın.