Bir ilaç veya tıbbi cihaz firması, sağlık verisi işleyen bir hastane olmadığını düşünebilir; oysa günlük faaliyetlerinin önemli bir kısmı sağlık verisine dokunur. Yan etki bildirimleri, medikal bilgi talepleri, kalite şikâyetleri, hasta destek programları, klinik araştırmalar ve gözlemsel çalışmalar hastaya ilişkin sağlık bilgisini firmaya taşır; hekimlerle ilişkiler, değer aktarımı kayıtları ve müşteri yönetim sistemleri ise sağlık meslek mensuplarının verilerini işler. Bu verilerin önemli bölümü de yurt dışındaki grup şirketlerine, küresel güvenlilik veri tabanlarına ve bulut sistemlerine gider. 2024’te 7499 sayılı Kanunla yapılan değişiklik hem özel nitelikli verilerin işlenme şartlarını hem de yurt dışına aktarım rejimini yeniden kurdu. Bu rehber, ilaç ve medikal firmalarının KVKK yükümlülüklerini madde numaralarıyla ve sektöre özgü örneklerle ele alır.
Hasta destek programınız, farmakovijilans süreciniz veya yurt dışı aktarım sözleşmeleriniz KVKK’ya uygun mu? Birlikte inceleyelim
Av. Fatma Öztürk — Hukukçular Evi Ankara · 0554 648 37 15
İçindekiler
- Hukuki çerçeve
- İlaç ve medikal firmasının veri haritası
- 7499 sonrası özel nitelikli veri rejimi
- Farmakovijilans ve medikal bilgi talepleri
- Hasta destek programları
- Sağlık meslek mensubu verileri ve değer aktarımı
- Klinik araştırmalar ve gözlemsel çalışmalar
- Yurt dışına aktarım: yeni rejim
- Sektöre özgü aktarım senaryoları
- Veri güvenliği, veri işleyenler ve ihlal bildirimi
- İlgili kişi başvuruları
- Yaptırımlar ve yargı yolu
- Örnek akış: hasta destek programı kurulması
- Kontrol listesi ve sık yapılan hatalar
- Sıkça sorulan sorular
Hukuki Çerçeve
| Metin | Hüküm | İçerik |
|---|---|---|
| 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanunla değişik; değişiklikler 1/6/2024’te yürürlükte) | m.3, m.5, m.6 | Tanımlar; genel işleme şartları; özel nitelikli verilerde yedi hukuka uygunluk sebebi ve yeterli önlemler |
| 6698 sayılı Kanun | m.9 | Yurt dışına aktarım: yeterlilik kararı, uygun güvenceler, arızi aktarım; standart sözleşme bildirimi |
| 6698 sayılı Kanun | m.10, m.11, m.12, m.13, m.14 | Aydınlatma; ilgili kişi hakları; veri güvenliği ve ihlal bildirimi; başvuru ve şikâyet |
| 6698 sayılı Kanun | m.18 | İdari para cezaları; Kurul kararlarına karşı idare mahkemesinde dava |
| Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10/7/2024, S. 32598) | m.10, m.13, m.14, m.16 | Uygun güvenceler; bağlayıcı şirket kuralları; standart sözleşme; arızi aktarım |
| TİTCK Farmakovijilans Faaliyetlerinde Kişisel Verilerin Korunması Hakkında Kılavuz (1/8/2019) | — | Yan etki bildirimlerinde kişisel verilerin işlenmesi |
| İlaçların Güvenliliği Hakkında Yönetmelik | m.28 | Farmakovijilans veri ve belgelerinin saklanması |
| Beşerî Tıbbi Ürünlerin Klinik Araştırmaları Hakkında Yönetmelik | m.20/9, m.26/1, m.44/1 | Gelecekteki araştırmalar için ayrı olur; kamuya açık kayıt; ana dosyanın saklanması |
| Beşerî Tıbbi Ürünlerin Tanıtım Faaliyetleri Hakkında Yönetmelik | m.11/7 | Değer aktarımlarında yazılı onay ve Kuruma bildirim |
Kanunun genel kuralları için işleme şartları ve açık rıza rehberine, özel nitelikli kişisel veriler rehberine ve sağlık verilerinin korunması rehberine bakılabilir.
İlaç ve Medikal Firmasının Veri Haritası
Uyumun ilk adımı, firmanın hangi kaynaktan hangi veriyi hangi amaçla topladığını gösteren bir haritadır. Sektörde tipik veri akışları şunlardır:
| Faaliyet | Kimin verisi | Özel nitelikli veri | Tipik dayanak ve not |
|---|---|---|---|
| Yan etki bildirimleri (farmakovijilans) | Hasta ve bildiren (hekim, eczacı, hasta yakını) | Evet (sağlık) | Mevzuattan doğan güvenlilik yükümlülüğü; TİTCK 2019 Kılavuzu |
| Medikal bilgi talepleri | Talep eden, bazen hasta | Çoğu zaman | Talebin cevaplanması; içinde yan etki varsa farmakovijilans süreci |
| Kalite şikâyetleri | Şikâyetçi, bazen hasta | Olabilir | Ürün güvenliği ve geri çekme süreçleri |
| Hasta destek programları | Hasta, bakım veren | Evet | Çoğunlukla açık rıza; tanıtım yasağıyla sınır |
| Klinik araştırmalar | Gönüllü, araştırmacı | Evet | Yönetmelik ve olur; kodlanmış veri de kişisel veridir |
| Gözlemsel çalışmalar ve gerçek yaşam verisi | Hasta | Evet veya anonim | Anonimleştirilmiş veri Kanun kapsamı dışında |
| Müşteri ilişkileri yönetimi ve tanıtım | Hekim, eczacı | Kural olarak hayır | Sözleşme, meşru menfaat; elektronik ileti için ayrıca onay |
| Değer aktarımı kayıtları | Hekim, eczacı, kurum | Hayır | Hukuki yükümlülük (Tanıtım Yönetmeliği m.11/7) |
| İhale ve satış | Kurum yetkilileri, depo personeli | Hayır | Sözleşme ve hukuki yükümlülük |
Bu haritanın her satırı veri envanterine işlenmeli; her işleme faaliyeti için hukuki sebep, saklama süresi, aktarılan taraflar ve yurt dışı aktarımın dayanağı ayrı ayrı gösterilmelidir. Envanter ve imha politikası için kişisel veri envanteri ve saklama-imha politikası rehberine bakılabilir.
7499 Sonrası Özel Nitelikli Veri Rejimi
Sağlık verisi özel nitelikli kişisel veridir (m.6/1) ve işlenmesi yasaktır; ancak 7499 sayılı Kanunla değişen m.6/3 yedi hâlde işlemeye izin verir. 2024 öncesindeki “sağlık verisi yalnızca açık rıza veya sınırlı sağlık amaçlarıyla işlenebilir” ayrımı kaldırılmıştır.
| Bent | Hukuka uygunluk sebebi | İlaç ve medikal firmaları bakımından |
|---|---|---|
| a | İlgili kişinin açık rızası | Hasta destek programları, pazar araştırmaları, protokol dışı gelecekteki kullanımlar |
| b | Kanunlarda açıkça öngörülmesi | Kanun düzeyinde açık bir hükmün bulunup bulunmadığı her faaliyet için ayrıca incelenmelidir |
| c | Fiili imkânsızlık nedeniyle rıza açıklayamayan kişinin veya başkasının hayatı ya da beden bütünlüğü için zorunluluk | Acil durumlar; sınırlı |
| ç | İlgili kişinin alenileştirdiği ve alenileştirme iradesine uygun veri | Sosyal medyada paylaşılan yan etki bilgisi gibi durumlarda dikkatle değerlendirilmeli |
| d | Bir hakkın tesisi, kullanılması veya korunması için zorunluluk | Ürün sorumluluğu davaları, savunma |
| e | Sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığı, koruyucu hekimlik, teşhis, tedavi ve bakım ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gereklilik | Bu bent özne şartı taşır; firmaların bu kapsama girip girmediği tartışmalıdır |
| f | İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmet ve yardım alanlarındaki hukuki yükümlülükler | Çalışan verileri |
| g | Siyasi, felsefi, dini veya sendikal amaçlı kuruluşların üyelerine yönelik işleme | Sektörle ilgisi sınırlı |
Hangi bent seçilirse seçilsin, Kurulun belirlediği yeterli önlemlerin alınması ayrıca şarttır (m.6/4); geçerli bir sebep bulunsa dahi önlemler alınmamışsa işleme hukuka aykırı hâle gelir. Aydınlatma yükümlülüğü de her durumda devam eder (m.10); açık rızaya dayanılmaması aydınlatma yapılmayacağı anlamına gelmez. Aydınlatma metninin içeriği için aydınlatma yükümlülüğü rehberine bakılabilir.
Farmakovijilans ve Medikal Bilgi Talepleri
Ruhsat sahibi, ürünlerine ilişkin şüpheli advers etki bildirimlerini toplamak, değerlendirmek ve Kuruma bildirmekle yükümlüdür. Bu bildirimler hastanın yaşı, cinsiyeti, tıbbi geçmişi, baş harfleri veya atanmış bir numara gibi sağlık verilerini ve bildirimi yapan kişinin kimlik ve iletişim bilgilerini içerir.
| Konu | TİTCK 2019 Kılavuzunun yaklaşımı (Erdem & Erdem aktarımı) | Bugünkü değerlendirme |
|---|---|---|
| Açık rıza | Farmakovijilans amacıyla açık rıza aranmaz; dayanak olarak m.6/3 ve sır saklama yükümlülüğü gösterilmiştir | Kılavuz 7499 değişikliğinden önce yayımlanmıştır; dayanak bugün m.6/3’ün yeni bentlerine göre yeniden eşleştirilmelidir |
| Diğer yükümlülükler | Açık rızanın gerekmemesi aydınlatma ve veri güvenliği yükümlülüklerinden muafiyet anlamına gelmez | Aynen geçerli |
| Bildirenin verisi | Takip için bildirenin ismi ve iletişim bilgileri gereklidir | Veri minimizasyonu gözetilerek |
| Saklama | Farmakovijilans veri ve belgeleri ruhsat geçerliliği sürdükçe ve sona erdikten sonra en az 10 yıl saklanır | İlaçların Güvenliliği Yönetmeliği m.28 |
| Yurt dışına aktarım | Yeterli koruma yoksa yazılı taahhüt ve Kurul izni | 1/6/2024’ten itibaren m.9’un yeni rejimi uygulanır |
Görüşümüze göre farmakovijilans verisinin işlenmesi, kamu sağlığının korunmasına yönelik mevzuattan doğan bir yükümlülüğün yerine getirilmesine dayanır; ancak sağlık verisi bakımından m.6/3’teki bentlerden hangisine dayanıldığı her firmanın envanterinde açıkça gösterilmeli ve Kurulun yeni rejimdeki yaklaşımı izlenmelidir. Medikal bilgi taleplerinde, talebin içinde bir yan etki bilgisi bulunduğunda veri farmakovijilans sürecine girer; bu geçiş aydınlatma metninde açıklanmalıdır. Farmakovijilans yükümlülükleri için farmakovijilans rehberine bakılabilir.
Hasta Destek Programları
Hasta destek programları; tedaviye uyumu artırmak amacıyla hatırlatma, eğitim, hemşire ziyareti, enjeksiyon desteği veya laboratuvar takibi gibi hizmetlerin firma tarafından ya da firmanın görevlendirdiği bir hizmet sağlayıcı aracılığıyla hastaya sunulduğu programlardır. Bu programlar için Kurumun ayrı bir düzenlemesini tespit edemedik; bu nedenle programın hukuki sınırları genel kurallardan çıkarılmalıdır.
| Risk alanı | Kural | Dikkat edilecek |
|---|---|---|
| Tanıtım | Reçeteli ilaçların halka tanıtımı yasaktır (1262 sayılı Kanun m.13; Tanıtım Yönetmeliği) | Programın ürün tanıtımına veya hastanın ürünü talep etmeye yönlendirilmesine dönüşmemesi |
| Hukuki sebep | Sağlık verisi özel niteliklidir (m.6) | Programa katılım ve veri işleme için ayrı, belirli ve bilgilendirilmiş açık rıza |
| Aydınlatma | m.10 | Verilerin kimlerle paylaşılacağı, saklama süresi ve yurt dışı aktarım |
| Hizmet sağlayıcı | Veri işleyen ile veri sorumlusu müteselsilen sorumludur (m.12) | Yazılı veri işleme sözleşmesi, denetim hakkı, alt yüklenici kısıtı |
| Farmakovijilans | Programda öğrenilen yan etkiler bildirim yükümlülüğüne tabidir | Personel eğitimi ve bildirim akışı |
| Satış ekipleri | Amaçla sınırlılık ilkesi (m.4) | Hasta düzeyindeki verinin satış ve pazarlama ekiplerine aktarılmaması |
| Hekimle ilişki | Avantaj yasağı ve değer aktarımı kuralları | Hekime programa hasta yönlendirme karşılığı yarar sağlanmaması |
| Sona erme | Saklama ve imha | Program bittiğinde veya hasta çekildiğinde verinin akıbeti |
Görüşümüze göre hasta destek programlarında açık rıza, programa katılımın bir şartı olarak değil, verilerin işlenmesine ilişkin ayrı bir irade beyanı olarak alınmalı; hasta rızasını geri aldığında programdan ayrılabilmeli ve bu nedenle tedavisinde bir dezavantaja uğramamalıdır. Programdan elde edilen verilerin pazar araştırması, profil çıkarma veya ticari elektronik ileti gibi başka amaçlarla kullanılması, ayrı bir hukuki sebep ve gerekiyorsa ayrı bir açık rıza gerektirir. Halka tanıtım yasağının ayrıntısı için ilaç tanıtım faaliyetleri rehberine bakılabilir.
Hasta destek programınızın açık rıza metni, hizmet sağlayıcı sözleşmesi ve farmakovijilans akışını birlikte kuralım
Av. Fatma Öztürk — Hukukçular Evi Ankara · 0554 648 37 15
Sağlık Meslek Mensubu Verileri ve Değer Aktarımı
Hekim ve eczacı verileri kural olarak özel nitelikli değildir; ancak tanıtım ziyaretleri, toplantı katılımları ve ödemeler sistematik biçimde kaydedildiğinden, bu kayıtlar da Kanunun tüm yükümlülüklerine tabidir.
| Faaliyet | Hukuki sebep ve kural | Not |
|---|---|---|
| Değer aktarımı kaydı ve Kuruma bildirim | Aylık brüt asgari ücretin %10’unu aşan aktarımlarda sağlık meslek mensubunun yazılı onayı ve izleyen yılın ilk altı ayında Kuruma bildirim (Tanıtım Yönetmeliği m.11/7) | Bildirim bir hukuki yükümlülüktür; aydınlatma ayrıca yapılır |
| Bilimsel toplantı başvuruları | Katılımcı listeleri Kuruma sunulur | Belgeler beş yıl saklanır |
| Tanıtım ziyareti kayıtları | Sözleşme veya meşru menfaat | Hekimin reçete davranışına ilişkin profil çıkarma ayrıca değerlendirilmeli |
| E-posta ve SMS ile tanıtım | Ticari elektronik ileti için alıcının onayı | 6563 sayılı Kanun kapsamında ayrıca değerlendirilir |
| Küresel müşteri yönetim sistemi | Yurt dışına aktarım | Uygun güvence (standart sözleşme veya bağlayıcı şirket kuralları) |
Değer aktarımı rejiminin ayrıntısı için hekimlere değer aktarımı rehberine bakılabilir.
Klinik Araştırmalar ve Gözlemsel Çalışmalar
| Konu | Kural | Dayanak |
|---|---|---|
| Gelecekteki kullanım | Verilerin protokol dışında gelecekteki bilimsel araştırmalarda kullanılabilmesi için ayrıca olur alınır ve bu olur her zaman geri çekilebilir | Klinik Araştırmalar Yönetmeliği m.20/9 |
| Kamuya açık kayıt | Araştırma, ilk başvurudan önce kişisel verilerin gizliliğine uyularak kamuya açık bir veri tabanına kaydedilir | m.26/1 |
| Arşiv | Ana dosya ve kayıtlar, araştırmanın bütün merkezlerde sona ermesinden sonra en az on dört yıl saklanır | m.44/1 |
| Kodlanmış veri | Gönüllü kodu kullanılsa da kodu çözme anahtarı merkezde bulunduğundan veri kişisel veri olmaya devam eder | m.3 (kişisel veri tanımı) |
| Tıbbi cihaz | Raporlarda gönüllü kodu kullanılır; kişisel veriler kamuya açıklanamaz | Tıbbi Cihaz Klinik Araştırmaları Yönetmeliği m.9 |
| Anonim veri | Kimliği belirli veya belirlenebilir kişiyle ilişkilendirilemeyen veri Kanun kapsamı dışında kalır | m.3 |
Klinik araştırma sözleşmelerinde destekleyici, merkez ve sözleşmeli araştırma kuruluşu arasındaki veri sorumlusu ve veri işleyen rolleri ile yurt dışına aktarım açıkça düzenlenmelidir. Ayrıntı için klinik araştırma sözleşmesi rehberine ve klinik araştırma izinleri sayfasına bakılabilir.
Yurt Dışına Aktarım: Yeni Rejim
7499 sayılı Kanunla değişen m.9, yurt dışına aktarımı Avrupa Birliği Genel Veri Koruma Tüzüğüne benzer basamaklı bir yapıya bağlamıştır; ayrıntılar 10/7/2024 tarihli ve 32598 sayılı Resmî Gazetede yayımlanan Yönetmelikle belirlenmiştir. Kurum Ocak 2025’te ayrıca bir Yurt Dışına Aktarım Rehberi yayımlamıştır.
| Basamak | İçerik | Dayanak |
|---|---|---|
| Ön şart | Aktarımın m.5 veya m.6’daki işleme şartlarından birine dayanması | m.9 |
| 1. Yeterlilik kararı | Kurul bir ülke, ülkedeki sektör veya uluslararası kuruluş için yeterli koruma kararı verebilir; karar en geç dört yılda bir yeniden değerlendirilir | m.9; Yönetmelik |
| 2. Uygun güvenceler | Kamu kurumları arası anlaşma ve Kurul izni; Kurul onaylı bağlayıcı şirket kuralları; Kurulca ilan edilen standart sözleşme; yeterli korumayı sağlayan taahhütname ve Kurul izni | m.9/4; Yönetmelik m.10, m.13, m.14 |
| Standart sözleşme bildirimi | Değiştirilmeden kullanılır; imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir; değişiklik ve sona erme de bildirilir | m.9/5; Yönetmelik m.14 |
| 3. Arızi aktarım | Yeterlilik kararı ve uygun güvence yoksa, yalnızca düzenli olmayan, bir veya birkaç defa yapılan, süreklilik taşımayan ve olağan faaliyet akışı dışındaki aktarımlar | m.9/6; Yönetmelik m.16 |
| Geçiş | Eski düzenlemeye göre alınan açık rıza metinleri 1/9/2024’e kadar kullanılabildi | 7499 geçiş hükmü (aktarım) |
| Arızi aktarım hâli | Açıklama |
|---|---|
| Açık rıza | İlgili kişinin olası riskler hakkında bilgilendirilerek verdiği açık rıza |
| Sözleşmenin ifası | İlgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya talebi üzerine sözleşme öncesi tedbirler |
| İlgili kişi yararına sözleşme | Veri sorumlusu ile üçüncü kişi arasında ilgili kişi yararına sözleşme |
| Üstün kamu yararı | Aktarımın üstün kamu yararı için zorunlu olması |
| Hak tesisi | Bir hakkın tesisi, kullanılması veya korunması için zorunluluk |
| Hayati menfaat | Rızasını açıklayamayan kişinin veya başkasının hayatı veya beden bütünlüğünün korunması |
| Kamuya açık sicil | İlgili mevzuattaki şartlar sağlanarak kamuya açık bir sicilden aktarım |
Kurumun Rehberine göre aktarımın üç unsuru vardır: aktaranın Kanuna tabi olması, verinin paylaşılması veya erişilebilir kılınması ve alıcının üçüncü bir ülkede bulunması. Bu nedenle yurt dışından uzaktan erişim, veri yalnızca ekranda görüntülense bile aktarım sayılır; yurt dışındaki bir grup şirketinin çalışan verilerine erişimi ve yurt dışında barındırılan bir yapay zekâ sağlık platformunun kullanımı da aktarım örnekleri arasında gösterilmiştir. Kurum dört farklı aktarım senaryosu için standart sözleşme ilan etmiştir; metnin gövdesi değiştirilemez, yalnızca seçimlik hükümler belirlenebilir ve sözleşmeye geriye yürüyen bir yürürlük tarihi konulamaz (Erdem & Erdem aktarımı). Genel bilgi için yurt dışına aktarımda yeni kurallar yazısına bakılabilir.
Sektöre Özgü Aktarım Senaryoları
| Senaryo | Nitelik | Görüşümüze göre uygun dayanak |
|---|---|---|
| Yan etki bildirimlerinin küresel güvenlilik veri tabanına girilmesi | Düzenli ve olağan faaliyet akışının parçası | Standart sözleşme veya bağlayıcı şirket kuralları; arızi aktarım istisnası uygun değil |
| Hekim verilerinin yurt dışında barındırılan müşteri yönetim sistemine girilmesi | Düzenli | Standart sözleşme (veri sorumlusundan veri işleyene) |
| Klinik araştırma verilerinin yurt dışındaki elektronik veri toplama sistemine girilmesi | Düzenli; kodlanmış veri kişisel veridir | Standart sözleşme veya bağlayıcı şirket kuralları; olur formunda aktarımın açıklanması |
| Hasta destek programı verilerinin yurt dışındaki grup şirketiyle paylaşılması | Düzenli | Uygun güvence; ayrıca paylaşımın amaçla sınırlı olması |
| Belirli bir hastanın ağır yan etkisiyle ilgili tek seferlik uzman görüşü alınması | Arızi olabilir | Somut olayın koşullarına göre arızi aktarım hâllerinden biri |
| Genel merkezin Türkiye çalışanlarının verilerine uzaktan erişimi | Aktarım (Rehber örneği) | Uygun güvence |
Uygulamadaki en yaygın hata, 2024 öncesinde hasta veya hekimden alınan “verilerimin yurt dışına aktarılmasına rıza gösteriyorum” kaydına bugün de dayanmaktır. Geçiş süresi 1/9/2024’te sona ermiştir; açık rıza artık yalnızca arızi aktarımlarda ve olası riskler hakkında bilgilendirme yapılarak bir dayanak olabilir. Düzenli aktarımlar için standart sözleşmenin imzalanması ve beş iş günü içinde Kuruma bildirilmesi gerekir.
Veri Güvenliği, Veri İşleyenler ve İhlal Bildirimi
| Konu | Kural | Dayanak |
|---|---|---|
| Teknik ve idari tedbirler | Hukuka aykırı işlemeyi ve erişimi önlemek ve muhafazayı sağlamak için gerekli tedbirler | 6698 m.12/1 |
| Veri işleyen | Veri sorumlusu adına veri işleyenle birlikte müteselsilen sorumluluk | m.12/2 |
| Denetim | Kurum içinde Kanunun uygulanmasını sağlamak için denetim yapma veya yaptırma | m.12/3 |
| Sır saklama | Öğrenilen verilerin Kanuna aykırı açıklanmaması; görevden ayrılmadan sonra da devam | m.12/4 |
| İhlal bildirimi | Verilerin kanuni olmayan yollarla elde edilmesi hâlinde en kısa sürede ilgilisine ve Kurula bildirim; Kurula bildirim için öğrenmeden itibaren en geç 72 saat | m.12/5; Kurul Kararı 2019/10 |
| İlgili kişilere bildirim | Etkilenen kişiler belirlendikten sonra makul en kısa sürede | Kurul Kararı 2019/271 |
| Özel nitelikli veri | Kurulun belirlediği yeterli önlemler | m.6/4 |
İlaç ve medikal firmalarında veri işleyen ilişkisi çok yaygındır: çağrı merkezleri, hasta destek hizmeti sunan hemşirelik firmaları, laboratuvarlar, sözleşmeli araştırma kuruluşları, etkinlik ajansları ve bulut hizmet sağlayıcıları. Her biriyle yazılı bir sözleşme yapılmalı; işleme amaçları, güvenlik tedbirleri, alt veri işleyen kullanımı, ihlal bildirimi süresi ve sözleşme sonunda verilerin iadesi veya imhası düzenlenmelidir. Rollerin ayrımı için veri sorumlusu ve veri işleyen rehberine, ihlal bildirimi için veri ihlali bildirimi rehberine bakılabilir.
İlgili Kişi Başvuruları
Hasta, hekim veya gönüllü; verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme ve aktarıldığı üçüncü kişileri bilme gibi haklarını veri sorumlusuna başvurarak kullanır (m.11). Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır (m.13/2). Başvurunun reddi, yetersiz cevap veya süresinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir (m.14). Farmakovijilans verilerinde silme talebi, kanuni saklama yükümlülüğü (İlaçların Güvenliliği Yönetmeliği m.28) karşısında sınırlı kalabilir; bu durum cevapta gerekçesiyle açıklanmalıdır. Başvuru usulü için ilgili kişi başvurusu ve Kurula şikâyet rehberine bakılabilir.
Yaptırımlar ve Yargı Yolu
| Aykırılık | İdari para cezası | Dayanak |
|---|---|---|
| Veri güvenliği yükümlülüklerine aykırılık (ihlal bildirimi dâhil) | 2026 için 256.357 TL’den 17.092.242 TL’ye kadar | m.12, m.18 |
| Standart sözleşmenin Kuruma bildirilmemesi | 2025 için 71.965 TL’den 1.439.300 TL’ye kadar (EY aktarımı); tutarlar her yıl yeniden değerleme oranında güncellenir | m.9/5, m.18 |
| Aydınlatma yükümlülüğüne aykırılık | Kanundaki aralıkta; yıllık güncelleme | m.10, m.18 |
| Kurul kararlarına uymama | Kanundaki aralıkta; yıllık güncelleme | m.15, m.18 |
| VERBİS yükümlülüğüne aykırılık | Kanundaki aralıkta; yıllık güncelleme | m.16, m.18 |
7499 sayılı Kanunla Kurul kararlarına karşı yargı yolu değişmiş; 1/6/2024’ten itibaren idari para cezaları dâhil Kurul kararlarına karşı idare mahkemesinde dava açılmaktadır. Kişisel verilerin hukuka aykırı kaydedilmesi ve yayılması ayrıca suç oluşturabilir (TCK m.135–136); zarar gören kişi tazminat da isteyebilir. Ayrıntı için KVKK idari para cezaları rehberine, kişisel verilerin hukuka aykırı kaydedilmesi suçu rehberine ve veri ihlalinde tazminat rehberine bakılabilir.
Kurul incelemesi, veri ihlali veya idari para cezasıyla mı karşı karşıyasınız? Süre işlemeden birlikte değerlendirelim
Av. Fatma Öztürk — Hukukçular Evi Ankara · 0554 648 37 15
Örnek Akış: Hasta Destek Programı Kurulması
Aşağıdaki akış, bir ilaç firmasının enjeksiyonla uygulanan bir ürün için hemşire destekli bir hasta programı başlatmak istediği varsayımsal bir örnektir.
- Amaç ve kapsam: Programın tedaviye uyum amacıyla sınırlı olduğu, tanıtım içermeyeceği ve hekimin tedavi kararına müdahale etmeyeceği yazılı olarak belirlenir.
- Rol tespiti: Firma veri sorumlusu; hemşirelik hizmeti veren şirket ve çağrı merkezi veri işleyen olarak tanımlanır ve veri işleme sözleşmeleri imzalanır.
- Hukuki sebep: Sağlık verisi için ayrı ve bilgilendirilmiş açık rıza metni; aydınlatma metni ayrı bir belge olarak hazırlanır.
- Farmakovijilans akışı: Hemşire ve çağrı merkezi personeline yan etki bildirimi eğitimi verilir; öğrenilen yan etkilerin farmakovijilans birimine iletilme süresi belirlenir.
- Erişim: Hasta düzeyindeki veriye yalnızca program ekibinin erişmesi; satış ekiplerinin yalnızca toplulaştırılmış istatistik görmesi sağlanır.
- Yurt dışı: Program yazılımı yurt dışında barındırılıyorsa standart sözleşme imzalanır ve beş iş günü içinde Kuruma bildirilir.
- Kapanış: Saklama süresi, hastanın çekilmesi ve programın sona ermesi hâlinde imha takvimi belirlenir.
Kontrol Listesi ve Sık Yapılan Hatalar
| Kontrol | Neden önemli | Dayanak |
|---|---|---|
| Her faaliyet için m.6/3 bendinin gösterilmesi | Özel nitelikli veri yasağının istisnası | 6698 m.6/3 |
| Yeterli önlemlerin belgelenmesi | Ek şart | m.6/4 |
| Aydınlatma metinlerinin faaliyet bazında hazırlanması | Ayrı yükümlülük | m.10 |
| Yurt dışı aktarımların envanteri ve dayanağı | Yeni rejim | m.9 |
| Standart sözleşmelerin beş iş günü içinde bildirimi | Ayrı kabahat | m.9/5, m.18 |
| 2024 öncesi aktarım rızalarının gözden geçirilmesi | Geçiş süresi 1/9/2024’te bitti | 7499 geçiş hükmü |
| Veri işleyen sözleşmeleri | Müteselsil sorumluluk | m.12/2 |
| 72 saatlik ihlal bildirim planı | Ceza riski | Kurul Kararı 2019/10 |
| Farmakovijilans saklama süresi | Silme taleplerine cevap | İlaçların Güvenliliği Yönetmeliği m.28 |
| Klinik araştırmada gelecekteki kullanım oluru | Ayrı olur | Klinik Araştırmalar Yönetmeliği m.20/9 |
| Hata | Sonuç | Doğrusu |
|---|---|---|
| Küresel güvenlilik veri tabanına aktarımı açık rızaya dayandırmak | Düzenli aktarım arızi istisnaya dayanamaz | Standart sözleşme veya bağlayıcı şirket kuralları |
| Standart sözleşmeyi değiştirerek kullanmak veya bildirmemek | Geçersizlik ve idari para cezası riski | Gövdeyi değiştirmeden kullanmak ve beş iş günü içinde bildirmek |
| Hasta destek programında veriyi satış ekibiyle paylaşmak | Amaçla sınırlılık ihlali; tanıtım riski | Rol bazlı erişim |
| Kodlanmış klinik araştırma verisini anonim saymak | Kanun kapsamı dışında sanılan veri için yükümlülüklerin ihmali | Kodlu veriyi kişisel veri olarak yönetmek |
| Aydınlatma ile açık rızayı tek metinde ve tek onayla almak | Rızanın geçerliliğinin tartışılması | Ayrı aydınlatma ve ayrı rıza |
| Yurt dışından uzaktan erişimi aktarım saymamak | Dayanaksız aktarım | Rehberdeki aktarım tanımına göre değerlendirme |
Sıkça Sorulan Sorular
İlaç firmaları sağlık verisi işleyebilir mi?
İşleyebilir; ancak sağlık verisi özel nitelikli olduğundan m.6/3’te sayılan yedi hukuka uygunluk sebebinden birine dayanılmalı ve Kurulun belirlediği yeterli önlemler alınmalıdır (6698 m.6/3, 6/4).
7499 sayılı Kanunla ne değişti?
Özel nitelikli verilerin işlenme şartları yedi bende genişletildi, sağlık verisine ilişkin özel ayrım kaldırıldı ve yurt dışına aktarım yeterlilik kararı, uygun güvenceler ve arızi aktarım basamaklarına bağlandı. Değişiklikler 1/6/2024’te yürürlüğe girdi.
Yan etki bildirimleri için hastadan açık rıza alınmalı mı?
TİTCK’nin 2019 tarihli Kılavuzu farmakovijilans amacıyla açık rıza aranmayacağını belirtmiştir. Kılavuz 7499 değişikliğinden önceye ait olduğundan dayanak bugün m.6/3’ün yeni bentlerine göre envanterde açıkça gösterilmelidir; aydınlatma ve veri güvenliği yükümlülükleri her hâlde devam eder.
Farmakovijilans verileri ne kadar saklanır?
Ruhsat geçerliliği sürdükçe ve sona erdikten sonra en az 10 yıl (İlaçların Güvenliliği Yönetmeliği m.28, TİTCK Kılavuzu aktarımına göre).
Hasta destek programı için hangi hukuki sebep uygundur?
Bu programlar için özel bir düzenleme tespit edemedik. Görüşümüze göre sağlık verisi işlendiğinden programa katılımdan ayrı, belirli ve bilgilendirilmiş bir açık rıza alınmalı; program halka tanıtım yasağını ihlal edecek biçimde kurgulanmamalıdır.
Hasta destek programındaki veriler satış ekibiyle paylaşılabilir mi?
Görüşümüze göre hasta düzeyindeki veri satış ve pazarlama ekipleriyle paylaşılmamalıdır; bu, amaçla sınırlılık ilkesine ve tanıtım kurallarına aykırılık riski doğurur. Toplulaştırılmış istatistik paylaşımı ayrıca değerlendirilir.
Yurt dışına aktarım hangi sırayla değerlendirilir?
Önce m.5 veya m.6’daki işleme şartı; sonra yeterlilik kararı; yoksa uygun güvenceler; o da yoksa yalnızca arızi aktarımlar için sayılan istisnalar (6698 m.9; Yönetmelik).
Standart sözleşme Kuruma ne zaman bildirilir?
İmzalanmasından itibaren beş iş günü içinde; taraflarda veya içerikte değişiklik ve sona erme de bildirilir (m.9/5; Yönetmelik m.14).
Standart sözleşmenin metni değiştirilebilir mi?
Hayır. Kurulca ilan edilen metin değiştirilmeden kullanılır; yalnızca seçimlik hükümler belirlenebilir ve ekler doldurulur.
Yurt dışındaki genel merkezin sistemden verilere erişmesi aktarım mı?
Evet. Kurumun Rehberine göre yurt dışından uzaktan erişim, veri yalnızca ekranda görüntülense bile aktarım sayılır.
Açık rıza ile yurt dışına aktarım hâlâ mümkün mü?
Yalnızca arızi aktarımlarda ve ilgili kişi olası riskler hakkında bilgilendirilerek. Düzenli aktarımlar için uygun güvence gerekir; eski rıza metinlerinin kullanımı 1/9/2024’te sona ermiştir.
Klinik araştırmada kodlanmış veri anonim mi sayılır?
Kural olarak hayır. Kodu çözme imkânı bulunduğu sürece kişi belirlenebilir olduğundan veri kişisel veri olmaya devam eder; yalnızca hiçbir şekilde kişiyle ilişkilendirilemeyen veri anonimdir.
Klinik araştırma verileri başka araştırmalarda kullanılabilir mi?
Protokol dışında gelecekteki bilimsel araştırmalarda kullanım için ayrıca olur alınır ve bu olur her zaman geri çekilebilir (Klinik Araştırmalar Yönetmeliği m.20/9).
Değer aktarımı bildirimi için hekimden açık rıza gerekir mi?
Kuruma bildirim bir hukuki yükümlülüktür; ayrıca Tanıtım Yönetmeliği %10 eşiğini aşan aktarımlarda sağlık meslek mensubunun yazılı onayını arar (m.11/7). Aydınlatma yükümlülüğü her durumda yerine getirilmelidir.
Veri ihlali ne kadar sürede bildirilir?
Kurula, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde (Kurul Kararı 2019/10); ilgili kişilere ise etkilenen kişiler belirlendikten sonra makul en kısa sürede (Kurul Kararı 2019/271).
Hizmet sağlayıcının yaptığı ihlalden firma sorumlu mu?
Evet. Veri sorumlusu, kendi adına veri işleyenle birlikte müteselsilen sorumludur (6698 m.12/2).
KVKK cezalarına karşı nereye başvurulur?
1/6/2024’ten itibaren idari para cezaları dâhil Kurul kararlarına karşı idare mahkemesinde dava açılır.
Hasta verilerinin silinmesini isterse ne olur?
Veri sorumlusu başvuruyu en geç otuz gün içinde cevaplar (m.13/2). Farmakovijilans verilerinde kanuni saklama süresi silme talebini sınırlayabilir; bu gerekçe cevapta açıklanmalıdır.
Tıbbi cihaz klinik araştırmalarında gizlilik kuralı nedir?
Raporlarda gönüllü kodu kullanılır ve kişisel veriler kamuya açıklanamaz (Tıbbi Cihaz Klinik Araştırmaları Yönetmeliği m.9).
İlgili Rehberler
- TİTCK Rehberi — sağlık ürünleri rehberlerinin tamamı
- Özel Nitelikli Kişisel Veriler — 6698 m.6
- Sağlık Verilerinin Korunması — hasta kayıtları
- Aydınlatma Yükümlülüğü — 6698 m.10
- Veri Sorumlusu ve Veri İşleyen — rol tespiti
- Veri İhlali Bildirimi — 72 saat
- KVKK İdari Para Cezaları — itiraz
- Yurt Dışına Aktarımda Yeni Kurallar — 7499
- Farmakovijilans — advers etki bildirimi
- Klinik Araştırma Sözleşmesi — veri ve yayın
- Hekimlere Değer Aktarımı — bildirim
- İlaç Tanıtım Faaliyetleri — halka tanıtım yasağı
- Kişisel Veri Envanteri — saklama ve imha
- Veri İhlalinde Tazminat — dava
Bu yazı genel bilgilendirme amaçlıdır; somut dosya için hukuki danışmanlık yerine geçmez. 6698 sayılı Kanunun 7499 sayılı Kanunla değişik m.6 metni, m.12 ve m.13–14 hükümleri, Kurul Kararları 2019/10 ve 2019/271 ile 2026 ceza tutarı sitemizin bu metinlere dayanan KVKK rehberlerinden; Yurt Dışına Aktarım Yönetmeliği ve Kurumun Rehberine ilişkin bilgiler Erdem & Erdem ve Cottgroup aktarımlarından; standart sözleşme bildirim cezasının 2025 tutarı EY yayınından; TİTCK Farmakovijilans KVK Kılavuzu Erdem & Erdem aktarımından ve bir ilaç firmasının yayımladığı aydınlatma metninden; klinik araştırma hükümleri Yönetmelik metninden alınmıştır. 6698 sayılı Kanunun güncel resmî metnine doğrudan erişilemediğinden arızi aktarım hâlleri Kurum Rehberinin aktarımına göre verilmiştir. Son güncelleme: 13 Ekim 2026.
