Sağlık Turizminde Performans Denetimi ve Hasta Verisi: Hukuki Sınırlar Nerede Başlıyor?

29 Ekim 2026

Uluslararası sağlık turizmi alanında faaliyet gösteren sağlık tesisleri ve aracı kuruluşlar artık yalnızca yetki belgesiyle değil, performanslarıyla da denetleniyor. Hasta memnuniyeti, taleplere yanıt süresi, randevu bekleme süresi, şikâyetler ve ciro gibi göstergeler yılda en az bir kez değerlendiriliyor; sonuç yetersiz çıkarsa yetki belgesi askıya alınabiliyor veya iptal edilebiliyor.

Bu değerlendirmede kullanılan Performans Değerlendirme Formu’nun hasta detay sayfası ise ayrı bir tartışma başlattı. Form, hasta bazında 26 sütun içeriyor: ad, soyad, telefon, e-posta, uyruk, yapılan işlem, tedavi tarihi, şikâyet açıklaması, aracı kuruluş ve poliçe bilgisi bunlardan yalnızca birkaçı.

Bu yazıda, performans denetiminin meşru amacını kabul ederek şu sorunun cevabını arıyoruz: İdarenin performans ölçme yetkisi, şirketlerin hasta veri tabanlarının toplu biçimde aktarılmasını gerektirir mi? Ardından şirketlerin bu süreçte nasıl hareket etmesi gerektiğine dair somut bir uyum planı sunuyoruz.

Kısaca: Performansı ölçmek ile hastaların kimlik, iletişim ve tedavi bilgilerini topluca kamuya aktarmak hukuken aynı şey değildir. Önerilen yol; toplulaştırılmış istatistiğin esas alınması, gerektiğinde kodlanmış kayıt ve örneklemle doğrulama yapılması, kimlik bilgilerine ise yalnızca somut ve gerekçeli incelemelerde sınırlı erişilmesidir.

Performans Esaslı Denetim Nedir?

26 Nisan 2025 tarihli ve 32882 sayılı Resmî Gazete’de yayımlanan Uluslararası Sağlık Turizmi ve Turistin Sağlığı Hakkında Yönetmelik, yetki belgesine dayalı denetimi performans değerlendirmesiyle tamamlıyor. Faaliyet izni almak ve organizasyonel şartları sağlamak, hizmetin her aşamada yeterli olduğu anlamına gelmediği için bu yaklaşım meşru bir kamu yararı amacına hizmet ediyor.

Yönetmeliğin 9. maddesine göre USHAŞ, sağlık tesislerini ve aracı kuruluşları EK-2 performans kriterleri çerçevesinde yılda en az bir kez değerlendiriyor. Sonuç “yeterli”, “kısmen yeterli” veya “yetersiz” olabiliyor ve bu sonuçların yetki belgesi bakımından sonuçları bulunuyor. Bu nedenle gösterge tanımlarının ve hesaplama yöntemlerinin önceden açık olması şart.

Formda yer alan performans göstergeleri

Performans göstergesi	İşletmeden istenen ölçüm	Amaç
Hasta memnuniyeti	Anket ve genel memnuniyet oranı	Hizmet kalitesi
Hasta taleplerine yanıt	Toplam talep ve zamanında cevaplanan talep	Operasyon hızı
Randevu bekleme süresi	Toplam randevu ve kısa sürede verilen randevu	Hizmete erişim
Şikâyetler	Şikâyet ve hasta/randevu sayısı	Kalite problemi tespiti
Finansal performans	Önceki ve cari yıl cirosu	Ekonomik kapasite

Formun ilk sayfasında hasta memnuniyeti için %85, zamanında talep yanıtı ve randevu bekleme performansı için %90, şikâyet oranı için %3 referansı bulunuyor. Bu eşiklerin hangi resmî değerlendirme usulüne dayandığı ve şikâyet eşiğinin yönü ayrıca teyit edilmeli. Formun ikinci sayfası ise performans istatistiğinin ötesine geçerek hasta bazında ayrıntılı veri istiyor.

Hasta Detay Formu Hangi Verileri İstiyor?

Hasta detay sayfasında sıra numarası ve kayıt kodlarının yanı sıra hastanın adı, soyadı, uyruğu, telefonu ve e-postası; başvuru kanalı, başvuru ve yanıt tarihleri; sağlık kuruluşu, branş, yapılan işlem, randevu ve tedavi tarihi; şikâyet, denetim, aracı kuruluş ve poliçe bilgileri isteniyor.

Veri grubu	Örnek sütunlar	Başlıca risk
Kimlik	Hasta adı, soyadı, HT-ID	Doğrudan tanımlama
İletişim	Telefon, e-posta, uyruk	Yetkisiz iletişim, portföy sızıntısı
Süreç	Başvuru, yanıt, randevu tarihleri	İşlem geçmişinin izlenmesi
Sağlık	Branş, işlem, tedavi tarihi	Özel nitelikli sağlık verisi
Şikâyet	Şikâyet tarihi ve açıklaması	Hassas serbest metin
Ticari ve sigorta	Aracı, hizmet bedeli, poliçe	Ticari gizlilik ve bağlantılı veri

Bir verinin tek başına hassas olmaması, diğer verilerle birleştiğinde anlamlı bir hasta profili oluşturmasını engellemez. Kimlik ve iletişim bilgileri tedavi bilgileriyle eşleştiğinde, doğrudan belirlenebilir kişilerin sağlık hizmeti geçmişi ortaya çıkar. Şikâyet açıklaması gibi serbest metin alanları ise tanı, sağlık durumu ve özel yaşam hakkında ek bilgi içerebilir.

Belirleyici soru şu: Bu ayrıntılar performans hesabına mı, güvenilir doğrulamaya mı, yoksa ayrıca gerekçelendirilmesi gereken başka bir incelemeye mi hizmet ediyor?

İdarenin Bilgi İsteme Yetkisi Sınırsız mı?

Anayasa’nın 123. maddesi idarenin kanuniliği ilkesinin temelidir: İdare, yetkisini hukuki dayanağından ve veriliş amacından bağımsız kullanamaz. Yönetmeliğin 8. maddesinde Bakanlıkça istenen bilgi ve belgeleri gönderme yükümlülüğü düzenleniyor. Bu yükümlülük önemli; ancak genel nitelikte olması, sınırının bulunmadığı anlamına gelmiyor.

Yönetmelik ekleri usulüne uygun yayımlandığında normun parçası olabilir. Buna karşılık sonradan hazırlanıp uygulamada kullanılan bir Excel formunun kendiliğinden aynı hukuki statüde olduğu söylenemez. Bir form mevcut yükümlülüğün teknik uygulamasını gösterebilir; fakat üst normda dayanağı bulunmayan ve temel haklara müdahale eden yeni bir yükümlülük yaratması tartışmalıdır.

Geniş bilgi isteme hükümlerinin uygulama belgeleriyle fiilen büyütülmesi ve bu taleplere uymayan kuruluşlara yaptırım uygulanması, hukuki belirlilik ve öngörülebilirlik sorunu doğurabilir. Şirket; hangi bilgiyi, hangi amaçla, ne kadar süre için ve hangi yaptırım tehdidi altında bildirmekle yükümlü olduğunu önceden bilebilmelidir.

Dengeli bakış: Yönetmelikte her veri alanının tek tek sayılmamış olması, her veri talebini otomatik olarak hukuka aykırı yapmaz. Özel kanuni yetki ve somut denetim gereği bulunabilir. Ancak bu gereğin hukuki temeli ve ölçülülüğü ortaya konulabilmelidir.

KVKK ve Anayasal Çerçeve

Anayasa’nın 20. maddesi kişisel verilerin korunmasını temel hak olarak güvence altına alır; temel haklara müdahalelerde 13. maddedeki kanunilik ve ölçülülük ölçütleri uygulanır. 6698 sayılı KVKK’nın 4. maddesi ise hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü işleme ve gerekli süre kadar saklama ilkelerini düzenler.

• Kişisel veri: Ad, soyad, telefon ve e-posta kural olarak kişisel veridir.
• Özel nitelikli kişisel veri: Kişinin teşhis, tedavi ve sağlık durumuna ilişkin veriler bu kapsamda olabilir. İşleme şartları KVKK m. 5 ve 6’da düzenlenir.
• Aktarım ve güvenlik: KVKK m. 8 yurt içi aktarım şartlarını, m. 12 hukuka aykırı işleme ve erişimi önleme yükümlülüklerini düzenler. Özel nitelikli verilerde Kurulun 31.01.2018 tarihli ve 2018/10 sayılı yeterli önlemler kararı da dikkate alınmalıdır.

3359 sayılı Sağlık Hizmetleri Temel Kanunu’nun ek 19. maddesi, Sağlık Bakanlığına belirli sağlık hizmeti amaçlarıyla kişisel sağlık verilerini işleme yetkisi verir. Bu önemli bir kanuni dayanaktır; ancak verinin somut amaç için gerekli olup olmadığı, Bakanlık dışındaki kurumların statüsü ve erişim kapsamı sorularını ortadan kaldırmaz. Kanuni bir işleme şartı bulunsa bile amaçla sınırlılık ve ölçülülük ilkeleri uygulanmaya devam eder.

Aydınlatma metinlerini her yeni idari veri talebine göre genişletmek de tek başına çözüm değildir. Aydınlatma, veri işlemenin hukukiliğinin yerine geçmez: Önce dayanak ve gereklilik belirlenir, sonra ilgili kişiye doğru açıklama yapılır.

Her veri alanı için ölçülülük testi

Test	Sorulacak soru
Elverişlilik	İstenen veri, göstergenin ölçülmesine katkı sağlıyor mu?
Gereklilik	Aynı sonuç daha az veriyle veya örneklemle elde edilebilir mi?
Orantılılık	Denetim yararı ile mahremiyet ve veri güvenliği riski dengeli mi?

Bakanlık, USHAŞ ve Taşra Birimleri: Veriden Kim Sorumlu?

Yönetmelik performans değerlendirmesinde USHAŞ’a görev verirken, 3359 sayılı Kanun ek 19. madde Bakanlığın sağlık verisi işleme yetkisini düzenliyor. USHAŞ’ın kamuya ait anonim şirket niteliği, her veri işleminde Bakanlıkla aynı yetkiye sahip olduğu anlamına gelmez.

Her işleme faaliyeti için veri sorumlusu ve varsa veri işleyen rolü belirlenmeli. Verilerin kimin adına ve hangi amaçla işlendiği, il ve ilçe sağlık müdürlüklerinin hangi alanları görüntülediği, verilerin hangi sistemlerde ve ne kadar süre saklandığı açıklığa kavuşturulmalı.

Şirket içinde hasta verisine sınırlı sayıda kişi erişiyor olabilir. Liste dışarı aktarıldığında ise farklı kamu birimlerine, yazışma eklerine ve paylaşımlı depolama alanlarına kopyalanma ihtimali doğar. Kontrolsüz dolaşımın fiilen gerçekleştiği yalnızca formdan hareketle kanıtlanamaz; ancak riskin yönetilmesi zorunludur. Asgari tasarım unsurları şunlar olmalı:

• Görev temelli erişim ve çok faktörlü kimlik doğrulama
• İndirme ve paylaşım yetkisinin kısıtlanması
• Görüntüleme kayıtlarının tutulması ve düzenli denetim
• Süre sonunda imha ve veri ihlali müdahale prosedürleri

3359 sayılı Kanun ek 19. maddedeki, erişimin hangi görevli tarafından hangi amaçla yapıldığının denetlenmesine yönelik güvenlik sistemi yaklaşımı, bu süreçlerin kurulmasında önemli bir dayanak sunuyor.

Hasta Portföyü ve Ticari Gizlilik

Sağlık turizmi şirketleri hasta edinmek için reklam, yabancı dilde çağrı merkezi, uluslararası iş ortaklıkları, fuarlar, dijital pazarlama ve satış süreçlerine ciddi kaynak ayırıyor. Bu yatırımla oluşan hasta ilişkileri ve müşteri portföyü ticari değer taşıyabiliyor.

Hasta adları, iletişim bilgileri, ülke, tedavi türü ve hizmet bedeli bir araya geldiğinde şirketin müşteri tabanı ve ticari stratejisi anlaşılabilir. Portföyün üçüncü kişilerin eline geçmesi, hastalara yeni ürün ve hizmet satılması ya da rakiplerce hedeflenmesi gibi riskler doğurabilir.

Her müşteri listesi otomatik olarak ticari sır sayılmaz; kamuya açık olmama, ekonomik değer ve gizliliği korumak için alınan önlemler somut olarak incelenir. Yine de bazı veri setlerinde kişisel veri koruması ile ticari sır ve haksız rekabet koruması birlikte gündeme gelebilir.

En güvenli veri, toplanmayan veridir. Kamu kurumuna hukuka uygun aktarım, verinin denetim amacı dışında kullanılmasına izin vermez. Güvenlik önlemleri gereklidir; ancak asıl öncelik, zorunlu olmayan verinin hiç toplanmamasıdır.

Hangi Gösterge İçin Hangi Veri Gerekli?

Gösterge	Hesaplama için yeterli olabilecek veri	Daha ayrıntılı kayıt ne zaman gerekebilir?
Hasta memnuniyeti	Anket sayısı, katılım oranı, dönem, memnuniyet skoru	Sahte beyan şüphesinde kodlanmış örneklem kayıtlarıyla doğrulama
Taleplere yanıt	Başvuru zaman damgası ve ilk yanıt zamanı	İletişimin gerçekleşip gerçekleşmediğinin somut olayda denetlenmesi
Şikâyet oranı	Toplam şikâyet, ilgili hasta sayısı, şikâyet kategorileri	Ciddi bir bireysel şikâyet soruşturması
Finansal performans	Toplam ciro ve muhasebe kayıtları	Hasta bazlı ücret talebi ayrıca gerekçelendirilmeli
Komplikasyon sigortası	Poliçe yükümlülüğünün genel kontrolü	Belirli poliçelerin somut kontrolü

Şikâyetler iletişim, randevu, transfer, ücret, tedavi sonrası takip ve hizmet kalitesi gibi kategorilere ayrılarak da raporlanabilir. Ayrıca HealthTürkiye Portalı veya Bakanlığın diğer sistemlerinde zaten bulunan bilgilerin yeni Excel dosyalarıyla tekrar istenmesinin gerekliliği sorgulanmalı; tekrarlı toplama veri kopyalarını çoğaltır ve erişim zincirini genişletir.

Yaptırım Riski: Şirketin İkilemi

Şirketler iki sorumluluk arasında kalıyor: Bir yanda Yönetmeliğin 8. maddesindeki bilgi ve belge verme yükümlülüğü, diğer yanda KVKK’ya aykırı ve gereksiz veri aktarımından kaçınma yükümlülüğü. İdeal bir hukuk düzeninde bu iki sorumluluk birbirini dışlamamalı.

Yönetmeliğin 9. maddesinde performans yetersizliğine bağlı kontrol değerlendirmesi ile belirli koşullarda askıya alma ve iptal mekanizması, 16. maddesinde ise Yönetmelik yükümlülüklerine aykırılık ve kayıtların uygunsuz tutulmasına ilişkin yaptırımlar var. Ancak bir Excel sütununu boş bırakmanın doğrudan belge iptaline veya para cezasına yol açtığı sonucuna varılamaz.

İdari para cezalarında 5326 sayılı Kabahatler Kanunu m. 4 uyarınca kanunilik esastır. Askıya alma veya iptal işlemlerinde de hukuki dayanak, fiilin tanımı, usul ve ölçülülük ayrıca değerlendirilmelidir. Eksik bildirim, gerçeğe aykırı kayıt tutma ve performans yetersizliği aynı fiil değildir.

Yaptırım endişesiyle tartışmalı veri taleplerini sorgulamadan karşılamak, uygulamanın yerleşmesine katkıda bulunabilir; fakat fiilen uyum gösterilmesi talebin hukuka uygun olduğunu kanıtlamaz. En uygun yaklaşım: Performans istatistiklerini düzenli hazırlarken, gereksiz görünen doğrudan tanımlayıcı alanların hukuki dayanağını yazılı olarak istemek ve daha az veri içeren alternatifler sunmak.

Dikkat: İtiraz yazısı bildirim süresini otomatik olarak durdurmaz. Her somut resmî talep için süre ve yaptırım analizi ayrıca yapılmalıdır.

Aracı Kuruluşlar İçin Ayrı Bir Değerlendirme Gerekli

Sağlık tesisinin teşhis ve tedavi faaliyeti ile aracı kuruluşun organizasyon, danışmanlık, ulaşım ve konaklama faaliyetleri aynı değildir. Bu nedenle her iki kuruluş türüne aynı ayrıntıda tedavi ve kimlik veri seti uygulanmasının gerekliliği ayrıca ortaya konulmalıdır.

Aracı kuruluş, hastanın başvurusu, randevusu ve transferi için belirli sağlık bilgilerine ihtiyaç duyabilir; ancak ayrıntılı tıbbi geçmişe her zaman ihtiyaç duymaz. Tedavi bilgileri, komplikasyon sigortası poliçeleri ve hasta bazlı ücretler isteniyorsa, bunlar aracı kuruluşun somut mevzuat yükümlülükleriyle ilişkilendirilmelidir.

Sağlık tesisi ve aracı kuruluşun KVKK bakımından veri sorumlusu veya veri işleyen rolü, sözleşmedeki unvana göre değil, verinin işlenme amacı ve araçlarına ilişkin fiilî kararlara göre belirlenir.

Uluslararası Hastalar ve GDPR

Avrupa ülkelerinden gelen hastalara hizmet sunan işletmelerin bazı faaliyetleri GDPR’nin ülke dışı uygulama hükümleri kapsamına girebilir. Ancak sırf hastanın AB vatandaşı olması, GDPR’nin her işleme otomatik olarak uygulanacağı anlamına gelmez; GDPR m. 3’teki ölçütler somut faaliyet bakımından incelenmelidir.

GDPR m. 5’teki amaçla sınırlılık ve veri minimizasyonu ilkeleri KVKK ile benzer bir çerçeve sunar. Türkiye’deki bir şirketin Türk kamu kurumuna yaptığı aktarım ise AB’den Türkiye’ye yapılan bir aktarımla hukuken aynı işlem sayılmamalıdır. Uluslararası hastaların sağlık verilerine duyduğu güven, mevzuata uyumun ötesinde Türkiye sağlık turizminin itibarı ve sürdürülebilirliği için de önemlidir.

Çözüm Önerisi: Kademeli ve Risk Temelli Denetim Modeli

Önerilen model, kamu denetimini zayıflatmadan daha az veri işlenmesini hedefliyor. Beş aşamadan oluşuyor:

1. Toplulaştırılmış istatistik: Kuruluş başvuru, zamanında yanıt, randevu, şikâyet ve memnuniyet sonuçlarını kişisel kimlik verisi olmadan bildirir. Performans göstergelerinin çoğu doğrudan bu verilerle hesaplanabilir.
2. Kodlanmış doğrulama: Talep kodu, başvuru ve yanıt tarihleri kullanılır. Kodlar hastanın gerçek kimliğine geri bağlanabiliyorsa veri anonim değil, takma adlandırılmış kişisel veridir; KVKK güvenceleri devam eder.
3. Örneklem veya yerinde inceleme: Beyanın güvenilirliğinden şüphe edilirse rastgele veya risk temelli seçilen kayıtlar güvenli ortamda doğrulanır. Tüm hasta veri tabanının kalıcı kopyasını çıkarmak standart yöntem olmamalıdır.
4. Somut dosyada sınırlı kimlik erişimi: Ciddi şikâyet, sahte kayıt veya somut usulsüzlük iddiasında, hukuki şartlar varsa yetkili kişiler ilgili kaydın gerekli alanlarına erişir. Erişimin amacı ve süresi kayıt altına alınır.
5. Güvenli aktarım ve izlenebilirlik: Yetkilendirilmiş portal, şifreleme, rol bazlı erişim, çok faktörlü kimlik doğrulama, denetim izi, saklama ve imha prosedürleri ile veri ihlali mekanizması uygulanır. Güvenli aktarım, gereksiz aktarımı hukuka uygun hâle getirmez.

Toplulaştırılmış bildirim nasıl görünür? (Varsayımsal örnek)

Gösterge	Dönem değeri
Başvuru	1.000
Zamanında yanıt	940 (%94)
Randevu	800
Bir aydan kısa sürede verilen randevu	760 (%95)
Şikâyet	30
Genel memnuniyet	%88

Bu tabloda tek bir hasta adı veya telefon numarası olmadan zamanında yanıt, randevu ve memnuniyet göstergelerinin tamamı hesaplanabiliyor.

İdareye Yönelik Yapısal Öneriler

• Rutin veri bildirimine konu olabilecek veri kategorileri açıkça düzenlenmeli.
• Performans ölçümünde öncelikle toplulaştırılmış kayıtlar kullanılmalı.
• Hasta kimliği ve iletişim bilgileri için somut gereklilik aranmalı.
• Sağlık tesisleri ve aracı kuruluşlar için faaliyetle uyumlu farklı veri setleri tasarlanmalı.
• Bakanlık, USHAŞ ve taşra birimlerinin veri işleme statüsü ve erişim sınırları açıklanmalı.
• Saklama ve imha süreleri veri kategorilerine göre belirlenmeli.
• Erişim yetkileri görev esaslı kurgulanmalı; tüm görüntüleme ve dışa aktarmalar izlenmeli.
• Şirketlerin ölçülülük itirazlarına gerekçeli cevap verecek bir usul oluşturulmalı.
• Eksik veri, uygunsuz kayıt ve performans yetersizliği ile yaptırımlar arasındaki bağlantı netleştirilmeli.
• Hasta portföyünün ticari gizliliği ve kişisel veri mahremiyeti birlikte korunmalı.

Sağlık Turizmi Şirketleri İçin 9 Adımlık Uyum Planı

1. Hasta taleplerini, randevu ve yanıt zamanlarını ve şikâyet kategorilerini düzenli kaydedin.
2. CRM içinde iletişim, sağlık, finans ve performans alanlarını erişim düzeylerine ayırın.
3. Her veri kategorisi için işleme şartı, amaç, aktarım alıcısı ve saklama süresini gösteren bir envanter tutun.
4. İdareden gelen bilgi taleplerini resmî yazı, tarih, süre ve aktarım kanalıyla arşivleyin.
5. Gerekli görünmeyen doğrudan tanımlayıcılar için hukuki dayanak ve veri minimizasyonu açıklaması isteyin.
6. Gerekli verileri güvenli ve kayıtlı kanallarla aktarın; gereksiz dosya kopyalarından kaçının.
7. Aydınlatma metinlerini gerçek işleme faaliyetiyle uyumlu tutun; metin eklemeyi tek başına hukuki dayanak saymayın.
8. Çalışan ve üçüncü taraf kaynaklı veri ihlali ile ticari portföy risklerini değerlendirin.
9. Performans, finans, operasyon ve KVKK süreçlerini yönetim düzeyinde birlikte gözden geçirin.

Kurumlara Yöneltilmesi Gereken 30 Soru

Bir veri talebiyle karşılaştığınızda, yazılı başvurunuzda aşağıdaki soruları konu başlıklarına göre kullanabilirsiniz.

Hukuki dayanak ve formun niteliği

1. Hasta adı, soyadı, telefon ve e-posta bilgilerinin her hasta için istenmesinin özel hukuki dayanağı nedir?
2. Yönetmelik m. 8/3, denetim için gerekli olmayan kişisel verileri de kapsar mı?
3. Hasta detay formu hangi tarihli ve sayılı idari işlemle oluşturulmuştur?
4. Formun hukuki niteliği nedir: Yönetmelik eki, teknik şablon veya bağımsız idari talep mi?
5. Formdaki 26 sütunun tamamı zorunlu mudur; bunun normatif dayanağı nedir?

Gereklilik ve ölçülülük

• Hangi veri alanı hangi performans kriterini doğrulamaktadır?
• Yanıt süresi telefon ve e-posta bilgileri olmadan ölçülemez mi?
• Memnuniyet ve şikâyet oranları toplulaştırılmış biçimde incelenemez mi?
• Şüpheli beyanlarda örneklem yöntemi kullanılabilir mi?
• Anonimleştirilmiş kayıtların kullanılması neden yeterli görülmemektedir?
• Bütün şikâyet açıklamalarının aktarılması hangi somut ihtiyaca dayanmaktadır?
• Finansal performans için hasta bazlı hizmet bedeli neden gereklidir?
• Kamu sistemlerinde mevcut veriler neden tekrar istenmektedir?

Veri sorumluluğu ve güvenlik

1. KVKK m. 5 ve 6 kapsamındaki hangi işleme şartları uygulanmaktadır?
2. Bu aktarımda asıl alıcı ve veri sorumlusu hangi kurumdur?
3. USHAŞ’ın veri işleme statüsü ve somut yetkisi nasıl tanımlanmıştır?
4. İl ve ilçe sağlık müdürlüklerinde hangi personel hangi hasta alanlarına erişebilmektedir?
5. Veriler hangi sistemlerde ve ne kadar süre saklanmaktadır?
6. Görüntüleme, indirme ve paylaşım faaliyetleri kayıt altına alınıyor mu?
7. Yetkisiz erişim ve ihlale karşı hangi teknik ve idari tedbirler mevcuttur?
8. Verilerin performans dışındaki amaçlarla kullanılması nasıl önlenmektedir?
9. İhlal durumunda sorumluluk ve bildirim süreci nasıl işletilmektedir?

Yaptırım

• Kimlik ve iletişim alanlarını doldurmayan, ancak istatistik bildiren şirket hangi hükmü ihlal eder?
• Bu durumda para cezasının açık kanuni dayanağı nedir?
• Kimlik bilgisi paylaşmamak, kayıtların uygunsuz tutulması sayılabilir mi?
• Bu eksiklik hangi şartta performans yetersizliğine bağlanabilir?
• Anonimleştirilmiş kayıtların sunulması yükümlülüğü karşılar mı?
• Ölçülülük itirazlarını değerlendiren bir idari mekanizma var mı?

Ticari gizlilik ve gelecek

• Müşteri portföyünün ticari gizliliği nasıl korunmaktadır?
• Güncel KVKK gereklilikleri doğrultusunda formun yeniden tasarlanması öngörülüyor mu?

İdarenin Olası Karşı Görüşleri

İdarenin olası görüşü	Değerlendirme
Beyanların doğrulanması gereklidir.	Haklı bir ihtiyaç. Ancak doğrulama için her verinin rutin ve toplu alınması değil, amaçla sınırlı kayıt doğrulaması ve örneklem yöntemleri öncelikle değerlendirilmeli.
Bakanlığın kanuni veri toplama yetkisi vardır.	3359 sayılı Kanun ek 19 önemli bir dayanak. Yine de her veri kategorisinin amacı ve gerekliliği ayrıca ölçülmeli.
Sahte hasta kayıtları önlenmelidir.	Kimlik doğrulama somut şüpheli kayıtlar için gerekli olabilir; genel performans hesabında tüm portföyün aktarımı otomatik olarak zorunlu değil.
Kamu personeli gizlilik yükümlüsüdür.	Önemli ama tek başına yeterli değil. İhtiyaç temelli erişim, teknik güvenlik ve denetim izi de bulunmalı.
Yetki belgeli şirketler denetime tabidir.	Düzenlenen bir sektörde faaliyet göstermek, KVKK ve anayasal veri koruma güvencelerinden vazgeçmek anlamına gelmez.

Sıkça Sorulan Sorular

Performans değerlendirmesi kimi kapsıyor?

Uluslararası sağlık turizmi yetki belgesine sahip sağlık tesislerini ve aracı kuruluşları. USHAŞ, bu kuruluşları Yönetmeliğin EK-2’sindeki performans kriterlerine göre yılda en az bir kez değerlendiriyor.

Değerlendirme sonucu yetersiz çıkarsa ne olur?

Yönetmeliğin 9. maddesi performans yetersizliğine bağlı kontrol değerlendirmesi ve belirli koşullarda yetki belgesinin askıya alınması veya iptali mekanizması öngörüyor.

Hasta detay formunu doldurmak zorunlu mu?

Yönetmeliğin 8. maddesi Bakanlıkça istenen bilgi ve belgelerin gönderilmesini zorunlu tutuyor. Ancak formdaki 26 alanın her birinin zorunlu olup olmadığı ve bu zorunluluğun hangi normdan doğduğu, formun gönderildiği resmî yazıya bakılarak değerlendirilmelidir.

Bir alanı boş bırakmak doğrudan ceza sebebi mi?

Hayır, bu sonuca otomatik olarak varılamaz. Para cezasının açık kanuni dayanağı olmalı; eksik bildirim, gerçeğe aykırı kayıt ve performans yetersizliği ayrı fiillerdir. Yine de her somut talepte süre ve yaptırım analizi yapılmalı, itirazın süreyi durdurmadığı unutulmamalıdır.

Hastadan açık rıza almak sorunu çözer mi?

Sağlık verileri açık rıza dışındaki hukuki şartlarla da işlenebilir; ancak ne rıza ne de aydınlatma metni, ölçüsüz bir toplu aktarımı tek başına hukuka uygun hâle getirmez. Önce hukuki dayanak ve gereklilik belirlenmelidir.

Kodlanmış (HT-ID gibi) veriler anonim sayılır mı?

Kodlar hastanın gerçek kimliğine geri bağlanabiliyorsa anonim değil, takma adlandırılmış kişisel veridir. KVKK güvenceleri devam eder; ancak doğrudan kimlik paylaşımına göre riski önemli ölçüde azaltır.

Avrupalı hastalarımız için GDPR uygulanır mı?

Otomatik olarak değil. GDPR m. 3’teki ölçütlerin somut faaliyet bakımından karşılanıp karşılanmadığına bakılır. Türkiye’deki şirketin Türk kamu kurumuna yaptığı aktarım da AB’den Türkiye’ye aktarımla aynı işlem değildir.

Sonuç

Sağlık turizmi şirketlerinin performansını ölçmek, hasta memnuniyetini artırmak ve şikâyetleri yönetmek meşru kamu politikası amaçlarıdır. Ancak performans denetiminin başarısı, mümkün olan en fazla kişisel verinin toplanmasına değil, doğru göstergelerin güvenilir biçimde doğrulanmasına dayanmalıdır.

Zamanında yanıt oranını hesaplamak için tüm hastaların telefon numaralarının rutin olarak aktarılması çoğu durumda gerekli görünmüyor; şikâyet oranının ölçümü de kimlik verilerinin tamamını gerektirmeyebilir. Somut şikâyet veya gerçeğe aykırı beyan şüphesiyle yapılan ayrıntılı incelemeler ise ayrı bir hukuki değerlendirmeye tabidir.

Şirketlerin kendi bünyelerinde kurduğu güvenlik katmanları, dışarıya aktarılan geniş Excel listeleriyle fiilen zayıflamamalıdır. Bakanlık, USHAŞ ve il/ilçe birimlerinde yetki temelli erişim, aktarımların izlenmesi, saklama ve silme süreleri, veri güvenliği sorumluluğu ve ticari portföy gizliliği tanımlanmalıdır.

Özetle: Performans denetiminde esas olan hastanın kimliğini öğrenmek değil, sunulan hizmetin niteliğini ve kuruluşun yükümlülüklerine uygunluğunu ölçmektir. Etkin kamu denetimi ile kişisel verilerin korunması arasında zorunlu bir tercih yoktur; hukuken açık ve teknik olarak ölçülü bir sistem ikisini birden sağlayabilir.

Apsis Danışmanlık Nasıl Destek Olur?

Apsis Danışmanlık, sağlık turizmi mevzuatı ve KVKK uyumunu birlikte ele alarak sağlık tesislerine ve aracı kuruluşlara şu konularda destek sunar:

• Performans göstergelerinin kayıt altyapısının ve toplulaştırılmış raporlamanın kurulması
• Veri envanteri, erişim düzeyleri ve saklama-imha politikalarının hazırlanması
• İdareden gelen veri taleplerinin hukuki dayanak, süre ve yaptırım yönünden analizi
• Hukuki dayanak ve veri minimizasyonu talep eden yazılı başvuruların hazırlanması
• Aydınlatma metinlerinin ve veri sorumlusu–veri işleyen rollerinin gözden geçirilmesi

İletişim

• İrtibat: İbrahim Selçuk Altındağ · 0536 320 48 15
• Telefon: 0216 990 0 990
• E-posta: info@apsisdanismanlik.com

Mevzuat ve Kaynaklar

• Uluslararası Sağlık Turizmi ve Turistin Sağlığı Hakkında Yönetmelik (Resmî Gazete, 26.04.2025, Sayı: 32882)
• 3359 sayılı Sağlık Hizmetleri Temel Kanunu, ek 19. madde
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 4, 5, 6, 8 ve 12
• Türkiye Cumhuriyeti Anayasası, m. 13, 20 ve 123
• 5326 sayılı Kabahatler Kanunu, m. 4
• Kişisel Verileri Koruma Kurulu’nun 31.01.2018 tarihli ve 2018/10 sayılı kararı
• KVKK, Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber
• Genel Veri Koruma Tüzüğü (GDPR), m. 3 ve 5
• Uluslararası Sağlık Turizmi Performans Değerlendirme Formu (“Performans Değerlendirme” ve “Hasta Detay Listesi” sayfaları)