Sağlık Hizmeti Açık Rıza Şartına Bağlanabilir mi?

Sağlık Hizmeti Açık Rıza Şartına Bağlanabilir mi?

İlgili çalışma alanı → Kişisel Verilerin Korunması: Açık rıza, sağlık verileri ve Kurul kararları için çalışma alanı.

Kısa cevap: Hayır. Bir hizmetin sunumu, ilgili kişinin açık rıza vermesi şartına bağlanamaz. Randevu formunda tanıtım onayı işaretlenmeden randevunun tamamlanmaması, açık rızanın "özgür iradeyle açıklanma" unsurunu ortadan kaldırır.

6698 sayılı Kanun m. 3/1-(a) açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Üç unsurdan biri eksikse geçerli rıza yoktur.

---

1. Kurulun Tespiti

Kişisel Verileri Koruma Kurulu, 02.05.2023 tarihli ve 2023/692 sayılı kararında bir özel sağlık kuruluşunun internet sitesini inceledi. Randevu alma sayfasında, kuruluşun hizmet ve duyurularından haberdar olmaya ilişkin onay kutucuğu işaretlenmeden randevu işlemi tamamlanmıyordu.

Kurul, sağlık hizmetiyle doğrudan bağlantılı olmayan ve yalnızca veri sorumlusunun tanıtımından menfaat sağladığı bir işleme için verilen açık rızanın zorunlu tutulmasının ilgili kişilerin iradesini sakatlayacağını belirtti ve uygulamayı 6698 sayılı Kanun m. 4'teki hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırı buldu¹.

Önemli: Kurul, tarafların eşit konumda olmadığı veya birinin diğeri üzerinde etkili olduğu ilişkilerde rızanın özgür iradeyle verilip verilmediğinin öncelikle değerlendirilmesi gerektiğini vurguladı. Hasta ile sağlık kuruluşu arasındaki ilişki tipik olarak bu niteliktedir.

---

2. Yanlış Hukuki Sebep Seçimi de Aleyhe Yorumlanır

Kararın az bilinen ikinci ekseni hukuki sebep tercihidir. Veri sorumlusu, randevu için gereken verileri 6698 sayılı Kanun m. 5/2'deki sözleşmenin ifası ve hukuki yükümlülük şartlarına dayandırabilecekken, işlemeyi açık rızaya bağlamıştı.

Kurul bu tercihi hakkın kötüye kullanılması bağlamında değerlendirdi. Gerekçe şudur: açık rızaya dayandırıldığında ilgili kişide rızasını geri alarak işlemeyi durdurabileceği izlenimi doğar; oysa işleme gerçekte başka bir şarta dayanmaktadır ve rızanın geri alınması işlemeyi sona erdirmez.

Uygulamaya çevirisi nettir. Hizmetin sunumu için zorunlu veriler hukuki sebebe dayandırılır; açık rıza yalnızca hizmetin dışındaki amaçlar için alınır.

---

3. Doğru Kurgu

Sağlık kuruluşu bakımından işleyen yapı üç katmanlıdır.

Zorunlu veriler. Ad, iletişim, randevu bilgisi ve tedaviye ilişkin kayıtlar sözleşmenin ifası, hukuki yükümlülük ve 6698 sayılı Kanun m. 6/3-(e)'deki sağlık hizmeti şartına dayanır. Bunlar için rıza aranmaz.

Aydınlatma. Rızadan ayrı ve ondan önce yapılır. Aydınlatma metni ile rıza beyanı aynı kutucukta toplanamaz.

İsteğe bağlı amaçlar. Tanıtım, kampanya bildirimi ve memnuniyet araması için ayrı bir kutucukta açık rıza alınır; işaretlenmemesi hizmeti engellemez ve randevu tamamlanır.

Ticari elektronik ileti tarafında ayrıca İYS ve 6563 sayılı Kanun yükümlülükleri işler. Bu ayrım reklam amaçlı SMS ve e-postada KVKK açık rıza başlığında açıklanmıştır.

---

Uygulamada

Kurul incelemesi başladıktan sonra sayfayı düzeltmek sorumluluğu ortadan kaldırmaz. 2023/692 sayılı kararda veri sorumlusu, ihbardan sonra zorunluluğu kaldırmış ve ayrı bir rıza kutucuğu eklemişti; Kurul buna rağmen o tarihe kadar yürütülen randevu işlemlerinin sakat kurgu üzerinden yapıldığını tespit etti.

İkinci pratik nokta arşivdir. Geçmişte sakat kurguyla toplanan rızalar geçerli bir işleme şartı üretmez. Düzeltme yapılırken yalnızca form değiştirilmemeli, o rızaya dayanılarak sürdürülen pazarlama faaliyetlerinin hukuki sebebi de yeniden kurulmalıdır.

---

İlgili içerikler için bkz. Kişisel Sağlık Verilerinin İşlenmesi ve Erişim Yetkisinin Sınırı, Kişisel Verilerin Korunması Rehberi, Açık Rıza Hangi Hâllerde Gerekmez?, KVKK Aydınlatma Metni Rehberi.

Dipnotlar

1. Kişisel Verileri Koruma Kurulu, 02.05.2023 tarihli ve 2023/692 sayılı karar; 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 3, m. 4, m. 5 ve m. 6, RG 07.04.2016/29677. ↩