Terapistler için KVKK Rehberi: Danışan Verilerini Nasıl Korumalısınız?

Terapi pratiğinde KVKK uyumunu sağlamak için özel nitelikli veri işleme, aydınlatma yükümlülüğü, danışan hakları, veri güvenliği tedbirleri ve WhatsApp risklerini Türkiye mevzuatıyla öğrenin.

KVKK (6698 sayılı Kişisel Verileri Koruma Kanunu) kapsamında terapistler, danışan verilerini işleyen bireysel veri sorumlusu statüsündedir ve seans notları, tanılar ve risk değerlendirmeleri gibi terapi verileri kanunun en yüksek koruma düzeyindeki özel nitelikli kişisel veri kategorisine girer. Bu rehber; aydınlatma yükümlülüğü, açık rıza ile sır saklama istisnası farkı, danışan hakları, dijital ve fiziksel güvenlik tedbirleri ile veri ihlali sürecini terapi pratiğine özel olarak ele alır.

Görmezden Gelinemeyecek Bir Yükümlülük

Bir klinik psikolog düşünün: seans notlarını bulut tabanlı bir uygulamada tutuyor, danışanlarıyla WhatsApp üzerinden iletişim kuruyor, ilk seansta herhangi bir aydınlatma metni sunmuyor. Her şey yolunda görünüyor, ta ki bir danışan sorana kadar: "Notlarım nerede saklanıyor? Seans kayıtlarıma kim erişebilir?" Terapist bu soruya yanıt veremiyor, çünkü bu konuyu hiç düşünmemiş.

Bu senaryo varsayımsal değil. Kişisel Verileri Koruma Kurumu (KVKK) 2016 yılından bu yana yürürlükte olan 6698 sayılı Kanun kapsamında veri sorumlularını denetliyor ve yaptırım uyguluyor. Terapistler, danışan verilerini işleyen bireysel veri sorumluları olarak bu kanunun doğrudan muhatabıdır. "Ben sadece terapi yapıyorum, teknoloji işleriyle ilgilenmiyorum" yaklaşımı hukuki bir savunma değil, bir risk faktörüdür.

Bu yazıda KVKK'nın terapi pratiğine özel boyutlarını ele alıyoruz: hangi veriler "özel nitelikli" sayılır, açık rıza ile sır saklama istisnası arasındaki fark nedir, aydınlatma yükümlülüğü neler gerektirir, danışanların hangi hakları vardır, dijital ve fiziksel güvenlik tedbirleri nelerdir ve ihlal durumunda ne yapılmalıdır. Her bölüm güncel kanun maddeleri ve 2026 yılı ceza miktarlarıyla desteklenmiştir.

Neden Önemli: Sorumluluk Kişisel, Cezalar Ağır

Terapi verileri, KVKK Madde 6 kapsamında "özel nitelikli kişisel veri" kategorisindedir. Bu, sıradan bir ad-soyad veya telefon numarasından çok farklı bir hukuki statüdür. Psikolojik tanı, seans notları, ilaç bilgileri, cinsel sağlık verileri, intihar risk değerlendirmeleri ve travma öyküsü gibi bilgiler, kanunun en yüksek koruma düzeyinde tuttuğu veri türleridir.

Terapist, KVKK terminolojisiyle "veri sorumlusu" statüsündedir. Bu, danışan verilerinin nasıl toplandığı, işlendiği, saklandığı ve silindiğinden bireysel olarak sorumlu olduğu anlamına gelir. Bir klinikte çalışıyor olsanız bile, klinik kayıtlarına erişiminiz varsa sorumluluk paylaşılır. Bağımsız çalışan terapistler ise doğrudan ve tek başına sorumludur.

Ceza miktarları caydırıcı düzeydedir. 2026 yılı itibarıyla KVKK kapsamında idari para cezaları 85.437 TL ile 17.092.242 TL arasında değişmektedir. Bunun ötesinde, Türk Ceza Kanunu Madde 136 uyarınca kişisel verileri hukuka aykırı olarak yayan kişi 1 ila 4 yıl hapis cezasıyla karşı karşıyadır; bu ceza, mesleğin sağladığı erişimle işlendiğinde yarı oranında artırılır. Bir terapistin danışan bilgilerini yanlışlıkla ifşa etmesi, hem idari hem cezai yaptırım riski taşır.

Hangi Veriler Özel Nitelikli?

KVKK Madde 6, sağlık verilerini ve cinsel hayata ilişkin verileri "özel nitelikli kişisel veri" olarak tanımlar. Terapi pratiğinde bu tanım son derece geniş bir alanı kapsar. Psikolojik tanı ve değerlendirme sonuçları, seans notları ve klinik gözlemler, ilaç bilgileri, ruhsal sağlık öyküsü, bağımlılık bilgileri, cinsel yönelim veya cinsel sağlık verileri, intihar risk değerlendirmeleri, aile içi şiddet ve istismar bilgileri ile travma öyküsü bu kategoriye girer.

Dikkat edilmesi gereken önemli bir nokta şudur: tek başına "özel nitelikli" sayılmayan demografik veriler bile terapi bağlamıyla birleştiğinde hassas hale gelir. Bir kişinin adı ve telefon numarası sıradan kişisel veridir, ancak bu kişinin "psikoterapi danışanı" olduğu bilgisiyle birleştiğinde sağlık verisi niteliği kazanır. Danışan listesi bile bu perspektiften özel nitelikli veri içerir.

Bu geniş kapsam, terapistlerin yalnızca seans notlarını değil, randevu kayıtlarını, iletişim geçmişini ve hatta bekleme odasında tutulan bilgileri bile KVKK perspektifinden değerlendirmesi gerektiği anlamına gelir.

Hukuki Dayanak: Açık Rıza mı, Sır Saklama İstisnası mı?

Özel nitelikli kişisel verilerin işlenmesi için iki temel yol vardır. Birinci yol açık rızadır: danışanın verilerinin işlenmesine özgürce, bilgilendirilerek ve belirli bir amaç için onay vermesidir. Açık rızanın geçerli olması için üç koşul aranır: belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle verilmelidir. "Tüm verilerim her amaçla işlenebilir" gibi genel ifadeler hukuki açıdan geçersizdir.

İkinci yol ise KVKK Madde 6/3 kapsamındaki istisnalardır. Sır saklama yükümlülüğü bulunan sağlık profesyonelleri, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sağlık verilerini açık rıza olmaksızın işleyebilir. Klinik psikologlar ve psikoterapistler bu istisna kapsamında değerlendirilebilir.

Pratik açıdan bu ne anlama gelir? Tedavi amacıyla seans notu tutmak, klinik değerlendirme yapmak ve tedavi planı oluşturmak için ayrıca açık rıza almanız gerekmez; sır saklama istisnası bu işlemleri kapsar. Ancak tedavi dışı amaçlar farklıdır: danışan verilerini araştırma, istatistik veya pazarlama amacıyla kullanmak istiyorsanız açık rıza zorunludur. Danışan, verdiği açık rızayı her zaman geri çekebilir ve bu durumda ilgili veri işleme faaliyetini durdurmanız gerekir.

Aydınlatma Yükümlülüğü: Rızadan Bağımsız ve Zorunlu

Aydınlatma yükümlülüğü, KVKK'nın en sık gözden kaçırılan ama en temel gerekliliklerinden biridir. Açık rıza alsanız da almasanız da, sır saklama istisnasına dayanarak işleseniz de, danışanı verilerinin nasıl işlendiği hakkında bilgilendirmek zorunludur. Aydınlatma ve rıza birbirinden tamamen ayrı yükümlülüklerdir.

10 Mart 2018 tarihli Resmi Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, aydınlatma metninin içermesi gereken unsurları belirler: veri sorumlusunun kimliği, veri işleme amaçları, verilerin kimlere ve hangi amaçlarla aktarılabileceği, veri toplama yöntemi ve hukuki sebebi, danışanın KVKK Madde 11 kapsamındaki hakları. Bu bilgileri içermeyen bir aydınlatma metni eksik sayılır.

Aydınlatma yükümlülüğüne uymamanın cezası 2026 yılında 85.437 TL ile 1.709.200 TL arasındadır. Uygulamada yapılması gereken oldukça basittir: ilk seanstan önce danışana açık ve anlaşılır bir aydınlatma metni sunmak. Bu metin ayrı bir belge olmalıdır; bilgilendirilmiş onam formunun içine gömülmemeli, rıza formuyla birleştirilmemelidir. Kurul kararları, aydınlatma ve rızanın tek belgede birleştirilmesini hukuka aykırı bulmaktadır.

Danışan Hakları: KVKK Madde 11

KVKK Madde 11, veri sahiplerine kapsamlı haklar tanır. Danışanınız herhangi bir zamanda şu taleplerde bulunabilir: verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, verilerin işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme ve verilerin silinmesini talep etme.

Silme hakkı terapi pratiğinde özel bir gerilim noktası oluşturur. Danışan verilerinin silinmesini talep edebilir, ancak klinik kayıt saklama yükümlülükleri buna sınır koyar. Sağlık Bakanlığı düzenlemeleri ve mesleki standartlar, klinik kayıtların en az 5 yıl saklanmasını önerir; birçok uzman ise 15-20 yıllık saklama süresini tavsiye eder. Bu çatışmada terapist, hukuki saklama yükümlülüğünü gerekçe göstererek silme talebini reddedebilir, ancak bunu yazılı ve gerekçeli olarak danışana bildirmek zorundadır.

Danışanın başvurusuna 30 gün içinde yanıt verme zorunluluğu vardır. Yanıt yetersiz bulunursa danışan, Kişisel Verileri Koruma Kurulu'na şikayette bulunabilir. Bu nedenle danışan taleplerini ciddiye almak, belgelemek ve süresi içinde yanıtlamak hem hukuki hem mesleki bir gerekliliktir.

Veri Güvenliği: Dijital ve Fiziksel Tedbirler

Kişisel Verileri Koruma Kurulu'nun 2018/10 sayılı kararı, özel nitelikli kişisel verilerin işlenmesinde veri sorumlularının alması gereken yeterli önlemleri detaylı olarak belirler. Bu karar terapistler için bir kontrol listesi niteliğindedir.

Dijital güvenlik tedbirleri arasında şifreleme (verilerin hem iletim hem saklama sırasında şifrelenmesi), iki faktörlü kimlik doğrulama (2FA), erişim kontrolü (yalnızca yetkili kişilerin verilere erişimi) ve özel nitelikli veriler için ayrı şifreleme anahtarları kullanılması yer alır. Bulut depolama kullanılabilir, ancak belirli koşullarla: veriler şifrelenmiş olmalı, 2FA aktif olmalı, hizmet sağlayıcının güvenlik uygulamaları denetlenmiş olmalı ve hizmet sonlandığında şifreleme anahtarlarının imha edilmesi garanti altına alınmalıdır.

Fiziksel güvenlik tedbirleri de ihmal edilmemelidir. Basılı danışan dosyaları kilitli dolaplarda saklanmalı, yangın ve su baskınına karşı korunmalıdır. Ofisten ayrılırken bilgisayar kilitlenmeli, ekranda danışan bilgileri açık bırakılmamalıdır.

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı konusunda bir muafiyet mevcuttur: 10'dan az çalışanı olan ve yıllık mali bilançosu 10 milyon TL'nin altında kalan veri sorumluları VERBİS'e kayıt yükümlülüğünden muaftır. Birçok bireysel terapist bu muafiyetten yararlanır. Ancak VERBİS kaydı muafiyeti, diğer KVKK yükümlülüklerinden muafiyet anlamına gelmez; aydınlatma, güvenlik tedbirleri ve danışan hakları yükümlülükleri aynen devam eder.

WhatsApp ve İletişim Riskleri

WhatsApp, Türkiye'de terapist-danışan iletişiminde en yaygın kullanılan araçlardan biridir, ancak KVKK perspektifinden ciddi riskler taşır. WhatsApp sunucuları Türkiye dışında bulunur, bu da her mesajın teknik olarak yurt dışına veri aktarımı anlamına gelir. Kişisel Verileri Koruma Kurulu, WhatsApp hakkında inceleme başlatmış ve platformun veri işleme uygulamalarını sorunlu bulmuştur.

Seans içeriğinin WhatsApp üzerinden paylaşılması, özel nitelikli sağlık verisinin kontrolsüz bir platformda işlenmesi demektir. Danışanın "Bu hafta çok kaygılıydım, panik atak geçirdim" mesajı, hukuki açıdan sağlık verisi niteliğindedir ve WhatsApp sunucularında saklanır. Bu durum hem KVKK hem de meslek etiği açısından sorunludur.

Pratik öneri şudur: WhatsApp'ı yalnızca randevu hatırlatma ve değişiklik bildirimi için kullanın, hiçbir klinik içerik paylaşmayın. Klinik iletişim için şifreli ve güvenli kanalları tercih edin. Platform güvenliği ve online terapi altyapısı hakkında daha detaylı bilgi için online terapi pratiği rehberimize bakabilirsiniz.

Yurt Dışına Veri Aktarımı

Online terapi platformları (Zoom, Google Meet) ve bulut yazılımları kullanan terapistler için yurt dışına veri aktarımı kaçınılmaz bir gerçekliktir. KVKK Madde 9, yurt dışına veri aktarımı için belirli mekanizmalar öngörür: Kurul tarafından yeterli koruma kararı verilen ülkelere aktarım (henüz böyle bir karar yayınlanmamıştır), standart sözleşme hükümleri (Temmuz 2024'ten itibaren kullanılabilir), bağlayıcı şirket kuralları ve açık rıza.

Standart sözleşme hükümleri kullanıldığında, sözleşmenin Kurul'a 5 iş günü içinde bildirilmesi zorunludur. Yurt dışına veri aktarımı kurallarının ihlali durumunda 2026 yılında 90.308 TL ile 1.806.377 TL arasında idari para cezası uygulanabilir.

Pratik açıdan bu ne anlama gelir? Kullandığınız online terapi platformunun ve bulut depolama hizmetinin verilerinizi nerede sakladığını bilmeniz, gerekli hukuki mekanizmaları uygulamanız ve danışanlarınızı bu konuda bilgilendirmeniz gerekir.

Veri İhlali Durumunda Ne Yapmalı?

Veri ihlali, kişisel verilerin kazara veya yasadışı olarak yok edilmesi, kaybedilmesi, değiştirilmesi, yetkisiz açıklanması veya erişilmesi anlamına gelir. Bir terapist için bu, dizüstü bilgisayarın çalınması, bulut hesabının ele geçirilmesi, yanlış kişiye e-posta gönderilmesi veya dosyaların şifresiz ortamda açığa çıkması gibi durumları kapsar.

İhlal tespit edildiğinde Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim zorunludur. Etkilenen danışanlara da "en kısa sürede" bildirim yapılmalıdır. Bildirimin içeriği şunları kapsamalıdır: ne olduğu, ne zaman gerçekleştiği, hangi verilerin etkilendiği, kaç kişinin etkilendiği ve alınan önlemler. Kurul'un web sitesinde (kvkk.gov.tr) veri ihlali bildirim formu mevcuttur.

Veri ihlalini önlemenin en etkili yolu, güvenlik tedbirlerini önceden almaktır. Ancak hiçbir sistem yüzde yüz güvenli değildir; bu nedenle bir ihlal müdahale planını önceden hazırlamak, ihlal gerçekleştiğinde panik yerine sistematik hareket etmenizi sağlar.

Klinik Örnek: Deniz, 32, Dijital Pratiğini Yapılandırıyor

Deniz, bir üniversite hastanesinde 5 yıl çalıştıktan sonra kendi özel muayenehanesini açan bir klinik psikologdur. Hem yüz yüze hem online danışan kabul etmektedir. Pratiğini kurarken KVKK uyumunu baştan yapılandırmaya karar verdi.

Aydınlatma Metni: Veri sorumlusu kimliği, veri işleme amaçları (tedavi, randevu yönetimi, yasal saklama), verilerin kimlere aktarılabileceği (muhasebeci, zorunlu hallerde resmi kurumlar), toplama yöntemi (seans, form, dijital iletişim) ve danışan haklarını içeren açık bir aydınlatma metni hazırladı. İlk seanstan önce danışana sunuluyor.

Rıza Formu: Tedavi amaçlı veri işleme için ayrı rıza alınmıyor (sır saklama istisnası). Ancak anonim istatistik ve araştırma amacıyla kullanım için ayrı bir açık rıza formu hazırladı. Aydınlatma metni ve rıza formu iki ayrı belge.

Veri Güvenliği: Danışan kayıtları şifreli bulut depolamada (AES-256), iki faktörlü kimlik doğrulama aktif. Basılı belgeler kilitli dolapta. Dizüstü bilgisayarda tam disk şifreleme (FileVault/BitLocker) etkin.

İletişim Kuralları: WhatsApp yalnızca randevu hatırlatma ve değişiklik için. Klinik içerik kesinlikle paylaşılmıyor. Online seanslar şifreli platform üzerinden yapılıyor.

Saklama Süresi: Klinik kayıtlar 15 yıl saklanıyor. Süre dolduğunda geri dönüşümsüz olarak siliniyor. Saklama politikası yazılı olarak belirlenmiş durumda.

İhlal Protokolü: Veri ihlali durumunda 72 saat içinde Kurul'a bildirim, etkilenen danışanlara bilgilendirme ve olay kaydı tutma adımlarını içeren yazılı bir protokol hazırladı.

Yıllık Gözden Geçirme: Her yılın Ocak ayında KVKK uyum kontrolü yapıyor: aydınlatma metni güncel mi, güvenlik tedbirleri yeterli mi, saklama süreleri uygulanıyor mu.

KVKK Uyumunda 5 Temel İlke

Sık Yapılan Hatalar

Aydınlatma ve Rızayı Tek Belgede Birleştirmek

Bu, Kurul'un açıkça hukuka aykırı bulduğu bir uygulamadır. Danışana "bilgileriniz şu amaçlarla işlenecektir, kabul ediyorum" şeklinde tek bir belge imzalatmak, aydınlatma yükümlülüğünü geçersiz kılar. Aydınlatma tek taraflı bir bilgilendirmedir, rıza ise iki taraflı bir işlemdir. İkisi ayrı belgelerde yer almalıdır.

"Tedavi Amaçlı" İstisnasını Her Şeye Uygulamak

Sır saklama istisnası yalnızca doğrudan tedavi faaliyetlerini kapsar. Danışan verilerini araştırma projesinde kullanmak, istatistik çıkarmak, pazarlama amacıyla işlemek veya süpervizyon sunumunda kullanmak tedavi değildir. Bu amaçlar için ayrı açık rıza gereklidir. "Ben terapistim, her şeyi tedavi kapsamında yapıyorum" yaklaşımı hukuki açıdan geçerli değildir.

WhatsApp'ta Klinik İçerik Paylaşmak

Danışanla WhatsApp üzerinden seans içeriği, duygusal durumu veya klinik değerlendirme paylaşmak, özel nitelikli sağlık verisini yurt dışındaki sunuculara aktarmak anlamına gelir. Randevu hatırlatması kabul edilebilir, ancak "geçen seansta konuştuğumuz ev ödevi hakkında" gibi mesajlar klinik içerik taşır ve risklidir.

Veri Saklama Süresini Belirlememiş Olmak

KVKK, verilerin işlenme amacının ortadan kalkmasıyla birlikte silinmesini veya anonimleştirilmesini gerektirir. "Ne zaman sileceğimi bilmiyorum, o yüzden hiç silmiyorum" yaklaşımı kanuna aykırıdır. Klinik kayıtlar için makul bir saklama süresi belirleyin (yasal minimum 5 yıl, tavsiye edilen 15-20 yıl), politikayı yazılı hale getirin ve süre dolduğunda uygulayın.

Mindora ile KVKK Uyumlu Veri Yönetimi

Bu yazıda ele aldığımız aydınlatma yükümlülüğü, güvenli depolama, erişim kontrolü ve saklama süresi yönetimi gibi gereklilikleri dijital ortamda karşılamak, doğru araçlarla çok daha kolay hale gelir. Mindora, terapi pratiğinizin veri yönetimi ihtiyaçlarını güvenlik odaklı bir altyapıyla destekler:

• Şifreli Bulut Depolama: Danışan kayıtları ve seans notları şifreli altyapıda saklanır. Verileriniz hem iletim hem depolama sırasında korunur.
• Hesap Güvenliği ve Veri İzolasyonu: Çift aşamalı doğrulama (2FA) ile hesap güvenliği sağlanır. Her terapistin verileri diğerlerinden tamamen izole edilir; veritabanı düzeyinde ayrıştırma sayesinde başka bir kullanıcının verilerine erişmek teknik olarak mümkün değildir.
• Denetim İzi (Audit Trail): Kim, ne zaman, hangi veriye erişti? Tüm erişim ve değişiklik kayıtları otomatik olarak tutulur.
• Danışan Onam Takibi: Aydınlatma metni sunulma durumu ve açık rıza kayıtları danışan profili üzerinden takip edilebilir.

Tüm bu veriler, klinik dokümantasyon sistemi içinde danışanın diğer kayıtlarıyla (seans notu, tedavi planı, formülasyon) bütünleşik olarak yönetilir.

Şifreleme altyapısı, veri izolasyonu, girdi doğrulama ve altyapı güvenliği hakkında detaylı bilgi için güvenlik sayfamızı inceleyebilirsiniz.

Kaynaklar

• 6698 Sayılı Kişisel Verilerin Korunması Kanunu (2016). T.C. Resmi Gazete, 29677.
• Kişisel Verileri Koruma Kurumu (2018). Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler (Kurul Kararı 2018/10).
• Kişisel Verileri Koruma Kurumu (2019). Kişisel Veri Güvenliği Rehberi. KVKK Yayınları.
• Türk Psikologlar Derneği (2004). Psikoloğun Mesleki Uygulamalarına İlişkin Etik Yönetmelik.
• Kişisel Sağlık Verileri Hakkında Yönetmelik (2019). T.C. Resmi Gazete, 30808.