GDPR ihlalinin cezası ne kadar?

İki kademeli: daha hafif ihlaller için 10 milyon Euro veya global cirosunun %2'si (hangisi yüksekse); ağır ihlaller için 20 milyon Euro veya %4. Küçük klinikler için bu rakamlar ulaşılmaz gibi görünse de AB'de hasta şikayeti AB veri koruma otoritelerini harekete geçirir. İtibar hasarı maddi cezadan daha ağır olabilir.

Cookie banner olmadan reklam çalıştırabilir miyim?

Teknik olarak çalışır ama hukuki açıdan ihlal oluşturur. Daha pratik sorun: cookie banner olmadan Consent Mode devreye girmez, Meta Pixel ve Google Analytics AB kullanıcısından veri toplayamaz — bu da remarketing listelerini ve analitik verini mahveder.

Hasta formu için hangi onay metni yeterli?

Minimum: "Kişisel verileriniz, tedavi sürecinizin yönetimi amacıyla [Klinik adı] tarafından işlenecektir. Detaylar için gizlilik politikamızı inceleyin. [Onay kutusu]" — Bu metin hem Türkçe hem İngilizce olmalı. Sağlık verisi için ayrıca açık rıza ifadesi gerekebilir; bir hukuk danışmanından onay alınması önerilir.

WhatsApp üzerinden sağlık verisi almak GDPR ihlali mi?

WhatsApp end-to-end şifreli olduğundan veri güvenliği açısından kabul edilebilir. Ama hastanın WhatsApp üzerinden verdiği rıza belgelenmiş olmalı. "Verilerimi işlemenize izin veriyorum" mesajı arşivlenmeli ve sisteme kaydedilmeli.

GDPR için avukat tutmak şart mı?

Küçük klinikler için temel uyum (cookie banner, gizlilik politikası, onay kutusu) bir GDPR uzmanıyla veya uyum SaaS platformuyla (Cookiebot, OneTrust gibi) sağlanabilir. Daha büyük veri işleme hacminde veya ciddi AB hasta oranında hukuki danışmanlık önerilir.

GDPR ve Sağlık Verisi: Uluslararası Hasta Kabul Eden

Almanya, Hollanda veya Birleşik Krallık'tan hasta kabul eden her Türk kliniği, farkında olsun ya da olmasın GDPR kapsamına giriyor. Çoğu klinik bunu ya bilmiyor ya da önemsemiyor. Ama AB'den gelen hastanın verisi işlendiği anda GDPR devreye giriyor — ve ihlal cezaları küçük değil.

Daha önemlisi: GDPR uyumu bir yük değil, rekabet avantajıdır. "GDPR uyumlu klinik" ibaresi Avrupalı hastada güven inşa eden, rakipten ayrışan bir sinyaldir.

Neden Türk Klinikleri GDPR Kapsamında?

GDPR'ın yetki alanı çok geniştir: AB'de ikamet eden kişilerin verisini işleyen her kuruluş, nerede bulunursa bulunsun GDPR'a tabidir. İstanbul'daki bir diş kliniği Almanya'dan hasta formu aldığında, o formda ad, e-posta, telefon ve sağlık bilgisi varsa — GDPR'a aykırı işleme başlamış olabilir.

Sağlık verisi özel durum: GDPR'da sağlık bilgisi "özel kategori veri" sayılır ve çok daha sıkı kurallara tabidir. Diş rahatsızlığı, saç ekimi endikasyonu, estetik prosedür geçmişi — bunların tamamı özel kategori veridir. İşlenmesi için açık rıza zorunludur.

Dijital Pazarlamaya Doğrudan Etkileri

Web sitesi cookie yönetimi: AB'den gelen ziyaretçi için cookie banner zorunlu. Analytics, Meta Pixel, Google Ads remarketing tag'leri — hepsi onay alınmadan çalıştırılamaz. Cookie banner olmayan klinik sitesi hem GDPR ihlali hem de remarketing verisi kaybı demek.

Meta Pixel ve CAPI: Meta Pixel AB kullanıcısının davranışını kaydeder. Onay alınmadan bu verinin işlenmesi GDPR ihlalidir. Çözüm: Consent Mode v2 entegrasyonu — kullanıcı onay vermeden Pixel tetiklenmez, onay verenlerden veri toplanır.

E-posta pazarlama: AB'deki hastaya e-posta göndermek için çift opt-in (double opt-in) zorunludur. "Form dolduranları listeye ekliyoruz" GDPR'a aykırı.

Remarketing listesi: AB kullanıcısını otomatik remarketing listesine eklemek onay gerektiriyor. Cookie banner'da "pazarlama çerezlerine izin veriyorum" seçeneği seçilmeden kullanıcı remarketing hedefleme listesine alınamaz.

GDPR Uyumlu Klinik Web Sitesi Kontrol Listesi

Cookie consent banner (tüm ziyaretçiler için, dil opsiyonlu)
Gizlilik politikası sayfası (Türkçe + İngilizce minimum)
Aydınlatma metni — hangi veri, neden, ne kadar süre
İletişim formlarında veri işleme onay kutusu
E-posta listesi için double opt-in mekanizması
Hasta talebinde veri silme prosedürü
Consent Mode v2 (Google) entegrasyonu
Meta Pixel için GDPR uyumlu tetikleme

Avantaj Olarak Kullanmak

GDPR uyumunu yük değil, pazarlama unsuru olarak konumlandırın:

GDPR ve KVKK yazımı inceleyebilirsiniz.

İlgili Yazılar

Kaynakça

dijital audit