Psikolog Danışan Kayıtları ve KVKK: Terapistler Neye Dikkat Etmeli?

Psikolog ve terapistlerin tuttuğu danışan kayıtları, 6698 sayılı KVKK'da "özel nitelikli kişisel veri" sayılan sağlık verisi kapsamında değerlendirilir. Bu yüzden iki şeyi birlikte yapmanız gerekir: danışanı, verisinin nasıl işleneceği konusunda önceden bilgilendirmek (aydınlatma) ve verileri yetkisiz erişime, kayba ve sızıntıya karşı korumak (teknik ve idari tedbirler). Seans notlarını randevu, iletişim ve ödeme kayıtlarından ayırmak, erişimi sınırlamak, şifrelemek, yedeği güvenli tutmak ve saklama süresi dolunca imha etmek bu düzenin temelidir.

Aşağıda önce hukuki çerçeveyi, sonra tek hekimli bir muayenehane ya da iki kişilik bir terapi ofisinin bile uygulayabileceği pratik önlemleri bulacaksınız. Hukuki değerlendirmenin gerektiği noktalarda bunu açıkça belirttim.

Danışan verisi neden özel nitelikli sayılıyor?

KVKK'nın 6. maddesinin birinci fıkrası; ırk, din, mezhep, dernek ve sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayar. Kişisel Verileri Koruma Kurumu (KVKK) sayfasında bu listenin kapalı olduğu, yani kıyasla genişletilemeyeceği belirtilir.

Ruhsal sağlık da bunun içindedir. Kurumun özel nitelikli veri rehberinde anılan Kişisel Sağlık Verileri Hakkında Yönetmelik, kişisel sağlık verisini kişinin "fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi" ve sunulan sağlık hizmetiyle ilgili bilgiler olarak tanımlar. Seans notları, görüşme özetleri, tanı ve değerlendirme bilgileri bu çerçevede düşünülmelidir.

Bu verilerin özel statüsü, ifşa edilmesinin kişiye ayrımcılık ve ciddi zarar getirebilmesinden gelir. Bir danışanın ismini, hangi sorunla geldiğini ya da sadece terapiye geldiğini öğrenmek bile birçok kişi için hassastır.

2024 değişikliği: ne değişti, ne değişmedi?

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun, KVKK'nın 6. maddesini değiştirdi. Değişiklik 1 Haziran 2024'te yürürlüğe girdi. KVKK'nın rehberine göre özel nitelikli veri kategorileri arasındaki ayrım kaldırıldı ve yeni işleme şartları getirildi. Eski ikinci fıkra mülga oldu.

Güncel metne göre özel nitelikli verilerin işlenmesi kural olarak yasaktır; ancak şu hallerde mümkündür: ilgili kişinin açık rızası, kanunlarda açıkça öngörülmesi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması gibi sayılı şartlardan biri bulunuyorsa. Bu şartlardan biri de (e) bendidir: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması. Dördüncü fıkra ayrıca Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşar.

Önemli bir ayrıntı: Kurum'un rehberi, "sır saklama yükümlülüğü altında bulunan kişiler" ifadesi için Kanun'da ve ilgili diğer mevzuatta net bir çerçeve çizilmediğini söyler. Psikolog ve terapistlerin kendi çalışma biçimlerinin (muayenehane, ruhsatlı merkez, kurum bünyesinde çalışma) bu bende nasıl oturduğu tartışmalı olabilir. Hangi işleme şartına dayanacağınızı bir KVKK hukukçusuyla netleştirmenizi öneririz.

Aydınlatma ile açık rıza aynı şey değildir

Aydınlatma, 10. madde uyarınca veriyi elde ederken yapmanız gereken bilgilendirmedir. En az şunları içermelidir: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ve ilgili kişinin 11. maddedeki hakları. Aydınlatma, hangi işleme şartına dayanırsanız dayanın yapılması gereken bir yükümlülüktür.

Açık rıza ise bir işleme şartıdır; her işlem için gerekmez. KVKK'nın 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı iki konuyu netleştirir: açık rıza gerekiyorsa aydınlatma metni ile açık rıza metni ayrı belgeler (ya da aynı sayfada ayrı başlıklar ve ayrı beyanlar) olmalıdır. Rıza dışındaki bir işleme şartına dayanılıyorsa danışana ayrıca açık rıza metni sunulmaz; yalnız aydınlatma yapılır ve metnin okunduğuna dair geri bildirim alınır.

Bu yüzden internetten bulduğunuz bir "aydınlatma ve rıza" şablonunu olduğu gibi kullanmayın. Aynı karar, metinlerin başka bir veri sorumlusundan kopyalanmamasını, kendi faaliyetinizi yansıtmasını ve sade bir dille yazılmasını da ister.

Terapist KVKK aydınlatma metni örnek içerik listesi

Metin uzun olmak zorunda değil; şu başlıkların her birinin cevabı bulunmalı:

• Veri sorumlusu kim (adınız ya da kurumunuz, iletişim bilginiz).
• Hangi veriler toplanıyor (kimlik, iletişim, randevu, ödeme, seans kayıtları).
• Hangi amaçla işleniyor (görüşmelerin yürütülmesi, randevu planlama, mevzuattan doğan yükümlülükler).
• Kimlere aktarılabilir (örneğin yasal talep halinde yetkili kurumlara; süpervizyon ya da muhasebeci gibi aktarım varsa açıkça yazılmalı).
• Toplama yöntemi ve hukuki sebep.
• Danışanın hakları ve başvuru yolu.

Süpervizyon için vaka paylaşıyorsanız ya da seansı kaydediyorsanız bunu ayrıca ele almanız gerekir; hangi hukuki dayanakla yapılacağını uzmanına danışın.

Seans notları ile idari kayıtları ayırın

Tek bir tablo ya da dosyada hem seans içeriğini hem telefon numarasını tutmak, her yetkiliye her şeyi göstermek demektir. Verileri üç katmana ayırmak erişimi daraltmanın en kolay yoludur.

Bir kişinin psikoloğa başvurduğu bilgisinin tek başına hangi veri kategorisine gireceği konusunda ihtiyatlı davranmak yerinde olur: randevu listesine de özel nitelikli veri gibi özen gösterin. Bu, hukuki bir kesinlik iddiası değil, risk azaltan bir pratiktir.

Pratik önlemler kontrol listesi

KVKK'nın 12. maddesi, veri sorumlusunu verilerin hukuka aykırı işlenmesini, hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almakla yükümlü kılar. Kurul'un 31.01.2018 tarihli 2018/10 sayılı kararı, özel nitelikli verilerde alınacak yeterli önlemleri sıralar. Kurum'un veri güvenliği rehberi de bunları tamamlar. Aşağıdaki tablo bu kaynaklardaki ana başlıkların küçük bir uygulamaya çevrilmiş halidir.

Danışan sayısı küçük olsa da bu liste geçerlidir. Tek kişilik bir ofiste "erişim" bölümü, bilgisayarın parolası ve telefonunuzun kilidi demektir.

Saklama süresi, silme ve imha

KVKK'nın 7. maddesi ve buna dayanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (Resmî Gazete, 28.10.2017), işleme sebepleri ortadan kalktığında verilerin silinmesini, yok edilmesini ya da anonim hale getirilmesini öngörür. Bu kendiliğinden ya da danışanın talebi üzerine olabilir.

Yönetmelikten bilmeniz gereken noktalar şunlardır: silme, yok etme ve anonimleştirme işlemleri kayda alınır ve bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl tutulur. VERBİS'e kayıt yükümlüsü olan veri sorumlularının saklama ve imha politikası hazırlaması gerekir; bu politikada belirlenen periyodik imha aralığı her halde altı ayı geçemez. Politika yükümlülüğü bulunmayanlar için yönetmelik, yükümlülüğün doğmasından sonra üç ay içinde silme, yok etme veya anonim hale getirme kuralını getirir.

Verinin ne kadar saklanacağı ise tek bir sayıya bağlı değil. Sağlık, mali ve meslek mevzuatı farklı süreler öngörebilir. Bu yazıda tek bir süre vermiyoruz; hangi kaydı kaç yıl tutacağınızı mevzuata ve mesleki kurallara göre bir uzmanla belirleyin, sonra bunu yazıya dökün.

VERBİS kaydı gerekiyor mu?

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir; KVKK'nın 16. maddesi uyarınca veri sorumlularının kayıt yükümlülüğü vardır, Kurul ise istisna tanıyabilir. KVKK'nın 12 Ocak 2026 tarihli duyurusuna göre güncel istisna kriterleri şöyledir:

• Ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlarda: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az.
• Ana faaliyet konusu özel nitelikli kişisel veri işleme olanlarda: yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az.
• Bilanço esasına göre defter tutmayanlarda (25.12.2025 tarihli 2025/2393 sayılı karara göre) yalnızca çalışan sayısı ölçüt olur.

Bir psikoloğun ana faaliyetinin "özel nitelikli veri işleme" sayılıp sayılmayacağı ve sizin yapınızın (bireysel muayenehane, ortaklık, ruhsatlı merkez) bu kriterlere nasıl oturduğu konusunda emin olamıyoruz; bunu muhasebeci ya da hukukçunuzla doğrulayın. Bir şeyi net söyleyebiliriz: VERBİS istisnası yalnızca sicile kaydı kapsar. Aydınlatma (10. madde) ve veri güvenliği (12. madde) yükümlülükleri, sicil kaydından değil veri sorumlusu olmaktan doğar.

WhatsApp ve e-postayla danışan iletişimi

Kurul'un 2018/10 sayılı kararı, özel nitelikli verilerin e-postayla aktarımında şifreli kurumsal e-posta adresi ya da KEP kullanılmasını sayar. WhatsApp gibi mesajlaşma uygulamaları için Kurul'un özel bir cümlesini bu çalışmada bulamadık; bu yüzden "şu uygulama yasaktır ya da serbesttir" demiyoruz. Risk azaltan pratikler ise açık:

• Danışanın size hangi kanaldan yazacağını baştan konuşun ve yazılı olarak kaydedin.
• Klinik içeriği (şikâyet, tanı, seans notu, ilaç) mesaj yoluyla yazmayın; bunun için yüz yüze ya da güvenli görüşme tercih edin.
• Kişisel telefonunuzda danışan kişilerini ayrı tutun; telefona kilit koyun, cihaz kaybında uzaktan silme seçeneğini açın.
• Yanlış kişiye mesaj gitmesi sık görülen bir ihlal biçimidir; Kurum'un rehberi de e-postanın yanlış alıcıya gitmesini örnek ihlal olarak anar. Göndermeden önce alıcıyı kontrol edin.
• Eski sohbetleri saklama süresi dolunca temizleyin; sohbet de bir kayıttır.

Randevu hatırlatma mesajında hassas bilgi geçirmeyin

Hatırlatma mesajı, danışanın telefonunun kilit ekranında herkesin gözü önünde belirebilir. Mesaj yalnızca zorunlu bilgiyi taşımalıdır: tarih, saat, yer ve (isteniyorsa) onay ya da iptal yolu.

• Kötü örnek: "Sayın [Ad], yarın saat 14.00'teki depresyon terapisi seansınızı hatırlatırız. Geçen haftaki panik atak konusunu devam ettireceğiz."
• İyi örnek: "Merhaba, yarın saat 14.00'teki randevunuzu hatırlatırız. Gelemeyecekseniz bu mesaja yanıt vererek bize haber verebilirsiniz."
• Daha da sade örnek: "[Ad], yarın 14.00'te görüşeceğiz. Onaylıyor musunuz?"

Mesajda tanı, seans konusu, ilaç, ödeme borcu ya da "terapi" kelimesi bulunmasını gerektiren bir durum yoktur. Randevu yönetimini hangi yöntemle yaparsanız yapın aynı ilke geçerlidir: gönderilen mesaj metnini önceden okuyun ve yalnız tarih, saat ve adres bilgisinin geçtiğinden emin olun. Hatırlatmaların gelmeme oranına etkisi için randevuya gelmeyen müşteri yazımıza bakabilirsiniz.

Veri ihlali olursa genel süreç

KVKK'nın 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini ister. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı "en kısa sürede" ifadesini 72 saat olarak yorumlar: ihlalden haberdar olunduktan sonra gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapılır.

Genel süreç şöyle işler:

1. İhlali durdurun ve kapsamını anlayın

Hangi verinin, kimlerin ve hangi yolla etkilendiğini belirleyin. Bilgisayar çalındıysa parolaları değiştirin, hesapları kapatın, yedeği kontrol edin.

2. Kurul'a bildirin

Kurul'un belirlediği Kişisel Veri İhlali Bildirim Formu kullanılır. 72 saat içinde tüm bilgiler toplanamıyorsa bilgiler aşamalı olarak, gecikmeden iletilebilir. 72 saati aşan gecikmede gecikmenin gerekçesi bildirime eklenir.

3. Etkilenen danışanları bilgilendirin

Kararda ilgili kişilere makul sürede bildirim öngörülür. İletişim bilgisi varsa doğrudan ulaşılır; yoksa internet sitesi gibi uygun yöntem seçilir. Danışanlara yapılacak açıklamanın dilini ve zamanlamasını bir hukukçu ile birlikte belirleyin.

4. Kaydedin

Veri sorumlusu bütün ihlalleri, etkilerini ve aldığı önlemleri belgelemeli ve bu belgeleri Kurul'un incelemesine hazır tutmalıdır.

Bir ihlalden şüpheleniyorsanız beklemeyin; süre farkındalıkla başlar. Hukuki sonuçlar (idari para cezası, tazminat vb.) için uzmanına danışın.

Danışan takip düzeninde küçük bir yol haritası

Sıfırdan düzen kuruyorsanız aşağıdaki sırayla ilerlemek, yükü hafifletir:

• Hangi verileri neden tuttuğunuzu bir sayfalık envanter olarak yazın.
• Aydınlatma metnini kendi uygulamanıza göre hazırlayın; rıza gerekip gerekmediğini hukukçunuzla netleştirin.
• Klinik notları ayrı ve şifreli bir ortama taşıyın; randevu listesini ayrı tutun.
• Yetkileri ve parolaları gözden geçirin; yedeği ağ dışında tutun.
• Saklama sürelerini ve imha takvimini belirleyin.
• İhlal halinde atacağınız adımları, kimi arayacağınızı tek sayfaya yazın.

Randevu tarafını (takvim, danışan kaydı, onay ve hatırlatma) düzenlemek için Müşterify'ın online randevu sistemi ve WhatsApp üzerinden otomatik onay ve hatırlatma mesajları kullanılabilir; kurulumu Müşterify ekibi yapar. Klinik notlarınızı nerede tutacağınız ve mesaj içeriğini nasıl kurgulayacağınız ise sizin ve hukuki danışmanınızın vereceği karardır. Psikologlara özel genel süreç için psikologlar sayfamıza ve psikologlar için randevu ve danışan yönetimi yazımıza bakabilirsiniz.

Sık sorulan sorular

Psikolog danışan kayıtlarını ne kadar süre saklamalı?

Tek bir süre vermek doğru olmaz. Silme Yönetmeliği, işleme sebepleri ortadan kalkınca verinin silinmesini ya da yok edilmesini ister; sağlık, mali ve meslek mevzuatı ise farklı saklama süreleri öngörebilir. Hangi kaydın kaç yıl tutulacağını bir uzmanla belirleyin ve yazılı hale getirin.

Seans notlarını bilgisayarda tutmak KVKK'ya aykırı mı?

Hayır, elektronik ortamda tutmak tek başına aykırı değildir. Önemli olan 12. maddedeki önlemlerin alınmasıdır: erişim kontrolü, şifreleme, iki adımlı doğrulama, yedekleme ve fiziksel güvenlik. Kurul'un 2018/10 sayılı kararı özel nitelikli veriler için bu önlemleri ayrıca sayar.

Danışandan her seferinde açık rıza almam gerekir mi?

Aydınlatma her durumda gereklidir; açık rıza ise yalnızca dayandığınız işleme şartı rıza ise gerekir. 2024 değişikliğinden sonra sağlık verisi için başka şartlar da var, ancak psikolog ve terapistlerin hangi şarta dayanabileceği tartışmalı olabilir. Bu karar için bir KVKK hukukçusuna danışın.

Danışanımın kaydını silmemi isterse ne olur?

KVKK'nın 11. maddesi danışana kişisel verilerinin silinmesini isteme hakkı verir; 13. madde veri sorumlusunun başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırmasını ister. Ancak bir saklama yükümlülüğünüz varsa durum farklılaşabilir. Talebi kaydedin ve hukuki dayanağınızla yanıtlayın.

Küçük muayenehanem için VERBİS kaydı yaptırmam gerekir mi?

Çalışan sayısına, mali bilanço toplamına ve ana faaliyetin özel nitelikli veri işleme sayılıp sayılmadığına bağlıdır. Güncel kriterler yukarıda özetlendi; sizin için sonucu bir muhasebeci ya da hukukçu ile doğrulayın. İstisna olsanız bile aydınlatma ve veri güvenliği yükümlülükleri devam eder.

Danışanla WhatsApp'tan yazışmak yasak mı?

Kurul'un WhatsApp'a özel bir yasağını bu çalışmada bulamadık. Ancak klinik içerikli yazışma yapmamak, mesajları sade tutmak ve cihazınızı korumak risk azaltan pratiklerdir. Özel durumunuz için uzmanına danışın.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
• KVKK: Özel Nitelikli Kişisel Veriler
• KVKK: Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber
• KVKK Kurulu: 2018/10 sayılı Karar, Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler
• KVKK: Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)
• KVKK Kurulu: 2026/347 sayılı İlke Kararı, Açık Rıza ve Aydınlatma Metinlerinin Ayrı Düzenlenmesi
• KVKK Kurulu: 2019/10 sayılı Karar, Kişisel Veri İhlali Bildirimi Usul ve Esasları
• KVKK: VERBİS Kayıt İstisna Kriterlerine İlişkin Duyuru (2025/1572 ve 2025/2393 sayılı kararlar)
• KVKK: Ana Faaliyet Konusu Özel Nitelikli Veri İşleme Olan Veri Sorumlularının VERBİS İstisna Kriteri Duyurusu
• KVKK: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

Bu yazı genel bilgilendirmedir; hukuki danışmanlık yerine geçmez.