Online Koçlukta KVKK: Danışan Sağlık Verisi Nasıl Korunur?

Online koçlukta hangi danışan verileri sağlık verisidir?

Kanun kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar (m.3). Yani danışanınızın adı, telefonu, e-posta adresi, ödeme kayıtları ve sizinle yazışmaları zaten kişisel veridir. m.6 ise bunların içinden bazı kategorileri ayırır: ırk, din, sendika üyeliği gibi bilgilerin yanında sağlık, biyometrik ve genetik veriler de özel nitelikli kişisel veridir.

Bir PT'nin elinde en çok biriken özel nitelikli veri sağlık verisidir. İlk görüşmede sorduğunuz kronik hastalıklar, geçmiş sakatlıklar, ameliyatlar, düzenli kullanılan ilaçlar, gebelik durumu ya da hekimden alınan bir rapor doğrudan danışanın sağlığına ilişkindir. Kanun "sağlık verisi" kavramını ayrıca tanımlamaz. Bu nedenle vücut ölçüleri, ilerleme fotoğrafları veya antrenman sırasında not ettiğiniz ağrı şikâyetleri gibi kayıtların da danışanın sağlık durumu hakkında bilgi verebileceğini düşünmek ve bunlara aynı özeni göstermek en güvenli yoldur.

Sağlık verisini hangi şartla işleyebilirsiniz?

6698 m.6/3 önce açık bir kural koyar: özel nitelikli kişisel verilerin işlenmesi yasaktır. Ardından bu yasağın istisnalarını sayar. Bunlar arasında ilgili kişinin açık rızası, kanunlarda açıkça öngörülme, fiili imkânsızlık hâlinde hayatın korunması, ilgili kişinin alenileştirdiği veriler ve bir hakkın tesisi ya da korunması için zorunluluk bulunur.

Listede sağlıkla ilgili ayrı bir bent de var: sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım gibi amaçlarla işleme (m.6/3-e). Bu bent metinde sayılan kişiler ve amaçlarla sınırlıdır; kanunda bir antrenörün bu kapsamda olduğunu gösteren bir hüküm yoktur. Bu yüzden danışanının sağlık beyanını alan bir PT için dayanılabilecek en açık şart, danışanın açık rızasıdır. Hangi şarta dayanırsanız dayanın, m.6/4 gereği Kurulun belirlediği yeterli önlemleri de almanız şarttır; bu önlemlerin güncel listesine Kişisel Verileri Koruma Kurumunun sitesinden bakın.

Geçerli bir açık rıza nasıl olur?

Kanun açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar (m.3). Bu üç unsur pratikte şu anlama gelir:

• Belirli konu: "Tüm verilerimin işlenmesine izin veriyorum" gibi genel bir cümle yerine, hangi sağlık bilgisinin hangi amaçla (örneğin size uygun antrenman programı hazırlamak) işleneceği yazılmalıdır.
• Bilgilendirmeye dayanma: Danışan onay vermeden önce aydınlatma metnini görmüş olmalıdır.
• Özgür irade: Onay kutusu önceden işaretli olmamalı, danışan onayı kendi eylemiyle vermelidir.
• Ayrı ayrı rıza: Sağlık verisi işleme rızası, pazarlama iletisi onayı ve üyelik sözleşmesi onayı tek bir tıkla ya da tek bir kodla toplanmamalıdır.
• Kayıt: Rızanın ne zaman, hangi metinle ve hangi kanaldan alındığını saklayın; gerektiğinde bunu gösterebilmeniz gerekir.

KVK Kurulunun KVK Kurulunun 2025/1072 sayılı ilke kararı bu konuda yol gösterir. Kurul, üyelik sözleşmesi onayı, veri işleme izni ve ticari ileti onayı gibi farklı işlemlerin tek bir eylemle alınmasına son verilmesini ve açık rıza gereken her işlem için ayrı ayrı rıza alınmasını kararlaştırmıştır. Kararın gerekçesinde, açık rızanın bir ürün ya da hizmetin sunulmasının ön şartı yapılması hâlinde özgür irade unsurunun zedeleneceği ve geçerli bir açık rızadan söz edilemeyeceği de belirtilir.

Aydınlatma metni: açık rızadan ayrı bir yükümlülük

Aydınlatma, açık rızaya dayansanız da dayanmasanız da yerine getirmeniz gereken bağımsız bir yükümlülüktür. m.10'a göre veriyi elde ederken danışana şunları bildirmeniz gerekir:

• Veri sorumlusunun, yani sizin ya da şirketinizin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Verilerin kimlere ve hangi amaçla aktarılabileceği,
• Veri toplamanın yöntemi ve hukuki sebebi,
• m.11'de sayılan haklar.

Kurul 2025/1072 kararında, açık rızaya dayanılan işlemlerde aydınlatma ile açık rızanın ayrı ayrı yapılması gerektiğini ve aydınlatmanın Kurumun Aydınlatma Yükümlülüğü Tebliğine de uygun olması gerektiğini vurgular. Pratikte bu, sağlık formunuzun başında ayrı bir aydınlatma metni, altında ise ayrı bir açık rıza onayı olması demektir. Metni nasıl yazacağınızı aydınlatma metni nasıl hazırlanır yazısında, form üzerinde nasıl kurgulayacağınızı iletişim formunda KVKK aydınlatması ve açık rıza yazısında ayrıntılı bulabilirsiniz.

Danışan verisinin yolculuğu: ilk formdan arşive

KVKK uyumunu soyut bir belge olarak değil, bir danışanın sizinle geçirdiği süreç boyunca düşünmek işinizi kolaylaştırır. Tipik bir online koçluk ilişkisi aşağıdaki adımlardan geçer; her adımda sormanız gereken soru farklıdır.

• Başvuru veya iletişim formu: Bu aşamada sağlık bilgisi istemeyin. Ad, iletişim bilgisi ve hedefe dair kısa bir not yeterlidir. Formun yanında aydınlatma metni bağlantısı bulunsun.
• Ön görüşme: Görüşmede danışanın anlattığı sağlık bilgilerini rastgele bir not uygulamasına yazmayın. Satın alma gerçekleşmezse bu notları tutmanız için bir amaç kalmaz.
• Satın alma ve sözleşme: Sözleşme ve ödeme bilgileri ayrı bir kayıt olarak tutulur. Satış sürecinin yasal tarafı online PT paketi satışı yasal yükümlülükler yazısında anlatılıyor.
• Sağlık beyanı ve açık rıza: Aydınlatma metni, ardından ayrı açık rıza onayı, ardından yalnızca programı hazırlamak için gereken sorular. Gerekirse danışandan hekim onayı istenir.
• Program ve takip: Ölçüm, fotoğraf ve antrenman kayıtları tek bir güvenli yerde tutulur; ekran görüntüsü olarak telefon galerisine dağılmaz.
• Mesajlaşma: Danışan sağlık şikâyetini mesajla iletirse, bu mesajlar da korunması gereken kayıt hâline gelir. Hangi kanalı kullandığınızı aydınlatma metninde belirtin.
• Paket bitişi: Sağlık verisini neden saklamaya devam ettiğinizi kendinize sorun. Amaç bittiyse silme veya anonim hâle getirme sırası gelmiştir.

Bir günlük çalışma akışını düşünün: sabah yeni bir başvuru gelir, öğlen mevcut bir danışan diz ağrısından bahseden bir mesaj atar, akşam da bir danışanınızın paketi sona erer. Bu üç olayın her birinde farklı bir KVKK sorusu vardır: başvuruda aydınlatma, mesajda sağlık verisinin güvenliği, paket bitişinde saklama ve silme. Bu soruları her seferinde yeniden düşünmemek için süreci bir kez yazılı hâle getirin.

Veri güvenliği: m.12 size ne yükler?

m.12/1'e göre veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almak zorundadır. Kanun hangi tedbirlerin alınacağını tek tek saymaz; tek kişilik bir koçluk işinde uygulanabilecek örnek tedbirler şunlardır:

• Danışan kayıtlarının tutulduğu hesaplarda güçlü ve benzersiz parola ile iki adımlı doğrulama kullanın.
• İş için kullandığınız telefon ve bilgisayarda ekran kilidi ve cihaz şifrelemesi açık olsun.
• Sağlık formlarını herkesin erişebildiği ortak klasörlerde veya paylaşım bağlantılarında tutmayın.
• Bir asistanla çalışıyorsanız yalnızca işini yapmak için gereken verilere erişim verin; ayrıldığında erişimini hemen kapatın.
• Kâğıt formları kilitli bir dolapta saklayın, işi biten kâğıtları okunamayacak şekilde imha edin.
• Yedeklerinizi de aynı özenle koruyun; şifresiz bir yedek, asıl verinin güvenliğini boşa çıkarır.

Kullandığınız yazılım, bulut depolama veya e-posta hizmeti danışan verisini sizin adınıza işliyorsa bu sağlayıcılar kanundaki anlamıyla veri işleyendir. m.12/2'ye göre bu durumda güvenlik tedbirlerinden onlarla birlikte müştereken sorumlusunuz. Bu yüzden sağlayıcının veri güvenliğine dair taahhütlerini okuyun ve verilerin nerede tutulduğunu öğrenin. Veriler yurt dışında tutuluyorsa aktarım m.9'daki şartlara bağlıdır; bu madde yeterlilik kararı, uygun güvenceler ve arızi aktarım hâllerini ayrıntılı düzenler ve her durum için uzman görüşü almaya değer. Kendi siteniz üzerinden çalışmayı planlıyorsanız kendi PT sitenizi açmak için hazırladığımız yazılım için ön kayıt sayfasına da göz atabilirsiniz.

m.12/4 gereği siz ve verileri sizin adınıza işleyenler, öğrendiğiniz kişisel verileri kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazsınız; bu yükümlülük görevden ayrıldıktan sonra da sürer. Bir danışanın sağlık durumunu başka bir danışana örnek olarak anlatmak, adı geçmese bile kimliği tahmin edilebiliyorsa bu kurala takılabilir.

Veri ihlali olursa

Telefonunuz çalındı, bir hesabınız ele geçirildi ya da sağlık formlarının bulunduğu bir bağlantı yanlış kişiye gitti. m.12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirir. İhlal anında panik yapmamak için şimdiden şu soruların cevabını yazın: hangi hesaplarda danışan verisi var, şifreleri nasıl değiştirirsiniz, danışanlara nasıl ulaşırsınız.

Danışan verisini başkasıyla paylaşmak

Bir danışanın sağlık bilgisini birlikte çalıştığınız bir diyetisyen veya fizyoterapistle paylaşmak bir aktarımdır. m.8'e göre kişisel veriler kural olarak açık rıza olmadan aktarılamaz; özel nitelikli veriler için ise m.6/3'teki şartlardan birinin bulunması ve yeterli önlemlerin alınması gerekir. En sade yol, paylaşmadan önce danışana kimle, neyi, neden paylaşacağınızı söyleyip ayrı bir açık rıza almaktır.

Saklama süresi ve silme

Kanun saklama süresi için tek bir rakam vermez; m.4/2-d verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. m.7'ye göre işlenmesini gerektiren sebepler ortadan kalkınca veriler resen veya danışanın talebiyle silinir, yok edilir veya anonim hâle getirilir; bunun usul ve esasları ayrı bir yönetmelikle düzenlenmiştir.

Burada iki ayrı kayıt grubunu birbirinden ayırmak gerekir. Satış ve sözleşme kayıtları için başka mevzuat saklama yükümlülüğü getirebilir: örneğin Mesafeli Sözleşmeler Yönetmeliği m.20, satıcı veya sağlayıcının cayma, bilgilendirme ve teslimat yükümlülüklerine dair bilgi ve belgeleri yönetmelikte belirtilen süre boyunca saklamasını ister. Sağlık beyanı ve ilerleme fotoğrafları ise bu kapsamın içinde değildir; amaç bittiğinde onları uzun süre tutmak için bir gerekçeniz olmalıdır. Hangi kaydı ne kadar tutacağınızı ve süre dolunca ne yapacağınızı yazılı bir saklama ve imha listesi hâline getirin, belirsiz kalan noktaları bir hukukçuya ya da mali müşavire sorun.

Danışanın hakları ve başvurulara cevap

m.11'e göre danışanınız size başvurarak verisinin işlenip işlenmediğini öğrenebilir, işlenmişse bilgi isteyebilir, işleme amacını ve amaca uygun kullanılıp kullanılmadığını sorabilir, verinin aktarıldığı üçüncü kişileri öğrenebilir, eksik veya yanlış verinin düzeltilmesini, şartları varsa silinmesini isteyebilir ve kanuna aykırı işleme yüzünden zarara uğradıysa zararın giderilmesini talep edebilir.

m.13'e göre bu başvuruyu talebin niteliğine göre en kısa sürede ve kanunda belirtilen süre içinde, kural olarak ücretsiz sonuçlandırmanız gerekir. Talebi kabul eder ya da gerekçesini açıklayarak reddeder, cevabı yazılı veya elektronik ortamda bildirirsiniz. Danışan "bütün kayıtlarımı silin" dediğinde, saklama yükümlülüğü bulunan sözleşme ve ödeme kayıtlarını ayırıp diğerlerini silmeniz ve bunu gerekçesiyle anlatmanız gerekir.

VERBİS kaydı gerekiyor mu?

m.16/2'ye göre kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır. Aynı fıkra, Kurula; işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterlere bakarak bu zorunluluğa istisna getirme yetkisi verir.

Yani kayıt yükümlülüğünün sizin için geçerli olup olmadığı, Kurulun yürürlükteki istisna kararlarına bağlıdır ve bu kararlar zaman içinde değişebilir. Bu yazı için incelediğimiz kaynaklarda bu kararların güncel metni bulunmadığından burada bir eşik ya da ölçüt yazmıyoruz. Kişisel Verileri Koruma Kurumunun sitesindeki güncel VERBİS duyurularına bakın; özel nitelikli veri işlediğinizi de göz önünde bulundurarak durumunuzu bir uzmanla değerlendirin.

Pazarlama mesajları: KVKK izni ile İYS onayı ayrı şeylerdir

Danışanlarınıza yeni paket duyurusu veya kampanya mesajı göndermek istediğinizde iki ayrı rejim devreye girer: ticari elektronik ileti için 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İYS kuralları, kişisel verinin pazarlama amacıyla işlenmesi için 6698. KVK Kurulunun 2018/119 sayılı ilke kararı, rıza alınmadan veya m.5/2'deki işleme şartları sağlanmadan reklam içerikli SMS, arama ve e-posta yönlendirilmesinin durdurulması gerektiğini belirtir. 2025/1072 sayılı karar ise ticari ileti rızasının hizmetin zorunlu bir parçası gibi sunulmamasını ve tercihen hizmet sunumu tamamlandıktan sonra istenmesini önerir. İki rejimin farkını KVKK açık rıza ile İYS onayı farkı yazısında, tanıtım tarafını personal trainer müşteri bulma yazısında bulabilirsiniz.

Sık yapılan hatalar

• Sağlık sorularını, kişinin henüz danışan olup olmayacağı belli olmadan başvuru formuna koymak.
• Aydınlatma metni ile açık rıza onayını tek bir "okudum, kabul ediyorum" kutusunda birleştirmek.
• Onay kutularını önceden işaretli göstermek ya da pazarlama iznini paket satın almanın şartı gibi sunmak.
• Danışan fotoğraflarını ve ölçümlerini kişisel telefonun galerisinde, yedekleri de şifresiz biçimde tutmak.
• Bir danışanın sağlık durumunu, başka danışanlarla veya sosyal medyada "örnek vaka" olarak paylaşmak.
• Paket bittikten sonra sağlık formlarını gerekçesiz biçimde süresiz saklamak.
• Danışanın bilgi veya silme talebine cevap vermemek ya da kanuni cevap süresini kaçırmak.
• VERBİS kaydının gerekip gerekmediğini hiç kontrol etmemek.

Sık Sorulan Sorular

Online koçlukta sağlık bilgisi istemek için açık rıza şart mı?

Sağlık verisi 6698 m.6'ya göre özel nitelikli veridir ve işlenmesi ancak kanunun saydığı şartlardan biriyle mümkündür. Sağlıkla ilgili özel bent sır saklama yükümlülüğü altındaki kişiler ve yetkili kurumlarla sınırlı olduğundan, bir PT için dayanılabilecek en açık şart danışanın açık rızasıdır. Rızayı aydınlatmadan ayrı ve belirli bir amaç için alın.

Danışanın kilo ve vücut ölçüleri sağlık verisi sayılır mı?

Kanun sağlık verisini ayrıca tanımlamadığı için bu konuda kesin bir hüküm yazmıyoruz. Bu ölçümler danışanın sağlık durumu hakkında fikir verebildiğinden, onları özel nitelikli veri gibi korumanız ve açık rıza kapsamına dahil etmeniz en güvenli yoldur.

PT olarak VERBİS'e kayıt olmam gerekir mi?

Kanun kural olarak kaydı zorunlu tutar, ancak Kurula objektif kriterlere göre istisna getirme yetkisi verir. Sizin durumunuzun istisnaya girip girmediğini Kurumun güncel kararlarından kontrol edin; özel nitelikli veri işlediğinizi de hesaba katın.

Danışan bilgilerini mesajlaşma uygulamasında tutmak KVKK'ya aykırı mı?

Kanun belirli bir uygulamayı yasaklamaz; m.12 uygun güvenlik düzeyini sağlayacak tedbirleri almanızı ister. Mesajlaşma uygulamasını kullanıyorsanız bunu aydınlatma metninde belirtin, cihazınızı koruyun ve sağlık bilgilerini dağınık sohbetlerde bırakmak yerine düzenli ve güvenli bir kayıt alanına taşıyın.

Danışan verilerini ne kadar süre saklamalıyım?

Kanun tek bir süre vermez; veriler işlendikleri amaç için gerekli olan veya mevzuatta öngörülen süre kadar saklanır. Satış ve sözleşme kayıtları için Mesafeli Sözleşmeler Yönetmeliği belirli bir süre saklama ister; sağlık verilerini ise amaç bittikten sonra silmeniz veya anonim hâle getirmeniz gerekir.

Danışan verilerinin silinmesini isterse ne yapmalıyım?

Talebi kanunda belirtilen süre içinde sonuçlandırın. Saklama yükümlülüğü olmayan verileri silin, yasal olarak tutmanız gereken kayıtları ayırın ve danışana hangi kaydı neden tuttuğunuzu yazılı veya elektronik ortamda açıklayın.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: online koçluk nasıl yapılır rehberi · PT danışan takibi · online PT paketi satışı yasal yükümlülükler · web sitesi KVKK uyumu kontrol listesi · aydınlatma metni nasıl hazırlanır · iletişim formu KVKK aydınlatma ve açık rıza · KVKK açık rıza ile İYS onayı farkı