Pilates ve Spor Stüdyolarında KVKK Uyumu ve Sağlık Verilerinin Korunması

Pilates, reformer, yoga ve fizyoterapi stüdyoları, çoğu zaman farkında olmadan oldukça hassas veriler işler. Yeni üyeden alınan sağlık beyan formu, bel fıtığı veya skolyoz notu, hamilelik haftası, ameliyat geçmişi, vücut ölçümleri ve hatta ders sırasında eğitmenin aldığı kısa notlar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından özel nitelikli kişisel veri kapsamına girebilir. Bu verilerin kâğıt formlarda, telefon galerisinde, Excel dosyalarında veya WhatsApp yazışmalarında dağınık biçimde tutulması hem üyeleriniz hem de işletmeniz için ciddi bir risk oluşturur.

Bu rehberde bir stüdyonun hangi verileri işlediğini, sağlık verileri için hangi hukuki şartların arandığını, aydınlatma metni ve açık rızanın nasıl hazırlanacağını, teknik ve idari tedbirleri ve olası bir veri ihlalinde ne yapılması gerektiğini pratik bir dille ele alıyoruz. Bu yazı genel bilgilendirme amaçlıdır; işletmenize özel durumlar için bir KVKK danışmanından veya avukattan destek almanızı öneririz.

KVKK stüdyolar için neden önemli?

KVKK, kişisel verileri işleyen tüm gerçek ve tüzel kişileri kapsar; işletmenin büyüklüğü bu yükümlülüğü ortadan kaldırmaz. İki eğitmenli küçük bir butik stüdyo da 20 şubeli bir zincir de veri sorumlusudur. Kanunun temel yaklaşımı şudur: kişisel veriyi yalnızca belirli, açık ve meşru bir amaçla, amaçla sınırlı ve ölçülü biçimde işleyebilir, gerekli olandan uzun süre saklayamaz ve yetkisiz erişime karşı korumakla yükümlüsünüz.

Stüdyolar açısından risk, özellikle sağlık verilerinde yoğunlaşır. Kanunun 6. maddesinde sağlık verileri, biyometrik veriler ve benzerleri özel nitelikli kişisel veri olarak tanımlanır ve bunların işlenmesi için genel kişisel verilere göre daha sıkı şartlar ve daha güçlü güvenlik önlemleri aranır. Kişisel Verileri Koruma Kurulu'nun idari para cezaları her yıl yeniden değerleme oranıyla güncellenir ve ihlalin niteliğine göre yüz binlerce liradan milyonlarca liraya ulaşabilir. Bunun yanında itibar kaybı, şikâyetler ve üyelerin güveninin sarsılması gibi dolaylı sonuçlar da küçük bir işletme için en az para cezası kadar zarar verici olabilir.

Stüdyoda işlenen veri türleri

Uyum sürecinin ilk adımı, hangi veriyi neden topladığınızı bilmektir. Buna veri envanteri denir. Aşağıdaki tablo, tipik bir pilates veya spor stüdyosunda karşılaşılan veri gruplarını, kategorilerini ve sık kullanılan işleme dayanaklarını örnek olarak gösteriyor. Saklama süreleri öneri niteliğindedir; kendi politikanızı mali müşavir ve hukuk danışmanınızla birlikte belirlemelisiniz.

Tabloya baktığınızda görüleceği gibi, bir stüdyonun işlediği verilerin önemli bir kısmı aslında sözleşmenin ifası veya hukuki yükümlülük gibi açık rıza gerektirmeyen dayanaklara oturur. Her veri için gereksiz yere açık rıza istemek de doğru bir uygulama değildir; açık rıza, gerçekten gerekli olduğu yerde, özellikle sağlık verilerinde ve pazarlama izinlerinde kullanılmalıdır.

Sağlık verisi için hukuki çerçeve

KVKK'nın 6. maddesi, 2024 yılında yapılan değişiklikle yeniden düzenlendi ve özel nitelikli kişisel verilerin işlenebileceği şartlar genişletildi. Ancak bu şartların çoğu, kanunda açıkça öngörülen durumlar, hayati tehlike, kamu sağlığı veya sır saklama yükümlülüğü altındaki sağlık profesyonelleri gibi bir stüdyonun günlük işleyişine birebir uymayan hallerdir. Bu nedenle bir pilates veya spor stüdyosunun üyeden aldığı sağlık beyanı için pratikte en güvenli dayanak, çoğu durumda açık rızadır.

Açık rıza nasıl alınmalı?

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Bu tanımın stüdyo için pratik karşılıkları şunlardır:

• Belirli olmalı: "Tüm verilerimin işlenmesine izin veriyorum" gibi genel ifadeler geçerli bir açık rıza sayılmaz. Hangi sağlık verisinin, hangi amaçla, kimler tarafından işleneceği yazılmalıdır.
• Ayrı alınmalı: Açık rıza, üyelik sözleşmesinin veya aydınlatma metninin içine gömülmemelidir. Ayrı bir onay kutusu veya ayrı bir imza alanı kullanılmalıdır.
• Hizmet şartına bağlanmamalı: Kampanya mesajı onayı, üyeliğin ön koşulu yapılmamalıdır. Sağlık beyanı ise güvenli ders planlaması için gerekli olduğundan, üyeye bunun nedeni açıkça anlatılmalıdır.
• Geri alınabilir olmalı: Üye rızasını her zaman geri çekebilir. Geri çekme yolunu basit tutun ve bu durumda hangi sonuçların doğacağını, örneğin belirli egzersizlerin önerilemeyeceğini açıkça anlatın.
• İspatlanabilir olmalı: Rızanın ne zaman, hangi metin sürümüyle ve hangi kanaldan alındığı kayıt altında tutulmalıdır. Kâğıt formlar kaybolabilir; dijital onay kaydı ispat açısından daha güçlüdür.

Aydınlatma metni ile açık rıza farkı

Aydınlatma yükümlülüğü, açık rızadan bağımsızdır ve her durumda yerine getirilmelidir. Aydınlatma metninde veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları yer almalıdır. Aydınlatma metni bilgi verir, onay istemez; açık rıza ise onay ister. Bu iki metni tek bir "okudum, onaylıyorum" kutusunda birleştirmek, sektörde sık görülen ama hatalı bir uygulamadır.

Stüdyo için pratik uyum adımları

KVKK uyumu bir kerelik bir belge hazırlama işi değil, günlük operasyona yerleşmesi gereken bir süreçtir. Küçük bir stüdyonun bile uygulayabileceği adımları şöyle sıralayabiliriz.

1. Veri envanterini çıkarın: Yukarıdaki tabloya benzer bir liste hazırlayın; hangi veriyi, hangi kanaldan, neden topladığınızı ve nerede sakladığınızı yazın.
2. Gereksiz veriyi toplamayın: Sağlık beyan formunda gerçekten ders planlaması için gereken sorulara yer verin. Kan grubu, medeni hal veya meslek gibi amaca hizmet etmeyen alanları çıkarın.
3. Aydınlatma metni ve açık rıza metnini ayrı hazırlayın: Bunları web sitenizde, üye kayıt ekranında ve gerekirse resepsiyonda erişilebilir tutun.
4. Saklama ve imha politikası belirleyin: Üyeliği sona eren kişinin sağlık verisinin ne zaman silineceğini veya anonim hale getirileceğini tanımlayın ve bunu periyodik olarak uygulayın.
5. VERBİS durumunuzu kontrol edin: Veri Sorumluları Sicil Bilgi Sistemi'ne kayıt yükümlülüğü; çalışan sayısı, yıllık mali bilanço ve ana faaliyetin özel nitelikli veri işlemeyi içerip içermediği gibi ölçütlere göre değişir. Güncel Kurul kararlarını mali müşaviriniz veya hukuk danışmanınızla birlikte değerlendirin.
6. Personeli bilgilendirin: Eğitmenlerinize ve resepsiyon ekibinize gizlilik taahhütnamesi imzalatın, kısa da olsa düzenli bir KVKK eğitimi verin.
7. Başvuru sürecini hazırlayın: Üyeler, verilerine ilişkin bilgi talep etme, düzeltme ve silme gibi haklarını kullanabilir. Bu başvurulara en geç 30 gün içinde yanıt vermeniz gerekir; başvuruların kimin tarafından ve nasıl karşılanacağını önceden belirleyin.

Teknik ve idari tedbirler

Kişisel Verileri Koruma Kurulu, özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararında şifreleme, erişim yetkilerinin sınırlandırılması, erişim kayıtlarının tutulması, güvenli aktarım ve personel eğitimi gibi tedbirlere özellikle vurgu yapar. Bir stüdyo için bu tedbirler şu şekilde somutlaşır.

Şifreleme ve güvenli saklama

Sağlık verileri, düz metin olarak bir Excel dosyasında veya ortak kullanılan bir bilgisayarda tutulmamalıdır. Kullandığınız yazılımda sağlık verilerinin veritabanında güçlü bir algoritmayla, örneğin AES-256 ile şifrelenerek saklanması, olası bir sızıntıda verinin okunamaz kalmasını sağlar. Verilere erişim için güçlü parola, mümkünse tek kullanımlık kod (OTP) gibi ikinci bir doğrulama adımı ve tüm bağlantılarda HTTPS kullanılmalıdır. Kâğıt formlar kullanmaya devam ediyorsanız, bunları kilitli bir dolapta saklayın ve dijital ortama aktardıktan sonra imha sürecini tanımlayın.

Rol bazlı erişim yetkisi

Stüdyodaki herkesin her veriye erişmesi gerekmez. Resepsiyon görevlisinin üyenin paket bakiyesini görmesi gerekir ama ameliyat geçmişini görmesine gerek yoktur. Muhasebe personeli ödeme kayıtlarına erişmeli, sağlık verilerine erişmemelidir. Aşağıdaki tablo örnek bir yetki matrisini gösteriyor.

Böyle bir matrisin kâğıt üzerinde kalmaması için yazılımınızın rol ve yetki tanımlamaya izin vermesi gerekir. Eğitmen rotasyonu yüksek olan stüdyolarda, ayrılan eğitmenin erişiminin aynı gün kapatılması da en az yetki tanımı kadar önemlidir. Eğitmen hesaplarının ve ders yetkilerinin nasıl yönetileceğini eğitmen ders saati ve müsaitlik yönetimi yazımızda ele aldık.

Erişim kayıtları ve yedekleme

Kim, hangi üyenin verisine, ne zaman erişti sorusunun cevabını verebilmek, hem iç denetim hem de olası bir şikâyet için önemlidir. Erişim ve işlem kayıtlarının tutulması, şifreli yedeklerin düzenli alınması ve yedeklerin de aynı güvenlik düzeyinde saklanması gerekir. Kendi bilgisayarınıza alınan ve unutulan bir Excel yedeği, çoğu zaman en zayıf halka olur.

WhatsApp, Instagram ve iletişim kanallarında dikkat edilecekler

Türkiye'deki stüdyoların büyük kısmı üyeleriyle WhatsApp üzerinden iletişim kurar. Bu pratik bir alışkanlık olsa da bazı riskler taşır. Kişisel telefondan yürütülen yazışmalarda üyelerin sağlık bilgileri, ödeme dekontları ve fotoğrafları eğitmenin cihazında kalır; eğitmen ayrıldığında bu verilerin kontrolü de kaybedilir. Üyelerin birbirinin telefon numarasını gördüğü kalabalık WhatsApp grupları ise iletişim bilgilerinin gereksiz yere paylaşılması anlamına gelir.

• Sağlık bilgisini WhatsApp yerine şifreli üye formu üzerinden toplayın.
• Ders duyuruları için grup yerine bireysel ve kurumsal bir hattan gönderilen otomatik mesajları tercih edin.
• Kampanya ve tanıtım mesajları için ticari elektronik ileti mevzuatı kapsamında ayrı onay alın ve İleti Yönetim Sistemi (İYS) yükümlülüklerini mali müşavirinizle kontrol edin.
• Yurt dışında sunucusu bulunan hizmetlere veri aktarımı söz konusuysa, 2024 değişikliğiyle getirilen standart sözleşme ve bildirim kurallarını hukuk danışmanınızla değerlendirin.
• Instagram'da üye fotoğrafı veya videosu paylaşmadan önce yazılı ve ayrı bir onay alın; onayın geri alınması halinde paylaşımı kaldırın.

Kurumsal ve otomatik bir WhatsApp altyapısının hem iletişimi düzenlediğini hem de doluluğu artırdığını WhatsApp otomatik randevu hatırlatma ve katılım teyidi yazımızda anlattık. Üyelerin kendi bilgilerini görüp güncelleyebildiği bir portal ise veri doğruluğu ilkesini de destekler; bu konuda QR kod ile yoklama ve mobil üye portalı yazımıza göz atabilirsiniz.

Veri ihlali durumunda ne yapılmalı?

Bir çalışanın telefonunun çalınması, yanlış kişiye gönderilen bir e-posta, şifresi ele geçirilen bir hesap veya herkese açık bırakılmış bir paylaşım klasörü veri ihlali anlamına gelebilir. KVKK'ya göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, durumun en kısa sürede ilgili kişiye ve Kurula bildirilmesi gerekir. Kurul uygulamasında bu süre, ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlanmaktadır.

1. İhlali tespit edin ve sızıntıyı durdurun: şifreleri değiştirin, erişimleri kapatın, paylaşım bağlantılarını iptal edin.
2. Etkilenen veri türlerini ve kişi sayısını belirleyin.
3. Kurula bildirim formunu süresi içinde doldurun; bilgiler eksikse ilk bildirimi yapıp ardından tamamlayın.
4. Etkilenen üyeleri açık ve sade bir dille bilgilendirin, alabilecekleri önlemleri anlatın.
5. İhlalin nedenini analiz edin ve tekrarını önleyecek tedbirleri kayıt altına alın.

Sağlık verileri şifreli saklanıyorsa ve erişim kayıtları tutuluyorsa, ihlalin kapsamını belirlemek ve etkisini sınırlamak çok daha kolaydır. Bu nedenle teknik tedbirler yalnızca ihlali önlemek için değil, ihlal anında doğru ve hızlı hareket edebilmek için de gereklidir.

Yazılım seçerken KVKK kriterleri

Kullandığınız yönetim yazılımı, KVKK açısından veri işleyen konumundadır ve uyumunuzu doğrudan etkiler. Yazılım seçerken şu soruları sorun: Sağlık verileri şifreli mi saklanıyor? Rol bazlı yetki tanımlanabiliyor mu? Açık rıza onayları tarih ve metin sürümüyle kayıt altına alınıyor mu? Üyelik bitince verileri silmek veya dışa aktarmak kolay mı? Sunucular nerede ve veri işleyen sözleşmesi sunuluyor mu? Bu sorular, genel yazılım seçim kriterlerimizi topladığımız pilates stüdyosu yönetim programı seçme rehberinin de önemli bir parçasıdır. Yeni stüdyo açıyorsanız bu kalemleri bütçe planınıza baştan dahil etmeniz için pilates stüdyosu açma maliyeti rehberimize de bakabilirsiniz.

Sonuç

Pilates ve spor stüdyolarında KVKK uyumu, büyük şirketlere özgü bürokratik bir yük değil; üyelerin sağlığına dair en hassas bilgileri emanet ettiği bir işletmenin temel sorumluluğudur. Veri envanteri çıkarmak, aydınlatma ve açık rıza metinlerini ayırmak, gereksiz veriyi toplamamak, sağlık verilerini şifreli saklamak ve erişimi rollere göre sınırlamak, küçük bir stüdyonun bile birkaç hafta içinde hayata geçirebileceği adımlardır. Bu adımlar aynı zamanda üyelerinize profesyonel ve güvenilir bir işletme olduğunuzu gösterir.

MentraClub, bu tedbirlerin günlük işleyişe kendiliğinden yerleşmesi için tasarlandı: sağlık verileri AES-256 ile şifrelenir, e-posta ve OTP ile güvenli giriş yapılır, rol ve muhasebe izolasyonu sayesinde her kullanıcı yalnızca görmesi gereken veriyi görür, üye iletişimi resmi WhatsApp altyapısı üzerinden yürür. Stüdyonuza uygun seçeneği MentraClub paketleri arasından inceleyebilir, mevcut kayıtlarınızı güvenli biçimde aktararak başlayabilirsiniz. Hukuki metinlerinizi hazırlarken ise bir KVKK uzmanından destek almayı ihmal etmeyin.

Sıkça sorulan sorular

Pilates stüdyosu üyeden sağlık beyanı alabilir mi?

Evet, güvenli ders planlaması için sağlık beyanı almak yaygın ve makul bir uygulamadır. Ancak sağlık verileri KVKK kapsamında özel nitelikli kişisel veridir ve stüdyolar için pratikte en güvenli dayanak çoğu durumda açık rızadır. Formda yalnızca ders planlaması için gerekli sorulara yer verilmeli ve veriler güvenli şekilde saklanmalıdır.

Aydınlatma metni ile açık rıza metni aynı şey mi?

Hayır. Aydınlatma metni üyeyi veri işleme faaliyetleri hakkında bilgilendirir ve her durumda sunulmalıdır. Açık rıza ise belirli bir konuda alınan ayrı bir onaydır. İki metni tek bir onay kutusunda birleştirmek hatalı bir uygulama olarak değerlendirilir.

Küçük bir pilates stüdyosu VERBİS'e kayıt olmak zorunda mı?

VERBİS kayıt yükümlülüğü çalışan sayısı, yıllık mali bilanço ve ana faaliyetin özel nitelikli veri işlemeyi içerip içermediği gibi ölçütlere göre belirlenir. Eşikler Kurul kararlarıyla güncellenebildiği için kesin durumunuzu mali müşaviriniz veya bir KVKK danışmanıyla kontrol etmeniz önerilir. Kayıt yükümlülüğü olmasa bile KVKK'nın diğer tüm yükümlülükleri geçerlidir.

Üyelerle WhatsApp üzerinden sağlık bilgisi paylaşmak sakıncalı mı?

Kişisel telefonlardan yürütülen yazışmalarda sağlık bilgileri kontrolsüz biçimde cihazlarda kalır ve eğitmen ayrıldığında bu verilerin takibi kaybolur. Sağlık bilgisini şifreli bir üye formu üzerinden toplamak daha güvenlidir. Duyuru ve hatırlatmalar için kurumsal ve otomatik bir WhatsApp altyapısı tercih edilmelidir.

Üyeliği biten kişinin sağlık verileri ne kadar süre saklanmalı?

Kişisel veriler, işlenme amacının gerektirdiği süreden daha uzun saklanmamalıdır. Üyelik sona erdiğinde sağlık verilerinin makul bir süre içinde silinmesi veya anonim hale getirilmesi önerilir. Fatura gibi vergi mevzuatı gereği saklanması gereken kayıtlar ise ilgili yasal süreler boyunca tutulur.

Veri ihlali yaşanırsa stüdyo ne yapmalı?

Önce sızıntı durdurulmalı, şifreler değiştirilmeli ve erişimler kapatılmalıdır. Ardından etkilenen veri ve kişi sayısı belirlenerek Kişisel Verileri Koruma Kurulu'na ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılmalıdır. Etkilenen üyeler de açık ve sade bir dille bilgilendirilmelidir.