Güzellik salonunda KVKK: müşteri verisi, açık rıza ve onam formu

Alerji, ilaç, hamilelik: sağlık bilgisi neden ayrı tutulur?

KVKK'nın 6. maddesi sağlıkla ilgili bilgiyi özel nitelikli kişisel veriler arasında sayar. Lazer, cilt bakımı, kalıcı makyaj ya da kaş-kirpik işleminden önce sorduğunuz alerji, kullanılan ilaç, hamilelik, cilt hastalığı ya da yakın zamanda geçirilen ameliyat bilgisi bu gruptadır. Bu tür veriyi işlemek kural olarak yasaktır; ancak maddede sayılan şartlardan biri varsa işlenebilir.

Haziran 2024'te yürürlüğe giren değişiklikle bu şartlar yeniden düzenlendi ve genişletildi. Şartlardan biri açık rızadır. Bir diğeri, sır saklama yükümlülüğü altındaki kişilerin ya da yetkili kurumların tanı, tedavi ve bakım gibi amaçlarla veri işlemesidir. Bir güzellik salonunun bu ikinci şarta dayanıp dayanamayacağı açık değildir. Emin değilseniz sağlık bilgisini müşterinin açık rızasıyla alın ve hangi şarta dayanacağınızı bir avukatla netleştirin.

Uygulamada üç noktaya dikkat edin:

• Her hizmet için ayrı soru listesi hazırlayın. Manikür formunda lazer öncesi sorulara yer yoktur.
• Sağlık bilgisini yalnız işlemi yapacak kişi görsün. Kâğıt formu kilitli bir dolapta, dijital kaydı parolayla korunan bir hesapta tutun.
• Fotoğrafa dikkat edin. Kurul'un 2022/630 sayılı kararındaki olayda, estetik ameliyat sırasında çekilen fotoğrafları hastanenin doktorlarından biri kendi sosyal medya hesabından paylaşmıştı. Gözler kapatılmış olsa da yüzün başka kısımları göründüğü için Kurul bu görselleri kişiyi tanıtabilen kişisel veri saydı. Hasta iznini tedaviyi yapan hastaneye vermişti; Kurul, gerekli önlemleri almayan hastaneye idari para cezası verdi. İşlem fotoğrafını paylaşacaksanız bunun için ayrı izin alın; çalışanlarınızın kendi hesaplarında müşteri fotoğrafı paylaşmasına da kural koyun.

Aydınlatma ve açık rıza: iki ayrı metin

Aydınlatma, müşteriye verisini kimin, hangi amaçla ve hangi dayanakla işlediğini anlatmaktır. Kanun bunu veri alınırken ister; işlemenin açık rızaya mı başka bir şarta mı dayandığı fark etmez. Randevu için telefon numarası aldığınız her müşteri aydınlatılır. Aydınlatmayı yaptığınızı ispat etmek size düşer; müşterinin metni ne zaman gördüğünü kaydedin.

Kurul, Mart 2026'da Resmî Gazete'de yayımlanan bir ilke kararıyla sık rastladığı hataları sıraladı. Aydınlatma metni ile açık rıza metni iç içe geçmiş, bölünmemiş bir metin olmamalı. Aydınlatma için müşteriden onay istenmemeli; yalnız metni okuduğuna dair bir geri bildirim alınmalı. Başka bir işletmenin metnini olduğu gibi kopyalamak da sayılan sorunlar arasında.

Açık rıza ise müşterinin belirli bir konuda, bilgilendirildikten sonra ve kendi isteğiyle verdiği izindir. Randevu için ad ve telefon almak ya da fatura kesmek gibi işlemler çoğunlukla sözleşme ya da kanuni yükümlülük gibi başka bir şarta dayanır; ilke kararı bu durumlarda açık rıza metni sunulmamasını ister. Salonda açık rıza gerektiren tipik konular, başka şarta dayanamadığınız sağlık bilgisi ve müşteri fotoğrafının tanıtım için paylaşılmasıdır. Her konuya ayrı kutu koyun ki müşteri birini kabul edip ötekini reddedebilsin.

Açık rıza hizmetin ön şartı yapılamaz; Kurul bir kararında, hizmeti rızaya bağlamanın rızayı sakatladığını belirtmiştir. Fotoğraf paylaşımına izin vermeyen müşteriye randevu vermemek buna örnektir. Müşteri rızasını her zaman geri alabilir; geri alma ileriye dönük sonuç doğurur. Rızanın alındığını ispat etmek de size düşer.

İlgili tebliğe göre aydınlatma metninde en az şunlar bulunur:

• Verileri kimin işlediği: salonun adı ya da ticaret unvanı
• Verilerin hangi amaçla işlendiği: randevu, hizmet kaydı, fatura gibi
• Verilerin kimlere, hangi amaçla aktarılabileceği: örneğin SMS hizmeti aldığınız firma ya da mali müşaviriniz
• Verinin nasıl toplandığı ve hangi hukuki sebebe dayandığı
• Müşterinin Kanun'un 11. maddesindeki hakları: verisinin işlenip işlenmediğini öğrenme, düzeltilmesini ya da silinmesini isteme gibi

Kampanya SMS'i için ayrı izin gerekir

İndirim, kampanya ya da yeni hizmet duyurusu gibi tanıtım mesajları ticari elektronik iletidir ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'a tabidir. Bu Kanun, böyle bir mesajdan önce alıcının onayını ister; onay yazılı olarak ya da elektronik bir yolla alınabilir.

KVKK aydınlatması ve açık rızası bu onayın yerine geçmez; ikisi ayrı kanunlardan gelir. Onam formunuzda ya da kayıt ekranınızda ticari ileti için ayrı ve isteğe bağlı bir kutu olsun, müşteri onu kendisi işaretlesin.

Kanun, müşterinin bir hizmet için verdiği iletişim bilgisine, o hizmetteki değişiklik, kullanım ve bakımla ilgili mesajlar için ayrıca onay aramaz. Randevu teyidi ya da hatırlatması gibi bir mesajın bu kapsamda kalıp kalmadığından emin değilseniz bir avukata danışın. Müşteri ticari iletiyi her zaman ve gerekçe göstermeden reddedebilir; ret size ulaştıktan sonra gönderimi en geç üç iş günü içinde durdurmanız gerekir.

Onam formunda neler olmalı?

İşlem onam formu, müşterinin yapılacak işlemi, olası yan etkileri ve işlem sonrası bakımı anladığını gösterir. Bu mesleki bir belgedir ve KVKK metinlerinin yerini tutmaz. Hazır bir şablonu olduğu gibi kullanmayın; işlem bilgisini de KVKK metinlerini de kendi hizmetlerinize göre düzenleyin.

Formu işlemden önce doldurtun; işlem bittikten sonra imzalatılan form, müşterinin önceden bilgilendirildiğini göstermez. Müşteri hepsini aynı oturumda dolduracağı için formu şu bölümlere ayırmak işinizi kolaylaştırır:

• İşlem bilgisi: yapılacak işlem, seans planı, olası yan etkiler ve bakım önerileri. İçeriği işin uzmanı hazırlar.
• Sağlık soruları: yalnız o işlem için gerekenler. Cevabı müşteri kendisi verir.
• Aydınlatma metni: ayrı bir başlık altında. Müşteri yalnız okuduğunu işaretler.
• Açık rıza: sağlık bilgisi ve fotoğraf paylaşımı için ayrı kutular. Hiçbiri önceden işaretli gelmez.
• Ticari ileti onayı: isteğe bağlı, ayrı bir kutu.
• Müşterinin adı, tarih, formun sürümü ve istediyseniz imza. Metni sonradan değiştirirseniz, eski formu onaylayanın hangi metni gördüğü belli olmalı.

Veriler ne kadar saklanır, nasıl silinir?

Kanun güzellik salonları için ayrı bir saklama süresi yazmaz. Genel kural, verinin ilgili mevzuatın öngördüğü ya da işleme amacının gerektirdiği süre kadar tutulmasıdır. Fatura ve muhasebe belgeleri gibi başka kanunların süre koyduğu kayıtlar için mali müşavirinize sorun. Sağlık bilgisi ve fotoğraf gibi verilerde süreyi amaca göre siz belirleyin ve yazıya dökün.

İşleme sebebi ortadan kalkan veri silinir, yok edilir ya da anonim hale getirilir. İlgili yönetmeliğe göre VERBİS'e kayıt yükümlüsü olan işletme bir saklama ve imha politikası hazırlar; periyodik imhanın aralığı altı ayı geçemez. Politika hazırlamak zorunda olmayan işletme, silme yükümlülüğü doğduktan sonra üç ay içinde veriyi siler. Silme işlemleri kayda geçirilir ve bu kayıtlar en az üç yıl saklanır.

Müşteri verisinin silinmesini ya da düzeltilmesini isterse başvuruyu en geç 30 gün içinde sonuçlandırmanız gerekir; bu, kural olarak ücretsizdir. Bir veri ihlali yaşarsanız, örneğin müşteri listesinin bulunduğu hesap ele geçirilirse, ihlali öğrendiğiniz andan itibaren gecikmeden ve en geç 72 saat içinde Kurul'a bildirim yapılır. Etkilenen müşterilere de makul en kısa sürede haber verilir.

VERBİS kaydı sizin için zorunlu mu?

VERBİS, Kurum'un veri sorumluları sicilidir. Kurul, belli büyüklüğün altındaki işletmeleri bu kayıttan muaf tutar; eşik, işletmenin ana faaliyetinin özel nitelikli kişisel veri işlemek olup olmadığına göre değişir. Muafiyet için çalışan sayısı ve bilanço koşulunun ikisi de sağlanmalıdır. Kurum'un Ocak 2026 duyurusuna göre bilanço esasına göre kayıt tutmayan işletmelerde, örneğin işletme hesabı esasında çalışanlarda, yalnız çalışan sayısına bakılır.

Kararın duyurusunda hangi işlerin ana faaliyeti özel nitelikli veri işlemek sayılacağı sıralanmaz. Lazer ve cilt uygulamalarında düzenli olarak sağlık bilgisi alıyorsanız bu soruyu avukatınız ya da mali müşavirinizle birlikte değerlendirin. Kayıttan muaf olmak aydınlatma, veri güvenliği ve silme yükümlülüklerini kaldırmaz. Kayıt ya da aydınlatma yükümlülüğüne uymamanın yaptırımı, Kanun'un 18. maddesindeki idari para cezasıdır.

Güncel eşikler şöyle:

• Ana faaliyeti özel nitelikli kişisel veri işlemek olmayan işletme: yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 100 milyon TL'den azsa kayıt zorunlu değildir.
• Ana faaliyeti özel nitelikli kişisel veri işlemek olan işletme: 1 Ekim 2025'te Resmî Gazete'de yayımlanan Kurul kararıyla, yıllık çalışan sayısı 10'dan ve yıllık mali bilanço toplamı 10 milyon TL'den azsa kayıt zorunlu değildir.

Bu işi programla yapmak

Dükkan Defteri'nde onam formlarını müşterinin telefonuna SMS ile gönderirsiniz; müşteri formu kendi telefonunda okur ve gelen kodu girerek onaylar, imza açtığınız formlarda ekrana parmağıyla imza atar. Formun metnini değiştirdiğinizde yeni bir sürüm açılır; önceki onamlar onaylandıkları metinle, karekodlu PDF olarak saklanır. Ticari ileti iznini panelden siz işaretleyemezsiniz; izni müşteri kendisi verir ve izni olmayan müşteriye kampanya mesajı gitmez.