2026 Kişisel Sağlık Verisi Düzenlemesi: Adet ve Sağlık Takip Uygulamandaki Bilgiler Kimin Elinde?

Telefonundaki adet takip uygulaması son döngünü, ruh halini ve cinsel aktivite kaydını biliyor — peki bu bilgi nerede duruyor? Bu veriler hukuken “özel nitelikli kişisel veri” sayılıyor; yani sıradan bir alışveriş geçmişinden çok daha yüksek korumayı hak ediyor. Uygulamayı indirirken onayladığın gizlilik metni ise genelde bu korumanın nasıl işlediğini anlatmıyor.

Türkiye’de tabloyu değiştiren düzenleme 2024 yılında yürürlüğe giren 7499 sayılı Kanun oldu; KVKK’nın (6698 sayılı Kanun) özel nitelikli veri ve yurt dışına aktarım hükümleri baştan yazıldı. 2026 için idari para cezaları yeniden değerleme oranıyla (%49) güncellendi ve uygulanabilir aralık yaklaşık 85.437 TL ile 17.092.242 TL arasına çıktı. 8 Ocak 2026’da ise yapay zekâ ve veri konularını da kapsayan yeni bir değişiklik teklifi TBMM’ye sunuldu — bu hâlâ teklif aşamasında, yasalaşma tarihi netleşmedi.

Adet ve sağlık takip uygulamasındaki veri nereye gidiyor

Flo, Clue, Pepapp gibi uygulamalar döngü tarihlerinden çok daha fazlasını kaydeder: ruh hali, libido, cinsel ilişki kaydı, gebe kalma niyeti, semptomlar, kilo, uyku. Bunların büyük kısmı KVKK’nın tanımıyla hem sağlık hem de cinsel hayata ilişkin veri kategorisine girer. Bu veri telefonunda kalmaz; çoğu uygulama hesabını bulut sunucularla senkronize eder.

Verinin akış güzergâhı genellikle şöyle ilerler:

• Girdiğin kayıtlar uygulamanın sunucusuna yüklenir ve hesabına bağlanır.
• Anonimleştirildiği belirtilen toplu veriler araştırma veya ürün geliştirme için kullanılabilir.
• Reklam ve analiz amaçlı üçüncü taraf yazılım geliştirme kitleri (SDK) bazı davranış verisini paylaşabilir.
• Sunucular Türkiye dışında olduğunda veri fiziksel olarak başka bir ülkenin yargı yetkisine taşınır.

Hangi verinin nereye gittiğini öğrenmenin tek güvenilir yolu, uygulamanın gizlilik politikasındaki “veri paylaşımı” ve “üçüncü taraflar” başlıklarını okumaktır. Femtech uygulamalarının topladığı veri türlerini daha ayrıntılı ele aldığımız adet takip uygulamalarında gizlilik yazısı, hangi izinleri kapatabileceğini gösteriyor.

“Özel nitelikli veri” ne demek ve neden seni ilgilendiriyor

KVKK, kişisel verileri ikiye ayırır. Sağlık ve cinsel hayata ilişkin bilgiler “özel nitelikli” gruptadır çünkü sızması durumunda ayrımcılık, fişlenme veya itibar zedelenmesi riski taşır. 7499 sayılı Kanun öncesinde sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler farklı rejimlere tabiydi; bu ayrım kaldırıldı. İşlenme için açık rıza dışında dayanılabilecek hukuka uygunluk sebepleri genişletildi ve mevzuat AB Genel Veri Koruma Tüzüğü (GDPR) ile daha geniş uyuma taşındı.

Pratik anlamı şu: bir uygulama artık her durumda senden tek tek açık rıza almak zorunda değil; kanunda sayılan başka bir sebebe de dayanabilir. Bu yüzden “rıza verdim/vermedim” sorusu kadar, “hangi hukuki sebebe dayanarak işliyor” sorusu da önem kazandı. Gizlilik metninde işlemenin dayanağı belirtilmek zorunda.

Açık rıza: onayladığın şey gerçekte ne

Açık rıza KVKK’da belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlanır. Uygulamayı kurarken karşına çıkan tek bir kutucuğu işaretlemek çoğu zaman bu tanımı tam karşılamaz; özellikle “kabul etmezsen uygulamayı kullanamazsın” dayatması varsa rızanın özgürlüğü tartışmalı hâle gelir.

Onay verirken kontrol etmen gereken noktalar:

• Reklam/pazarlama izni ile uygulamanın temel çalışması için gereken izin ayrı sunuluyor mu?
• Verinin üçüncü taraflarla paylaşımı için ayrı bir onay isteniyor mu, yoksa toptan mı kabul ettiriliyor?
• Verdiğin rızayı ayarlardan tek tıkla geri alabiliyor musun?

Açık rızayı dilediğin an geri çekebilirsin. Geri çekme, o tarihten sonraki işlemeyi durdurur; geçmişte hukuka uygun işlenen veriyi otomatik silmez, bunun için ayrıca silme talebi gönderirsin.

Yurt dışı sunucu meselesi ve 2026 kuralları

Adet takip uygulamalarının çoğu yabancı şirketlere ait ve verini Türkiye dışındaki sunucularda tutuyor. 7499 sayılı Kanun, yurt dışına veri aktarımı kurallarını (md. 6, 9 ve 18) yeniden düzenledi. Artık aktarım için standart sözleşme ve uygun güvenceler gibi mekanizmalar öngörülüyor; aktaran tarafın belirli güvenlik taahhütlerini sağlaması gerekiyor.

Senin için pratik sonuç: sağlık verin başka bir ülkeye gittiğinde o ülkenin hukuku da devreye girebilir. Veri orada bir mahkeme kararıyla talep edilebilir ya da farklı saklama sürelerine tabi olabilir. Uygulamanın gizlilik politikasında verinin hangi ülke/bölgede saklandığı ve hangi güvence mekanizmasına dayanıldığı yazılı olmalı. Sunucu konumu belirtilmemişse, bu başlı başına bir uyarı işaretidir.

Aynı mantık giyilebilir cihazlar için de geçerli; nabız ve uyku verisi de hassas sayılır. Bu cihazların ne kadar veri topladığını giyilebilir cihazlarda veri toplama yazımızda inceledik, akıllı yüzük tarafını ise akıllı yüzük nasıl çalışır yazısında ele aldık.

Hesabı silince veri gerçekten gidiyor mu

Uygulamayı telefondan kaldırmak verini silmez; sadece uygulamayı cihazından kaldırır. Sunucudaki hesap ve kayıtlar yerinde durur. Verinin gerçekten yok edilmesi için uygulama içinden veya destek kanalından “hesabı sil” talebi göndermen gerekir.

Silme talebinden sonra dikkat etmen gerekenler:

• Bazı uygulamalar veriyi hemen değil, belirli bir bekleme süresinin ardından siler.
• Anonimleştirilmiş toplu veri, kimliğinle bağı koptuğu gerekçesiyle silinmeyebilir.
• Yasal saklama yükümlülüğü olan kayıtlar (ör. fatura/ödeme) ayrı sürelere tabi olabilir.

Talebine makul süre içinde yanıt verilmezse KVKK’ya şikâyet edebilirsin.

Haklarını nasıl kullanırsın

KVKK’nın 11. maddesi sana doğrudan kullanabileceğin haklar tanır. Veri sorumlusuna (uygulama şirketine) yazılı veya kayıtlı elektronik başvuruyla şunları talep edebilirsin:

• Bilgi isteme: Hakkında hangi verinin işlendiğini ve amacını öğrenme.
• Düzeltme: Eksik veya yanlış kaydedilen verinin düzeltilmesi.
• Silme/yok etme: İşlenme sebebi ortadan kalktığında verinin silinmesi.
• Aktarılanları öğrenme: Verinin yurt içinde veya yurt dışında hangi üçüncü kişilere aktarıldığını sorma.

Başvurunu uygulamanın gizlilik politikasında belirtilen iletişim adresine yöneltirsin. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmak zorunda. Yanıt alamazsan ya da yanıt yetersizse KVKK’ya şikâyet yolu açık. Bireysel şikâyetler ve idari cezalar, şirketlerin bu kuralları ciddiye almasının başlıca nedeni.

Uygulamayı kullanmadan önce 60 saniyelik kontrol

Yeni bir takip uygulaması kurarken hızlıca bakabileceğin noktalar:

• Gizlilik politikasında sunucu konumu ve yurt dışı aktarım açıkça yazıyor mu?
• Reklam ve üçüncü taraf paylaşımı için ayrı, kapatılabilir bir izin var mı?
• Hesap silme seçeneği uygulama içinde bulunuyor mu?
• Veri şifreleme ve saklama süresine dair bilgi veriliyor mu?

Bu dört sorunun yanıtı net değilse, daha şeffaf bir alternatif aramaya değer.

Bu içerik bilgilendirme amaçlıdır; hukuki ya da tıbbi tavsiye yerine geçmez. Kişisel durumun için bir avukata veya KVKK’nın resmi kaynaklarına başvurman önerilir.

Elif Aydın

Sağlık iletişimi alanında çalışan editör. Halk sağlığı, kronik hastalık yönetimi ve aile sağlığı konularında içerik üretiyor. Yazıları, uzman hekimler ve resmi sağlık kurumlarının (Sağlık Bakanlığı, WHO, TEMD) güncel rehberleri referans alınarak hazırlanmaktadır. Sağlıkla ilgili tüm içerikler tıbbi danışman incelemesinden geçer.