İngiltere Veri Koruma Otoritesi (ICO), Galler Prensesi Catherine'in özel sağlık kayıtlarına erişmeye çalışan ve bu bilgileri satmayı teklif eden eski bir sağlık çalışanına resmi ihtar verdi. Olay, Prenses'in karın ameliyatı geçirdiği London Clinic hastanesinde yaşandı. ICO, söz konusu kişinin 2018 Veri Koruma Yasası'nı ihlal ettiğini belirterek, hassas kişisel verilerin kasıtlı olarak kötüye kullanılması ve maddi kazanç için ifşa edilmesinin açık bir güven ihlali olduğunu vurguladı.
ICO, konuyla ilgili cezai soruşturma başlatmış ancak yapılan değerlendirme sonucunda resmi ihtarın 'uygun ve orantılı' bir yaptırım olduğuna karar verdi. Ayrıca, hastanede daha geniş çaplı bir kurumsal sorun olup olmadığı da incelendi, ancak herhangi bir eksikliğin yaptırım gerektirecek düzeyde olmadığı sonucuna varıldı. ICO'nun denetim direktörü Ian Hulme, 'İnsanlar sağlık kurumlarına verdikleri kişisel bilgilerin güvende olduğuna güvenebilmeli. Bu güven sarsıldığında, yasaların harekete geçmesi doğrudur' dedi.
Bu olay, sağlık sektöründe içeriden kişilerin yetkilerini kötüye kullanmasının ilk örneği değil. 2010 yılında bir NHS çalışanı, hastaların tıbbi kayıtlarına yasa dışı erişim nedeniyle suçlu bulunmuştu. Tıbbi bilgiler, GDPR kapsamında 'özel kategori' veri olarak sınıflandırılıyor ve bu da onları hem çok hassas hem de paraya çevrilebilir kılıyor. 2021 tarihli bir rapora göre, küresel sağlık kuruluşlarının %35'i, bir önceki yıl kötü niyetli içeriden kişiler tarafından bulut veri hırsızlığına maruz kaldı.
Son araştırmalar, kuruluşların %42'sinin son bir yılda kötü niyetli iç tehditlerde artış bildirdiğini gösteriyor. ICO'nun bu olaydaki tutumu, hassas sağlık verilerinin korunması konusunda caydırıcı bir mesaj niteliği taşıyor. Uzmanlar, sağlık kuruluşlarının veri güvenliği önlemlerini artırması ve çalışanların veriye erişim yetkilerini daha sıkı kontrol etmesi gerektiğini vurguluyor.
