Birleşik Krallık Veri Koruma Kurumu (ICO), Galler Prensesi Kate Middleton'ın özel tıbbi kayıtlarına erişmeye ve satmaya çalışan eski bir sağlık çalışanı hakkında cezai soruşturma başlatmama kararı aldı. Olay, Prenses'in karın ameliyatı geçirdiği London Clinic'te 2024 yılında meydana geldi. Kraliyet ailesinin özel sağlık bilgilerinin kötüye kullanılması, veri güvenliği ve hasta mahremiyeti konularında önemli tartışmaları beraberinde getirdi.
ICO, 17 Haziran'da yaptığı resmi açıklamada, eski sağlık çalışanına 2018 Veri Koruma Yasası'nın 170(5) maddesi kapsamında resmi uyarı (formal caution) verildiğini duyurdu. Açıklamaya göre, söz konusu davranış "son derece hassas kişisel bilgilerin kasıtlı olarak kötüye kullanılması ve bunları maddi kazanç karşılığında ifşa etme teklifini" içeriyordu. ICO, bu eylemin "açık bir güven ihlali" olduğunu vurguladı.
ICO'nun kararında, cezai kovuşturma yerine uyarı cezasının "uygun ve orantılı bir yaptırım" olduğu belirtildi. Kurum ayrıca, olayda daha geniş kurumsal sorunlar olup olmadığını da değerlendirdi, ancak herhangi bir zafiyetin yaptırım eşiğini aşmadığı sonucuna vardı. ICO düzenleyici denetim direktörü Ian Hulme, "İnsanlar, sağlık kuruluşlarına verdikleri kişisel bilgilerin güvende olduğuna ve istismardan korunduğuna güvenebilmelidir. Bu güven ihlal edildiğinde, yasaların harekete geçmemize izin vermesi doğrudur." ifadelerini kullandı.
Bu olay, sağlık sektöründe çalışanların yetkilerini kötüye kullanmasının ilk örneği değil. 2010 yılında bir NHS çalışanı, hastaların tıbbi kayıtlarına yasadışı yollarla erişerek Bilgisayar Kötüye Kullanım Yasası'nı ihlal ettiği için suçlu bulunmuştu. Tıbbi bilgiler, GDPR kapsamında 'özel kategori' verisi olarak sınıflandırılır, çünkü hem son derece hassastır hem de maddi değer taşır. 2021 tarihli bir rapora göre, küresel sağlık kuruluşlarının %35'i, bir önceki yıl kötü niyetli içeriden kişiler tarafından bulut veri hırsızlığına maruz kalmıştı.
Teknik Analiz
Son araştırmalar, kuruluşların %42'sinin son bir yılda kötü niyetli iç tehditlerde artış bildirdiğini gösteriyor. Bu durum, sağlık sektörünün veri güvenliği konusunda karşı karşıya olduğu zorlukları gözler önüne seriyor. ICO'nun bu olayda cezai kovuşturma yerine uyarıyı tercih etmesi, veri ihlallerinde 'orantılılık' ilkesinin ne kadar önemli olduğunu ve cezaların caydırıcılığının yanı sıra düzeltici etkisinin de göz önünde bulundurulması gerektiğini ortaya koyuyor.
Sağlık kuruluşlarının, çalışanlarının veri erişim yetkilerini sıkı bir şekilde yönetmesi, düzenli denetimler yapması ve personeli veri koruma konusunda eğitmesi kritik önem taşıyor. Ayrıca, hasta bilgilerine erişimi kayıt altına alan sistemlerin kurulması ve şüpheli erişimleri tespit edecek yapay zeka tabanlı güvenlik çözümlerinin kullanılması, benzer olayların önlenmesine yardımcı olabilir. ICO'nun bu kararı, veri ihlallerinde cezai yaptırımın her zaman gerekli olmadığını, ancak güven ihlalinin ciddi sonuçları olduğunu hatırlatıyor.
Kaynak: infosecurity-magazine.com
