İrlanda'nın sağlık verilerini koruma kurumu, ülkenin doğu bölgesindeki sağlık hizmeti sağlayıcısına, hassas tıbbi kayıtların bir turba dépôtunda hayvan dışkısıyla kaplı halde bulunması nedeniyle 55 bin avro para cezası verdi. Veri Koruma Komisyonu (DPC) tarafından yapılan soruşturma, sistemin 'hassas tıbbi bilgilere yetkisiz erişim riski taşıdığını' ortaya koydu. Olay, hasta verilerinin korunması ve sağlık kurumlarının veri güvenliği yükümlülükleri konusunda ciddi endişeleri gündeme getirdi.
Gelişmenin arka planı
İrlanda Veri Koruma Komisyonu tarafından yürütülen soruşturma, Doğu İrlanda Sağlık Hizmetleri İdaresi'ne (HSE) bağlı bir birimde, hasta kayıtlarının bulunduğu dosyaların bir turba dépôtunda (turf shed) saklandığını ve bu dosyaların hayvan dışkısıyla kaplanmış olduğunu tespit etti. Söz konusu kayıtlar arasında psikiyatrik tedavi gören hastalara ait bilgiler, doğum kayıtları ve diğer hassas tıbbi veriler yer alıyordu. DPC, yaptığı açıklamada bu durumun, sağlık hizmeti sağlayıcısının hasta verilerinin gizliliğini koruma yükümlülüğünü ağır şekilde ihlal ettiğini belirtti.
Komisyon, özellikle bu kayıtların neden bu kadar ihmalkar bir şekilde saklandığını ve ne zamandan beri orada olduğunu araştırdı. HSE'nin sağlık kayıtlarının imhası veya arşivlenmesi konusunda belirli prosedürleri olmasına rağmen, bu dosyaların bir tarım yapısına bırakılması, kurum içi denetim mekanizmalarının ne kadar yetersiz kaldığını gözler önüne serdi. DPC ayrıca, sağlık çalışanlarının ve idari personelin, hassas verilerin nasıl ele alınması gerektiği konusunda yeterli eğitim almadığına da dikkat çekti.
Olay, ilk olarak 2019 yılında HSE tarafından fark edilmiş ve derhal DPC'ye bildirilmişti. Ancak soruşturma süreci uzun yıllar sürdü ve sonunda 2023'te karara bağlandı. HSE, yaptığı yazılı açıklamada, hasta verilerinin korunmasının öncelikleri olduğunu belirterek, bu tür bir ihlalin yaşanmasından üzüntü duyduklarını ve gerekli önlemleri aldıklarını ifade etti.
Bölgesel veya küresel boyut
Bu olay, Avrupa Genel Veri Koruma Tüzüğü (GDPR) kapsamında verilen cezalar bağlamında önemli bir örnek teşkil ediyor. GDPR, 2018'de yürürlüğe girdiğinden bu yana, sağlık verileri de dahil olmak üzere kişisel verilerin korunmasına yönelik katı kurallar getirdi. İrlanda DPC'si, özellikle büyük teknoloji şirketlerine verdiği cezalarla biliniyor; ancak bu karar, sağlık sektörünün de veri koruma ihlallerine karşı bağışık olmadığını gösteriyor.
Sağlık verileri, biyometrik veriler gibi hassas veri kategorileri arasında yer aldığından, ihlaller GDPR kapsamında ağır yaptırımlara tabi tutulabiliyor. Ancak, bu ceza miktarı (55 bin avro), GDPR'nin öngördüğü üst sınır olan 20 milyon avro veya şirketin yıllık cirosunun %4'ü ile karşılaştırıldığında oldukça düşük kaldı. Bu, DPC'nin ihlalin ciddiyetine rağmen, kurumun mali durumunu ve ihlalin kasıtlı olmadığını dikkate alarak orantılı bir ceza uygulamaya çalıştığını gösteriyor.
İrlanda'daki bu olay, Avrupa genelinde sağlık kurumlarının dijital dönüşümü hızlandırması ve veri güvenliği altyapılarına yatırım yapması gerektiği tartışmalarını körükledi. Salgın sonrası dönemde, sağlık hizmeti sağlayıcıları, tele sağlık uygulamalarının yaygınlaşmasıyla birlikte daha fazla hassas veriyi dijital ortamda işliyor. Bu durum, siber güvenlik risklerini artırırken, fiziksel depolama alanlarının da göz ardı edilmemesi gerektiğini ortaya koyuyor.
Türkiye Açısından Değerlendirme
Türkiye'de de Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında sağlık verileri 'özel nitelikli veri' olarak sınıflandırılmakta ve bu verilerin işlenmesi sıkı kurallara bağlanmıştır. Bu olay, Türk sağlık kurumları için önemli bir ders niteliğindedir; özellikle hastane arşivlerinin fiziksel koşulları ve veri güvenliği uygulamaları gözden geçirilmelidir. Türkiye'de sağlık alanında dijitalleşme e-Nabız gibi sistemlerle hızlanmış olsa da, kağıt ortamındaki kayıtların hala büyük bir kısmı fiziksel olarak saklanmaktadır. Bu nedenle, İrlanda'da yaşanan ihmalin benzerlerinin Türkiye'de yaşanmaması için veri yönetimi politikalarının sıkılaştırılması ve personelin bilinçlendirilmesi gerekmektedir. Ayrıca, bu tür ihlallerin kamuoyunda güven kaybına yol açabileceği unutulmamalıdır.
