İngiltere'de hasta kayıtlarına merakla bakan personel: ICO bu yıl 300'den fazla bildirim aldı, 200'den fazla sağlık yöneticisinden kişisel güvence istedi
İngiltere veri koruma kurumu ICO, ocak ile ekim ortası arasında sağlık kuruluşlarından hasta kayıtlarına yetkisiz erişimle ilgili 300'den fazla bildirim aldığını açıkladı. Kurum, 200'den fazla üst düzey sağlık yöneticisine mektup yazarak erişim denetimlerinin sahada çalıştığına dair 27 Kasım'a kadar güvence istedi.
İngiltere'nin veri koruma kurumu ICO, sağlık çalışanlarının işleri gerekmediği halde hasta kayıtlarına bakması sorununa karşı harekete geçti. The Register'ın 13 Kasım'da aktardığına göre kurum, 12 Kasım'da ülke genelinde 200'den fazla üst düzey sağlık yöneticisine üç sayfalık bir mektup gönderdi.
ICO'ya göre Ocak 2026 ile ekim ortası arasında sağlık kuruluşlarından bu konuda 300'den fazla bildirim geldi ve değerlendirildi. Bildirimlerde tanıdığı kişilerin kaydını açan, merakla dosyalarda gezinen ve bilgiyi görmemesi gereken kişilerle paylaşan personel yer alıyor.
Rakamlar ne söylüyor?
- 300'ü aşan sayı, kuruluşların kendi bildirimleri; doğrulanmış ihlal sayısı değil ve değerlendirmesi süren dosyaları içermiyor.
- Hükümet temmuzda parlamentoya, 2019–2025 arasında ICO'ya 1.445 uygunsuz erişim vakası bildirildiğini söylemişti.
- ICO son on yılda 16 sağlık çalışanı hakkında kovuşturma yürüttü.
Haberde bildirimlerin kuruma ya da sektöre göre dağılımı ve disiplin cezası alan personel sayısı yer almıyor.
ICO yöneticilerden ne istiyor?
ICO İcra Kurulu Başkanı Paul Arnold, bir kişinin sağlık kaydına meşru bir neden olmadan erişmenin "zararsız bir merak" olmadığını söyledi. Arnold yöneticilerden, önlemlerin kâğıt üzerinde değil sahada çalıştığına dair kişisel güvence istiyor. Mektuptaki sorular şunlar:
- Kayıtlara kimler erişebiliyor?
- Kimin neye baktığını denetleyen biri var mı?
- Yetkisiz erişim yakalandığında ne oluyor?
Yöneticilerin şüpheli ihlalleri gecikmeden soruşturması, hastaların bilgilendirilmesi gerekip gerekmediğine karar vermesi ve ilgili personel hakkında işlem yapması bekleniyor. Yanıt için son tarih 27 Kasım. Önlemlerini son altı ayda gözden geçirmemiş ya da sonuçtan memnun olmayan kuruluşlara düzeltme için üç ay daha tanınıyor. Arnold, korumaları yetersiz bulunan kuruluşlara yaptırım uygulanabileceği uyarısını da yaptı.
Arka plan
NHS England, Temmuz 2026'da personelini yetkisiz erişimin işten çıkarılmayla, hatta hapisle sonuçlanabileceği konusunda uyarmıştı. Uyarı, aralarında Nottingham saldırılarının da bulunduğu, kamuoyunda geniş yer bulan suçların mağdurlarına ait kayıtlara bakılması olaylarının ardından gelmişti. Habere göre kişisel bilgiye yetkisiz erişim, Data Protection Act 2018 kapsamında suç oluşturabiliyor.
NHS, izleme yeteneğinin kullanılan teknolojiye göre değiştiğini kabul ediyor; bazı yeni elektronik hasta kayıt sistemleri şüpheli erişimi gerçek zamanlı işaretleyebiliyor.
Ne yapılmalı?
Sorun İngiltere'ye özgü değil; hasta, müşteri ya da vatandaş kaydı tutan her kurum için geçerli.
- Kayıt sistemlerinde erişimi role ve göreve göre sınırlayın; "herkes her kaydı açabilir" varsayılanını kaldırın.
- Erişim kayıtlarını (audit log) yalnızca saklamayın, düzenli olarak inceleyin: tanınmış kişilerin, çalışanın yakınlarının ve iş ilişkisi olmayan kayıtların açılması için uyarı kuralı tanımlayın.
- Yetkisiz erişim tespit edildiğinde izlenecek soruşturma, ilgili kişiyi bilgilendirme ve disiplin adımlarını yazılı hale getirin.
- Personele, kayda bakmanın iz bıraktığını ve yaptırımını açıkça anlatın; eğitimleri yılda bir tekrarlayın.
- Önlemlerin çalışıp çalışmadığını en az altı ayda bir örneklem denetimiyle sınayın.
