İtalya Veri Koruma Otoritesi (“Otorite”), sağlık verilerini ilgili kişiye sağlık hizmeti sunmak dışında başka amaçlarla işleyen bir hastaneye 75.000 Euro para cezası vermiştir. Otorite, daha fazla işlemenin ilgili kişinin özel iznine ihtiyaç duyacağını belirtmiştir.

Otorite, bir ilgili kişinin şikayeti ve veri sorumlusu tarafından yapılan 4 veri ihlal bildiriminin ardından veri sorumlusuna yönelik soruşturma başlatmıştır. Bir üniversite hastanesi olan veri sorumlusu, hastalarının sağlık verilerini içeren bir sağlık dosyası sistemi uygulamıştır.

Veri ihlali bildirimleri, ilk olarak, belirli bir zaman diliminde belirli bir hastayla ilgilenmeyen çalışanlar tarafından çeşitli ilgili kişilerin dosyalarına erişildiğini ortaya koymuştur. Veri sorumlusu, erişimlerin "takip amacıyla" veya ilgili kişilerle aynı sorunları yaşayan diğer hastaların bakım sürecini iyileştirmek için yapıldığını savunmuştur.

Ayrıca, hem hasta hem de hastane çalışanı olan şikâyetçi; kendi verileriyle ilgili yetkisiz erişimin ardından sağlık durumuyla ilgili söylentilerin iş arkadaşları arasında yayıldığını ileri sürmüştür. Bu ikinci olayla ilgili olarak, erişim bir sağlık uzmanı tarafından değil, bir idari personel tarafından gerçekleştirilmiştir. Veri sorumlusu, idari personelin, gerektiğinde tıbbi kayıtları adli makamlara aktarmak veya tıbbi faturaları yönetmek gibi farklı görevleri yerine getirmek için dosyaya erişmesi gerektiğini savunmuştur.

Otorite ilk olarak, ilgili kişi ile aynı sağlık sorunlarını yaşayan yeni bir hastaya daha iyi tedavi sağlamak amacıyla yapılan erişimlere odaklanmıştır. Otorite, dosyada yer alan sağlık verilerinin işlenmesinin ilgili kişiye daha iyi bir sağlık hizmeti sağlamayı amaçladığını hatırlatmıştır. Otorite, bu verilerin diğer hastalar için bir tedavi bulmak veya tıbbi faturaları yönetmek gibi başka amaçlarla işlenmesinin özerk bir yasal dayanağa ihtiyaç duyacağına işaret etmiştir. Dahası, bu diğer amaçlar ilgili kişiye verilen aydınlatma metninde belirtilmemiştir. Bu nedenle Otorite, GDPR Madde 5(1)(a), 5(1)(c), 9 ve 25'in ihlal edildiğini tespit etmiştir.

İkinci olarak Otorite, idari personelin de dosyaya erişmesine izin verildiği gerçeğini analiz etmiştir. Veri sorumlusuna göre, yargı erkinin taleplerine uymak/karşılamak veya diğer muhasebe ve idari nedenlerle sağlık dosyasına idari personelin erişmeleri gerekiyordu. Otorite, "sağlık dosyası" ile "tıbbi kayıt" arasındaki farka dikkat çekmiştir.

Otorite; tıbbi kayıt, bir kişinin hastanede yattığı süre boyunca sağlık durumunu resmi olarak belgeleyen ve rıza gerektirmeyen bir belge iken; sağlık dosyasının tek işlevinin hastanın sağlık durumunu iyileştirmek olduğu ve rıza gerektirdiğini ifade etmiştir. Ayrıca bir hastanın bazı belgeleri dosyadan çıkarmaya karar verebileceği veya hiç işlenmesine rıza vermeyebileceğini belirtmiştir. Bu nedenle Otorite dosyanın, ilgili kişinin sağlığı hakkında kısmi ve eksik bilgi içerebileceğini tespit etmiştir.

Otorite’nin görüşüne göre, sağlık dosyasının yargı erkine bilgi sağlamak için kullanılması paradoksal bir duruma yol açacak olup; örneğin yargı erkinin bir soruşturma ile ilgili bazı bilgi talepleri, ilgili kişinin bunları dosyadan çıkarması halinde sağlanamayacaktır. Otorite, idari personele erişim izni verilmesinin gerekli olmadığına ve veri minimizasyonu ilkesine aykırı olduğuna, bu nedenle GDPR Madde 5(1)(a), 5(1)(c), 9 ve 25'in ihlal edildiğine karar vermiştir.

Üçüncü olarak Otorite, veri sorumlusunun yetkisiz erişimleri önlemek için yeterli tedbirleri uygulamadığını gözlemlemiştir. Daha spesifik olarak, aynı hesaptan birden fazla erişim yapılması halinde uyarı gönderebilecek bir sistem uygulamadığı tespit edilmiştir. Ayrıca, bir giriş oturumunun sona ereceği hareketsizlik süresinin çok uzun (30 dakika) olduğunu değerlendirmiştir. Bu nedenle Otorite GDPR Madde 5(1)(f), 25 ve 32(1)'in ihlal edildiğini tespit etmiştir.

Bu gerekçelerle Otorite, veri sorumlusuna 75.000 Euro para cezası vermiş ve veri sorumlusunun, ilgili kişiyle doğrudan ilgilenmeyen personelin dosyalara erişim olasılığını sınırlandırmasını emretmiştir.

Kararın linkine buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi; sağlık verilerini amacı aşan şekilde işleyen, sağlık dosyası sisteminde sistem zafiyetleri ve yetkisiz erişimler yaşanan bir hastaneye 75.000 Euro para cezası verdi.