ABD’de tüketici ürünlerine bağlı yaralanmaları izlemekle görevli olan Tüketici Ürün Güvenliği Komisyonu (CPSC), ülkenin en büyük sağlık sistemlerinden bazılarına, acil servislerine başvuran tüm hastaların kişisel sağlık kayıtlarını talep etmeye başladı. Çim biçme makinelerinden kahve makinelerine kadar geniş bir yelpazedeki ürünlerin neden olduğu kazaları takip eden ve gerektiğinde geri çağırma kararları alan federal kurum, bu yıl özel bir şirket aracılığıyla hastanelerden kimlik bilgilerini de içeren hassas verileri istemeye koyuldu. Ancak hastane hukukçuları ve sağlık sektörü uzmanları, kurumun bu kadar geniş kapsamlı özel bilgiyi toplama yetkisini, verilerin güvenliğini sağlama kapasitesini ve yasal prosedürleri izleyip izlemediğini sorguluyor.
CPSC’NİN YENİ VERİ TOPLAMA SİSTEMİ TEPKİ ÇEKTİ
CPSC’nin talebi kapsamında milyonlarca Amerikalının acil servis kayıtlarına erişilmesi planlanıyor. Kırık kemiklerden çocukluk çağı aşı reaksiyonlarına, hatta intihar girişimlerine kadar neredeyse tüm yaralanma vakaları bu sistemin kapsamına giriyor. Kurum, daha önce gönüllülük esasına dayanan ve hastaların kimlik bilgilerini içermeyen Ulusal Elektronik Yaralanma İzleme Sistemi’ni (NEISS) modernize etme gerekçesiyle yeni bir sisteme geçiyor. Ancak yeni sistemde, hastanelerden tüm acil servis hastalarının isim, adres ve teşhis gibi kişisel bilgilerinin özel bir taşeron firma olan Konza Health’e gönderilmesi isteniyor.
ÖZEL FİRMAYA AKTARILAN VERİLER GÜVENLİK RİSKİ OLUŞTURUYOR
Konza Health, Kansas merkezli bir sağlık veri değişim platformu olarak CPSC ile beş yıllık ve 15,9 milyon dolara kadar varan bir sözleşme imzaladı. Şirket, ülke genelindeki acil servislerden otomatik olarak hasta kayıtlarını çekip analiz edecek. CPSC Sözcüsü Steve Roney, yeni sistemin gönüllü olmaktan çıkarak zorunlu hale geldiğini ve hastanelerin katılmaması halinde “bilgi engelleme” düzenlemesi kapsamında cezai yaptırımlarla karşılaşabileceklerini belirtti. Oysa federal sağlık otoritelerinin özel sağlık verilerini yasal olarak zorunlu kılma yetkisi bulunmuyor.
HASTANELER VE UZMANLAR YASAL YETKİYİ SORGULUYOR
Birçok hastane yöneticisi ve hukukçu, CPSC’nin bu geniş kapsamlı veri talebinin yasal dayanağının olmadığını savunuyor. Seattle’daki Harborview Tıp Merkezi, yıllardır kimliksiz verileri gönüllü olarak paylaştıklarını ancak bu bilgileri raporlamakla yükümlü olmadıklarını bildirdi. Boston’daki Mass General Brigham ise hasta mahremiyetini gerekçe göstererek yeni programa katılmayı reddetti. Detroit, Boise ve Sioux Falls’taki büyük sağlık sistemleri de henüz bir anlaşma imzalamamış durumda. Case Western Reserve Üniversitesi’nden sağlık hukuku profesörü Sharona Hoffman, özel bir şirketin bu kadar hassas veriyi toplamasının hasta mahremiyeti açısından ciddi riskler oluşturduğunu belirtti.
VERİ GÜVENLİĞİ ENDİŞELERİ VE GEÇMİŞ İHLALLER
CPSC’nin geçmişte benzer bir veri ihlali yaşadığı da biliniyor. 2017-2019 yılları arasında kurum, yaklaşık 30 bin kişinin kişisel sağlık bilgisini yanlışlıkla ifşa etmişti. Yeni sistemde ise Konza Health, hastalara ait isim ve adres gibi bilgileri CPSC ile paylaşmadan önce kaldıracağını açıklasa da, uzmanlar bu tür hassas bilgilerin özel bir kuruluşta bulunmasının pazarlama veya başka ticari amaçlarla kullanılma riskini artırdığına dikkat çekiyor. Ayrıca eski CPSC Başkanı Alexander Hoehn-Saric, kurumun bu kadar geniş kapsamlı ve kimlikli veriyi talep etme yetkisinin neye dayandığını anlamadığını söyledi.