Elektronik Sağlık Kayıtlarındaki Gizliliğin Kontrolünü Sağlayacak Yeni Bir Yaklaşım : Kayıtların Kullanımının Açıklığının Sağlanması New Approach For Detecting The Violation Of Privacy By Transparency On Accession To Electronic Health Records Mustafa Rüştü Soyal DEU Bilgisayar Mühendisliği Doktora Programı rustu_soyal@hotmail.com

Veriler ile ilgili Birbiriyle Karıştırılabilecek Kavramlar Mahremiyet : Kişisel verilerin korunması. Yasalarla korunur. (örn: facebook verileri, internetten ele geçirilmiş veriler vb) Gizlilik : Kişilerin bilgilerinin yetkisiz kişilerle paylaşılmaması. Etik kurallarla korunur. (örn: tedarikçi, müşteri bilgileri, doktor-hasta, avukat-müvekkil ilişkileri) Güvenlik : Verilerin zarar görmemesi, yetkisisiz kişilerce istenmeyen işlemlerin yapılmaması. (verilere yetkisiz erişim, verilerin silinmesi, değiştirilmesi vs)

Bilgi Mahremiyeti Nedir Kişisel verilere erişimi kontrol etme hakkıdır. James H. Moor James H. Moor, "How to Invade and Protect Privacy with Computers," in Carol C. Gould (ed.), The Information Web: Ethical and Social Implications of Computer Networking, Boulder, CO: Westview Press (1989)

ESK nda Gizlilik Çalışmaları Niçin Gerekli 1 Bir hukuk devleti olarak halkın (hastaların) bir varlığı olan kişisel sağlık verilerinin korunması için. Örn: arabamızı dışarda bırakırız ama kullanmadığımızda bir başkası alsın kullansın istemeyiz. Hele ki izin almadan.

ESK nda Gizlilik Çalışmaları Niçin Gerekli 2 Kişisel sağlık verileri kişilerin veya yakınlarına zarar verecek şekilde kullanılabilir. Özellikle ABD de bununla ilgili ortaya çıkmış çok sayıda vaka var.

ESK nda Gizlilik Çalışmaları Niçin Gerekli 3 Kişisel sağlık verilerinden birileri maddi çıkar sağlıyorsa verilerin doğal sahibi olan kişilerin öncelikle rızası alınmalı sonrasında da belki onlara da bir fayda sağlanmalı.

ESK nda Gizlilik Çalışmaları Niçin Gerekli 4 Halkın şu anda ESK gizlilik konusunda çok bilgili olmaması ve haklarını aramaması gelecekte de aynı olacağı anlamına gelmez. Hatta gelecekte bu günler için de hesap sorulabilir.

İzmir’in Büyük Hastanelerinden Birinde Yapılan Elektronik Sağlık Kayıtlarında Gizliliğin Sağlanması İle İlgili Analiz Raporuna (Aralık 2014) Göre...

Genel olarak elektronik sağlık kayıtlarında gizliliğin dört aşaması*: Devlet tarafından ortaya konan kanunlar (var ama yetersiz) İlgili alanlardaki (örn: sağlık) düzenlemeler (örn: yönergeler, kılavuzlar vs) (YOK) Kurumlar tarafından kullanılan gizliliği destekleyen teknolojiler (GDT) (YOK ya da kullanılamıyor) Kullanıcıların, bilgi teknolojisi uzmanlarının gizlilik konusundaki eğitimleri (YOK) *Simone Fischer-Hübner .IT-Security and Privacy.Design and Use of Privacy-Enhancing Security Mechanisms.

Analiz Raporuna Göre Nereden Başlanmalı: Halkta (hastalarda) ESK da gizliliğin sağlanması ile ilgili talep oluşturulmalı. Bu talep er yada gec oluşacak, ne kadar erken olursa o kadar az pişmanlık olur. Halktan bu konuda farkındalıkları/ hassasiyetleri yüksek olanların (zaten muhtemelen onlar gönüllü olacaklardır) bu sürecin içinde olması çalışmaları hızlandırır ve verimli kılar.

Çözüm önerisi: Halkın (hastaların) dahil olduğu ESK gizliliği (ESK na erişimi) kontrol edecek bir yapı oluşturmak.

ESK Erişim Kaydı Nerede OLuşmalı Veri Tabanı veya veri erişim katmanında Bağımsız (logları kullanarak)

Örnek Senaryo 1: Hastalar kayıtlarına erişim olduğunda bilgilendiriliyor. Gönüllülük esasına dayanan bir örnek hasta kümesi gizlilik ihlallerini tespit etmeye katkı sağlayarak tüm sistemde yapılabilecek muhtemel gizlilik ihlallerinin önlenmesi için yol gösterici oluyor.

Örnek Senaryo 2: Erişim bildirimi kayıtlarında risk derecelendirmesi yapılır. Bilgilendirme e-posta ve/veya cep mesajı ile desteklenir.

Örnek Senaryo 3: Kullanıcıların da erişim bildirimi kaydı alması sağlanır. Risk derecelendirmesi yapılır. E-posta ve/veya cep mesajı ile desteklenir.

Faydaları 1 Şu anki durum itibarıyla gizlilik ihlallerinin nasıl oluştuğuna bakılarak ESK gizliliğin sağlanması ile ilgili çalışmalara yön vermek.

Faydaları 2 ESK gizliliğin sağlanması ve gizlilik ihlallerinin tespiti ile ilgili yapılacak çalışmaların kontrolünü (testlerini) yapabilmek.

Faydaları 3 ESK da gizliliğin yapılıyor olduğunun bilinmesi nedeniyle sağlık kurumu çalışanlarının gizliliğin sağlanması konusunda hassasiyetlerinin artması.

Faydaları 4 Her geçen gün artacağını varsaydığımız ESK gizliliğin ne kadar sağlandığı ile ilgili halkın endişelerinin gerçekliği veya abartılı olduğu konusunda şüpheleri ortadan kaldıracak örneklemeyle (gönüllülerin geri bildirimleri) alınmış somut verilerin elde edilmesi.

Çözümün özellikleri 1: Kolay uygulanabilir Uygun bir yazılım katmanına yerleştirilebileceği gibi veri tabanına entegre edilebilir veya tamamıyla uygulamadan ve veri tabanından bağımsız log dosyalarını okuyan çözümler gerçekleştirilebilir.

Çözümün özellikleri 2: Aşamalı uygulamaya sokulabilir Kısa sürede fayda sağlayacak geri bildirimler alınmaya başlanabilir. Sonrasında tasarıma (biraz da hayal gücüne) bağlı olarak geliştirilebilir.

Çözümün özellikleri 3: uygulamada düşük risk Kişisel sağlık verileri kullanılmadığı sadece onlara erişim bilgileri kullanıldığı için olası bir veri kaçağı önemli bir gizlilik ihlali problemine neden olmayacaktır.

Çözümün özellikleri 4: Düşük Uygulama Maliyeti Sağladığı faydalar ve kişisel verilerin hem tıbbi değerleri hem de gizlilik ihlali durumunda kişilerde neden olabileceği maddi manevi kayıpları göz önüne alındığında maliyeti yok denecek kadar azdır.

Çözümün Benzerlerinden Farkı Yurt dışında ESK gizliliğin ihlalini tespit edecek çoğu geliştirilme aşamasında olan çalışmalar vardır. Ancak hiçbiri halkı (hastaları) sürecin içine dahil etmemektedir. Bu çözümler halkın hassasiyet gösterebileceği gizlilik ihlallerini tespit etmeye çalışan algoritmalar kullanmaya çalışılırken önerdiğimiz çözümde kontrolü doğrudan halkın kendi yaptığından sonuçları daha gerçekcidir. Burada önerilen çözüm geliştirilmekte olan (ve belki de olması gereken) insan desteksiz karar destek mekanizmalarına da katkı sağlayacaktır.

Sonuç ve Öneriler Gizlilik çalışmaları bilgilerin kullanılamaması veya daha zor kullanılması için değil bilgilerin doğru kişilerce ve doğru şekilde kullanılabilmesini sağlayacaktır. Gizliliğe uygun bilgiye ulaşım şartları sağlandıkca bilgiyi kullanıma açan ve kullananlar kimseye zarar vermeden ve hukuka uygun fayda sağlayacak iyi niyetli kurum ve kişiler olacaktır. Bu sunumda ESK da gizliliğin sağlanmasıyla ilgili çalışmaları destekleyecek ve yönlendirebilecek kolay ve aşamalı uygulanabilir, riski ve uygulama maliyeti düşük bir çözüm önerilmiştir. Uygulamaya geçirilmesi faydalı olacaktır.

Teşekkürler Mustafa Rüştü Soyal rustu_soyal@hotmail.com