نهاد نظارتی حریم خصوصی در بریتانیا (ICO) پس از دریافت بیش از ۳۰۰ گزارش مبنی بر کنجکاوی و دسترسی غیرمجاز کارکنان به پرونده‌های پزشکی، مدیران ارشد حوزه سلامت را به حالت آماده‌باش درآورده است. این نهاد از مدیران خواسته است تا شخصاً تأیید کنند که اقدامات لازم برای جلوگیری از دسترسی افراد غیرمجاز به اطلاعات حساس بیماران در حال انجام است.
طبق اعلام ICO، بیش از ۲۰۰ مدیر ارشد حوزه سلامت در سراسر بریتانیا با این هشدار مواجه شده‌اند که دسترسی کارکنان به سوابق بدون دلیل موجه، حریم خصوصی بیماران و اعتماد عمومی را به خطر می‌اندازد. بررسی‌های انجام شده بین ژانویه تا اواسط اکتبر نشان می‌دهد که کارکنان اغلب برای کنجکاوی شخصی، جستجوی اطلاعات آشنایان یا به اشتراک‌گذاری داده‌ها با افراد غیرمرتبط، از دسترسی‌های خود سوءاستفاده کرده‌اند.
ماهیت تهدید: سوءاستفاده از دسترسی‌های قانونی
نکته حائز اهمیت در این گزارش این است که مشکل لزوماً ناشی از هک کردن سیستم‌ها توسط کارکنان نیست؛ بلکه بسیاری از آن‌ها به دلیل ماهیت شغلی خود، دسترسی قانونی (Legitimate Access) به پرونده‌ها دارند. تهدید اصلی زمانی رخ می‌دهد که این دسترسی برای اهدافی غیر از درمان، مانند جستجوی اطلاعات همسایگان، دوستان یا چهره‌های مشهور، مورد استفاده قرار گیرد. این نوع رفتار در ادبیات امنیتی، یک نمونه کلاسیک از تهدیدات داخلی (Insider Threat) محسوب می‌شود.
الزامات نظارتی و کنترلی
پل آرنولد، مدیر اجرایی ICO، تأکید کرده است که صرفاً اعتماد به رفتار اخلاقی کارکنان کافی نیست. سازمان‌های درمانی باید موارد زیر را مشخص و مستند کنند:
- چه کسانی اجازه دسترسی به پرونده‌های بیماران را دارند؟
- آیا فرآیند ممیزی (Audit) برای بررسی فعالیت‌های کاربران در حال اجراست؟
- در صورت شناسایی سوءاستفاده، چه اقدامات انضباطی یا قانونی صورت می‌گیرد؟
بر اساس قانون حفاظت از داده‌ها (Data Protection Act 2018)، دسترسی غیرمجاز به اطلاعات شخصی می‌تواند یک جرم کیفری محسوب شود. نهاد نظارتی همچنین هشدار داده است که در صورت عدم وجود مکانیزم‌های کنترلی مناسب (Access Controls) و سیستم‌های ممیزی (Audit Systems) کارآمد، سازمان‌ها ممکن است با اقدامات تنبیهی جدی روبرو شوند.
