Günümüzde sağlık sektörünün dijitalleşmesi, hastaların tedavi süreçlerini hızlandırırken tıbbi verilere erişimi de kolaylaştırmıştır. Ancak bu dijital dönüşüm, hastaneleri ve sağlık kuruluşlarını siber saldırganların açık hedefi haline getirmektedir. Tıbbi kayıtlar, finansal bilgiler ve kişisel sağlık verileri gibi son derece hassas bilgileri barındıran hastane otomasyon sistemlerine yapılan siber saldırılar, sadece operasyonel aksamalara yol açmakla kalmayıp ciddi hukuki sorumlulukları da beraberinde getirmektedir. Bu yazıda, hastanelere yönelik siber saldırılarda ortaya çıkan hukuki sorumluluklar, hastaların hakları ve hekimlerin durumu güncel mevzuat çerçevesinde ele alınmaktadır.
Kişisel Verilerin Korunması Kanunu (KVKK) Açısından Sorumluluk
Sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında “özel nitelikli kişisel veri” olarak kabul edilmektedir. Kanun koyucu, bu verilerin ifşa olmasının veya yetkisiz kişilerin eline geçmesinin kişi üzerinde yaratacağı mağduriyeti göz önünde bulundurarak çok daha sıkı bir koruma rejimi öngörmüştür.
KVKK’nın 12. maddesi uyarınca, veri sorumlusu sıfatını haiz olan hastane yönetimi, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlüdür. Bir siber saldırı durumunda, hastane idaresinin bu tedbirleri yeterince alıp almadığı Kişisel Verileri Koruma Kurulu tarafından denetlenir. Sızma testlerinin yapılmaması, güncel antivirüs yazılımlarının kullanılmaması veya çalışanlara siber güvenlik eğitimlerinin verilmemesi gibi eksiklikler, hastanenin doğrudan idari yaptırımlarla karşılaşmasına neden olur. Kurul, veri ihlali bildirimlerinin ardından yaptığı incelemelerde, gerekli önlemleri almayan kuruluşlara ciddi miktarlarda idari para cezaları uygulamaktadır.
Tazminat Sorumluluğu ve Türk Borçlar Kanunu
Siber saldırı sonucunda hasta verilerinin sızdırılması veya sistemlerin kilitlenerek tedavinin aksaması, hastaların kişisel haklarının ihlali anlamına gelir. Bu durum, 6098 sayılı Türk Borçlar Kanunu’nun (TBK) haksız fiil sorumluluğunu düzenleyen 49. maddesi ile sözleşmeye aykırılık hükümleri kapsamında değerlendirilir. Verileri çalınan, ifşa edilen veya sistemi aksadığı için zarar gören hastalar, uğradıkları maddi ve manevi zararların tazmini için hastane aleyhine dava açma hakkına sahiptir.
Yargıtay’ın yerleşik içtihatlarında da vurgulandığı üzere; özel hastaneler ile hastalar arasındaki ilişki sözleşmesel bir nitelik taşırken, kamu hastanelerinde meydana gelen zararlarda “hizmet kusuru” ilkesi geçerlidir. Her iki durumda da hastane yönetimi, organizasyon kusuru ve gerekli özen yükümlülüğünün ihlali nedeniyle sorumlu tutulmaktadır. Siber saldırının “mücbir sebep” (kaçınılmaz durum) olarak kabul edilebilmesi için, hastanenin teknolojik olarak alınabilecek en üst düzey önlemleri almış olmasına rağmen saldırının önlenemez nitelikte olması gerekir. Günümüz teknolojisinde basit şifreleme hataları veya güncellenmemiş sistemler nedeniyle gerçekleşen ihlaller, yargı mercileri tarafından mücbir sebep olarak kabul edilmemekte ve hastanenin tazminat sorumluluğu doğmaktadır.
Türk Ceza Kanunu Kapsamındaki Cezai Boyut
Hastaneye yapılan siber saldırı durumunda cezai sorumluluk da gündeme gelmektedir. 5237 sayılı Türk Ceza Kanunu’nun (TCK) 136. ve devamı maddelerinde “Kişisel Verileri Hukuka Aykırı Olarak Ele Geçirme veya Yayma” suçu düzenlenmiştir. Siber saldırıyı gerçekleştiren failler doğrudan cezai sorumluluk altındayken; bilgi güvenliğinde ağır ihmali bulunan, sır saklama yükümlülüğüne aykırı davranan veya verilerin korunması için yasal yükümlülüklerini kasten yerine getirmeyen hastane yetkilileri ve personeli de suça iştirak veya görevi kötüye kullanma kapsamında yargılanabilmektedir.
Siber Saldırılarda Hekimlerin Hukuki Durumu
Hekimler, mesleki etik kuralları ve mevzuat gereği hastaların mahremiyetini korumak ve tıbbi sırları saklamakla yükümlüdür. Ancak hastane bilgi yönetim sistemine (HBYS) yönelik dışarıdan gelen organize bir siber saldırıda, hekimlerin doğrudan kişisel bir kusuru bulunmadığı sürece hukuki veya cezai sorumlulukları doğmaz. Bu tür durumlarda hukuki muhatap, veri sorumlusu sıfatıyla hastane tüzel kişiliği veya ilgili kamu idaresidir.
Buna karşın, hekimlerin veya diğer sağlık personellerinin sisteme giriş şifrelerini başkalarıyla paylaşması, kişisel cihazlarını güvensiz ağlarda kullanarak sisteme sızılmasına zemin hazırlaması veya oltalama (phishing) maillerine karşı dikkatsiz davranarak sisteme virüs bulaşmasına yol açması durumunda kişisel sorumlulukları gündeme gelebilir. Bu gibi durumlarda hastane yönetimi, ödediği tazminatları kusurlu personele rücu edebilir ve ilgili çalışanlar hakkında disiplin soruşturması başlatılabilir.
Sonuç ve Alınması Gereken Önlemler
Hastanelere yönelik siber saldırılar, sadece teknik bir sorun değil, telafisi güç hukuki ve finansal sonuçlar doğuran çok boyutlu bir krizdir. Sağlık kuruluşlarının hukuki sorumluluktan kaçınabilmesi ve hasta güvenliğini sağlayabilmesi için şu adımları atması yasal bir zorunluluktur:
- Teknik Güvenlik Önlemleri: Sistem açıklarının düzenli olarak tespit edilmesi amacıyla periyodik sızma testleri yapılmalı ve veriler güçlü şifreleme yöntemleriyle saklanmalıdır.
- Personel Eğitimleri: Tüm hastane çalışanlarına siber güvenlik ve veri koruma kuralları konusunda düzenli eğitimler verilmelidir.
- Veri İhlali Müdahale Planı: Bir saldırı anında KVKK uyarınca en geç 72 saat içinde yapılması gereken kurul ve ilgili kişi bildirimleri için acil durum planı hazır bulundurulmalıdır.
- Hukuki Sözleşmeler: Bilgi işlem ve yazılım hizmeti alınan dış tedarikçilerle yapılan sözleşmelere veri güvenliği ve rücu maddeleri açık bir şekilde eklenmelidir.
Hukuken “kusursuz güvenlik” beklenmese de “gerekli tüm özenin gösterilmiş olması” aranmaktadır. Yasal yükümlülüklerini eksiksiz yerine getiren sağlık kuruluşları, olası bir siber saldırı karşısında hem hastalarını korumuş hem de hukuki kalkanlarını sağlamlaştırmış olacaklardır.
Anahtar Kelime : siber saldırı sorumluluk
