Hastanelerin Dijital Güvenlik Sınavı: Fidye Yazılımı Saldırıları
Teknolojinin gelişmesiyle birlikte sağlık sektörü de büyük bir dijital dönüşüm yaşamıştır. Hasta kayıtları, tetkik sonuçları, ameliyat planlamaları ve reçeteler artık tamamen elektronik sistemler üzerinden yönetilmektedir. Ancak bu dijitalleşme, hastaneleri siber korsanların birincil hedefi haline getirmiştir. Özellikle sistemdeki tüm verileri şifreleyerek erişilemez kılan ve açılması karşılığında maddi kazanç talep eden fidye yazılımı (ransomware) saldırıları, hem hasta sağlığını hem de hastanelerin hukuki sorumluluklarını doğrudan etkilemektedir. Bir siber saldırı durumunda hastanenin hukuki sorumluluğunun sınırları, sağlık hukukunun en kritik konularından biridir.
Özel Nitelikli Verilerin Korunması: KVKK Yükümlülüğü
Hukuki açıdan bakıldığında, hastaların sağlık geçmişi, tahlil sonuçları ve genetik bilgileri sıradan kişisel veriler değildir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca bu veriler özel nitelikli kişisel veri olarak kabul edilir ve korunması çok daha sıkı şartlara bağlanmıştır. KVKK kapsamında “veri sorumlusu” sıfatını taşıyan hastaneler, Kanun’un 12. maddesi gereğince veri güvenliğini sağlamak için gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.
Bir fidye yazılımı saldırısı neticesinde hasta verilerinin kilitlenmesi veya sızdırılması durumunda, hastanenin siber güvenlik altyapısındaki yetersizlikler bir “veri ihlali” olarak kabul edilir. Kişisel Verileri Koruma Kurulu’nun yerleşik kararlarında vurgulandığı üzere, gerekli siber güvenlik önlemlerini (güncel antivirüs yazılımları, sızma testleri, iki aşamalı doğrulamalar vb.) almayan kurumlar idari para cezaları ile karşı karşıya kalmaktadır. Ayrıca, ihlalin tespit edilmesinden itibaren en geç 72 saat içinde durumun Kurul’a ve etkilenen hastalara bildirilmesi zorunludur.
Tazminat Sorumluluğu: Haksız Fiil ve Hizmet Kusuru
Siber saldırı sonucu hastaların tedavisinin gecikmesi veya kişisel verilerinin sızdırılması nedeniyle uğradıkları zararlar karşısında hastanelerin sorumluluğu iki farklı hukuki zeminde değerlendirilir:
- Özel Hastanelerin Sorumluluğu: Özel hastaneler ile hastalar arasında kurulan hukuki ilişki, esasen bir tedavi sözleşmesi niteliğindedir. Ayrıca 6098 sayılı Türk Borçlar Kanunu’nun (TBK) 49. maddesinde düzenlenen haksız fiil sorumluluğu da devreye girebilir. Hastane, hastanın verilerini güvenle saklama ve tedaviyi kesintisiz sürdürme borcuna aykırı davrandığı için sözleşmesel veya haksız fiil sorumluluğu kapsamında maddi ve manevi tazminat ödemekle yükümlü tutulabilir.
- Kamu Hastanelerinin Sorumluluğu: Devlet ve üniversite hastanelerinde meydana gelen siber saldırılarda idari yargı kuralları geçerlidir. İdarenin, sunmakla yükümlü olduğu sağlık hizmetini güvenli bir siber altyapıyla sunamaması ve hizmetin aksaması “hizmet kusuru” teşkil eder. Bu durumda hastalar, Anayasa’nın 125. maddesi kapsamında idareye karşı “tam yargı davası” açarak uğradıkları zararların tazminini talep edebilirler.
Yargıtay ve Danıştay’ın Sorumluluk Yaklaşımı
Yargıtay’ın yerleşik içtihatlarında ve Danıştay’ın kararlarında, sağlık hizmeti sunan kurumların “üst düzey özen yükümlülüğü” altında olduğu açıkça belirtilmektedir. Yargıtay’ın yerleşik içtihat prensiplerine göre, hastaneler yalnızca tıbbi müdahalenin başarısından değil, aynı zamanda hastanın tedavi gördüğü ortamın fiziksel ve dijital güvenliğinden de sorumludur. Siber saldırının bir “mücbir sebep” (kaçınılmaz durum) olarak kabul edilebilmesi için, hastanenin güncel tüm siber güvenlik standartlarını eksiksiz uygulamış olması gerekir. Eğer hastane basit bir güvenlik açığı veya personelin eğitimsizliği nedeniyle saldırıya maruz kalmışsa, bu durum mücbir sebep sayılamaz ve hastanenin kusuru olarak değerlendirilir.
7545 Sayılı Siber Güvenlik Kanunu Kapsamındaki Sorumluluk
Yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, sağlık sektörü gibi kritik altyapı hizmeti sunan kurumların siber savunma mekanizmalarını daha da sıkılaştırmıştır. Bu kanun kapsamında, hastanelerin siber olaylara müdahale süreçlerini kurması, sistemlerini sürekli denetlemesi ve siber olayları ulusal yetkili mercilere derhal bildirmesi yasal bir zorunluluk haline gelmiştir. Bu yükümlülüklere aykırı hareket edilmesi, hastanelerin cezai ve hukuki sorumluluğunu doğrudan ağırlaştırmaktadır.
Sonuç ve Alınması Gereken Önlemler
Fidye yazılımı saldırıları sadece teknik bir sorun değil, aynı zamanda ciddi tazminat davaları ve idari yaptırımlar doğuran çok boyutlu hukuki krizlerdir. Hastanelerin ve hekimlerin bu tür risklerden korunması için şu adımları atması hayati önem taşımaktadır:
- Sistemlerin düzenli olarak ağ dışı (offline) veya değiştirilemez ortamlarda yedeklenmesi,
- Personele düzenli olarak bilgi güvenliği ve oltalama (phishing) eğitimlerinin verilmesi,
- KVKK ve Siber Güvenlik Kanunu standartlarına uygun idari ve teknik siber güvenlik politikalarının oluşturulması.
Unutulmamalıdır ki dijital dünyada siber güvenliği sağlamak, tıbbi sterilizasyonu sağlamak kadar hayati bir hasta güvenliği unsurudur.
Anahtar Kelime : fidye yazılımı hastane sorumluluğu
