Kaliforniya merkezli sağlık hizmetleri şirketi Kaiser Permanente, kısa süre önce milyonlarca müşterisine kişisel bilgilerinin teknoloji şirketleriyle usulsüz bir şekilde paylaşıldığını bildirdi.

Bloomberg News tarafından yapılan bir analiz, benzer çevrimiçi izleyicilerin hala önde gelen sağlık şirketlerinin web sitelerinde bulunduğunu ve milyonlarca hastalarının bunun farkında olmadığını ortaya koydu.

Araştırmaya göre, Facebook izleyicileri (Meta) Cigna Group'un eczane birimi web sitesinde hastaların doğum tarihlerini ve telefon numaralarını erişebilir durumda olabilir. UnitedHealth Group Inc.'ın eczane biriminde hesap kaydı yapan kullanıcılar, yanlışlıkla Adobe Inc'in pazarlama hizmetine Sosyal Güvenlik numaralarını ifşa etmiş olabilir. CVS Health Corp. birimlerinin web siteleri, analiz şirketi Quantum Metric'in Sosyal Güvenlik numaralarını, parolaları ve doğum tarihlerini okumasına izin verdi.

«Facebook izleyicisi gibi izleyicilerin sitenizde kullanılması, gizlilikle ilgili ciddi soruları gündeme getirir,» diyor danışmanlık firması Global Cyber Strategies'in kurucusu Justin Sherman.

En büyük sağlık sigortası şirketleri, hastaneler ve laboratuvarların web sitelerinin onundan dokuzunda, kullanıcı kayıt veya giriş sayfalarına reklam ve analiz izleyicileri yerleştirilmiştir. Bu izleyiciler kişisel verileri üçüncü taraf şirketlere iletebilir. Bloomberg News, bu siteleri Feroot Security şirketinin tarayıcı aracı ile inceledi; bu araç, şirketlerin web izleyicilerini bulmasına ve kaldırmasına yardımcı olur.

En çok izleyiciye sahip sağlık şirketleri

Giriş ve kayıt sayfalarındaki izleyici sayısı. İzleyiciler kişisel bilgileri üçüncü taraf şirketlere iletebilir.

Meta temsilcisi, sistemlerinin reklam verenlerin şirketin araçları aracılığıyla hassas kişisel bilgileri iletmesini yasakladığını ve sistemin tespit edildiğinde bunları filtrelemek için tasarlandığını vurguladı. CVS Health, şirketin, üçüncü taraf sağlayıcılarla paylaşılmadan önce tanımlanabilir bilgileri sınırlayan veya şifreleyen kontroller uyguladığını bildirdi.

Cigna, UnitedHealth, Adobe ve Quantum Metric temsilcileri yorum yapmadılar veya yorum yapmaktan kaçındılar.

Gizlilik uzmanları, tıbbi siteler ve uygulamalardaki izleyicilerin, kullanıcıların Viagra reçetesi alması, hamilelik veya ruh sağlığı tedavisi gibi kişisel bilgileri reklam verenlere ve veri komisyoncularına hastaların onayı olmadan iletebileceği konusunda uyarıyor.

Geçen yıl Feroot tarafından yapılan daha geniş bir araştırmada, sağlık ve tele tıp ile ilgili web sitelerinin %86'sının kullanıcı onayı olmadan veri topladığı ve bunları büyük teknoloji şirketlerine ilettiği ortaya çıktı. Bu yıl JAMA dergisinde yayımlanan bir başka çalışma, 100 hastane sitesinden 96'sının bilgileri üçüncü taraflara ilettiğini ve çoğunun bu verilerin nereye gittiğini gizlilik politikalarında belirtmediğini gösterdi.

Federal düzenleyiciler, sağlık sitelerinde kişisel veri toplamayı durdurmaya çalışıyor. ABD Federal Ticaret Komisyonu (FTC), birkaç şirketi kullanıcı verilerini paylaşmaktan dolayı cezalandırdı. Sağlık ve İnsan Hizmetleri Departmanı (HHS), çevrimiçi izleyicilerin federal gizlilik kurallarını ihlal edebileceğini belirten bir kılavuz yayımladı.

Yanıt olarak, sağlık şirketleri mahkemelere başvurarak HHS'nin duruşuna itiraz ettiler ve yetkisini aştığını iddia ettiler. Ayrıca bazı hükümet sitelerinin benzer teknoloji kullandığını belirttiler. Haziran ayında bir Teksas hakimi, HHS'nin sağlık şirketlerini izleyici kullanımı nedeniyle cezalandırma yetkisini sınırlayarak HHS aleyhine karar verdi.

$250 Milyar Dolarlık Pazar

Kişisel verileri toplayan izleyiciler internette yaygındır. Bunlara pikseller de denir ve çoğu kullanıcı için fark edilmezler. Ancak teknoloji şirketleri ve veri komisyoncuları, kullanıcıların çevrimiçi davranışlarını izlemek için bunları kullanır.

Uzmanlar, bu verilerin ABD'deki pazar hacmini yaklaşık 250 milyar dolar olarak tahmin ediyor.

Bazen detaylar küçük puntolarla belirtilir. Örneğin, CVS şirketinin Aetna biriminin gizlilik politikasında, şirketin Sosyal Güvenlik numaraları, internet adresleri, demografik veriler ve diğer bilgileri topladığı belirtiliyor. İzleyicileri, "sayfa görüntüleme, fare hareketleri, kaydırma, metin girişi" ve diğer site gezinme verileri gibi eylemleri kaydedebilir.

Sherman ve diğer siber güvenlik uzmanlarına göre, gizli verilerin işlendiği sağlık sitelerinde izleyicilerin kullanılması, ciddi gizlilik endişeleri doğurur ve hasta sağlık bilgilerini korumayı amaçlayan federal kuralları ihlal edebilir.

Feroot'un geçen yılki raporuna göre, sağlıkla ilgili web sitelerinin yaklaşık %15'i giriş sayfalarındaki kesin tuş vuruşlarını okuyabiliyor. Bu, Sosyal Güvenlik numaralarını, kullanıcı adlarını, parolaları, e-posta adreslerini, randevu saatlerini, hesap bilgilerini ve tıbbi teşhisleri toplayabilecekleri anlamına gelir.

Davaların Artışı

Kaiser Permanente'ye karşı açılan dava, izleyicilerin adları, internet adreslerini ve arama sorgularını Google'a (Alphabet Inc), sosyal ağ X ve arama motoru Bing'e (Microsoft Corp) gönderdiğini iddia ediyor. Bu izleyiciler, parola korumalı sayfalara yerleştirilmiş olup, teknoloji şirketlerinin kullanıcı davranışlarına dayalı daha hedefli reklamlar oluşturmasına olanak tanıyordu. Şikayet, 2023 yılı Haziran ayında Kuzey Kaliforniya Bölge Mahkemesine sunuldu.

Kaiser, şirketin iç soruşturma yaptığını ve web siteleri ve mobil uygulamalardan izleyicileri kaldırdığını belirtti. Şirket davanın düşürülmesini istedi ve dava hakkında yorum yapmayı reddetti. Microsoft, politikasının tıbbi bilgilerin reklam amaçlı kullanılmasını yasakladığını belirtti.

Google, Google Analytics gibi ölçüm araçlarının müşterilerinin toplanan verilere sahip olduğunu ve şirketin bu verileri arama motoru reklam hedeflemesi için kullanmadığını belirtti. Şirketin politikası, müşterilerin Google Analytics'i korunan sağlık bilgilerini toplamak için kullanmasını yasaklar ve sağlık verileri veya diğer hassas bilgilere dayalı reklamları da yasaklar, dedi Google sözcüsü.

Illinois federal mahkemesinde Kasım ayında açılan bir başka davada, Blue Cross Blue Shield Association'a karşı, federal çalışanlar için kullanılan bir web sitesinin, kullanıcıların ruh sağlığı veya hamilelik gibi konularda arama sorgularını TikTok'a ve diğer teknoloji şirketlerine gönderdiği iddia ediliyor. Şikayet ayrıca, ulusal güvenlik nedeniyle TikTok'un federal hükümet telefonlarında yasaklandığını belirtiyor.

Birlik, davanın reddedilmesini istedi ve yorum yapmaktan kaçındı. TikTok temsilcisi de dava hakkında yorum yapmadı ve şirketin politikasına atıfta bulunarak, pikselin kişisel sağlık bilgileri içerebilecek sitelere yerleştirilmemesi gerektiğini belirtti.

Feroot CEO'su Ivan Tsarynny'ye göre, bazı sağlık şirketleri artan baskılar nedeniyle sitelerinden izleyicileri kaldırdı. Ayrıca, Kaiser Permanente gibi izleyici kullanımına bağlı veri ihlallerini daha fazla şirketin açıklamasını beklediğini belirtti.

İzleyiciler tarafından toplanan verilerin nereye gittiği her zaman net değildir.

«Bu tür gözetimlerin amaçlarının ne olduğunu her zaman bilemeyiz,» diyor Charlotte Tschider, Chicago'daki Loyola Üniversitesinde siber güvenlik hukuku profesörü. «Tıbbi organizasyonların bile kendi eylemlerini tam olarak anlamamış olmaları mümkün.»

Bu Konuyla İlgili Diğer Yazılar:

• Sonsuz Çerezler
• Web Siteleri Verilerinizi Yüzlerce Şirketle Paylaşıyor
• Runet'te Yandex Header Bidding Adaptörlerinin Dağılımı Üzerine Çalışma