Dijital çağda mesleki sır saklama yükümlülüğü

Neredeyse kimsenin görmediği bir sorun

Bir avukat telefonuna müvekkilinden hassas bir belge alır. Bir doktor meslektaşıyla hassas bir teşhisi tartışırken, bir psikolog bir hastanın tedavisi için bir psikiyatristle koordine olur. Bir vergi danışmanı da incelenmeyi bekleyen bir beyannamenin verilerini aynı kanal üzerinden gönderir. Hepsi bunu anlık mesajlaşma ile yapar. Ve neredeyse hiçbiri bu mesajların gerçekte nerede son bulduğunu düşünmek için duraksamaz.

Çoğu durumda cevap aynıdır: profesyonelin kontrol etmediği, yasalarını mutlaka bilmediği, ekonomik modeli doğrudan veri biriktirmek olan bir şirket tarafından yönetilen bir sunucuda. Mesaj aktarım sırasında şifrelenmiş olabilir. Ancak sunucuya ulaştığında, üçüncü bir tarafın altyapısında saklanan ve profesyonelin değil o üçüncü tarafın operasyonel, yasal ve ticari kararlarına tabi olan bir kopyadır.

Mevzuat ne diyor?

Avrupa Genel Veri Koruma Yönetmeliği 32. maddesinde açıktır: kişisel verileri işleyen herkes, riske uygun bir güvenlik düzeyi garanti etmek için "uygun" teknik ve organizasyonel önlemleri uygulamalıdır. Önlemlerin uygunluğu "uygulamanın ne yaptığını iddia ettiğine" göre değil, gerçek riske göre ölçülür. Müşteri verileri, yargı yetkisi Avrupa Ekonomik Alanı'na eşdeğer bir koruma düzeyi garanti etmeyen bir sunucuda biterse, veri sorumlusu –yani profesyonel– muhtemelen tam olarak farkında olmadığı bir risk üstlenir.

Ve bu sadece GDPR değildir. Avukatlar, doktorlar, psikologlar, denetçiler, gazeteciler ve diğerleri için özel olarak düzenlenen mesleki sır saklama yükümlülüğü, müşteriyle iletişimin gizli olmasını gerektirir. "Mümkün olduğunca gizli" değil. Kayıtsız şartsız gizli. Kullanılan teknik kanal bunu garanti edemiyorsa, profesyonel, mesleğinin deontolojisinin izin vermediği bir risk üstleniyor demektir.

Paradoks, riskin görünmez olmasıdır. Ofis mesajlaşmasını kimse denetlemez. Sohbet sağlayıcısından veri işleme sözleşmesini kimse istemez. Risk ancak iş işten geçtikten sonra ortaya çıkar: bir sızıntı, yayınlanmış bir güvenlik açığı, kullanıcıya bildirilmeden başka bir kıtada icra edilen bir mahkeme kararı.

Bir profesyonelin teknik olarak neye ihtiyacı var?

Sır saklama yükümlülüğü olan bir kişinin ihtiyacı olan şey, gereksinimler açısından bakıldığında aslında şaşırtıcı derecede basittir:

• Mesajların, kopya saklayan bir ara sunucudan geçmeden doğrudan göndericinin cihazından alıcının cihazına gittiği bir kanal.
• Yargı yetkisi ve politikaları beyanla değil, tasarımla GDPR ile uyumlu olan bir altyapı.
• Profesyonel kişileri (müşteri isimleri, telefon numaraları, rehber) üçüncü bir tarafa teslim etmek zorunda kalmadan muhatapla kimlik doğrulama yolu.
• Mesajın doğru kişiye ulaştığını teyit etmek için sağlayıcının sözüne dayanmayan, doğrulanabilir bir sistem.

Bu zorlu bir liste değil. Aslında dijital öncesi profesyonel iletişimde doğal kabul edilen şeydir. İadeli taahhütlü bir mektup tüm bu kriterleri karşılıyordu. Ofis santralinden müşterininkine yapılan bir telefon görüşmesi de öyle. Garip olan bu garantilerin bugün istenmesi değil: garip olan, dijital kanala geçişte kimse fark etmeden bunların kaybedilmiş olmasıdır.

Şifrelemek ile depolamamak arasındaki fark

Yararlı bir metafor var. Bir mesajı şifreleyip bir sunucuda depolamak, bir belgeyi kasaya koyup kasayı bir yabancının evinde bırakmaya eşdeğerdir. Kasa iyidir. Belge prensip olarak okunamaz. Ancak belge hala başkasının evindedir. Ve o birisi bir mahkeme kararı alabilir, bir siber saldırıya uğrayabilir, hizmet şartlarını değiştirebilir, başka bir etik anlayışına sahip başka bir şirket tarafından satın alınabilir veya yarın yok olabilir.

Prosedürel olmayan veya güvene dayanmayan yapısal alternatif, belgenin ofisten hiç çıkmamasıdır. Hiçbir aracıdan geçmeden, profesyonelin masasından doğrudan müşterinin masasına gitmesi. Cihazlar arası uçtan uca iletişim teknik olarak tam da bunu yapar: aracıyı ortadan kaldırır. Aracı kötü değildir: mesleki sır söz konusu olduğunda aracı sadece gereksizdir. Ve güvenli olmayı amaçlayan herhangi bir sistemde gereksiz olan şey prensip olarak ortadan kaldırılmalıdır.

Sorumluluk meselesi

Nihayetinde, sır saklama yükümlülüğü olan her profesyonelin kesin bir evet ile cevaplayabilmesi gereken soru şudur:

Eğer yarın müşterilerimden biriyle olan bir görüşme sızarsa ve bir mahkeme veya meslek odası bana gizliliği nasıl yönettiğimi sorarsa, kullandığım kanalın üçüncü taraf altyapısında kopya saklamadığını teknik olarak kanıtlayabilir miyim? Verilerin konuşmaya dahil olan iki kişinin cihazlarından hiç çıkmadığını kanıtlayabilir miyim? Başka bir kıtadan bir şirketin sözüne güvenmeden, gizliliğin bir vaatle değil mimariyle garanti edildiğini kanıtlayabilir miyim?

Cevap hayır ise, bu söz konusu aracın bir sorunu değildir: mesele o araca tasarımı gereği kaldıramayacağı bir sorumluluk yüklenmiş olmasıdır. Bu, gizli dosyaları şeffaf bir zarfa koyup postacının bakmayacağına güvenmek gibidir.

Bir profesyonelin müşterileriyle iletişim kurmak için seçtiği araç, onların güvenine ne kadar değer verdiği hakkında çok şey söyler. Bu güvenin vaatlere değil mimariye bağlı olması için tasarlanmış araçlar vardır. Ve öyle olmayan araçlar vardır. Aradaki farkı bilmek işin bir parçasıdır.