HIPAA tarafından kişisel veri olarak sayılan 18 tanımlayıcı bilginin bir listesi.
Henüz mevzuatımızda tanımlayıcı kişisel bilgilerin geniş bir listesi belirlenmemiş olsa da Amerika’da faal olan HIPAA’nın 18 Tanımlayıcı Bilgiler Listesi genel kabul görmektedir. Kişisel Veri Koruma Kurulu kişisel veri listesini yayınlayıncaya kadar kendi araştırmalarımda dikkat ettiğim bu listeyi sizinle paylaşmak istiyorum.
Kişisel Veriler Kapsamında Sayılan 18 Tanımlayıcı Bilgi
- Adı, soyadı
- Adres bilgileri (sokak adresi, posta kodu, apartman no vb.)
- 20.000 nüfus alt sınır olarak kabul edilerek, posta kodunun son basamaklarını 0 olarak değiştirilmeli. Eğer bu bilgiye ulaşılamıyorsa son 3 basamak 000 olarak değiştirilebilir.
- Yıl dışındaki bütün tarihler (doğum tarihi, ölüm tarihi, başvuru tarihi, taburculuk tarihi, laboratuvar tahlili istenme ve yapılma tarihi vs.)
- Özellikle 89 yaşı üzeri tek bir grupta toplanmalıdır.
- Telefon numaraları
- Faks numaraları
- E-mail adresleri
- TC Kimlik, Ehliyet Seri Numaraları (Orjinal terimi Social Security Number)
- Hastane protokol, vaka numaraları
- Sigorta kayıt numaraları
- Hesap bilgileri (Banka, kredi kartı vs)
- Sertifika, eğitim, lisansla ilişkili numaraları (diploma no vs)
- Araç ile ilişkili seri numaralar (araç motor numaraları, plaka vb.)
- Malzeme özgün seri numaraları (bipap gibi medikal malzeme seri numarları vb.)
- Web adresi, sosyal medya bilgileri (facebook, instagram adı vb.)
- İnternet Protokol (IP) adresi
- Parmak, ses izleri gibi biometrik tanımlayıcılar (Orjinal terimi finger or voice print)
- Fotoğrafı
- Fotoğraflar sadece yüz fotoğraflarıyla sınırlı değil.
- Bireyi direk tanımlayabilen diğer tüm karakteristik bilgiler
Bu listeye bazı kaynaklar ICD 10 kodu olan Y38 Terorizm kodu ve alt kodlarını da ekler. Çünkü bu tanı kodunu almış bireylerin devlet raporları, gazete, televizyon gibi halka açık kaynaklarda tespit edilebilme ihtimalinin yüksek olduğunu söylerler.
Burada son bir noktaya daha değinmek istiyorum: HIPAA ölen kişiler üzerinde yapılacak araştırmalarda tanımlayıcı bilgilerin direk kullanılabilmesi için ölümden sonra 50 yılın geçmiş olması gerektiğini belirtir.
Kaynaklar
- https://medschool.duke.edu/research/clinical-and-translational-research/duke-office-clinical-research/irb-and-institutional-14
- https://cphs.berkeley.edu/hipaa/hipaa18.html
- http://www.icd10data.com/ICD10CM/Codes/V00-Y99/Y35-Y38/Y38-
- https://www.atlanta.va.gov/Docs/HIPAA_Identifiers.pdf
- https://www.hhs.gov/hipaa/for-professionals/privacy/special-topics/de-identification/index.html
Abdullah Ömer Şeker 