শিশুদের কাগজের স্বাস্থ্য-নথি নিয়ে CHI নিরাপত্তা বিধি লঙ্ঘন করেছে: DPC

ডেটা প্রোটেকশন কমিশন (DPC) সিদ্ধান্তে পৌঁছেছে যে টালাহট ইউনিভার্সিটি হাসপাতালের চিলড্রেনস হেলথ আয়ারল্যান্ডের একটি কেন্দ্র শিশুদের স্বাস্থ্য-নথির নিরাপত্তা ও গোপনীয়তা নিয়ন্ত্রণকারী ডেটা-সুরক্ষা বিধি লঙ্ঘন করেছে।

সিদ্ধান্তটি চিলড্রেনস হেলথ আয়ারল্যান্ডের সামগ্রিক কার্যক্রম নিয়ে নয়; বরং CHI কেন্দ্রটিতে কাগজের নথি কীভাবে সংরক্ষণ ও সুরক্ষিত করা হয়েছিল, তা নিয়ে। DPC-র প্রকাশিত বিবরণ অনুযায়ী, তদন্তটি টালাহট ইউনিভার্সিটি হাসপাতালের একটি নির্দিষ্ট স্থান এবং নন-কনসালট্যান্ট হাসপাতাল চিকিৎসকদের ব্যবহৃত দপ্তরে রাখা নথির ওপর কেন্দ্রীভূত ছিল।

DPC-র চূড়ান্ত সিদ্ধান্তটি 10 September 2026 তারিখে টালাহটের CHI-কে জানানো হয়। কমিশনের কাছে June এবং July 2025-এ সুরক্ষিত প্রকাশ করা অভিযোগের পর শুরু হওয়া তদন্তের ভিত্তিতে DPC 1 October 2026 তারিখে সিদ্ধান্তটি প্রকাশ করে।

সুরক্ষিত প্রকাশের পর পরিদর্শন

DPC 16 July 2025 তারিখে CHI কেন্দ্রটিতে পূর্বঘোষণা ছাড়া একটি পরিদর্শন চালায়। শিশুদের ব্যক্তিগত তথ্য কীভাবে সংরক্ষণ, ধরে রাখা ও নিয়ন্ত্রণ করা হচ্ছিল, তা নিয়ে সুরক্ষিত প্রকাশ করা অভিযোগে উদ্বেগ ওঠার পর এই পরিদর্শন হয়।

সুরক্ষিত প্রকাশের প্রক্রিয়ার সময় কমিশন আরও জানতে পারে যে শিশুদের সম্পর্কে সংবেদনশীল তথ্যসমৃদ্ধ নথি একটি গোপনীয়-বর্জ্য ফেলার বিন থেকে বাইরে বেরিয়ে পড়েছিল। পরে নথিগুলো সরিয়ে নেওয়া হয়। বিনটি CHI কেন্দ্রের নন-কনসালট্যান্ট হাসপাতাল চিকিৎসকদের ব্যবহৃত দপ্তরের প্রবেশপথের পাশে রাখা ছিল।

নথিগুলোতে শিশুদের সম্পর্কিত সংবেদনশীল তথ্য এবং বিশেষ-শ্রেণির তথ্য—উভয়ই ছিল বলে বর্ণনা করা হয়। নথিগুলোর অবস্থান ও সরিয়ে নেওয়ার ঘটনা, গোপনীয় নথি যথাযথভাবে ব্যবস্থাপনা করা হচ্ছিল কি না এবং অননুমোদিত প্রবেশ বা প্রকাশ থেকে সেগুলো সুরক্ষিত ছিল কি না—এই বৃহত্তর উদ্বেগের অংশ হয়ে ওঠে।

পরিদর্শন এবং অভিযোগের মাধ্যমে পাওয়া তথ্য নথি ব্যবস্থাপনার দুটি পরস্পর-সম্পর্কিত দিক নিয়ে উদ্বেগ সামনে আনে। এর একটি ছিল চিকিৎসকদের দপ্তরে রাখা কাগজের ফাইলগুলোর নিরাপত্তা। অন্যটি ছিল গোপনীয়ভাবে ফেলে দেওয়ার জন্য নির্ধারিত নথির ব্যবস্থাপনা। সব মিলিয়ে, এসব বিষয় DPC-কে কেন্দ্রে শিশুদের স্বাস্থ্য-তথ্য নিয়ন্ত্রণে ব্যবহৃত ব্যবস্থাগুলো পরীক্ষা করতে বাধ্য করে।

কমিশন 11 August 2025 তারিখে আনুষ্ঠানিক তদন্ত শুরু করে, পূর্বঘোষণা ছাড়া পরিদর্শনের কয়েক সপ্তাহ পর। পরবর্তী তদন্তের ফলেই টালাহটের CHI-কে দেওয়া বর্তমান চূড়ান্ত সিদ্ধান্তটি তৈরি হয়।

GDPR-এর অধীনে অনুসন্ধান

DPC দেখতে পায় যে টালাহটের CHI General Data Protection Regulation-এর Article 5(1)(f)-এ থাকা নিরাপত্তা ও গোপনীয়তার নীতি লঙ্ঘন করেছে। সিদ্ধান্তে ডেটা-নিরাপত্তার সঙ্গে সম্পর্কিত GDPR-এর বিধান হিসেবে চিহ্নিত Article 32(1)-ও লঙ্ঘিত হয়েছে বলে কমিশন দেখতে পায়।

এই অনুসন্ধানগুলো কমিশনের পরীক্ষা করা নির্দিষ্ট CHI কেন্দ্রে শিশুদের স্বাস্থ্য-নথির দৈহিক নিরাপত্তা ও সুরক্ষার সঙ্গে সম্পর্কিত। উদ্বেগের বিষয়গুলোর মধ্যে ছিল নন-কনসালট্যান্ট চিকিৎসকদের দপ্তরে কাগজের নথি ক্রমাগত সংরক্ষণ ও ধরে রাখা এবং এসব নথি ব্যবস্থাপনা ও নিয়ন্ত্রণে ব্যবহৃত ব্যবস্থা।

বিষয়টি গুরুত্বপূর্ণ, কারণ এতে শিশুদের ব্যক্তিগত তথ্য ও স্বাস্থ্য-নথি জড়িত ছিল। DPC-র বিবরণে বলা হয়েছে, নথিগুলোতে সংবেদনশীল ও বিশেষ-শ্রেণির তথ্য ছিল, ফলে নথি ব্যবস্থাপনা তদন্তের একটি বিশেষ কেন্দ্রে পরিণত হয়। দপ্তরের দরজার পাশে উপচে পড়া একটি গোপনীয়-বর্জ্য ফেলার বিন রাখা ছিল—তথ্য কীভাবে সুরক্ষিত করা হচ্ছিল, নিয়ন্ত্রকের মূল্যায়নে এটিও প্রাসঙ্গিক ছিল।

সুতরাং, সিদ্ধান্তটি যে পরিবেশে নথি রাখা হয়েছিল, তার সঙ্গে গোপনীয়তার বৃহত্তর বাধ্যবাধকতার যোগসূত্র স্থাপন করে। এটি শুধু পৃথক ফাইলের বিষয়বস্তু নিয়ে নয়। নথি সংরক্ষিত থাকা অবস্থায় এবং সেগুলো ফেলে দেওয়ার সময় কাগজের নথিকে ঘিরে থাকা পদ্ধতি ও নিয়ন্ত্রণব্যবস্থাও এতে অন্তর্ভুক্ত।

প্রকাশিত বিবরণে দুটি GDPR লঙ্ঘন চিহ্নিত করা হয়েছে এবং যে ঘটনাগুলো তদন্তের সূত্রপাত করেছিল, তা তুলে ধরা হয়েছে। এখানে দেওয়া তথ্য অনুযায়ী, কেন্দ্রটিতে নিষেধাজ্ঞা, সংশোধনমূলক ব্যবস্থা বা পরিবর্তনের সময়সীমা সম্পর্কে আর কোনো বিস্তারিত এতে নেই। নিশ্চিত অনুসন্ধান হলো, শিশুদের নথির ক্ষেত্রে DPC যে নিরাপত্তা ও গোপনীয়তার মানদণ্ড উল্লেখ করেছে, টালাহটের CHI কেন্দ্র তা পূরণ করতে ব্যর্থ হয়েছে।

নিয়ন্ত্রকের কাছে অভিযোগ দিয়ে মামলাটির শুরু, এরপর পূর্বঘোষণা ছাড়া পরিদর্শন ও আনুষ্ঠানিক তদন্ত, এবং September 2026-এ CHI-কে চূড়ান্ত সিদ্ধান্ত জানানোর মধ্য দিয়ে এর সমাপ্তি হয়। সিদ্ধান্তটি প্রকাশের মাধ্যমে DPC-র এই উপসংহার নথিবদ্ধ হয়েছে যে কেন্দ্রে কাগজের স্বাস্থ্য-তথ্য ব্যবস্থাপনা ও নিয়ন্ত্রণ সিদ্ধান্তে উল্লিখিত GDPR-এর বিধানগুলোর সঙ্গে সঙ্গতিপূর্ণ ছিল না।