Compliance · · 3 min read
Manage My Health-এর সাইবার ঘটনার পর গোপনীয়তা-সংক্রান্ত নোটিশ জারি
ডিসেম্বর ২০২৫-এর স্বাস্থ্য-তথ্য ফাঁসের পর সুরক্ষা জোরদার করতে Manage My Health এবং Health NZ-কে নির্দেশ দিয়েছেন নিউজিল্যান্ডের গোপনীয়তা কমিশনার।
Scoop-এর প্রতিবেদন অনুযায়ী, ২০২৫ সালের ডিসেম্বরের শেষদিকে ঘটে যাওয়া একটি সাইবার ঘটনার সঙ্গে যুক্ত নিরাপত্তা ব্যর্থতার কারণে নিউজিল্যান্ডের গোপনীয়তা কমিশনার মাইকেল ওয়েবস্টার Manage My Health এবং Health NZ-কে আনুষ্ঠানিক কমপ্লায়েন্স নোটিশ জারি করেছেন।
কমিশনারের তদন্তের প্রথম ধাপ, যা ২০২৬ সালের মে মাসে প্রকাশিত হয়, তার পরিপ্রেক্ষিতে এই নোটিশ জারি করা হয়েছে। ওই প্রতিবেদনে বলা হয়, ঘটনার সময় প্রতিষ্ঠান দুটি স্বাস্থ্য তথ্য গোপনীয়তা কোডের ৫ নম্বর বিধির আওতায় প্রয়োজনীয় নিরাপত্তা-সংক্রান্ত দায়বদ্ধতা পূরণ করেনি।
স্বাস্থ্য-তথ্য সুরক্ষিত রাখতে প্রতিটি প্রতিষ্ঠানকে কী কী পরিবর্তন করতে হবে, সেই নির্দেশনা আদেশগুলোতে দেওয়া হয়েছে। Manage My Health-কে তার নোটিশে থাকা প্রতিটি শর্ত 31 August 2027-এর মধ্যে পূরণ করতে হবে, যদিও কিছু কাজ ইতিমধ্যেই শেষ হয়েছে। গোপনীয়তা কমিশনারের সরবরাহ করা নথিতে Health NZ-এর জন্য পৃথক কোনো সমাপ্তির তারিখ দেওয়া হয়নি।
উদ্বেগের সাতটি ক্ষেত্র
নোটিশ প্রস্তুতের সময় গোপনীয়তা কমিশনার সাতটি ক্ষেত্র চিহ্নিত করেন, যেখানে নিরাপত্তা ব্যবস্থা কার্যকর ছিল না। ঘটনার পর Manage My Health ওই ক্ষেত্রগুলোর তিনটিতে উন্নতি করেছে। চিহ্নিত ক্ষেত্রগুলোর একটি হলো মাল্টি-ফ্যাক্টর অথেনটিকেশন, বা MFA-এর কার্যক্রম—কোনো ব্যক্তি সাইন ইন করার সময় যা অতিরিক্ত যাচাইয়ের একটি ধাপ যোগ করে।
তদন্তে পাওয়া ফলাফলকে নির্দিষ্ট দায়বদ্ধতায় রূপ দেওয়াই এই নোটিশগুলোর উদ্দেশ্য। এগুলো গোপনীয়তা কমিশনারের দপ্তরের ওয়েবসাইটে সাইবার ঘটনা নিয়ে প্রকাশিত Phase 1 Report-এর পাশাপাশি প্রকাশ করা হয়েছে।
প্রথম নোটিশটি Manage My Health-এর ক্ষেত্রে প্রযোজ্য। স্বাস্থ্য তথ্য গোপনীয়তা কোডের 5(1)(a) বিধি পূরণ করতে প্রতিষ্ঠানটিকে গোপনীয়তা ও নিরাপত্তা-সংক্রান্ত উন্নতিগুলো করতে বা সম্পন্ন করতে হবে। এই বিধিতে স্বাস্থ্য সংস্থাগুলোকে এমন সুরক্ষা ব্যবস্থা বজায় রাখতে বলা হয়েছে, যা পরিস্থিতি অনুযায়ী যুক্তিসঙ্গত এবং ব্যক্তিগত তথ্য হারিয়ে যাওয়া, অপব্যবহার বা অনুমতি ছাড়া প্রকাশ ঠেকানোর জন্য তৈরি।
Manage My Health-কে ঠিক কী কী পদক্ষেপ নিতে হবে, তা তার কমপ্লায়েন্স নোটিশে তালিকাভুক্ত করা হয়েছে। এই আদেশে পরিষেবাটির কাছে থাকা তথ্যের সুরক্ষা এবং কমিশনারের তদন্তে চিহ্নিত দুর্বলতাগুলো সংশোধনের ওপর গুরুত্ব দেওয়া হয়েছে।
Health NZ-এর দায়িত্ব
দ্বিতীয় নোটিশটি Health NZ-এর উদ্দেশে জারি করা হয়েছে এবং এটি কোডের 5(1)(b) বিধি নিয়ে। কোনো স্বাস্থ্য সংস্থা বাইরের কোনো পরিষেবা-দাতাকে স্বাস্থ্য তথ্য দিলে এই বিধি প্রযোজ্য হয়।
এই বিধি অনুযায়ী, কোনো পরিষেবা-দাতাকে তথ্য দেওয়ার আগে ওই তথ্য যাতে অনুমোদন ছাড়া ব্যবহার বা প্রকাশ না করা হয়, তা ঠেকাতে সংস্থাটিকে তার ক্ষমতার মধ্যে যুক্তিসঙ্গতভাবে সম্ভব প্রতিটি পদক্ষেপ নিতে হবে। এই দায়বদ্ধতা পূরণে Health NZ-কে কী কী পরিবর্তন করতে হবে, তার উল্লেখ রয়েছে নোটিশে।
দুটি পৃথক নোটিশ দুই প্রতিষ্ঠানের ভিন্ন দায়িত্বের প্রতিফলন। ব্যক্তিগত তথ্য ধারণ ও ব্যবস্থাপনা করা সংস্থার জন্য প্রয়োজনীয় সুরক্ষা ব্যবস্থা নিয়ে Manage My Health-এর আদেশ, আর কোনো পরিষেবা-দাতার সঙ্গে স্বাস্থ্য তথ্য ভাগ করার আগে যে সুরক্ষা ব্যবস্থা থাকতে হবে, তা নিয়ে Health NZ-এর আদেশ।
রোগীদের ওপর প্রভাব
ওয়েবস্টার বলেন, সংবেদনশীল স্বাস্থ্য তথ্য সংগ্রহ, সংরক্ষণ, ব্যবহার বা ধারণ করে—এমন যেকোনো প্রতিষ্ঠানের কাছ থেকেই মানুষের শক্তিশালী গোপনীয়তা ও তথ্য-সুরক্ষা ব্যবস্থা প্রত্যাশা করতে পারা উচিত। তিনি বলেন, এই লঙ্ঘনের কারণে রোগী, পরিবার ও সম্প্রদায় ক্ষতিগ্রস্ত হয়েছে; বিশেষ উদ্বেগ রয়েছে নর্থল্যান্ডের মাওরিদের নিয়ে।
কমিশনার বলেন, যেসব রোগীর তথ্য চুরি হয়েছে, তাদের 90 শতাংশ নর্থল্যান্ডে বাস করেন। ওই রোগীদের অবস্থান এই ঘটনার সঙ্গে একটি গুরুত্বপূর্ণ সম্প্রদায়গত মাত্রা যুক্ত করেছে, যা তদন্তে চিহ্নিত কারিগরি নিরাপত্তা ব্যর্থতার বাইরেও বিস্তৃত।
উভয় প্রতিষ্ঠানই দুর্বলতাগুলো মোকাবিলা করছে এবং রোগীদের তথ্য নিরাপদে পরিচালনা করছে—এ বিষয়ে নিশ্চয়তা দেওয়াই কমপ্লায়েন্স নোটিশগুলোর উদ্দেশ্য। শুধু স্বেচ্ছামূলক পদক্ষেপের ওপর নির্ভর না করে উন্নতি নিশ্চিত করার জন্য গোপনীয়তা কমিশনারকে এগুলো একটি আনুষ্ঠানিক উপায়ও দেয়।
Scoop জানিয়েছে, নোটিশ এবং Phase 1 Report গোপনীয়তা কমিশনারের দপ্তরের মাধ্যমে পাওয়া যাচ্ছে। নথিগুলোতে Manage My Health এবং Health NZ-এর জন্য বিস্তারিত শর্ত দেওয়া হয়েছে এবং আদেশগুলোর ভিত্তি হিসেবে থাকা নিয়ন্ত্রক বিধিগুলো ব্যাখ্যা করা হয়েছে।