MIoT’de karşılaşılabilecek sorunlar verinin elde edilmesi ve güvenliği üzerinde yoğunlaşmaktadır. Verinin elde edilmesinde karşılaşılabilecek zorluklar, ölçümlemeyi yapan algılayıcılar veya yapılan ölçümleri koordinatöre aktaran radyo dalgaları nedeniyle oluşabilecektir. Sağlık hizmetlerinde kullanılacak algılayıcıların hastanın vücudu üzerinde doğru şekilde konumlandırılması elzemdir. Örneğin nabız için bilekler, vücut sıcaklığı için koltukaltı, EEG için alın ve başın arka kısımları ve son olarak EKG için göğüs kafesi ve ayak bilekleri ölçüm yapılacak noktalardır. Algılayıcıların bu noktalara düzgün bir şekilde sabitlenmemesi, elde edilecek ölçümlerin tutarlılığını etkilemektedir. Buna ilaveten
algılayıcılar doğru şekilde yerleştirilse dahi elde edilen verilerin koordinatöre aktarılması ve buradan sunuculara aktarılması önem arz etmektedir. Elde edilen verilerin koordinatöre aktarılması için Bluetooth ve RFID etiketleri gibi düşük frekansta radyo dalgaları kullanan MIoT cihazları, kullandığı frekans tipinden dolayı ortam gürültülerinden etkilenebilir. Böyle bir durumun verileri bozacağı aşikârdır. Bu nedenle bu verilerin koordinatörlere aktarılmasına yönelik protokoller, ortam gürültüsünün radyo dalgaları üzerinde yaratacağı etki göz önüne alınarak geliştirilmelidir.
Sağlık ile ilgili veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na göre özel nitelikli kişisel veri sayılmaktadır. Bu verilerin elde edilmesinde ki bir diğer zorluk ise, kişisel veri sahibinin bu verinin işlenmesi hususunda rızasıdır. Özel nitelikli kişisel veriler, KVKK’nin 6. Maddesinde “Özel nitelikli kişisel verilerin işlenme şartları” kenar başlığı altında düzenlenmiştir.
Buna göre;
Özel nitelikli kişisel verilerin işlenme şartları
Madde 6
(1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
(3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın
işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
Yukarıdaki kanun maddesine göre kamu sağlığının korunması, koruyucu hekimlik, sağlık hizmetlerinin finansmanının planlanması vb. nedenler haricinde sağlık hizmetlerine ait verilerin işlenmesi için kişinin açık rızası aranmaktadır. Öncelikle açık rızadan neyin kastedildiği ise KVKK’nin tanımlar kenar başlıklı 3. Maddesinin 1. Fıkrasının a bendinde belirtilmiştir.
“Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder.”
Burada rıza hususunda bir takım zorluklar ile karşılaşılması muhtemeldir. Bilgilendirmenin tam ve eksiksiz yapılması büyük önem taşımaktadır. Tam ve eksiksiz bilgilendirme ise KVKK’nin 10. Maddesine göre; kişisel verinin hangi amaçla işleneceği, işlenen verinin kimlere ve hangi amaçla aktarılabileceği, verinin toplanmasının yöntemi ve hukuki sebebi gibi temel bilgileri barındırmalıdır. Buna aykırı olarak yapılan bilgilendirmeler nedeniyle ilgili sağlık verisinin işlenmesi kanuna aykırı şekilde gerçekleşmiş olacaktır. Bu durumda, MIoT cihazlarının kurulumundan önce hastanın bilgilendirilmesi ve bu bilgilendirme ışığında açık rızasının alınması gerekmektedir. Bu bilgilendirme, MIoT cihazlarının çeşitli ölçümler yapacağı, bu ölçümlemelerden elde edilen verilerin işleneceği ve bu verilerin ilgili sağlık personeli tarafından görülebileceği gibi açık ve net ifadeler içermelidir.
Hastanın açık rızası ile elde edilen verinin, güvenliğinin sağlanması da MIoT için önemli bir sorundur. Doğası itibariyle hassas veri niteliğine sahip olan sağlık ile ilgili özel nitelikli kişisel veriler, hukuka aykırı olarak girişlerin engellenmesini gerektirmektedir. KVKK’ye göre, buna ilişkin önlemlerin veri sorumlusu tarafından alınması kararlaştırılmıştır.
Buna göre;
Veri güvenliğine ilişkin yükümlülükler
Madde 12
(1) Veri sorumlusu;
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından
işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle
birlikte müştereken sorumludur.
(3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya
yaptırmak zorundadır.
(4) Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun
hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi
hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
Veri sorumlusu, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ile mükelleftir. Bunu sağlamak için her türlü teknik ve idari tedbirleri almak zorundadır. Yani veri sorumlusu, verilerin depolandığı veri merkezini fiziken ve teknik olarak korumak üzere gerekli aksiyonları almak ile yükümlüdür. Gerekli idari ve teknik tedbirleri alınmasına rağmen hukuka aykırı erişimin gerçekleşmesi durumunda veri sorumlusu, veri ilgilisine ve kurula bildirmekle yükümlüdür.