نشت داده‌های حساس در Royal Cornwall Hospitals NHS Trust و پیامدهای روانی آن برای کارکنان

NHS breach helpline left staff carrying a 'significant emotional burden'

گزارش جدیدی نشان می‌دهد که نشت اطلاعات سلامت ۸۰۰۳ نفر از کارکنان و پیمانکاران NHS به دلیل خطای انسانی در مدیریت یک درخواست آزادی اطلاعات، منجر به فشارهای روانی شدید بر تیم پاسخگویی شده است. این نشت داده که به مدت ۳۳ ماه در دسترس بود، به دلیل عدم پاکسازی صحیح فایل‌های اکسل و استفاده از جداول محوری (Pivot Tables) رخ داد.

جزئیات فنی نشت داده

در فوریه ۲۰۲۳، تیم e-Rostering در Royal Cornwall Hospitals NHS Trust در پاسخ به یک درخواست آزادی اطلاعات (FOI)، یک فایل اکسل را در وب‌سایت عمومی منتشر کرد. این فایل حاوی داده‌های حساس مربوط به مرخصی‌های استعلاجی ۷۷۱۵ کارمند و ۲۸۸ پیمانکار بود.

خطای اصلی در عدم حذف داده‌های نهفته در جداول محوری (Pivot Tables) بود. مسئولان مربوطه از ابزار Document Inspector اکسل استفاده نکردند یا توصیه‌های آن را نادیده گرفتند. همچنین، برخلاف دستورالعمل‌های امنیتی، فایل به فرمت PDF یا CSV تبدیل نشد که می‌توانست از دسترسی به داده‌های کش‌شده جلوگیری کند. این فایل به مدت ۳۳ ماه در دسترس بود و حداقل ۳۴۰ بار مشاهده شد.

پیامدهای عملیاتی و فشارهای روانی بر کارکنان

پس از کشف نشت داده توسط یک شهروند در نوامبر ۲۰۲۵، تراست مذکور یک خط تلفن اضطراری برای پاسخگویی به افراد آسیب‌دیده راه‌اندازی کرد. تیم پاسخگویی که تنها با یک روز اطلاع قبلی تشکیل شده بود، بدون آموزش کافی و با فیلمنامه‌هایی که تنها ۳۰ دقیقه قبل از شروع کار آماده شده بودند، با تماس‌گیرندگان خشمگین و مضطرب مواجه شدند.

این پروژه که قرار بود ۲ هفته به طول انجامد، به دلیل حجم بالای تماس‌ها تا ۱۱ هفته (تا فوریه ۲۰۲۶) ادامه یافت. بسیاری از کارکنان این مرکز، خود نیز جزو قربانیان نشت داده بودند و در حالی که باید به دیگران پاسخ می‌دادند، متوجه شدند اطلاعات شخصی خودشان نیز فاش شده است.

نکته‌های کلیدی

• نشت اطلاعات ۸۰۰۳ نفر شامل سوابق بیماری و داده‌های حساس شخصی.
• دسترسی عمومی به داده‌ها به مدت ۳۳ ماه به دلیل عدم پاکسازی جداول محوری اکسل.
• عدم استفاده از ابزارهای امنیتی مانند Document Inspector و تبدیل نکردن فایل به فرمت‌های امن‌تر.
• تحمیل فشار روانی شدید بر کارکنان مرکز تماس به دلیل فقدان آموزش و فرآیندهای حمایتی.
• تداوم فعالیت مرکز تماس از ۲ هفته به ۱۱ هفته به دلیل حجم بالای مراجعات.

چه باید کرد

• الزامی کردن رمزگذاری فایل‌های اکسل در پاسخ به درخواست‌های FOI.
• تأیید نهایی پاسخ‌های حاوی فایل توسط یک افسر ارشد حاکمیت اطلاعات (Information Governance).
• تغییر فرمت فایل‌های ارسالی به CSV برای حذف قابلیت‌های جداول محوری و داده‌های کش‌شده.
• به‌روزرسانی رویه‌های عملیاتی رسمی برای گنجاندن الزامات تبدیل فرمت فایل‌ها.