HIPAA OCR: 725 violazioni, 275 milioni di cartelle
Aggiornato per il 2026
L'Office for Civil Rights (OCR) di HHS ha registrato 725 violazioni di dati sanitari nel 2024. Queste violazioni hanno colpito 275 milioni di cartelle di pazienti — il totale più elevato mai registrato in un singolo anno.
Il costo medio per violazione nel settore sanitario ha raggiunto 10,22 milioni di dollari nel 2025, secondo il rapporto IBM Cost of a Data Breach. Il costo comprende sanzioni civili, spese legali, notifiche ai pazienti, monitoraggio del credito e danni reputazionali.
Il 2025 e il 2026 sono anni cruciali per gli enti coperti e i loro business associate. Una proposta di aggiornamento alla HIPAA Security Rule del marzo 2025 introdurrebbe il più ampio insieme di requisiti tecnici dal 2003.
Le cause delle 725 violazioni nel 2024
Il portale OCR raggruppa le violazioni del 2024 in quattro tipologie.
Attacchi informatici e incidenti IT hanno causato il 74% delle violazioni segnalate. Ransomware, attacchi ai server e frodi via email sono le tipologie più frequenti. Gli aggressori prendono di mira interi network. Un singolo attacco può estrarre cartelle da un intero sistema EHR.
Accesso non autorizzato e divulgazione hanno causato il 18% delle violazioni. Controlli di accesso insufficienti, abusi interni ed errori di destinatario rientrano tutti in questa categoria.
Incidenti a carico di terzi hanno rappresentato il 35% delle violazioni del 2024. La causa era in un business associate, non nell'ente coperto. Change Healthcare (una società del gruppo UnitedHealth) ha da sola esposto oltre 190 milioni di cartelle. È la più grande violazione di dati sanitari mai registrata negli USA.
Furto o perdita di supporti portatili ha causato l'8% delle violazioni. Laptop, chiavette USB e cartacei persi o sottratti senza cifratura.
I 18 tipi di PHI coperti dal metodo Safe Harbor
Il metodo Safe Harbor HIPAA (45 CFR §164.514(b)) richiede la rimozione di tutti i 18 tipi di dati del paziente. La maggior parte dei team conosce l'elenco. La difficoltà è il rilevamento su larga scala.
- Nomi — pazienti, familiari, datori di lavoro
- Dati geografici — qualsiasi area inferiore a un'intera regione
- Date — ricovero, dimissione, nascita, morte (l'anno può restare)
- Numeri di telefono
- Numeri di fax
- Indirizzi email
- Numeri di previdenza sociale
- Numeri di cartella clinica (il formato varia per sistema EHR)
- Numeri di iscrizione al piano sanitario
- Numeri di conto
- Numeri di certificato e licenza — medica, DEA, statale
- Identificativi di veicoli — VIN e numeri di targa
- Identificativi di dispositivi — numeri seriali e codici dispositivo unici
- URL web
- Indirizzi IP
- Dati biometrici — impronte digitali e impronte vocali
- Foto in primo piano e immagini simili
- Qualsiasi altro identificatore, codice o caratteristica unica
Il tipo 18 è il più difficile da intercettare. Qualsiasi codice che colleghi una cartella a un paziente specifico deve essere rimosso — anche senza uno schema predefinito.
Per una guida passo-passo alla rimozione di tutti i 18 tipi dalle cartelle cliniche, vedi HIPAA Safe Harbor de-identificazione per la ricerca sanitaria.
Cinque nuovi obblighi nella proposta di aggiornamento alla Security Rule
La proposta di aggiornamento alla HIPAA Security Rule (marzo 2025) introduce cinque obblighi.
Audit annuali sulla cifratura. Gli enti coperti devono verificare che tutti i dati dei pazienti a riposo utilizzino AES-256 o equivalente. La gestione delle chiavi deve rispettare standard documentati.
Procedure scritte di de-identificazione. Qualsiasi dato di pazienti usato in ricerca, addestramento AI o analisi richiede procedure scritte. Una nota di policy non è sufficiente. Sono richiesti documenti tecnici con prove di validazione.
Verifiche di sicurezza dei business associate. I business associate devono superare verifiche tecniche specifiche prima dell'avvio operativo. In precedenza, i contratti gestivano questo aspetto senza dettagli tecnici.
Autenticazione a più fattori (MFA). Tutto il personale con accesso a dati elettronici dei pazienti deve utilizzare l'MFA. I sistemi legacy non sono esenti.
Test di risposta agli incidenti. Sono richieste esercitazioni annuali e test tecnici. I team devono conservare la documentazione dei risultati.
Le lezioni di Change Healthcare
La violazione di Change Healthcare (febbraio 2024) ha mostrato cosa significa rischio sistemico. Change Healthcare gestiva 15 miliardi di transazioni l'anno. Fungeva da clearing house tra provider, pagatori e farmacie.
La violazione è partita da un singolo account di accesso remoto privo di MFA. Gli aggressori si sono mossi nella rete per nove giorni. Poi hanno lanciato il ransomware.
La lezione è chiara. Un business associate con ampio accesso alle transazioni sanitarie rappresenta un rischio per tutti i suoi partner. Il vecchio framework non era pensato per provider che gestiscono un terzo di tutte le transazioni sanitarie statunitensi.
I requisiti MFA, segmentazione di rete e verifica dei business associate nella proposta di regola traggono tutti origine da questo evento.
Per la rimozione di PHI da formati di cartelle ospedaliere specifici, vedi HIPAA MRN detection e pattern ospedalieri specifici. Per il design zero-knowledge che mantiene i dati dei pazienti fuori dalla rete, vedi HIPAA cloud PHI conforme e design zero-knowledge.