HIPAA OCR: 725 lekken, 275 miljoen dossiers
Bijgewerkt voor 2026
HHS Office for Civil Rights (OCR) telde in 2024 725 zorgdatalekken met 275 miljoen patiëntdossiers — het hoogste ooit geregistreerde totaal in één jaar.
De gemiddelde kosten per zorglek bereikten in 2025 $10,22 miljoen (IBM Cost of a Data Breach Report). De kosten omvatten civiele boetes, juridische kosten, patiëntkennisgevingen, kredietbewaking en reputatieschade.
2025 en 2026 zijn sleuteljaren voor gedekte entiteiten en hun zakenpartners. Een voorgestelde HIPAA Security Rule-update van maart 2025 zou de grootste set technische regels toevoegen sinds 2003.
Wat 725 lekken in 2024 veroorzaakte
Het OCR-portal groepeert de fouten van 2024 in vier typen.
Hacken en IT-incidenten veroorzaakten 74% van de gemelde lekken. Ransomware, serveraanvallen en e-mailfraude zijn de voornaamste typen. Aanvallers richten zich nu op hele netwerken. Eén aanval kan gegevens uit een volledig EHR-systeem halen.
Ongeautoriseerde toegang en openbaarmaking veroorzaakten 18% van de lekken: slechte toegangscontroles, insider-misbruik en fouten met onjuiste ontvanger.
Incidenten bij derden maakten 35% van de 2024-lekken uit. Change Healthcare (een UnitedHealth Group-eenheid) stelde alleen al meer dan 190 miljoen patiëntdossiers bloot — het grootste Amerikaanse zorgdatalek ooit.
Diefstal of verlies van draagbare media veroorzaakte 8% van de lekken: laptops, USB-drives en papieren dossiers zonder versleuteling verloren of gestolen.
De 18 PHI-typen onder Safe Harbor
HIPAA's Safe Harbor-methode (45 CFR §164.514(b)) vereist verwijdering van alle 18 typen patiëntgegevens. De meeste teams kennen de lijst. Het moeilijke deel is detectie op schaal.
- Namen — patiënten, familieleden, werkgevers
- Geografische gegevens — elk gebied kleiner dan een staat
- Datums — opname, ontslag, geboorte, overlijden (jaar mag blijven)
- Telefoonnummers
- Faxnummers
- E-mailadressen
- Burgerservicenummers
- Medische dossiernummers (formaat varieert per EHR-systeem)
- Zorgverzekeringslid-nummers
- Rekeningnummers
- Certificaat- en licentienummers — medisch, DEA, staat
- Voertuig-ID's — VIN's en kentekens
- Apparaat-ID's — serienummers en unieke apparaatcodes
- Web-URL's
- IP-adressen
- Biometrische gegevens — vingerafdrukken en stemafdrukken
- Volledige-gezichtsfoto's en vergelijkbare afbeeldingen
- Andere unieke ID's, codes of kenmerken
Type 18 is het moeilijkst te detecteren. Elke code die een dossier aan een specifieke patiënt koppelt, moet worden verwijderd — ook zonder een vast patroon.
Voor een stapsgewijze gids over het verwijderen van alle 18 typen uit klinische dossiers, zie HIPAA Safe Harbor de-identificatie voor zorgonderzoek.
Vijf nieuwe regels in de voorgestelde beveiligingsupdate
De voorgestelde HIPAA Security Rule-update (maart 2025) voegt vijf plichten toe.
Jaarlijkse versleutelingsaudits. Gedekte entiteiten moeten bevestigen dat alle patiëntgegevens in rust AES-256 of gelijkwaardig gebruiken.
Schriftelijke de-identificatieprocedures. Patiëntgegevens gebruikt voor onderzoek, AI-training of analyses vereisen schriftelijke stappen met technische bewijsdocumenten.
Beveiligingscontroles voor zakenpartners. Zakenpartners moeten specifieke technische controles doorstaan vóór activering.
Multifactorauthenticatie (MFA). Alle medewerkers met toegang tot elektronische patiëntgegevens moeten MFA gebruiken. Verouderde systemen zijn niet vrijgesteld.
Testen van incidentrespons. Jaarlijkse oefeningen en technische tests zijn vereist. Teams moeten resultaten documenteren.
Lessen van Change Healthcare
Het Change Healthcare-lek (februari 2024) toonde wat systemisch risico inhoudt. Change Healthcare verwerkte 15 miljard transacties per jaar en verbond zorgaanbieders, verzekeraars en apotheken als clearinghouse.
Het lek begon met één account voor externe toegang zonder MFA. Aanvallers bewogen zich negen dagen door het netwerk vóór zij ransomware lanceerden.
De les is duidelijk: een zakenpartner met brede toegang tot gezondheidstransacties vormt een risico voor elke partner die het bedient.
Voor PHI-verwijdering uit ziekenhuisspecifieke dossierformaten, zie HIPAA MRN-detectie. Voor zero-knowledge-ontwerp dat patiëntgegevens van het netwerk houdt, zie HIPAA-conforme cloud PHI.