HIPAA OCR: 725 Naruszeń, 275 mln Rekordów Pacjentów
Aktualizacja: 2026 rok
Biuro Praw Obywatelskich (OCR) przy HHS odnotowało 725 naruszeń danych w ochronie zdrowia w 2024 roku. Naruszenia te dotknęły 275 milionów rekordów pacjentów. Łączna liczba jest najwyższa odnotowaną kiedykolwiek w ciągu jednego roku.
Średni koszt naruszenia danych w ochronie zdrowia osiągnął 10,22 mln USD w 2025 roku według raportu IBM Cost of a Data Breach Report. Koszty obejmują kary administracyjne, opłaty prawne, powiadomienia pacjentów, usługi monitorowania zdolności kredytowej i utratę zaufania.
Lata 2025 i 2026 są kluczowe dla podmiotów objętych przepisami i ich partnerów biznesowych. Proponowana aktualizacja Reguły Bezpieczeństwa HIPAA z marca 2025 roku wprowadzi największy zestaw wymogów technicznych od 2003 roku.
Co Spowodowało 725 Naruszeń w 2024 Roku
Portal OCR grupuje naruszenia z 2024 roku według czterech typów.
Ataki hakerskie i incydenty IT spowodowały 74% zgłoszonych naruszeń. Czołowe typy to: ransomware, ataki na serwery i oszustwa e-mailowe. Atakujący celują teraz w całe sieci. Jeden atak może wyciągnąć dane z całego systemu EHR jednocześnie.
Nieuprawniony dostęp i ujawnienie spowodowały 18% naruszeń. Obejmują: słabe kontrole dostępu, nadużycia pracowników i błędne doręczenia.
Incydenty u podmiotów trzecich stanowiły 35% naruszeń w 2024 roku. Źródłem problemu był partner biznesowy, nie podmiot objęty przepisami. Sam Change Healthcare (spółka grupy UnitedHealth) ujawnił ponad 190 milionów rekordów pacjentów. To największe naruszenie danych zdrowotnych w historii USA.
Kradzież lub utrata przenośnych nośników spowodowały 8% naruszeń. Laptopy, pendrive'y i dokumenty papierowe skradzione lub zgubione bez szyfrowania.
18 Typów PHI Zgodnie z Metodą Safe Harbor
Metoda Safe Harbor HIPAA (45 CFR §164.514(b)) wymaga usunięcia wszystkich 18 typów danych pacjenta. Większość zespołów zna tę listę. Trudność polega na wykrywaniu na dużą skalę.
- Imiona i nazwiska — pacjentów, członków rodziny, pracodawców
- Dane geograficzne — każdy obszar mniejszy niż stan
- Daty — przyjęcia, wypisu, urodzenia, śmierci (rok może pozostać)
- Numery telefonów
- Numery faksów
- Adresy e-mail
- Numery ubezpieczenia społecznego
- Numery dokumentacji medycznej (format zależy od systemu EHR)
- Numery członkowskie planów zdrowotnych
- Numery kont bankowych
- Numery certyfikatów i licencji — medycznych, DEA, stanowych
- Identyfikatory pojazdów — numery VIN i rejestracyjne
- Identyfikatory urządzeń — numery seryjne i unikalne kody urządzeń
- Adresy URL
- Adresy IP
- Dane biometryczne — odciski palców i wzorce głosowe
- Zdjęcia całej twarzy i podobne wizerunki
- Wszelkie inne unikalne identyfikatory, kody lub cechy
Typ 18 jest najtrudniejszy do wykrycia. Każdy kod powiązujący rekord z konkretnym pacjentem musi zostać usunięty — nawet jeśli nie posiada ustalonego wzorca.
Aby uzyskać przewodnik krok po kroku dotyczący usuwania wszystkich 18 typów z dokumentacji klinicznej, zapoznaj się z artykułem o deidentyfikacji Safe Harbor HIPAA dla badań medycznych.
Pięć Nowych Wymogów w Proponowanej Aktualizacji Reguły Bezpieczeństwa
Proponowana aktualizacja Reguły Bezpieczeństwa HIPAA (marzec 2025) wprowadza pięć nowych obowiązków.
Coroczne audyty szyfrowania. Podmioty objęte przepisami muszą potwierdzić, że wszystkie przechowywane dane pacjentów są zaszyfrowane standardem AES-256 lub równoważnym. Zarządzanie kluczami musi spełniać pisemne standardy.
Pisemne procedury deidentyfikacji. Dane pacjentów używane w badaniach, trenowaniu AI lub analizach wymagają udokumentowanych procedur. Nota polityczna nie jest wystarczająca. Wymagana jest dokumentacja techniczna z dowodem walidacji.
Weryfikacje bezpieczeństwa partnerów biznesowych. Partnerzy biznesowi muszą przejść określone kontrole techniczne przed rozpoczęciem współpracy. Wcześniej umowy załatwiały tę kwestię bez szczegółów technicznych.
Uwierzytelnianie wieloskładnikowe (MFA). Wszyscy pracownicy mający dostęp do elektronicznych danych pacjentów muszą korzystać z MFA. Systemy starszej generacji nie są zwolnione z tego wymogu.
Testowanie reakcji na incydenty. Wymagane są coroczne ćwiczenia i testy techniczne. Zespoły muszą przechowywać dokumentację wyników.
Wnioski z Naruszenia Change Healthcare
Naruszenie Change Healthcare (luty 2024) pokazało, jak wygląda ryzyko systemowe. Change Healthcare obsługiwał 15 miliardów transakcji rocznie. Łączył świadczeniodawców, płatników i apteki jako izba rozliczeniowa.
Naruszenie rozpoczęło się od jednego konta dostępu zdalnego. Konto to nie miało włączonego MFA. Atakujący poruszali się po sieci przez dziewięć dni, a następnie uruchomili ransomware.
Wniosek jest jednoznaczny. Partner biznesowy z szerokim dostępem do transakcji zdrowotnych stanowi zagrożenie dla każdego z jego partnerów. Stary model nie był zbudowany z myślą o podmiotach obsługujących jedną trzecią wszystkich transakcji zdrowotnych w USA.
Wymogi MFA, segmentacji sieci i weryfikacji partnerów biznesowych w proponowanej regule — wszystkie wywodzą się z tego zdarzenia.
W przypadku usuwania PHI ze specyficznych formatów szpitalnych zapoznaj się z artykułem o wykrywaniu MRN HIPAA i wzorcach szpitalnych. Informacje o architekturze zero-knowledge, która eliminuje dane pacjentów z sieci, znajdziesz w artykule o zgodności HIPAA z chmurą PHI i projekcie zero-knowledge.