Amerika HIPAA (Health Insurance Portability and Accountability Act) Office for Civil Rights (OCR) je v letu 2024 fokusiral svojo aktivnost na anonimizacijo zdravstvenih podatkov. OCR je издal 18 kazni — povprečna kazen: 1,2 milijona dolarjev.
HIPAA in PHI
HIPAA zahteva, da morajo zdravstveni obdelovalci (healthcare entities) in njeni obdelovalci (Business Associates) zaščititi Protected Health Information (PHI). PHI vsebuje:
- Identificirajočih podatkov: Imena, datumi rojstva, naslovi, telefonske številke
- Zdravstvenih podatkov: Diagnoze, zdravila, rezultati testov
- Finančnih podatkov: Računi, plačila
HIPAA zahteva, da PHI mora biti enkriptiran ali anonimiziran, kadar ni potrebna.
Primer: Anthem Inc. (2023)
Anthem Inc. je največji zdravstveni zavarovalec v ZDA. V letu 2023 je bilo objavljeno kršenje podatkov, ki je vplivalo na 37 milijonov oseb. Anthem je shranil osebne podatke in zdravstvene podatke brez šifriranja.
OCR je odločil, da je Anthem kršil:
- HIPAA Security Rule (Pravilo o varnosti)
- HIPAA Breach Notification Rule (Pravilo o obvestilanju o kršenju)
Kazni: $115 milijonov.
Anonimizacija in HIPAA
HIPAA zahteva, da se PHI anonimizira ali enkriptira. Standardi za anonimizacijo so strogi:
- Odstranitev identifikatorjev: Imena, naslovi, telefonske številke
- Uklanjanje datumov: Datumi morajo biti posplošeni
- Uklanjanje zgodovine: Zgodovina zdravljenja mora biti posplošena
- Uklanjanje geografskih podatkov: Lokacija mora biti posplošena
HIPAA ima seznam 18 identifikatorjev, ki se morajo odstraniti:
- Imena
- Geografski elementi manjši od države
- Datumi (razen leta)
- Telefenske številke
- Faksne številke
- E-poštni naslovi
- Spletne strani
- Številke IP naslov
- Številke socialnega varovanja
- Medicinski rokovnik ali številka zgodovine bolnika
- Finance račun števila
- Številke kreditne kartice
- Licenčne številke avtomobila
- VIN ali serijska števila
- Fotografi obraza
- Biometrični podatki
- Zgodovine varostanovanja
- Vse druge spremenljivke, ki so nedvoumno identifikacijske