HIPAA OCR: 725 Paglabag, 275M Rekord
Na-update para sa 2026
Bilang 725 ang paglabag sa datos ng kalusugan na naitalang ng HHS Office for Civil Rights (OCR) noong 2024. Ang mga paglabag na iyon ay nakaapekto sa 275 milyong rekord ng pasyente. Ang kabuuang iyon ay ang pinakamataas na naitala sa isang taon.
Ang average na gastos bawat paglabag sa kalusugan ay umabot sa $10.22 milyon noong 2025. Inilalagay ng IBM's Cost of a Data Breach Report ang numero doon. Ang gastos ay sumasaklaw sa mga multa sa sibil, bayad sa abogado, mga abiso sa pasyente, pagsubaybay sa credit, at pagkawala ng tiwala.
Ang 2025 at 2026 ay mga pangunahing taon para sa mga covered entity at sa kanilang mga business associate. Ang iminungkahing update sa HIPAA Security Rule mula Marso 2025 ay magdadagdag ng pinakamalaking hanay ng mga teknikal na panuntunan mula noong 2003.
Ano ang Nagdulot ng 725 Paglabag noong 2024
Pinagsasama-sama ng portal ng OCR ang mga pagkabigo noong 2024 sa apat na uri.
Pag-hack at mga insidente sa IT ang nagdulot ng 74% ng mga iniulat na paglabag. Ransomware, pag-atake sa server, at pandaraya sa email ang mga nangungunang uri. Ang mga manlalaban ay nagta-target na ngayon ng mga buong network. Ang isang pag-atake ay maaaring kumuha ng mga rekord mula sa isang buong sistema ng EHR nang sabay-sabay.
Hindi awtorisadong access at pagbubunyag ang nagdulot ng 18% ng mga paglabag. Ang masamang mga kontrol sa access, maling paggamit ng insider, at mga error sa maling tatanggap ay lahat kasama dito.
Mga insidente ng third-party ang bumubuo ng 35% ng mga paglabag noong 2024. Nagsimula ang pagkabigo sa isang business associate — hindi sa covered entity. Ang Change Healthcare (isang yunit ng UnitedHealth Group) lamang ay nag-expose ng mahigit 190 milyong rekord ng pasyente. Iyon ang pinakamalaking paglabag sa datos ng kalusugan ng US sa kasaysayan.
Pagnanakaw o pagkawala ng portable media ang nagdulot ng 8% ng mga paglabag. Mga laptop, USB drive, at papel na rekord na nawala o ninakaw nang walang encryption.
Ang 18 Uri ng PHI sa ilalim ng Safe Harbor
Ang pamamaraan ng Safe Harbor ng HIPAA (45 CFR §164.514(b)) ay nangangailangan ng pag-aalis ng lahat ng 18 uri ng datos ng pasyente. Alam ng karamihan sa mga koponan ang listahan. Ang mahirap na bahagi ay ang pagtuklas sa malaking sukat.
- Mga pangalan — mga pasyente, miyembro ng pamilya, mga employer
- Datos ng heograpiya — anumang lugar na mas maliit kaysa isang estado
- Mga petsa — pagpasok, paglalabas, kapanganakan, kamatayan (maaaring manatili ang taon)
- Mga numero ng telepono
- Mga numero ng fax
- Mga email address
- Mga numero ng social security
- Mga numero ng rekord ng medikal (nag-iiba-iba ang format ayon sa sistema ng EHR)
- Mga numero ng miyembro ng health plan
- Mga numero ng account
- Mga numero ng sertipiko at lisensya — medikal, DEA, estado
- Mga ID ng sasakyan — VIN at mga numero ng plaka
- Mga ID ng device — mga serial number at natatanging code ng device
- Mga URL ng web
- Mga IP address
- Datos ng biometric — mga fingerprint at voice print
- Mga larawan ng buong mukha at katulad na imahe
- Anumang iba pang natatanging ID, code, o katangian
Ang Uri 18 ang pinakamahirap hulihin. Anumang code na nag-uugnay ng rekord sa isang partikular na pasyente ay dapat alisin — kahit walang nakatakdang pattern.
Para sa isang step-by-step na gabay sa pagsasalis ng lahat ng 18 uri mula sa mga klinikal na rekord, tingnan ang HIPAA Safe Harbor de-identification para sa pananaliksik sa kalusugan.
Limang Bagong Panuntunan sa Iminungkahing Update sa Seguridad
Ang iminungkahing update sa HIPAA Security Rule (Marso 2025) ay nagdadagdag ng limang obligasyon.
Taunang mga audit ng encryption. Dapat kumpirmahin ng mga covered entity na ang lahat ng datos ng pasyente na nakaimbak ay gumagamit ng AES-256 o katumbas. Ang pamamahala ng key ay dapat sumunod sa mga nakasulat na pamantayan.
Mga nakasulat na pamamaraan ng de-identification. Anumang datos ng pasyente na ginagamit sa pananaliksik, pagsasanay ng AI, o analytics ay nangangailangan ng mga nakasulat na hakbang. Ang isang tala sa patakaran ay hindi sapat. Ang mga teknikal na rekord na may patunay ng validation ay kinakailangan.
Mga tseke sa seguridad ng business associate. Ang mga business associate ay dapat pumasa sa mga tiyak na teknikal na tseke bago sila magsimula. Ang mga kontrata ay dati nang humahawak nito nang walang teknikal na detalye.
Multi-factor authentication (MFA). Ang lahat ng kawani na may access sa elektronikong datos ng pasyente ay dapat gumamit ng MFA. Ang mga legacy system ay hindi exempt.
Pagsubok ng pagtugon sa insidente. Kinakailangan ang taunang mga drill at teknikal na pagsubok. Dapat magtago ng mga rekord ng mga resulta ang mga koponan.
Mga Aral mula sa Change Healthcare
Ipinakita ng paglabag sa Change Healthcare (Pebrero 2024) kung ano ang hitsura ng sistematikong panganib. Humawak ang Change Healthcare ng 15 bilyong transaksyon bawat taon. Ikinonekta nito ang mga provider, nagbabayad, at parmasya bilang isang clearinghouse.
Nagsimula ang paglabag sa isang account ng remote access. Ang account na iyon ay walang MFA. Lumipat ang mga manlalaban sa network sa loob ng siyam na araw. Pagkatapos ay naglunsad sila ng ransomware.
Malinaw ang aral. Ang isang business associate na may malawak na access sa mga transaksyon sa kalusugan ay isang panganib sa bawat kasosyo na naabot nito. Ang lumang balangkas ay hindi ginawa para sa mga provider na humahawak ng isang katlo ng lahat ng transaksyon sa kalusugan ng US.
Ang MFA, segmentasyon ng network, at mga tseke ng business associate ng iminungkahing panuntunan ay lahat nagbabalik sa kaganapang ito.
Para sa pag-aalis ng PHI mula sa mga format ng rekord na partikular sa ospital, tingnan ang HIPAA MRN detection at mga pattern na partikular sa ospital. Para sa zero-knowledge na disenyo na nagpapanatili ng datos ng pasyente sa labas ng network, tingnan ang HIPAA-compliant cloud PHI at zero-knowledge na disenyo.