HIPAA OCR：725起数据泄露，2.75亿条记录
2026年最新更新
HHS公民权利办公室（OCR）统计显示，2024年共发生725起医疗数据泄露事件，累计影响2.75亿条患者记录，创单年最高纪录。
2025年，每次医疗数据泄露的平均损失达到1022万美元（据IBM《数据泄露成本报告》）。这一数字涵盖了民事罚款、法律费用、患者通知、信用监控以及信任损失带来的无形损失。
对于覆盖实体及其业务伙伴而言，2025年和2026年是关键时间节点——2025年3月提出的《HIPAA安全规则》修订草案将新增自2003年以来最大规模的一套技术合规要求。
2024年725起泄露事件的成因分析
OCR门户将2024年的违规事件归类为四种类型。
黑客攻击与IT事件占报告泄露总数的74%。勒索软件、服务器攻击和电子邮件欺诈是主要类型，攻击者现已将目标转向整个网络基础设施，一次攻击可从整个电子健康记录系统中提取所有数据。
未经授权的访问与披露占18%，包括访问控制不当、内部人员滥用权限和发送错误接收方等情形。
第三方事件占2024年泄露事件的35%，违规源头在于业务伙伴而非覆盖实体本身。仅Change Healthcare（联合健康集团旗下子公司）一起事件就暴露了逾1.9亿条患者记录，成为美国有史以来最大规模的医疗数据泄露。
便携式存储介质的丢失或盗窃占8%，涉及未加密的笔记本电脑、USB设备及纸质记录的遗失或被盗。
Safe Harbor方法要求删除的18类PHI
HIPAA Safe Harbor方法（45 CFR §164.514(b)）要求删除18类患者数据。大多数合规团队对这份清单并不陌生，但难点在于如何大规模、精准地检测这些数据。
- 姓名 — 患者、家庭成员、雇主
- 地理数据 — 州级以下的任何区域
- 日期 — 入院、出院、出生、死亡（年份可保留）
- 电话号码
- 传真号码
- 电子邮件地址
- 社会保障号码
- 病历号 — 格式因电子健康记录系统而异
- 医疗保险计划成员号
- 账户号码
- 证书和执照号码 — 医疗执照、DEA号、州级执照
- 车辆识别信息 — VIN码和车牌号
- 设备识别码 — 序列号和唯一设备代码
- 网页URL
- IP地址
- 生物特征数据 — 指纹和声纹
- 全脸照片及类似图像
- 任何其他可用于识别个人的唯一标识、代码或特征
第18类最难处理：任何能将记录与特定患者关联起来的代码都必须删除，即便没有固定的格式模式。
关于如何从临床记录中逐步清除全部18类数据的操作指南，请参阅HIPAA Safe Harbor医疗研究去识别化指南。
拟议安全规则更新的五项新要求
《HIPAA安全规则》修订草案（2025年3月）新增五项义务。
年度加密审计。 覆盖实体须确认所有静态患者数据均使用AES-256或同等标准加密，密钥管理须符合书面规范。
去识别化书面程序。 用于科学研究、AI训练或数据分析的患者数据，须建立书面操作流程，单纯的政策说明不够，须有包含验证证据的技术记录。
业务伙伴安全审查。 业务伙伴在上线前须通过具体的技术安全检查，仅靠合同条款而无技术细节的方式将不再被接受。
多因素身份验证（MFA）。 所有能访问电子患者数据的员工均须启用MFA，遗留系统不得豁免。
应急响应演练。 须每年开展演练和技术测试，并保存演练结果记录。
Change Healthcare事件的教训
Change Healthcare泄露事件（2024年2月）揭示了系统性风险的真实面貌。Change Healthcare每年处理约150亿笔医疗交易，作为清算机构连接着医疗服务提供者、支付方和药房。
此次泄露源于一个缺乏MFA保护的远程访问账户。攻击者在网络内部潜伏了九天，随后发动勒索软件攻击。
教训是明确的：一个对医疗交易拥有广泛访问权限的业务伙伴，对其所有合作方都构成风险。现有合规框架并非为处理全美三分之一医疗交易的实体而设计。
拟议规则中的MFA要求、网络分段和业务伙伴安全审查，均可追溯至这一事件。
关于从医院专用记录格式中删除PHI，请参阅HIPAA MRN检测与医院专用格式指南。关于确保患者数据不上网络的零知识架构设计，请参阅HIPAA合规云PHI与零知识设计。