Сеть клиник заплатит за серию утечек более $2 млн

Американская организация Jackson Health System (JHS) получила финансовое взыскание от Управления по гражданским правам (OCR). Сеть учреждений здравоохранения наказана за многочисленные нарушения законов о защите конфиденциальной информации пациентов, пишет Health IT Security.

Руководитель OCR Роджер Северино (Roger Severino) отметил, что у Jackson Health System наблюдалась «беспорядочная» программа соответствия требованиям HIPAA – Закона о переносимости и подотчетности медицинского страхования, защищающего информацию пациентов.

Из-за уязвимости своих систем защиты информации в период 2013-2016 гг. JHS допустила серию утечек. О первом нарушении было объявлено в августе 2013 г. Семью месяцами ранее сотрудники клиники потеряли бумажные документы с персональными данными 756 пациентов. Внутреннее расследование показало, что за год до этого были потеряны три коробки с картами 680 больных. Однако, о дополнительных потерях JHS по каким-то причинам умалчивала до июня 2016 г.

Расследование Управления по гражданским правам в отношении Jackson Health System началось в июле 2015 г., когда регулятор получил сообщение о раскрытии защищенной медицинской информации одного из пациентов. Выяснилось, что находящийся в клинике репортер  сделал снимок операционной, в которой находился известный игрок в американский футбол, и передал изображение в социальную сеть.

Через некоторое время в JHS признались, что выявили внутри одной из клиник двух сотрудников, которые неоднократно просматривали электронную медицинскую карту пациента, не имея на это прав и действуя без служебной необходимости. В ходе проверки OCR выяснило, что в клинике отсутствует необходимая политика ограничения доступа к защищаемым законом электронным медицинским данным (ePHI).

Наконец, в феврале 2016 г. JHS сообщил регулятору еще об одном нарушении. Один из сотрудников на протяжении более пяти лет нелегитимно просматривал медицинские карты, копировал различную информацию и продавал ее заинтересованным лицам. Всего были скомпрометированы данные более 24 тыс. пациентов.

В октябре 2019 г. Jackson Health System выплатила OCR штраф в размере более $2,15 млн.

Jackson Health System управляет шестью крупными клиниками, а также сетью станций неотложной помощи в штате Флорида. Всего эта организация обслуживает более 650 тыс. пациентов в год.