Das NewYork-Presbyterian Hospital und die Columbia University teilten sich ein Netzwerk und eine Firewall rund um Patientendaten. Im Jahr 2010 versuchte ein Arzt der Columbia, einen persönlich gehörenden Computerserver zu deaktivieren, der mit dieser Umgebung verbunden war.
Da die technischen Schutzmaßnahmen unzureichend waren, wurden elektronisch geschützte Gesundheitsinformationen von 6.800 Personen über Internet-Suchmaschinen zugänglich. Zu den Daten gehörten Medikamente und Testergebnisse, so das HIPAA Journal.
Das HHS OCR einigte sich 2014 mit beiden Organisationen: NYP zahlte 3,3 Mio. US-Dollar und Columbia 1,5 Mio. US-Dollar. Der Fall machte aus einer routinemäßigen Server-Außerbetriebnahme einen Rekord-HIPAA-Vergleich, weil keine der beiden Seiten das gemeinsam genutzte System ausreichend erfasst und risikogesteuert hatte.
4,8 Mio. US-Dollar an HIPAA-Vergleichen: 3,3 Mio. US-Dollar von NYP und 1,5 Mio. US-Dollar von Columbia, nachdem die ePHI von 6.800 Patienten offengelegt worden war.
Die verbundenen Einrichtungen teilten sich Infrastruktur, ohne dass Patientendaten technisch ausreichend getrennt waren.
Es wurde zugelassen, dass die Deaktivierung eines lokalen Servers die Offenlegung von Daten im weiteren klinischen Netzwerk beeinflusste.
Das OCR behauptete, beiden Organisationen hätten angemessene Risikoanalysen und Risikomanagementpläne gefehlt.
Die Auffindbarkeit über Suchmaschinen machte das Datenschutzversagen für Patienten und Aufsichtsbehörden sichtbar.
Gemeinsam genutzte Netzwerke brauchen eine gemeinsame Änderungskontrolle; eine lokale Server-Aktion kann die Daten einer anderen Einrichtung offenlegen, wenn Grenzen nur angenommen werden.
Beide Organisationen akzeptierten nach dem Vergleich von 2014 Verpflichtungen zu Korrekturmaßnahmen. Der Vorfall bleibt eine nützliche Warnung für Joint Ventures und akademische medizinische Zentren: Gemeinsam genutzte Infrastruktur braucht ausdrückliche Zuständigkeiten, ein Asset-Inventar und eine Änderungsprüfung.
DEN BELEGEN FOLGEN
Die Quellen
- Data Breach Results in $4.8 Million HIPAA Settlements HHS Office for Civil Rights · hhs.gov ·
- Hospitals hit with record $4.8M HIPAA fine Healthcare Dive · healthcaredive.com ·
- HIPAA Violation and Data Breach Results in 4.8M Fine The HIPAA Journal · hipaajournal.com ·