Ignoranza, ragionevole vigilanza o negligenza intenzionale? Tutela del dato e indicatori PHI nel sistema sanitario americano.
L’HIPAA, approvato dal Congresso degli Stati Uniti, nel 1996, tutela il sistema sanitario federale americano.
Nel 2019 la Touchstone Medical Imaging, società di servizi diagnostici del Tennessee, ha pagato la cospicua somma di tre milioni di dollari, a seguito di un databreach ai propri sistemi, che ha esposto a rischio oltre trecentomila informazioni sanitarie protette!
Sono esattamente 18 gli identificatori PHI, e sono, per la precisione:
- nome
- data di nascita
- indirizzo
- numero di fax
- numero di previdenza
- numero patente
- numero di telefono
- fotografia
- url ed indirizzi web
- indirizzo mail
- beneficiario polizza
- indirizzo IP
- documentazione medica
- biometria
- identificatori di dispositivi
- numero di conto corrente
- targa veicolo
- qualsiasi informazione abilitante ad identificare il soggetto
Se alcuni di questi dati vengono rimossi dalle informazioni sanitarie protette, vengono considerati PHI non identificati, e non sono più soggetti all’HIPAA Privacy Rule.
Le informazioni sanitarie sono vendibili (“sellables”), dietro espresso consenso del titolare, ma solo dopo essere state de-identificate, cancellando ogni informazione che renda identificabile il paziente. Le informazioni fanno gola al dark web, in quanto non hanno data di scadenza, e sono ottimi strumenti per creare false identità o profili fake. Il 90% della popolazione statunitense dispone di una assicurazione sanitaria, tanto che dal 2015, son stati rubati più di 300 milioni di documenti, pari quasi ad un assistito su 10!
https://medium.com/@Raffa_Aghemo/google-amazon-e-conformit%C3%A0-sulle-informazioni-sanitarie-protette-d1f0648b9590?sk=0c3c27e1807408b36f8f675c2e104a61
L’HIPAA non si applica a tutte le informazioni sanitarie, ma solo a quelle gestite da entità coperte, sottoposte alla vigilanza e al controllo dell’HIPAA. Cartelle cliniche non criptate, hacking e riscatto, smarrimento o furto di dispositivi contenenti PHI, sono solo alcuni dei contesti che portano alla violazione dell’HIPAA. Tali violazioni, incidentali o intenzionali causano pesanti sanzioni:
- violazioni per ignoranza causano multa da 100 a 50.000 dollari
- violazioni nonostante una ragionevole vigilanza, multe da 1000 a 50.000 dollari
- violazioni per negligenza intenzionale, corrette entro 30 giorni, multa da 10.000 a 50.000 dollari
- violazioni per negligenza intenzionale, non corrette entro 30 giorni, multa diretta di 50.000 dollari
ma si può arrivare anche a sanzioni massime di 1.500.000 dollari e perfino al carcere!
Le violazioni HIPAA più frequenti sono:
- Misure di sicurezza improprie: milioni di dollari di multe sono state comminate a seguito di perdita di laptop o usb aziendali contenenti PHI, ma i ransomware l’hanno fatta da padrone come prima fonte di guadagno per i malintenzionati, tanto che il giovane CEO di una società medicale, A1care, ha confessato di aver rischiato di dover chiudere i battenti per un ransomware che minacciava di rendere pubblici tutti i dati sanitari dell’azienda! Prima regola che viene espressamente consigliata è la crittografia dei supporti, per meglio difendere il disco rigido da furti di dati.
- Uso e divulgazione: secondo l’HIPAA, un’entità coperta non può utilizzare o divulgare PHI, a meno che non sia per ragioni consentite dal Privacy Rule, o per espressa autorizzazione del titolare. Un esempio si è verificato quando un medico ha comunicato il risultato di un test HIV ad un paziente, rendendolo accessibile agli altri pazienti in sala d’attesa, o quando il New York Presbyterian Hospital ha consentito una ripresa video di pazienti, senza una loro espressa autorizzazione, incorrendo in una sanzione di 2,2 milioni di dollari!
- La regola minima necessaria: questa regola stabilisce che i dipendenti delle entità coperte possono solo accedere, utilizzare, trasmettere o gestire in quantità minima i dati PHI utili per finalizzare una data attività, a pena di sanzioni (esempio un modulo di assunzione non dovrebbe richiedere dati su stipendio o situazione finanziaria del soggetto; oppure ancora, un medico non può condividere con i colleghi, i dati di un paziente che quelli non hanno in cura!)
- Controlli di accesso: esso rappresenta il primo standard tecnico di sicurezza HIPAA, limitando il numero di persone autorizzate ad accedere alle informazioni protette, e relegandolo a ruoli chiave.
Lo stesso Rapporto Sophos evidenzia come il primo motivo di cyber-attacchi o di furti di dati è, come più volte ribadito, l’elemento umano, che, con la sua disattenzione o con la sua imperizia, agevola l’incursione di abili malintenzionati!
Riproduzione Riservata. Photo by sandro porfirio on Unsplash
by Avv. Raffaella Aghemo
