El centro médico incurrió en múltiples deficiencias de seguridad de datos que violaron la Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA), incluida la falta de salvaguardia de la información médica del paciente, no realizó evaluaciones de riesgos de la seguridad de los datos médicos en sus archivos y no llevó a cabo políticas y procedimientos. que monitoreó el acceso y la actividad a la información, dijo la OCR el martes en un comunicado de prensa.
Los detalles: Las supuestas fallas salieron a la luz después de que la policía se comunicara con el hospital en mayo de 2015 sobre un posible robo de datos de la información médica de un paciente en particular. Montefiore investigó y descubrió que, dos años antes, un empleado había robado la información médica de 12,517 pacientes y la había vendido a una red de robo de identidad, según la OCR. Luego, el hospital presentó un informe de incumplimiento ante el regulador.
Consideraciones de cumplimiento: Montefiore debe implementar un plan de acciones correctivas para proteger los datos de los pacientes, que incluya:
- Realizar una evaluación de riesgos precisa y completa de la información electrónica del paciente con respecto a la seguridad, confidencialidad e integridad;
- Redactar un plan de gestión de riesgos que mitigue los riesgos de seguridad identificados por la OCR;
- Actualizar el hardware, el software y los sistemas informáticos según sea necesario para proteger los datos y controlar el acceso a ellos;
- Actualizar políticas escritas para cumplir con las reglas de HIPAA; y
- Brindar capacitación a los empleados sobre las políticas y procedimientos de HIPAA.
La OCR supervisará el cumplimiento de Montefiore durante dos años, afirmó.
“Los ciberataques llevados a cabo por personas internas son una de las muchas formas que pueden provocar una violación de la seguridad, dejando a los pacientes vulnerables”, dijo la subsecretaria del HHS, Andrea Palm, en el comunicado. “… El HHS continuará recordando a los sistemas de atención médica su responsabilidad como proveedores, que es contar con políticas y procedimientos para mantener segura la información médica de los pacientes”.
Montefiore no pudo ser contactado de inmediato para hacer comentarios.
