Утечка медицинских данных

Эти данные обладают высокой степенью чувствительности и значительной ценностью: их утечка может привести к физическому и психологическому ущербу пациентам, финансовым потерям, а также негативно сказаться на социальной стабильности и национальной безопасности^[1]. При этом разработка и внедрение медицинских систем искусственного интеллекта требует больших объёмов медицинских данных для обучения алгоритмов, и чем больше и разнообразнее массив исходных сведений, тем выше точность анализа и прогнозирования. Однако использование технологий больших данных — сбор, хранение в облаках, обработка и обмен информацией — увеличивает риск возникновения утечек^[2][3]. В США число подобных инцидентов неуклонно растёт: к концу 2017 года было скомпрометировано 176 миллионов записей. Зафиксированы сотни утечек, в том числе более 245 случаев с объёмом свыше 10 000 записей, 68 инцидентов — с данными 100 000 и более лиц, 25 — с затронутыми данными более полумиллиона пациентов, и 10 — с информацией о более чем 1 миллионе человек^[1].

В феврале 2015 года в репортаже NPR утверждалось, что сети организованной преступности активно продают медицинские данные на чёрном рынке^[2]. В том же году сотрудник компании Beazley оценил рыночную стоимость одной медицинской записи в 40–50 долларов США на чёрном рынке^[3].

Основной причиной утечек медицинских данных являются преступные действия^[4].

Возможные способы утечки медицинских данных включают кражу, утрату данных, хакерские атаки и несанкционированный доступ к учетным записям^[5]. В США наибольший ущерб наносится через утечки в сетевых информационных системах, в которых сосредоточены значительные массивы пациентских данных^[1]. Существенную роль играют также утечки, связанные с подрядчиками и обслуживающими организациями в сфере здравоохранения, получающими постоянный доступ к данным пациентов^[6].

• В мае 2024 года компания «MediSecure» в Австралии стала жертвой кибератаки, связанной с вымогательским ПО^[7][8].
• В мае 2021 года «Исполнительная служба здравоохранения» в Ирландии пострадала от кибератаки с вымогательским ПО, в ходе которой было раскрыто множество записей о приёмах пациентов и результатов анализов, что подтвердил обзор Financial Times^[9].
• В октябре 2018 года «Центры услуг Medicare и Medicaid» в США сообщили, что в результате утечки через портал «ACA Agent and Broker Portal» были затронуты порядка 75 000 записей^[10].
• В 2018 году в журнале «Social Indicators Research» опубликовано исследование, в результате которого были подтверждены случаи утечки данных 173 398 820 (более 173 млн) человек в США за период с октября 2008 года по сентябрь 2017 года^[11].
• В 2015 году компания «Anthem Inc». потеряла данные 37 миллионов человек в результате утечки.
• В 2014 году было похищено 4,5 миллиона записей пользователей «Complete Health Systems».
• В 2013–2014 годах у «Департамент здравоохранения и социальных служб штата Монтана» были похищены данные 1 миллиона человек.
• В 2013 году 4 миллиона пользователей «Advocate Health and Hospitals Corporation» столкнулись с утечкой данных.
• В 2011 году ошибка сотрудника «Корпорация прикладных научных исследований» привела к утере данных 4,9 миллиона пользователей Tricare.
• В 2011 году у «Health Net» были похищены сведения о 1,9 миллиона человек.
• В 2011 году утечке подверглись персональные данные 1 миллиона пользователей «Nemours Foundation».
• В 2010 году у «New York-Presbyterian Hospital» и «Columbia University Medical Center» данные 6800 человек стали достоянием общественности, после чего учреждения выплатили Министерству здравоохранения и социальных служб США штраф в размере 4,8 миллиона долларов^[12].
• В 2009 году 1 миллион пользователей «BlueCross BlueShield of Tennessee» пострадали из-за утечки данных.

В Соединённых Штатах обязывают организации сообщать о случаях утечек пострадавшим лицам и федеральным властям^[13].

• Конфиденциальность медицинской информации — Закон США о переносимости и подотчетности медицинского страхования 1996 года (HIPAA, 45 CFR части 160 и 164), регулирующий стандарты приватности медицинских данных и безопасность электронных защищённых медицинских сведений. Этот документ направлен на сокращение затрат посредством перехода к электронному документообороту и содержит меры по защите конфиденциальности пациентов. Правило о приватности вступило в силу 14 апреля 2001 года, а большинство медицинских организаций должны были привести деятельность в соответствие до апреля 2003 года; к 21 апреля 2003 года вступили в силу положения о безопасности.

HIPAA устанавливает базовые федеральные стандарты в отношении медицинской информации:

1. определяет порядок раскрытия персональных медицинских сведений и права пациентов на защиту информации
2. задаёт требования к безопасности хранения и передачи электронных данных
3. стандартизирует электронный обмен медицинской информацией.

• Особенности законодательства Калифорнии — Законы Калифорнии о медицинской приватности, главным образом, Закон о конфиденциальности медицинской информации (CMIA), положения Гражданского кодекса и отдельные статьи закона о здравоохранении, устанавливают аналогичные с HIPAA гарантии. Федеральный стандарт HIPAA действует во всех случаях, если калифорнийские законы не предусматривают более строгих мер; при конфликте преимущество имеют законы штата. Частные лица в Калифорнии имеют право подать иск в случае утечки, что запрещено на федеральном уровне, что обеспечивает более высокую защиту для жителей штата по сравнению с остальными гражданами США.
• Великобритания — правовое регулирование обработки персональных данных пациентов осуществляется законом о защите данных 2018 года, включающим положения Общего регламента ЕС по защите данных GDPR и принцип общего права о конфиденциальности. Закон требует, чтобы сбор и обработка медданных осуществлялись открыто, честно и на законных основаниях, а также отвечали обязательным условиям конфиденциальности.
• Китай — статья 18 «Порядка по управлению большими медицинскими данными» обязывает организации применять меры классификации, резервного копирования и шифрования для защиты данных. Однако определения и критерии «важных данных» законом не установлены. Также в национальном руководстве по защите данных рекомендовано оценивать важность данных в соответствии с нормативами, однако юридически закреплённого определения таких данных не существует.