Нью-йоркский пресвитерианин платит 300 тысяч долларов за урегулирование дела о отслеживании пикселей в Нью-Йорке

Генеральный прокурор штата Нью-Йорк в среду объявил о важных новых урегулирование вокруг использования одной системой здравоохранения технологии онлайн-пикселей, нарушающей конфиденциальность.

ПОЧЕМУ ЭТО ВАЖНО
Нью-Йоркская пресвитерианская больница заплатит 300 000 долларов за использование сторонних инструментов, которые раскрывали защищенную медицинскую информацию людей, посетивших ее веб-сайт, сообщила 27 декабря компания New York AG Летиция Джеймс.

Ее офис обнаружил, что система здравоохранения (NYP управляет 10 больницами в Нью-Йорке и прилегающих к нему агломерациях, которые ежегодно посещают более 2 миллионов пациентов) использовала на своей домашней странице рекламную технологию, которая «собирала и делилась частной и личной информацией» с третьими лицами. -сторонние компании, нарушающие HIPAA.

В период с июня 2016 года по июнь 2022 года офис AG утверждал, что NYP использовало сторонние инструменты для отслеживания посетителей своего веб-сайта в маркетинговых целях, когда они исследовали информацию о различных симптомах и состояниях, искали врачей, записывались на прием и многое другое.

Такие инструменты используют фрагменты кода, называемые пикселями отслеживания, которые отправляют данные обратно сторонним разработчикам, когда веб-страницы загружаются или пользователи нажимают ссылки, отправляют формы или выполняют поиск по определенным терминам.

Это могло бы передавать информацию о здоровье пользователей этим сторонним компаниям, которые также имели доступ к их IP-адресу и URL-адресу веб-страницы или ссылки, по которой был сделан щелчок.

«Некоторые третьи лица получили уникальные идентификаторы, которые были сохранены на устройствах пользователей, что позволило третьим лицам узнавать пользователей, с которыми они ранее взаимодействовали», — утверждает офис AG James. «Одна из третьих сторон также могла получить имя и фамилию, адрес электронной почты, почтовый адрес и информацию о поле».

Управление утверждает, что у Нью-Йорка не было соответствующих внутренних политик и процедур для проверки своих сторонних инструментов отслеживания, и они не «проверяли и не проверяли сторонние инструменты отслеживания на предмет нарушений политики или закона до их внедрения».

В дополнение к денежному штрафу, в результате нового урегулирования, Нью-Йорк согласилась на ряд корректирующих действий, сообщили в офисе Джеймса. Среди них: обновление своих политик и процедур в отношении сторонних онлайн-инструментов, а также проведение регулярных аудитов и тестов перед развертыванием таких инструментов на каких-либо веб-сайтах или в приложениях NYP.

Кроме того, NYP теперь будет проводить регулярные проверки контрактов, политик конфиденциальности и условий использования, связанных со сторонними инструментами, и будет «поручать третьим сторонам удалять любую полученную ими защищенную медицинскую информацию».

БОЛЬШОЙ ТРЕНД
Генеральная прокуратура посоветовала другим поставщикам медицинских услуг ознакомиться с рекомендациями по HIPAA и технологиям отслеживания: политический бюллетень опубликовано Управлением HHS по гражданским правам больше года назад, в декабре 2022 года.

Это, конечно, было ответом на первоначальные новости о потенциальных проблемах конфиденциальности, связанных с использованием систем здравоохранения США инструментов отслеживания пикселей, начиная с уведомление об утечке данных от Advocate Aurora Health в октябре 2022 года.

Вскоре, сенаторы допрашивали лидеров от Meta и других компаний об их политике сбора данных, поскольку сфера использования этих новых технологий отслеживания стало очевидным для потребителей и регулирующих органов здравоохранения.

Вскоре другие больницы и основные системы здравоохранения объявили о своих собственных нарушениях, связанных с пикселями, а другие федеральные агентства были отправка предупреждений о том, как используются инструменты.

Однако в последнее время больницы стали отпор HHS и его правила конфиденциальности, утверждая, что соблюдение правил OCR в отношении инструментов отслеживания пикселей нарушит «баланс, который HIPAA и его правила устанавливают между конфиденциальностью и обменом информацией».

Между тем, все еще существуют способы, позволяющие отслеживание пикселей можно использовать безопасно и с соблюдением конфиденциальности..

ПОД ЗАПИСЬ
«Жители Нью-Йорка, ищущие врача или медицинскую помощь, должны иметь возможность сделать это, не подвергая риску свою личную информацию», — заявил генеральный прокурор Джеймс, объявляя в среду о мировом соглашении в Нью-Йорке. «Больницы и медицинские учреждения должны поддерживать высокие стандарты защиты личной информации и медицинских данных своих пациентов.

«NewYork-Presbyterian не смогла бережно относиться к медицинской информации своих пациентов, и в результате технологические компании получили доступ к данным людей», — добавила она. «Сегодняшнее соглашение гарантирует, что New York-Presbyterian не будет небрежно относиться к защите информации своих пациентов».

Майк Милиард, исполнительный редактор журнала Healthcare IT News
Напишите автору: [email protected]
Healthcare IT News — это издание HIMSS.