Электронное здравоохранение — это не только удобство и эффективность, но и информационные риски
Цифровизация здравоохранения — это мировой тренд и, несомненно, несет в себе больше плюсов, чем минусов. Это и рост доступности помощи, и повышение качества услуг, и экономия расходов. В России появляются электронные медкарты, внедряется телемедицина, развивается Единая государственная информационная система в сфере здравоохранения (ЕГИСЗ). Однако цифровая оптимизация несет в себе некоторые риски, прежде всего информационные.
В США, где система здравоохранения одна из самых развитых во всем мире, регулярно происходят утечки информации. По данным аналитического центра InfoWatch, за 2017 год в США произошло более 70% всех мировых утечек медицинской информации. Только за последние три года сумма штрафов за различные нарушения составила около $50 млн.
Один из недавних крупных штрафов получил онкологический центр имени Монро Д. Андерсона при Техасском университете. Согласно решению американского управления по гражданским правам от июня 2018 года (OCR), онкологи должны выплатить более $4,3 млн за серию утечек информации, случившихся в 2012-2013 гг. Одно дело связано с кражей из офиса клиники ноутбука с конфиденциальными данными пациентов, а два других касаются потери флэшек с незашифрованной медицинской информацией. Ведомство выяснило, что утечки произошли из-за халатного отношения к обязательным политикам шифрования.
В 2014 года Пресвитарианский госпиталь Нью-Йорка и Колумбийский университет были вынуждены совместно выплатить $4,8 млн за утечку медицинской информации 6800 пациентов. Результаты лабораторных исследований, сведения о назначенных лекарствах, диагнозы и другие данные были доступны общественности по запросам в поисковых системах. По данным OCR, нарушение допущено из-за того, что обе организации не выполняли необходимые процедуры по защите своих информационных систем.
Организация Memorial Healthcare Systems (MHS), управляющая сетью клиник и социальных учреждений в Южной Флориде, в феврале 2017 года была оштрафована на $5,5 млн. по решению министерства здравоохранения и социальных услуг (HHS). Выяснилось, что несколько сотрудников без необходимых прав доступа обратились к конфиденциальным данным более 115 тыс. пациентов: именам, датам рождения и номерам социального страхования. Кроме того, в 2011-2012 гг. доступ к медицинской информационной системе имел бывший сотрудник MHS. Из-за этого нарушения оказались скомпрометированы данные около 80 тыс. человек.
Рекордный штраф в размере $5,55 млн был наложен в августе 2016 года на компанию Advocate Health — крупнейшую сеть клиник штата Иллинойс. В 2013 году организация уведомила регуляторов о трех нарушениях, связанных с кражей четырех компьютеров. В общей сложности тогда была потеряна медицинская информация более 4 млн пациентов. OCR заключило, что Advocate Health не оценила риски и уязвимости, а также не смогла внедрить адекватные средства управления доступом к информации.
Все эти случаи произошли несмотря на то, что в США с 1996 года действует федеральный закон о переносимости и подотчетности медицинского страхования (HIPAA), регулирующий порядок обращения с конфиденциальной медицинской информацией. С сентября 2013 года его требования распространяются не только на медицинские учреждения, но и на их партнеров. Кроме того, более суровым стало наказание.