医療データ漏洩

患者の身元情報、健康状態、病気の診断と治療、生体遺伝情報などの医療データは、患者のプライバシーに関わるだけでなく、特別な機密性と重要な価値を持ち、漏洩すると患者に心身の苦痛と財産の損失をもたらし、社会の安定と国家の安全に悪影響を及ぼす可能性があります。しかし、医療AIの開発と応用は、アルゴリズムのトレーニングに大量の医療データに依存する必要があり、データの量が多く多様であるほど、分析と予測の結果はより正確になります。ただし、データ収集、分析と処理、クラウドストレージ、情報共有などのビッグデータ技術の応用により、データ漏洩のリスクが高まっています。米国では、このような侵害の割合が時間とともに増加しており、2017年末までに1億7,600万件の記録が侵害されました。^{[1] [2]} 1万件以上の記録のデータ侵害が245件、10万人以上の医療データの侵害が68件、50万人を超える個人に影響を与えた侵害が25件、100万人を超える個人の個人情報および保護された健康情報の侵害が10件ありました。

2015年2月、NPRのレポートでは、組織犯罪ネットワークが健康データを闇市場で販売する方法を持っていると主張しました。^[1]

2015年にビーズリー社の従業員は、医療記録が闇市場で40～50ドルで売れる可能性があると推定した。^[2]

医療データ漏洩の主な原因は犯罪である。^[3]

盗難、データ損失、ハッキング、不正アカウントアクセスは、医療データ漏洩が発生する原因です。^[4]米国で報告された医療情報漏洩のうち、漏洩した記録数が最も多かったのはネットワーク情報システムでした。 ^[5]米国の医療システムでは、患者のデータに継続的にアクセスする医療提供者のビジネス関係者の間で、多数のデータ漏洩が発生しています。^[6]

• 2024年5月、MediSecureはオーストラリアでランサムウェアによるサイバー攻撃を受けた。^{[7] [8]}
• 2021年5月、アイルランド共和国の保健サービス局がランサムウェアを含むサイバー攻撃の被害に遭い、ファイナンシャルタイムズが検証したデータのサンプルには入院記録や検査結果が含まれていた。^[9]
• 2018年10月、米国のメディケア・メディケイドサービスセンターは、ACAエージェントおよびブローカーポータルを通じて発生したデータ侵害により、約75,000件の個人記録が影響を受けたと報告しました。^[10]
• 2018年、ソーシャルインディケーターズリサーチは、2008年10月（データ収集時）から2017年9月（統計分析実施時）までの間に米国で影響を受けた1億7339万8820人（1億7300万人以上）の科学的証拠を発表しました。^[11]
• 2015年、アンセム社はアンセム医療データ侵害で3,700万人分のデータを失った。
• 2014年にComplete Health Systemsを利用していた450万人のデータが盗まれた^[要出典]
• 2013年から2014年にかけて、モンタナ州公衆衛生福祉局の利用者100万人のデータが盗まれた^[要出典]
• 2013年にAdvocate Health and Hospitals Corporationの利用者400万人のデータが盗まれた^[要出典]
• 2011年、サイエンス アプリケーションズ インターナショナル コーポレーションの従業員のミスにより、Tricareサービスのユーザー 490 万人のデータが盗まれました^{[引用が必要]}
• 2011年にHealth Netを利用していた190万人のデータが盗まれた^[要出典]
• 2011年にNemours Foundationの利用者100万人のデータが盗まれた^[要出典]
• 2010年にニューヨーク・プレスビテリアン病院とコロンビア大学医療センターの利用者6800人の個人情報が漏洩した。これに対し、両組織は米国保健福祉省に480万ドルの罰金を支払うことに同意した。^[12]
• 2009年、テネシー州のブルークロス・ブルーシールドを利用していた100万人のデータが盗まれた^[要出典]

米国では、医療保険の携行性と責任に関する法律と経済的および臨床的健全性のための医療情報技術に関する法律により、企業はデータ侵害を影響を受けた個人と連邦政府に報告することが義務付けられています。^[13]

• 医療情報のプライバシー1996 年の 医療保険の携行性と責任に関する法律(HIPAA)。 - 45 CFR パート 160 および 164、個人を特定できる医療情報のプライバシーに関する基準、および保護される電子医療情報の保護に関するセキュリティ基準。HIPAA には、電子取引を奨励することで医療ビジネスのコスト削減を目的とした規定、および患者情報のセキュリティと機密性を保護するための規制が含まれています。プライバシー ルールは 2001 年 4 月 14 日に発効し、ほとんどの対象事業体 (特定の財務および管理取引を電子的に実行する医療保険プラン、医療情報センター、および医療提供者) は 2003 年 4 月までに準拠する必要がありました。このセキュリティ条項は 2003 年 4 月 21 日に発効しました。医療保険の携行性と責任に関する法律( HIPAA ) は、医療情報を統制する連邦規制のベースライン セットです。この法律は次の 3 つのことを行います。 ii. 電子患者情報の保存と送信に関するセキュリティ標準を指定します。iii. 健康情報の電子交換には共通の形式とデータ構造が必要です。
• カリフォルニア州固有の法律 カリフォルニア州の医療プライバシー法、主に医療情報機密保持法 (CMIA)、民法のデータ侵害に関するセクション、および健康安全法のセクションは、用語は異なりますが、HIPAA に似た保護を提供します。HIPAA は、カリフォルニア州法に欠落がある場合に適用される連邦の「最低基準」を確立し、より厳格な州法が HIPAA に優先または取って代わることも規定しています。カリフォルニア州の医療プライバシー法は、個人医療記録 (PHR) を提供するプロバイダーに適用されますが、HIPAA は、PHR を提供するプロバイダーが対象事業体のビジネス アソシエイトである場合にのみ適用されます。連邦法では、データ侵害が発生した場合に個人に訴訟を起こす権利が​​認められていません (訴訟を起こすことができるのは司法長官のみです) が、カリフォルニア州法では認められています。つまり、カリフォルニア州法では医療プライバシーの基準がより高く設定され、カリフォルニア州の個人はより強力な法的保護を受け、医療プライバシーを侵害した事業体に責任を負わせる方法が増えます。
• 英国では、患者データの取り扱いと処理方法に関する法的枠組みは、EU 一般データ保護規則 (GDPR) と慣習法上の守秘義務 (CLDC) を法律に組み込んだ 2018 年データ保護法 (DPA) です。データ保護法では、個人データの収集と処理は公正、合法、透明であることが求められています。つまり、データ保護法で定義されているデータの収集と処理は、常に有効な法的根拠を持ち、CLDC の要件も満たす必要があります。
• 中国では、国家衛生健康委員会が2018年に公布した「国家医療ビッグデータ標準、セキュリティとサービス管理弁法（試行実施）」（国家衛生計画と発展（2018）第23号）第18条には、「責任部門は、データ分類、重要データのバックアップ、暗号化認証などの措置を講じ、医療ビッグデータのセキュリティを保証するものとする」と規定されている。しかし、重要データの範囲と定義については触れられていない。国家標準化委員会が発行した「情報セキュリティ技術-医療データセキュリティガイド」（「ガイド」）でも、重要データは規定に従って評価・承認されるべきであると提案されているが、同様に重要データの含意と定義については規定されていない。

• コンピュータセキュリティ § 医療システム
• 医療プライバシー
• データ損失

• 「ハッカーがNHSのセキュリティに警告」BBCニュース、イギリス、2011年6月9日。
• サートン、デイビッド（2016年2月5日）。「イヌヴィック病院、従業員によるデータ漏洩の可能性を確認」CBCニュース：ノース。イエローナイフ、ノースウエスト準州

• 公民権局。「500 人以上の個人に影響を与える侵害」。侵害ポータル。米国保健福祉省。2016年6 月 17 日閲覧。