Bệnh viện Yakima: 23 nhân viên bảo vệ xem hồ sơ bệnh án của 419 bệnh nhân không vì công việc

Chuyện gì đã xảy ra?

Yakima Valley Memorial là một bệnh viện cộng đồng phi lợi nhuận ở bang Washington (Hoa Kỳ). Theo thông báo của Văn phòng Quyền công dân thuộc Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (OCR), 23 nhân viên bảo vệ làm việc tại khoa cấp cứu đã dùng chính tài khoản được cấp để xem hồ sơ y tế điện tử của 419 bệnh nhân mà không có mục đích liên quan đến công việc.

Bệnh viện báo cáo sự cố ngày 28/2/2018 và OCR mở điều tra từ tháng 5/2018. Ngày 15/5/2023 hai bên ký thỏa thuận giải quyết, được OCR công bố ngày 15/6/2023: bệnh viện nộp 240.000 USD và thực hiện kế hoạch khắc phục kéo dài hai năm. Thỏa thuận không phải là sự thừa nhận vi phạm.

Kế hoạch khắc phục gồm những gì?

Đánh giá rủi ro trên toàn bệnh viện và lập kế hoạch quản lý rủi ro.
Cập nhật chính sách, quy trình về bảo vệ thông tin sức khỏe và đào tạo nhân sự.
Rà soát các thỏa thuận với bên đối tác có tiếp cận dữ liệu.
Báo cáo tuân thủ định kỳ cho cơ quan quản lý.

Bài học cho doanh nghiệp

Có tài khoản hợp lệ không có nghĩa là được xem mọi thứ. OCR nhấn mạnh tổ chức cần chính sách giới hạn quyền truy cập ở mức cần thiết cho nhiệm vụ của từng người.
Sự cố do người trong tổ chức là vấn đề lặp lại, không chỉ ở y tế mà ở mọi ngành xử lý hồ sơ khách hàng, nhân sự hay hợp đồng.
Nhật ký truy cập phải được xem lại, không chỉ lưu. Trường hợp này cho thấy giá trị của việc rà soát định kỳ ai đã mở hồ sơ nào.

Cách tiếp cận lấy dữ liệu làm trung tâm

Với dữ liệu nhạy cảm như hồ sơ bệnh án, hợp đồng hay thông tin khách hàng, doanh nghiệp có thể phân quyền theo vai trò ngay trên tệp, ghi lại nhật ký ai mở, sửa, in hoặc sao chép và dùng hình mờ động để hiển thị danh tính người xem, nhằm răn đe việc tò mò không cần thiết. Những biện pháp này hỗ trợ nguyên tắc "chỉ truy cập khi cần", cần đi kèm đào tạo và chính sách nội bộ. Xem thêm Sản phẩm.

Ba câu hỏi để tự kiểm tra

Ai đang có quyền mở hồ sơ chứa dữ liệu cá nhân và vì sao họ cần quyền đó?
Bao lâu bạn rà soát nhật ký truy cập một lần, và ai chịu trách nhiệm?
Người xem tài liệu có biết mọi lượt mở đều bị ghi lại không?

Nội dung tổng hợp từ các nguồn công khai tại thời điểm biên soạn, nhằm mục đích tham khảo và rút kinh nghiệm — không phải đánh giá pháp lý đối với các tổ chức được nhắc tên. Vui lòng đối chiếu nguồn gốc khi trích dẫn.

Yakima 醫院：23 名保全人員因非工作原因查看 419 名病患的病歷