HIPAA Radar tracks publicly disclosed enforcement actions, settlements, corrective action plans, and penalty decisions under the Health Insurance Portability and Accountability Act (HIPAA). Its purpose is to provide a clear, practical view of how U.S. regulators enforce healthcare privacy and security obligations in real cases.
The radar brings together key information on enforcement trends, including the regulator, the covered entity or business associate involved, the financial penalty or settlement amount, the legal basis of the violation, and the core compliance failures identified in each matter. By presenting these cases in one place, HIPAA Radar helps privacy, legal, compliance, and security teams better understand which weaknesses most often lead to regulatory scrutiny and enforcement.
More than a list of enforcement outcomes, HIPAA Radar is designed as a working compliance resource. It shows how regulators approach issues such as risk analysis, access controls, business associate agreements, impermissible disclosures, breach notification, workforce training, and safeguards for protected health information. This makes it easier to translate enforcement activity into practical lessons for internal compliance programs, privacy governance, and healthcare risk management.
Solara Medical Supplies, LLC
Kara:
3 000 000 dolarów
Niedozwolone ujawnienie PHI
Główny problem:
14 stycznia 2025
Data
Główne ustalenia:
OCR wskazał niewystarczającą analizę ryzyka i powiązane braki w zabezpieczeniach, a także opóźnione lub brakujące notyfikacje naruszenia.
Przyczyna naruszenia:
Opis wydarzeń
Zalecenia:
Źródło:
Brak adekwatnej, całościowej analizy ryzyka w skali organizacji oraz niepełne zarządzanie ryzykiem; podatność na phishing i niewystarczające zabezpieczenia poczty elektronicznej; opóźnione lub brakujące procedury notyfikacji naruszeń.
Dochodzenie po incydencie phishingowym/cyberbezpieczeństwa wykazało braki w analizie i zarządzaniu ryzykiem, opóźnione zawiadomienia oraz dwa przypadki niedozwolonego ujawnienia danych. Z publicznie dostępnych informacji wynika, że incydent dotyczył około 114 007 oraz 1 531 osób; sprawa zakończyła się ugodą i planem działań naprawczych.
Regularnie przeprowadzać i dokumentować analizy ryzyka, wymuszać MFA, wdrażać poprawki i utwardzanie systemów, monitorować logi oraz testować kopie zapasowe i procedury reagowania na incydenty; Wzmocnić szkolenia personelu dotyczące postępowania z PHI, zakazać nieuprawnionego udostępniania i egzekwować sankcje za niewłaściwe ujawnienia; Utrzymywać procedurę notyfikacji naruszeń z jasno określonymi terminami decyzyjnymi, przeglądem prawnym i udokumentowanym śledzeniem wysyłki zawiadomień.
