マサチューセッツ州司法長官は、医療搬送事業者だったTransformative Healthcare, LLCおよびその子会社と、医療保険の相互運用性と説明責任に関する法律（HIPAA）およびマサチューセッツ州データセキュリティ法違反の疑いについて和解することで合意しました。子会社は、Lifeline Ambulance Services, LLCとLifeline Healthcare Solutions, LLC（Lifeline）、およびFallon Service, LLCとFallon Emergency Medical Services, LLC（Fallon）です。LifelineとFallonは2022年、Transformative Healthcareが事業を停止した際に、マサチューセッツ州の別の事業者に買収されました。
この和解合意では、FallonとLifelineがMassHealth（マサチューセッツ州のメディケイド）に対して不正な水増し請求（アップコーディング）をしていた疑いも解決されます。具体的には、実際より高額なレベルのサービスを請求していたとされています。非緊急レベルのサービスを提供したのに緊急サービスとして請求したり、提供したサービスが高度救命処置（ALS）の基準を満たしていないのにALSサービスとして虚偽の請求をしたりしていました。同意判決案では、これらの疑いを合わせて100万ドルの制裁金で解決し、支払いは5年間にわたって行われます。
このデータセキュリティインシデントは、2023年4月21日にFallonが最初に特定しました。フォレンジック調査により、Transformative Healthcareの患者と従業員のデータを保存したシステムに、2023年2月17日から4月21日までの間、アーカイブ処理中に第三者が不正にアクセスしていたことが確認されました。この間に、マサチューセッツ州の住民75万116人の個人情報と保護対象保健情報が流出し、盗まれた可能性があります。影響を受けたデータには、氏名、連絡先、生年月日、運転免許証番号、州発行の身分証明書番号、社会保障番号、医療情報、健康保険情報が含まれます。
マサチューセッツ州司法長官は、このデータ侵害について調査を開始し、マサチューセッツ州消費者保護法、同州データセキュリティ法、HIPAAの遵守状況を確認しました。不正請求に関する調査は別途行われました。司法長官は、Transformative Healthcareが適切な情報セキュリティ計画を文書化して維持していなかったと判断しました。さらに、Transformative HealthcareとFallonは、マサチューセッツ州データセキュリティ規則、およびHIPAA 45 CFR Part 164のSubpart A（HIPAAの一般規定）、Subpart C（HIPAAセキュリティ規則による電子的保護対象保健情報の保護のためのセキュリティ基準）、Subpart E（HIPAAプライバシー規則による個人を特定できる健康情報のプライバシー）に違反したと結論づけました。
和解では制裁金に加えて、Transformative HealthcareとFallonに対し、マサチューセッツ州消費者保護法、データ侵害通知法、データセキュリティ規則、記録の処分・破棄に関する法律、HIPAAプライバシー規則およびセキュリティ規則の遵守を確実にすることを求めています。また、同意判決の発効日から45日以内に、個人情報と保護対象保健情報を破棄することも義務づけています。
マサチューセッツ州のアンドレア・ジョイ・キャンベル司法長官は次のように述べています。「医療企業には、託された機密性の高い患者データを保護する責任があります。また、MassHealthへの請求は、実際に提供したサービスに限らなければなりません。当局は今後も、MassHealthを欺いたり、住民の個人情報を危険にさらしたりした企業の責任を追及していきます」
翻訳元: https://www.hipaajournal.com/massachusetts-ag-transformative-healthcare-hipaa-penalty/
