HIPAA違反の罰金は、HIPAA規則を遵守しなかった事業者に対し、米保健福祉省(HHS)の公民権局(OCR)や州司法長官が科すことができます。
本記事では、HIPAA規則に違反したとされるHIPAA規制対象事業者に科された罰金について、詳しく解説します。
無料の「HIPAA違反チェックリスト」と併せて活用すれば、完全なコンプライアンスに何が必要かを把握できます。入手をご希望の方は、このページのフォームをご利用ください。
HIPAA違反の罰金の大半は和解金
大半のケースでは、対象事業体とビジネスアソシエイトがHIPAA規則の一部要素について遵守できていなかった可能性を認めます。和解金額で合意し、責任は認めないまま決着します。和解に加えて、HIPAA違反を是正するための是正措置計画も課されます。一方、HIPAAの対象事業体やビジネスアソシエイトが調査結果に異議を唱え、制裁金の決定を争う場合もあります。その場合は、制裁金の免除を裏付ける証拠を提出する機会が与えられます。それが認められなければ、民事制裁金が科されます。民事制裁金は、疑惑の違反について和解した場合に支払う額より高額になります。また、民事制裁金が科される場合、OCRは是正措置計画を課すことができません。
HIPAA違反の罰金を科すのはOCRですが、州司法長官はHIPAAではなく州法に基づいて、HIPAA規制対象事業者への金銭的制裁を追及することが多くあります。州法違反に関する訴訟のほうが勝ちやすい傾向にあり、州レベルの制裁の仕組みによっては、より高額な罰金を科せる場合もあります。HIPAA/HITECH法に基づき、HIPAA対象事業体やそのビジネスアソシエイトによるHIPAA規則違反について、金銭的制裁を求めて提訴する権利を行使した州はごくわずかです。ただし、すべての州が少なくとも1件の複数州合同の措置に参加しています。
HIPAA違反の制裁の仕組み
制裁金の額は、生活費の上昇を反映して毎年調整されます。2026年1月28日に連邦官報で公表された最新の更新は、2015年11月2日以降に科されるすべての金銭的制裁に適用されます。行政管理予算局(OMB)が定めた2025年のインフレ乗数は1.02598でした。OMBは乗数を遅くとも2025年1月15日までに適用すべきだとしていますが、HHSは例外が適用されると判断し、通常は年次の引き上げをはるかに遅れて適用しています。たとえば、2025年のインフレ乗数は1年以上適用されませんでした。2026年現在のHIPAA違反の制裁金は、下表のとおりです。OMBが2026年のインフレ乗数を公表しなかったため、2026年中にさらに調整されることはありません。
2026年にインフレ調整が行われなかったのは、2025年秋の政府閉鎖が原因です。この閉鎖により、労働統計局がインフレ乗数の基礎となる消費者物価指数(CPI-U)のデータを作成できませんでした。HHSは2026年10月に確認し、2025年のHIPAA制裁の仕組みを引き続き使用する方針を示しました。OMBは1月初旬までに2027年のインフレ乗数を公表する見込みです。この乗数には、2025年に最後の乗数が公表されて以降の生活費の上昇が反映されます。
| 制裁区分 | 責任の程度 | 違反1件あたりの最低額 | 違反1件あたりの最高額 | 年間上限額 |
| 区分1 | 合理的な努力 | $145 | $73,011 | $2,190,294 |
| 区分2 | 監督の欠如 | $1,461 | $73,011 | $2,190,294 |
| 区分3 | 怠慢 – 30日以内に是正 | $14,602 | $73,011 | $2,190,294 |
| 区分4 | 怠慢 – 30日以内に是正せず | $73,011 | $2,190,294 | $2,190,294 |
*この表は2026年1月28日に最終更新されたもので、2025年の生活費調整乗数(1.02598)を反映しています。OMBが2026年のインフレ乗数を公表しなかったため、OCRは2026年もこれらの制裁額を引き続き使用します。
上表はHIPAA違反に対する公式の制裁額を示していますが、OCRは2019年4月に「執行裁量通知」を発表しました。HITECH法の文言を再検討した結果、4つの制裁区分のうち3つで年間上限額を引き下げるという内容です。年間上限額は、区分1が$25,000、区分2が$100,000、区分3が$250,000に変更されました。区分4の年間上限額は$1,500,000のまま変わっていません。これらの上限額もインフレ調整の対象です。下表はHIPAA Journalが、年次のインフレ調整とOCRの執行裁量通知を考慮して算出したものです。
区分1では、違反1件あたりの最高額が年間上限額を上回っています。執行裁量通知が引き下げたのは年間の上限額だけで、HIPAA違反1件あたりの最高額は変更していないためです。この不一致は、再解釈された新たな制裁の仕組みが今後の規則制定で正式に採用される際に、解消される可能性があります。ただし、執行裁量通知は無期限に有効ですが、法的拘束力はなく、OCRはいつでも撤回できます。HITECH法の再解釈を正式に採用するための規則制定が今後行われる可能性は低いでしょう。OCRは、HIPAA違反の抑止力を高めるため、議会に制裁金の引き上げを働きかけているからです。
| 年間上限額 | 違反1件あたりの最低額 | 違反1件あたりの最高額 | 年間制裁上限 | |
| 区分1 | 認識の欠如 | $145 | $36,505.50 | $36,505.50 |
| 区分2 | 合理的な理由 | $1,461 | $73,011 | $146,053 |
| 区分3 | 故意の怠慢 | $14,602 | $73,011 | $365,052 |
| 区分4 | 故意の怠慢(30日以内に是正せず) | $73,011 | $2,190,294 | $2,190,294 |
*この表は2026年1月28日に最終更新されました。
州司法長官は、違反カテゴリーごとに年間最高$25,000までのHIPAA違反の罰金を科すことができます。これらの制裁金も、インフレに応じた年次調整の対象です。
以下に、HIPAA執行規則の成立以降にHHS公民権局が科したHIPAA違反の罰金と和解、および州司法長官によるHIPAA規則や同等の州法違反に対する執行措置を一覧にしました。
2026年のHIPAA違反の罰金と和解
HHS公民権局は、HIPAAのアクセス権とリスク分析に関する執行イニシアチブを継続しています。また、新たに委任された権限に基づき、2026年2月16日にPart 2規則の執行を開始しました。OCR局長は、2026年にはリスク分析の執行イニシアチブをリスク管理にも拡大すると確認しています。
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2026 | Dr. Linda L. Shen dba Shen Smiles | $140,000 | 和解 | HIPAAプライバシー規則の方針・手順の欠如、プライバシー規則の保護措置の欠如 |
| 2026 | Ambry Genetics Corporation | $700,000 | 和解 | リスク分析の不履行、ePHIへのアクセス終了の不履行、一意のユーザー名の割り当て不履行 |
| 2026 | Azul Vision, Inc. | $50,000 | 和解 | HIPAAアクセス権の侵害 |
| 2026 | OSF Healthcare System and its Affiliated Covered Entities | $552,250 | 和解 | リスク分析の不履行、違反通知(OCR/個人)の不履行、53,907人のPHIの不当な開示 |
| 2026 | Spencer Gifts LLC Flexible Benefits and Welfare Benefit Plans | $450,000 | 和解 | リスク分析の不履行、HIPAAプライバシー規則・セキュリティ規則・違反通知規則の方針・手順の欠如 |
| 2026 | Assured Imaging Affiliated Covered Entities | $375,000 | 和解 | リスク分析の不履行、244,813人のePHIの不当な開示 |
| 2026 | Regional Women’s Health Group, dba Axia Women’s Health | $320,000 | 和解 | リスク分析の不履行 |
| 2026 | Consociate Health | $225,000 | 和解 | リスク分析の不履行 |
| 2026 | Star Group, L.P. Health Benefits Plan | $245,000 | 和解 | リスク分析の不履行、9,316人のePHIの不当な開示 |
| 2026 | MMG Fusion | $10,000 | 和解 | リスク分析の不履行、違反通知の不履行、1,500万人の患者のPHIの不当な開示 |
| 2026 | Top of the World Ranch Treatment Center | $103,000 | 和解 | リスク分析の不履行 |
2025年のHIPAA違反の罰金と和解
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2025 | Concentra Inc. | $112,500 | 和解 | HIPAAアクセス権の侵害 |
| 2025 | Cadia Healthcare Facilities | $182,000 | 和解 | 無許可でのSNS上の開示、違反通知規則の不履行 |
| 2025 | Syracuse ASC, dba Specialty Surgery Center of Central New York | $250,000 | 和解 | リスク分析の不履行、HHS長官および個人へのデータ侵害通知の遅延 |
| 2025 | Deer Oaks – The Behavioral Health Solution | $225,000 | 和解 | リスク分析の不履行、ePHIの不当な開示 |
| 2025 | Comstar LLC | $75,000 | 和解 | リスク分析の不履行 |
| 2025 | BayCare Health System | $800,000 | 和解 | 情報アクセス管理(最小限必要の基準)、リスク管理、情報システム活動のレビュー |
| 2025 | Vision Upright MRI | $5,000 | 和解 | HIPAAリスク分析違反、HIPAA違反通知の違反 |
| 2025 | Comprehensive Neurology | $25,000 | 和解 | HIPAAリスク分析違反 |
| 2025 | PIH Health | $600,000 | 和解 | HIPAAリスク分析違反、189,763人のePHIの不当な開示、メディアへの違反通知の不履行、HHSおよび影響を受けた患者への違反通知の遅延 |
| 2025 | Guam Memorial Hospital Authority | $25,000 | 和解 | HIPAAリスク分析違反 |
| 2025 | Northeast Radiology | $350,000 | 和解 | HIPAAリスク分析違反 |
| 2025 | Health Fitness Corporation | $227,816 | 和解 | HIPAAリスク分析違反 |
| 2025 | Oregon Health & Science University | $200,000 | 民事制裁金 | HIPAAアクセス権の侵害 |
| 2025 | Warby Parker, Inc. | $1,500,000 | 民事制裁金 | HIPAAセキュリティ規則違反：ePHIを含む情報システムにおけるリスク分析、リスク管理、活動の監視 |
| 2024 | Northeast Surgical Group | $10,000 | 和解 | HIPAAに準拠したリスク分析の不履行 |
| 2024 | Memorial Health System | $60,000 | 和解 | HIPAAアクセス権の侵害 |
| 2024 | Solara Medical Supplies | $3,000,000 | 和解 | リスク分析の不履行、リスク管理の不履行、違反通知の不履行、患者114,007人および1,531人のePHIの不当な開示 |
| 2024 | USR Holdings | $337,750 | 和解 | リスク分析の不履行、情報システム上の活動の記録の不履行、ePHIの取得可能な正確なコピーを作成・維持する手順の欠如、2,903人のePHIの不当な開示 |
| 2024 | Virtual Private Network Solutions | $90,000 | 和解 | リスク分析の不履行 |
| 2024 | Elgon Information Systems | $80,000 | 和解 | リスク分析の不履行 |
2024年のHIPAA違反の罰金と和解
OCR局長は2024年12月31日に年末の状況報告を行い、2024年にはデータ侵害と苦情に関する22件の調査が民事制裁金または和解に至ったと確認しました。HIPAA執行が最も活発な年の一つでしたが、2024年中に公表された執行措置は16件にとどまります。残りの6件は、政権交代前の2025年1月初旬にOCRが公表しました。
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2024 | Inmediata Health Group | $250,000 | 和解 | リスク分析の不履行、情報システム上の活動監視の不履行、1,565,338人のePHIの不当な開示 |
| 2024 | Children’s Hospital Colorado Health System | $548,265 | 民事制裁金 | 従業員6,666人へのHIPAAプライバシー規則研修の不履行、徹底的かつ正確なリスク分析の不履行、10,840人のePHIの不当な開示 |
| 2024 | Holy Redeemer Family Medicine | $35,581 | 和解 | 患者の診療記録の不当な開示 |
| 2024 | Rio Hondo Community Mental Health Center | $100,000 | 民事制裁金 | 診療記録への適時のアクセス提供の不履行(7カ月) |
| 2024 | Bryan County Ambulance Authority | $90,000 | 和解 | リスク分析を一度も実施していなかった |
| 2024 | Plastic Surgery Associates of South Dakota | $500,000 | 和解 | リスク分析の不履行、リスク管理の不履行、システム活動ログの未分析、セキュリティインシデントへの対応方針の欠如 |
| 2024 | Gums Dental Care | $70,000 | 民事制裁金 | 診療記録への適時のアクセス提供の不履行 |
| 2024 | Providence Medical Institute | $240,000 | 民事制裁金 | 認可された人物やソフトウェアのみにePHIへのアクセスを許可する措置の不履行、ビジネスアソシエイト契約の欠如 |
| 2024 | Cascade Eye and Skin Centers | $250,000 | 和解 | リスク分析の不履行、システム活動記録のレビューの不履行 |
| 2024 | American Medical Response | $115,200 | 民事制裁金 | 診療記録への適時のアクセス提供の不履行(370日) |
| 2024 | Heritage Valley Health System | $950,000 | 和解 | リスク分析の不履行、緊急時対応の方針・手順の欠如、ePHIを含むシステムへのアクセスを制限する技術的な方針・手順の欠如 |
| 2024 | Essex Residential Care (Hackensack Meridian Health, West Caldwell Care Center) | $100,000 | 民事制裁金 | 診療記録への適時のアクセス提供の不履行 |
| 2024 | Phoenix Healthcare | $35,000 | 和解 | 診療記録への適時のアクセス提供の不履行 |
| 2024 | Green Ridge Behavioral Health | $40,000 | 和解 | 包括的なリスク分析の不履行、ePHIへのリスク低減の不履行、ePHIを含む情報システムの活動を監視する方針・手順の欠如、14,000人のePHIの不当な開示 |
| 2024 | Montefiore Medical Center | $4,750,000 | 和解 | 包括的なリスク分析の不履行、情報システム活動の記録を定期的にレビューする手順の未実装、ePHIを含む、または使用するすべての情報システムの活動を記録・調査するハードウェア、ソフトウェア、手続き上の仕組みの未実装 |
2023年 のHIPAA違反の罰金と和解
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2023 | Optum Medical Care of New Jersey | $160,000 | 和解 | 患者6人への診療記録への適時のアクセス提供の不履行 |
| 2023 | Lafourche Medical Group | $480,000 | 和解 | 2021年のセキュリティ侵害前にリスク分析を実施せず、侵害前にシステム活動のログを定期的にレビューする手順もなかった |
| 2023 | St. Joseph’s Medical Center | $80,000 | 和解 | 患者の許可を得ずに、記者に患者3人と臨床情報へのアクセスを許可した |
| 2023 | Doctors’ Management Services | $100,000 | 和解 | リスク分析、システム活動記録のレビュー、HIPAAセキュリティ規則に準拠する合理的かつ適切な方針・手順の不備、206,695人のPHIの不当な開示 |
| 2023 | L.A. Care Health Plan | $1,300,000 | 和解 | リスク分析、不十分なセキュリティ対策、情報システム活動記録の不十分なレビュー、環境・運用の変化に応じた評価の不足、情報システム上の活動の記録・調査の不足、1,498人のePHIの不当な開示 |
| 2023 | UnitedHealthcare | $80,000 | 和解 | HIPAAアクセス権の不履行 |
| 2023 | iHealth Solutions, dba Advantum Health | $75,000 | 和解 | サーバーの保護を怠り、ePHIが盗まれた。リスク分析の不履行、267人のePHIの不当な開示 |
| 2023 | Yakima Valley Memorial Hospital | $240,000 | 和解 | 救急部門の警備員23人が、患者419人の診療記録を不正に閲覧した。OCRはHIPAAの方針・手順の欠如を認定した |
| 2023 | Manasa Health Center, LLC | $30,000 | 和解 | Googleの否定的なレビューへの返信で、4人のPHIを不当に開示した。HIPAAプライバシー規則・違反通知規則の方針・手順の未整備 |
| 2023 | MedEvolve Inc. | $350,000 | 和解 | 230,572人のPHIの不当な開示。下請け業者とのBAAなし、不完全なリスク分析 |
| 2023 | David Mente, MA, LPC | $15,000 | 和解 | HIPAAアクセス権の不履行 |
| 2023 | Banner Health | $1,250,000 | 和解 | リスク分析、システム活動のレビュー、PHIへのアクセスに関する本人確認、技術的保護措置の欠如 |
| 2023 | Life Hope Labs, LLC | $16,500 | 和解 | HIPAAアクセス権の不履行 |
2022年のHIPAA違反の罰金と和解
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2022 | Health Specialists of Central Florida Inc | $20,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | New Vision Dental | $23,000 | 和解 | PHIの不当な開示、プライバシー実務の通知、SNS上でのPHI公開 |
| 2022 | Great Expressions Dental Center of Georgia, P.C. | $80,000 | 和解 | HIPAAアクセス権の不履行(遅延/手数料) |
| 2022 | Family Dental Care, P.C. | $30,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | B. Steven L. Hardy, D.D.S., LTD, dba Paradise Family Dental | $25,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | New England Dermatology and Laser Center | $300,640 | 和解 | PHIの不適切な廃棄、適切な保護措置の維持の不履行 |
| 2022 | ACPM Podiatry | $100,000 | 民事制裁金 | HIPAAアクセス権の不履行 |
| 2022 | Memorial Hermann Health System | $240,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Southwest Surgical Associates | $65,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Hillcrest Nursing and Rehabilitation | $55,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | MelroseWakefield Healthcare | $55,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Erie County Medical Center Corporation | $50,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Fallbrook Family Health Center | $30,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Associated Retina Specialists | $22,500 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Coastal Ear, Nose, and Throat | $20,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Lawrence Bell, Jr. D.D.S | $5,000 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Danbury Psychiatric Consultants | $3,500 | 和解 | HIPAAアクセス権の不履行 |
| 2022 | Oklahoma State University – Center for Health Sciences | $875,000 | 和解 | リスク分析、セキュリティインシデントへの対応と報告、評価、監査管理、違反通知、279,865人のPHIの不当な開示 |
| 2022 | Dr. Brockley | $30,000 | 和解 | HIPAAアクセス権 |
| 2022 | Jacob & Associates | $28,000 | 和解 | HIPAAアクセス権、プライバシー実務の通知、HIPAAプライバシー責任者 |
| 2022 | Dr. U. Phillip Igbinadolor, D.M.D. & Associates, P.A., | $50,000 | 民事制裁金 | SNS上での不当な開示 |
| 2022 | Northcutt Dental-Fairhope | $62,500 | 和解 | マーケティング目的の不当な開示、プライバシー実務の通知、HIPAAプライバシー責任者 |
2021年のHIPAA違反の罰金と和解
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2021 | Advanced Spine & Pain Management | $32,150 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Denver Retina Center | $30,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Dr. Robert Glaser | $100,000 | 民事制裁金 | HIPAAアクセス権の不履行 |
| 2021 | Rainrock Treatment Center LLC (dba monte Nido Rainrock) | $160,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Wake Health Medical Group | $10,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Children’s Hospital & Medical Center | $80,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | The Diabetes, Endocrinology & Lipidology Center, Inc. | $5,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | AEON Clinical Laboratories (Peachstate) | $25,000 | 和解 | HIPAAセキュリティ規則違反(リスク評価、リスク管理、監査管理、HIPAAセキュリティ規則の方針・手順の文書化の欠如) |
| 2021 | Village Plastic Surgery | $30,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Arbour Hospital | $65,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Sharpe Healthcare | $70,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Renown Health | $75,000 | 和解 | HIPAAアクセス権の不履行 |
| 2021 | Excellus Health Plan | $5,100,000 | 和解 | 複数の違反：リスク分析の不履行、リスク管理の不履行、情報システム活動のレビューの欠如、ePHIへの不正アクセスを防ぐ技術的方針の欠如、9,358,891件の記録の侵害 |
| 2021 | Banner Health | $200,000 | 和解 | HIPAAアクセス権の不履行 |
2020年のHIPAA違反の罰金と和解
| 年 | 事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2020 | Peter Wrobel, M.D., P.C., dba Elite Primary Care | $36,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | University of Cincinnati Medical Center | $65,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Dr. Rajendra Bhayani | $15,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Riverside Psychiatric Medical Group | $25,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | City of New Haven, CT | $202,400 | 和解 | アクセス権の終了の不履行、リスク分析の不履行、プライバシー規則の方針の未実施、一意のIDの未発行、498人のPHIの不当な開示 |
| 2020 | Aetna | $1,000,000 | 和解 | ePHIのセキュリティに影響する環境・運用の変化に応じた評価の不履行、本人確認の不履行、最小限必要な情報の原則の不履行、管理的・技術的・物理的保護措置の欠如 |
| 2020 | NY Spine | $100,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Dignity Health, dba St. Joseph’s Hospital and Medical Center | $160,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Premera Blue Cross | $6,850,000 | 和解 | リスク評価の不履行、リスク管理の不履行、不十分なハードウェア・ソフトウェア管理 |
| 2020 | CHSPSC LLC | $2,300,000 | 和解 | リスク分析の不履行、情報システム活動のレビューの未実施、セキュリティインシデント手順の不履行、不十分なアクセス制御 |
| 2020 | Athens Orthopedic Clinic PA | $1,500,000 | 和解 | リスク分析の不履行、リスク管理の不履行、監査管理の欠如、HIPAAの方針・手順の欠如、ビジネスアソシエイト契約の欠如、従業員へのHIPAAプライバシー規則研修の未実施 |
| 2020 | Housing Works, Inc. | $38,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | All Inclusive Medical Services, Inc. | $15,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Beth Israel Lahey Health Behavioral Services | $70,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | King MD | $3,500 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Wise Psychiatry, PC | $10,000 | 和解 | HIPAAアクセス権の不履行 |
| 2020 | Lifespan Health System Affiliated Covered Entity | $1,040,000 | 和解 | 暗号化の欠如、デバイス・メディア管理の不備、ビジネスアソシエイト契約の不備 |
| 2020 | Metropolitan Community Health Services dba Agape Health Services | $25,000 | 和解 | HIPAAセキュリティ規則への組織的な不遵守 |
| 2020 | Steven A. Porter, M.D | $100,000 | 和解 | リスク分析とリスク管理の不履行 |
2019年のHIPAA違反の罰金と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2019 | West Georgia Ambulance | $65,000 | 和解 | リスク分析の不履行、セキュリティ意識向上研修プログラムの欠如、HIPAAセキュリティ規則の方針・手順の未実施 |
| 2019 | Korunda Medical, LLC | $85,000 | 和解 | HIPAAアクセス権の不履行 |
| 2019 | Sentara Hospitals | $2,175,000 | 和解 | 違反通知の不履行、ビジネスアソシエイト契約の不備 |
| 2019 | University of Rochester Medical Center | $3,000,000 | 和解 | フラッシュドライブ/ノートPCの紛失、暗号化の欠如、リスク分析の不履行、リスク管理の不履行、デバイス・メディア管理の欠如 |
| 2019 | Elite Dental Associates | $10,000 | 和解 | SNS上での開示、プライバシー実務の通知、PHIの不当な開示 |
| 2019 | Bayfront Health St Petersburg | $85,000 | 和解 | HIPAAアクセス権の不履行 |
| 2019 | Medical Informatics Engineering | $100,000 | 和解 | リスク分析の不履行、350万件の記録の不当な開示 |
| 2019 | Touchstone Medical Imaging | $3,000,000 | 和解 | BAAの欠如、不十分なアクセス権、リスク分析の不履行、セキュリティインシデントへの対応の不履行、違反通知の不履行、メディアへの通知の不履行、307,839人のPHIの不当な開示 |
| 2019 | Texas Department of Aging and Disability Services | $1,600,000 | 民事制裁金 | リスク分析の不履行、アクセス制御の不履行、情報システム活動の監視の不履行、6,617人の患者のePHIの不当な開示 |
| 2019 | Jackson Health System | $2,154,000 | 民事制裁金 | プライバシー規則、セキュリティ規則、違反通知規則の複数の違反 |
2018年のHIPAA違反の罰金と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
| 2018 | Fresenius Medical Care North America | $3,500,000 | 和解 | リスク分析の不履行、ePHIの不当な開示、電子機器に関する方針の欠如、暗号化の欠如、不十分なセキュリティ方針、不十分な物理的保護措置 |
| 2018 | Filefax, Inc. | $100,000 | 和解 | PHIの不当な開示 |
| 2018 | University of Texas MD Anderson Cancer Center | $4,348,000 | 民事制裁金 | ePHIの不当な開示、暗号化なし |
| 2018 | Massachusetts General Hospital | $515,000 | 和解 | 同意なしの患者撮影 |
| 2018 | Brigham and Women’s Hospital | $384,000 | 和解 | 同意なしの患者撮影 |
| 2018 | Boston Medical Center | $100,000 | 和解 | 同意なしの患者撮影 |
| 2018 | Anthem Inc | $16,000,000 | 和解 | リスク分析の不履行、システム活動の不十分なレビュー、検知した侵害への対応の不備、ePHIへの不正アクセスを防ぐ技術的管理の不足 |
| 2018 | Allergy Associates of Hartford | $125,000 | 和解 | 記者へのPHI開示、従業員への処分なし |
| 2018 | Advanced Care Hospitalists | $500,000 | 和解 | PHIの不当な開示、BAAなし、不十分なセキュリティ対策、2014年4月1日以前のHIPAA遵守の取り組みなし |
| 2018 | Pagosa Springs Medical Center | $111,400 | 和解 | 従業員のアクセス権の終了の不履行、BAAなし |
| 2018 | Cottage Health | $3,000,000 | 和解 | リスク分析の不履行、リスク管理の不履行、BAAなし |
2017年のHIPAA違反の罰金と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2017 | 21st Century Oncology | $2,300,000 | 和解 | 複数のHIPAA違反 |
| 2017 | Memorial Hermann Health System | $2,400,000 | 和解 | PHIの杜撰な取り扱い |
| 2017 | St. Luke’s-Roosevelt Hospital Center Inc. | $387,000 | 和解 | PHIの無許可の開示 |
| 2017 | The Center for Children’s Digestive Health | $31,000 | 和解 | ビジネスアソシエイト契約の欠如 |
| 2017 | Cardionet | $2,500,000 | 和解 | PHIの不当な開示 |
| 2017 | Metro Community Provider Network | $400,000 | 和解 | セキュリティ管理プロセスの欠如 |
| 2017 | Memorial Healthcare System | $5,500,000 | 和解 | ePHIへの不十分なアクセス制御 |
| 2017 | Children’s Medical Center of Dallas | $3,200,000 | 民事制裁金 | ePHIの不当な開示 |
| 2017 | MAPFRE Life Insurance Company of Puerto Rico | $2,200,000 | 和解 | ePHIの不当な開示 |
| 2017 | Presense Health | $475,000 | 和解 | 違反通知の遅延 |
2016年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2016 | University of Massachusetts Amherst (UMass) | $650,000 | 和解 | セキュリティリスクの管理の不履行 |
| 2016 | St. Joseph Health | $2,140,500 | 和解 | リスク分析の不履行 |
| 2016 | Care New England Health System | $400,000 | 和解 | ビジネスアソシエイト契約の欠如 |
| 2016 | Advocate Health Care Network | $5,550,000 | 和解 | 複数のHIPAA違反 |
| 2016 | University of Mississippi Medical Center | $2,750,000 | 和解 | 複数のHIPAA違反 |
| 2016 | Oregon Health & Science University | $2,700,000 | 和解 | ビジネスアソシエイト契約の欠如 |
| 2016 | Catholic Health Care Services of the Archdiocese of Philadelphia | $650,000 | 和解 | ePHIの保護の不履行 |
| 2016 | New York Presbyterian Hospital | $2,200,000 | 和解 | 無許可での患者撮影 |
| 2016 | Raleigh Orthopaedic Clinic, P.A. of North Carolina | $750,000 | 和解 | ビジネスアソシエイト契約の欠如 |
| 2016 | Feinstein Institute for Medical Research | $3,900,000 | 和解 | PHIの不当な開示 |
| 2016 | North Memorial Health Care of Minnesota | $1,550,000 | 和解 | ビジネスアソシエイト契約の欠如 |
| 2016 | Complete P.T., Pool & Land Physical Therapy, Inc. | $25,000 | 和解 | PHIの不当な開示 |
| 2016 | Lincare, Inc. | $239,800 | 民事制裁金 | PHIの保護の不履行 |
2015年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2015 | University of Washington Medicine | $750,000 | 和解 | リスク分析の不履行 |
| 2015 | Triple S Management Corporation | $3,500,000 | 和解 | 複数のHIPAA違反 |
| 2015 | Lahey Hospital and Medical Center | $850,000 | 和解 | 複数のHIPAA違反 |
| 2015 | Cancer Care Group, P.C. | $750,000 | 和解 | リスク分析の不履行 |
| 2015 | St. Elizabeth’s Medical Center | $218,400 | 和解 | 複数のHIPAA違反 |
| 2015 | Cornell Prescription Pharmacy | $125,000 | 和解 | PHIの不適切な廃棄 |
2014年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2014 | Anchorage Community Mental Health Services | $150,000 | 和解 | ePHIのリスク管理の不履行 |
| 2014 | Parkview Health System, Inc. | $800,000 | 和解 | PHIの保護の不履行 |
| 2014 | New York and Presbyterian Hospital and Columbia University | $4,800,000 | 和解 | リスク分析の不履行 |
| 2014 | QCA Health Plan, Inc., of Arkansas | $250,000 | 和解 | ePHIの保護の不履行 |
| 2014 | Concentra Health Services | $1,725,220 | 和解 | ePHIの保護の不履行 |
| 2014 | Skagit County, Washington | $215,000 | 和解 | ePHIの保護の不履行 |
2013年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2013 | Adult & Pediatric Dermatology, P.C. | $150,000 | 和解 | ePHIの保護の不履行 |
| 2013 | Affinity Health Plan, Inc. | $1,215,780 | 和解 | ePHIの完全消去の不履行 |
| 2013 | WellPoint | $1,700,000 | 和解 | ePHIの保護の不履行 |
| 2013 | Shasta Regional Medical Center | $275,000 | 和解 | 患者の同意なしのPHI開示 |
| 2013 | Idaho State University | $400,000 | 和解 | ePHIの保護の不履行 |
2012年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2012 | The Hospice of Northern Idaho | $50,000 | 和解 | 暗号化されていないノートPCの盗難 |
| 2012 | Massachusetts Eye and Ear Infirmary and Massachusetts Eye and Ear Associates, Inc. | $1,500,000 | 和解 | 複数のHIPAA違反 |
| 2012 | Alaska DHSS | $1,700,000 | 和解 | リスク分析の不履行、リスク管理の不備 |
| 2012 | Phoenix Cardiac Surgery | $100,000 | 和解 | HIPAA保護措置の欠如 |
| 2012 | Blue Cross Blue Shield of Tennessee | $1,500,000 | 和解 | 適切な管理的保護措置の未実施 |
2011年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2011 | University of California at Los Angeles Health System | $865,500 | 和解 | 診療記録へのアクセス制限の不履行 |
| 2011 | General Hospital Corp. & Massachusetts General Physicians Organization Inc. | $1,000,000 | 和解 | PHIの保護の不履行 |
| 2011 | Cignet Health of Prince George’s County | $4,300,000 | 民事制裁金 | 患者への診療記録へのアクセスの拒否 |
2010年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2010 | Management Services Organization Washington Inc. | $35,000 | 和解 | リスク分析の不履行／不十分なセキュリティ対策 |
| 2010 | Rite Aid Corporation | $1,000,000 | 和解 | 複数のHIPAA違反 |
2009年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2009 | CVS Pharmacy Inc. | $2,250,000 | 和解 | 複数のHIPAA違反 |
2008年のHIPAA違反の罰金 と和解
| 年 | 対象事業体 | 金額 | 和解/民事制裁金 | 理由 |
|---|---|---|---|---|
| 2008 | Providence Health & Services | $100,000 | 和解 | 適切な管理的保護措置の未実施 |
州司法長官によるHIPAA違反の罰金と和解
州司法長官には、HIPAA違反に対して金銭的制裁を科す権限があります。ただし、HIPAA違反があった場合でも、罰金は州法違反を根拠に科されることが少なくありません。以下の一覧には、HIPAA違反や同等の州法違反に対して科された民事制裁金と和解を掲載しています。
金銭的制裁が州法違反を根拠に科された場合でも、HIPAA規則違反の可能性があったケースは掲載しています。
| 年 | 州 | 事業体 | 金額 | 影響を受けた個人 | 理由 |
| 2026 | マサチューセッツ州 | Transformative Healthcare and its former subsidiaries | $1,000,000 | マサチューセッツ州の住民750,116人 | HIPAAプライバシー規則・セキュリティ規則およびマサチューセッツ州データセキュリティ法の違反(MassHealthの虚偽請求に対する制裁を含む) |
| 2026 | ニューヨーク州・コネチカット州 | Boston Children’s Health Physicians and XTIUM | $2,700,000(ほか$1,300,000は執行猶予) | 887,871人(ニューヨーク州の住民825,000人、コネチカット州の住民62,871人) | HIPAAセキュリティ規則およびニューヨーク州行政法の違反 |
| 2026 | 複数州(44州の司法長官) | Labcorp | $2,287,455 | 10,251,784人 | HIPAAおよび州のデータ保護法の違反 |
| 2026 | マサチューセッツ州・コネチカット州 | Comstar LLC | $515,000 | 585,621人(マサチューセッツ州の住民326,426人、コネチカット州の住民22,829人) | HIPAAセキュリティ規則およびマサチューセッツ州データセキュリティ規則の違反 |
| 2025 | ニューヨーク州 | Orthopedics NY LLP | $500,000 | 656,086人 | HIPAAセキュリティ規則および州の医療プライバシー・セキュリティ法の違反 |
| 2024 | インディアナ州 | Westend Dental | $350,000 | 不明 | HIPAAプライバシー規則・セキュリティ規則・違反通知規則、インディアナ州のセキュリティ侵害開示法、インディアナ州の欺瞞的消費者販売法の違反 |
| 2024 | ニューヨーク州 | HealthAlliance | $1,400,000($850,000は執行猶予) | 242,641人 | ニューヨーク州事業法および行政法の違反 |
| 2024 | ニューヨーク州 | Albany ENT & Allergy Services | $1,000,000($500,000は執行猶予)、サイバーセキュリティに$2.24M投資 | 213,935人 | ニューヨーク州事業法および行政法の違反 |
| 2024 | ニューヨーク州、ニュージャージー州、コネチカット州 | Enzo Biochem/Enzo Clinical Labs | $4,500,000 | 2,400,000人 | HIPAAセキュリティ規則の12条項の違反、ニューヨーク州一般事業法の違反 |
| 2024 | ワシントン州 | Allure Esthetic | $5,000,000 | 21,000人 | オンラインレビューの捏造、違法な秘密保持契約、患者へのHIPAA上の権利の放棄の強要 |
| 2024 | カリフォルニア州 | Adventist Health Hanford | $10,000 | 2人 | 法執行機関への患者情報の違法な開示の疑い |
| 2024 | カリフォルニア州 | Blackbaud | $6,750,000 | 5,500,000人 | データセキュリティを確保する適切な保護措置の未実施と侵害対応の不備 – HIPAAセキュリティ規則、違反通知規則、州の消費者保護法の違反 |
| 2024 | カリフォルニア州 | Quest Diagnostics | $5,000,000、サイバーセキュリティに$1.2 million投資 | 未確認 | 有害廃棄物、医療廃棄物、患者の個人健康情報の違法な廃棄 |
| 2024 | ニューヨーク州 | Refuah Health Center Inc. | $450,000、サイバーセキュリティに$1.2 million投資 | 260,740人 | HIPAAセキュリティ規則の複数の違反、HIPAA違反通知規則の違反、ニューヨーク州事業法の違反 |
| 2023 | ニューヨーク州 | New York Presbyterian Hospital | $300,000 | 54,396人 | ピクセルなどのウェブサイト追跡ツールの使用により、PHIが第三者に開示されたことによる、HIPAAプライバシー規則およびニューヨーク州行政法の違反 |
| 2023 | ニューヨーク州 | Healthplex | $400,000 | 89,955人(ニューヨーク州の住民62,922人) | ニューヨーク州のデータセキュリティ法および消費者保護法の違反(データ保持/ログ記録、多要素認証、データセキュリティ評価) |
| 2023 | インディアナ州 | CarePointe ENT | $120,000 | 48,742人 | 既知の脆弱性への対処の不履行、ビジネスアソシエイト契約の不備 |
| 2023 | ニューヨーク州 | U.S. Radiology Specialists | $450,000 | 198,260人(ニューヨーク州の住民92,540人) | 既知の脆弱性に対処するためのハードウェアを、合理的な期間内にアップグレードしなかった |
| 2023 | ニューヨーク州 | Personal Touch Holding Corp | $350,000 | 753,107人(ニューヨーク州の住民316,845人) | 非公式な情報セキュリティプログラムしかなく、アクセス制御が不十分で、継続的な監視システム、暗号化、十分な従業員研修のいずれも欠いていた |
| 2023 | 複数州(32州およびプエルトリコ) | Inmediata | $1.4 million | 1,565,338人 | データセキュリティを確保する適切な保護措置の未実施と侵害対応の不備。HIPAAセキュリティ規則、違反通知規則、州の違反通知法の違反 |
| 2023 | 複数州(49州およびワシントンD.C.) | Blackbaud | $49.5 million | 5,500,000人 | HIPAAおよび州の消費者保護法の違反：機密情報を保護する十分な保護措置の欠如、侵害対応・通知の不備 |
| 2023 | コロラド州 | Broomfield Skilled Nursing and Rehabilitation Center | $60,000($25,000は執行猶予) | 677人 | HIPAAのデータ暗号化要件、州のデータ保護法、不正取引慣行の違反 |
| 2023 | インディアナ州 | Schneck Medical Center | $250,000 | 89,707人 | HIPAAプライバシー規則・セキュリティ規則・違反通知規則、インディアナ州のセキュリティ侵害開示法、インディアナ州の欺瞞的消費者販売法の違反 |
| 2023 | カリフォルニア州 | Kaiser Foundation Health Plan Foundation Inc. and Kaiser Foundation Hospitals | $49,000,000 | 7,700人 | HIPAA規則、カリフォルニア州有害廃棄物管理法、医療廃棄物管理法、医療情報機密法、顧客記録法、不正競争法の違反 |
| 2023 | カリフォルニア州 | Kaiser Permanente | $450,000 | 167,095人 | PHIの不当な開示、およびPHIの不注意な維持・廃棄。カリフォルニア州医療情報機密法(CMIA)の違反 |
| 2023 | ニューヨーク州 | Professional Business Systems Inc (dba Practicefirst Medical Management Solutions and PBS Medcode Corp | $550,000 | 1,200,000人 | データセキュリティの不備：パッチ管理、データ暗号化、脆弱性スキャン、ペネトレーションテスト |
| 2023 | オレゴン州、ニュージャージー州、フロリダ州、ペンシルベニア州 | EyeMed Vision Care | $2,500,000 | 2,100,000人 | アクセス制御を含むデータセキュリティの不備 |
| 2023 | ニューヨーク州 | Heidell, Pittoni, Murphy & Bach LLP | $200,000 | 61,438人 | HIPAAプライバシー規則・セキュリティ規則の17条項の違反 |
| 2023 | ペンシルベニア州/オハイオ州 | DNA Diagnostics Center | $400,000 | 2,100,000人 | 保護措置の欠如、資産目録の更新の不履行、業務目的で使用しない資産の無効化・削除の不履行 |
| 2022 | オレゴン州/ユタ州 | Avalon Healthcare | $200,000 | 14,500人 | 違反通知の遅延、情報セキュリティプログラムの不備 |
| 2022 | マサチューセッツ州 | Aveanna Healthcare | $425,000 | 166,000人 | 多要素認証がないなど、フィッシングに対抗するセキュリティ保護措置の欠如 |
| 2022 | ニューヨーク州 | EyeMed Vision Care | $600,000 | 2,100,000人 | HIPAAおよびニューヨーク州一般事業法の複数の違反 |
| 2021 | ニュージャージー州 | Regional Cancer Care Associates (Regional Cancer Care Associates LLC, RCCA MSO LLC, and RCCA MD LLC) | $425,000 | 105,000人 | PHIの機密性・完全性・可用性の確保の不履行、合理的に予想される脅威への対策の不履行、リスクを低減するセキュリティ対策の未実施、正確なリスク評価の不履行、セキュリティ意識向上・研修プログラムの欠如 |
| 2021 | ニュージャージー州 | Command Marketing Innovations, LLC and Strategic Content Imaging LLC | $130,000(ほか$65,000は執行猶予) | 55,715人 | PHIの機密性確保の不履行、PHI保護措置の欠如、手順変更後のセキュリティ対策の見直しの不履行 |
| 2021 | ニュージャージー州 | Diamond Institute for Infertility and Menopause | $495,000 | 14,663人 | プライバシー規則・セキュリティ規則の複数の不履行、消費者詐欺防止法の違反 |
| 2021 | 複数州 | American Medical Collection Agency | $21 million(執行猶予) | 21,000,000人 | データ侵害の検知の不履行を含むセキュリティの不備 |
| 2020 | 複数州 | CHSPSC LLC | $5,000,000 | 6,100,000人 | 合理的なセキュリティ対策の実施・維持の不履行 |
| 2020 | 複数州 | Anthem Inc | $48.2 million | 78,000,000人 | HIPAAおよび州法の複数の違反 |
| 2019 | 複数州 | Premera Blue Cross | $10,000,000 | 10,400,000人 | 複数のHIPAA違反 |
| 2019 | 複数州 | Medical Informatics Engineering | $900,000 | 3,500,000人 | 複数のHIPAA違反 |
| 2019 | CA | Aetna | $935,000 | 1,991人 | 2回の郵送でPHIが漏えい(心房細動、HIV) |
| 2018 | MA | McLean Hospital | $75,000 | 1,500人 | バックアップテープの紛失 |
| 2018 | NJ | EmblemHealth | $100,000 | 81,000人 | 郵送ミスで社会保障番号が漏えい |
| 2018 | NJ | Best Transcription Medical | $200,000 | 1,650人 | 検索エンジン経由でのePHIの露出 |
| 2018 | CT | Aetna | $99,959 | 13,160人 | 2回の郵送でPHIが漏えい(心房細動、HIVのデータ) |
| 2018 | NJ | Aetna | $365,211.59 | 13,160人 | 2回の郵送でPHIが漏えい(心房細動、HIVのデータ) |
| 2018 | DC | Aetna | $175,000 | 13,160人 | 2回の郵送でPHIが漏えい(心房細動、HIVのデータ) |
| 2018 | MA | UMass Memorial Medical Group / UMass Memorial Medical Center | $230,000 | 15,000人 | ePHIの保護の不履行と複数の侵害 |
| 2018 | NY | Arc of Erie County | $200,000 | 3,751人 | ePHIの保護の不履行 |
| 2018 | NJ | Virtua Medical Group | $417,816 | 1,654人 | HIPAA規則の複数の違反 |
| 2018 | NY | EmblemHealth | $575,000 | 81,122人 | ePHIの不当な開示 |
| 2018 | NY | Aetna | $1,150,000 | 12,000人 | 2回の郵送でPHIが漏えい(心房細動、HIVのデータ) |
| 2017 | CA | Cottage Health System | $2,000,000 | >54,000人 | 診療記録の適切な保護の不履行 |
| 2017 | MA | Multi-State Billing Services | $100,000 | 2,600人 | PHIを含む暗号化されていないノートPCの盗難 |
| 2017 | NJ | Horizon Healthcare Services Inc., | $1,100,000 | 3,700,000人 | 暗号化されていないノートPCの紛失 |
| 2017 | VT | SAManage USA, Inc. | $264,000 | 660人 | スプレッドシートが検索エンジンにインデックスされ、PHIが閲覧可能になった |
| 2017 | NY | CoPilot Provider Support Services, Inc | $130,000 | 221,178人 | 違反通知の遅延 |
| 2015 | NY | University of Rochester Medical Center | $15,000 | 3,403人 | 患者リストが看護師に渡され、その看護師が新しい雇用主へ持ち出した |
| 2015 | CT | Hartford Hospital/ EMC Corporation | $90,000 | 8,883人 | PHIを含む暗号化されていないノートPCの盗難 |
| 2014 | MA | Women & Infants Hospital of Rhode Island | $150,000 | 12,000人 | PHIを含むバックアップテープの紛失 |
| 2014 | MA | Boston Children’s Hospital | $40,000 | 2,159人 | PHIを含むノートPCの紛失 |
| 2014 | MA | Beth Israel Deaconess Medical Center | $100,000 | 3,796人 | PHIを含むノートPCの紛失 |
| 2013 | MA | Goldthwait Associates | $140,000 | 67,000人 | 不適切な廃棄 |
| 2012 | MN | Accretive Health | $2,500,000 | 24,000人 | PHIの杜撰な取り扱い |
| 2012 | MA | South Shore Hospital | $750,000 | 800,000人 | PHIを含むバックアップテープの紛失 |
| 2011 | VT | Health Net Inc. | $55,000 | 1,500,000人 | 暗号化されていないハードドライブの紛失／違反通知の遅延 |
| 2011 | IN | WellPoint Inc. | $100,000 | 32,000人 | 合理的な期間内の侵害報告の不履行 |
| 2010 | CT | Health Net Inc. | $250,000 | 1,500,000人 | 暗号化されていないハードドライブの紛失／違反通知の遅延 |
HIPAA違反の罰金に関するFAQ
上の一覧は、OCRが科したHIPAA違反の罰金をすべて網羅していますか？
2022年6月時点で、HHS公民権局は30万件を超える苦情やデータ侵害の報告を受けましたが、罰金または和解で決着したのは110件にとどまります。HIPAA違反があったと判断されたケースの大半は、技術支援や是正措置計画で解決されています。
OCRはHIPAA違反で刑事告発もできますか？
公民権局が事案を審査し、刑事有罪判決につながる可能性があると判断した場合、事案は司法省に付託されます。司法省にはHIPAA違反で刑事訴追する権限があり、HIPAA違反の責任者の中には実刑判決を受けた人が複数います。たとえば、次のような事例です。
- フロリダ州の診療所職員、PHI窃取で禁錮48カ月の判決
- 患者データを盗んだ退役軍人省職員に禁錮3年
- ニューヨークの歯科医院の元受付係、HIPAA違反で禁錮2～6年の判決
- UPMCの患者ケアコーディネーター、HIPAA違反で禁錮1年
なぜ最近の和解にはHIPAAアクセス権の不履行が多いのですか？
公民権局は2019年から、アクセス権の執行イニシアチブを実施しています。PHIの写しの入手で障害や遅延に直面した患者からの苦情が増えているためです。だからといって、OCRが他の種類のHIPAA違反を見逃しているわけではありません。同局は他の違反やデータ侵害についても、引き続き調査しています。
なぜ一部のHIPAA違反の罰金は、年間上限額を超えているのですか？
年間上限額は、違反の種類ごとに適用されます。たとえば、ある対象事業体が4つの分野で不遵守と認定された場合、その事業体は4件の罰金を科される可能性があります。それぞれ、責任の程度に応じて、違反1件あたりの最高額または(違反ごとの)年間上限額までが科されます。
4つの制裁区分(責任の程度)は何を表していますか？
区分1：対象事業体またはビジネスアソシエイトが認識しておらず、HIPAA遵守のために合理的な注意を払っていたとしても現実的に回避できなかった違反。
区分2：対象事業体またはビジネスアソシエイトが認識すべきだった違反で、HIPAA遵守のために合理的な注意を払っても回避できなかったもの。
区分3：「故意の怠慢」が直接の原因で生じた違反のうち、対象事業体またはビジネスアソシエイトが是正を試みたもの。
区分4：故意の怠慢に起因するHIPAA違反で、対象事業体またはビジネスアソシエイトが是正を試みていないもの。
翻訳元: https://www.hipaajournal.com/hipaa-violation-fines/
本記事は hipaajournal.com の記事を翻訳・要約したものです。
