Violation de données chez Anne Arundel Dermatology (2025)

L’organisation a découvert l’incident le 13 mai et a déterminé le 20 mai que les fichiers concernés pouvaient contenir des données personnelles ou de santé; elle n’a pas pu établir que les informations d’une personne en particulier avaient été consultées ou extraites.

HHS OCR fait état de 1 905 000 personnes concernées. Ce chiffre correspond à la population visée par la notification réglementaire, et non à un nombre d’e-mails, de lignes d’un jeu de données local ou de patients. Il ne prouve pas non plus que tous les champs étaient présents ensemble pour chaque personne. Aucune donnée personnelle ou de santé n’est importée localement.

Les sept catégories de données, dont la présence varie selon les personnes, sont les noms, les adresses physiques, les dates de naissance, les informations médicales, les informations relatives à l’assurance maladie, les informations de santé protégées et les autres informations personnelles précisées dans une notification individuelle. Les numéros de sécurité sociale, les données financières et les pièces d’identité délivrées par les autorités ne font pas partie du périmètre général déclaré.

La notification ne permet pas d’établir l’identité d’une personne, son statut de patient en dermatologie, un diagnostic, un traitement ou un prestataire de soins précis, une relation avec un assureur, la présence conjointe de tous les champs, une extraction de données ou une utilisation abusive. Le 9 décembre 2025 ne fait pas partie de la période de l’incident; cette date constitue une date butoir juridique dans une définition distincte du groupe visé par un accord transactionnel et ne doit pas être présentée comme faisant partie du périmètre de l’incident.