Violação de dados na Anne Arundel Dermatology (2025)

A organização descobriu o incidente em 13 de maio e determinou, em 20 de maio, que os arquivos afetados poderiam conter informações pessoais ou de saúde; não conseguiu determinar se as informações de uma pessoa específica foram visualizadas ou removidas.

O HHS OCR informa que 1.905.000 pessoas foram afetadas. Esse número corresponde à população abrangida pela notificação regulatória, e não a e-mails, linhas de um conjunto de dados local, uma contagem de pacientes ou uma prova de que todos os campos estavam presentes em conjunto para cada pessoa. Nenhum dado pessoal ou de saúde é importado localmente.

As sete categorias de dados, que variam conforme a pessoa, são nomes, endereços físicos, datas de nascimento, informações médicas, informações de seguro de saúde, informações de saúde protegidas e outras informações pessoais especificadas em uma notificação individual. Números de seguridade social, dados financeiros e documentos de identificação emitidos pelo governo não são informados como parte do escopo geral.

A notificação não comprova a identidade, a condição de paciente de dermatologia, um diagnóstico específico, um tratamento específico, um prestador de serviços de saúde específico ou um vínculo específico com uma seguradora, a presença conjunta de todos os campos, a remoção de dados ou o uso indevido. A data de 9 de dezembro de 2025 não faz parte do período do incidente; trata-se de uma data-limite legal em uma definição separada do grupo abrangido por um acordo judicial e não deve ser apresentada como parte do escopo do incidente.