Vazamento de dados de Gryphon Healthcare 2024

Um documento protocolado na Califórnia informa 6 de julho de 2024 como a data conhecida da violação. A Gryphon tomou conhecimento do ocorrido em 13 de agosto, concluiu a análise dos arquivos em 3 de setembro e enviou notificações pelo correio em 11 de outubro.

A organização informou que pacientes atuais e antigos podem ter sido afetados e que os campos de dados variavam de pessoa para pessoa. As informações possivelmente envolvidas incluíam nomes, datas de nascimento, endereços, números do Seguro Social, datas de atendimento, diagnósticos, seguro de saúde, tratamentos, prescrições, prestadores de serviços de saúde e números de prontuários médicos. As expressões “informações de saúde protegidas” e “informações médicas”, esta última genérica, não representam grupos adicionais de pessoas além daqueles abrangidos pelos campos de dados listados.

A notificação da empresa não divulga uma contagem; documentos jurídicos e reportagens posteriores mencionam aproximadamente 393.358 pessoas potencialmente afetadas. Esse número corresponde à população abrangida pela notificação, não a contas, e-mails, linhas de um conjunto de dados ou vítimas confirmadas. A Gryphon afirmou que não tinha evidências de uso indevido até a data da notificação; isso não torna impossível um uso indevido posterior.

Não há um conjunto de dados local com registros individuais ou PHI. O incidente não identifica ninguém como paciente atual, pessoa com determinado diagnóstico ou que tenha recebido determinado tratamento ou prescrição, pessoa segurada ou destinatária dos serviços de um determinado prestador. As associações com o Seguro Social e com serviços de saúde devem permanecer privadas, e quem recebeu a notificação diretamente deve consultar registros de crédito ou registros de saúde e de seguro apenas na medida em que forem pertinentes aos campos indicados em sua própria carta.