Novant Health eksponerte sensitive helseopplysninger om 1,36 millioner pasienter i USA over en periode på to år.
E-post, telefonnumre, IP-adresser, pasientens nødkontakt og lege, detaljer om konsultasjoner og tidspunkter, samt innhold tastet inn i fritekstfelt er berørt, melder Bleeping Computer.
Avviket oppsto da helseforetaket i mai 2020 skulle markedsføre en kampanje for vaksiner mot Covid-19, noe som inkluderte annonser på Facebook.
Datalekkasjen skyldes feilkonfigurasjon av Meta Pixel, tidligere kalt Facebook Pixel. Dette er en kodesnutt i JavaScript man kan plassere på en hvilken som helst nettside.
Scriptet brukes til å bygge brukerprofiler til målrettede annonser, analysere brukeradferd og måle konverteringer. Informasjonskapsler (cookies) inngår for å kartlegge brukere på tvers av Meta-nettverket, deriblant Facebook og Instagram.
Helsegigant bekrefter
Novant Heath er et nettverk som favner mer enn 35.000 ansatte og 1.800 leger fordelt på 800 sykehus og klinikker. De omsetter årlig for mer enn 7,4 milliarder dollar.
At scriptet som helsegiganten plasserte på egen pasientportal kunne overføre sensitive helseopplysninger til Facebook, ble de først gjort kjent med i mai 2022, etter at en journalist tok kontakt.
– Vi fjernet da Meta Pixel og iverksatte umiddelbart en undersøkelse, der vi forsøkte å avdekke hvilke, om noen, opplysninger som vi kan ha delt med Meta, skriver helseforetaket i en kunngjøring.
Senere den 17. juni konkluderte Novant Health at det er mulig at sensitive helseopplysninger har blitt overført til Meta.
Varslet om gruppesøksmål
I etterkant er det varslet flere søksmål mot Facebook-eier Meta Platforms, der fornærmede parter undersøker mulighetene for et gruppesøksmål. Meta blir anklaget for at sporingsverktøyet Meta Pixel og store amerikanske sykehus har medvirket til brudd på USAs personvernforordning Hipaa (Health Insurance Portability and Accountability Act) som beskytter medisinsk informasjon.
