Filtración de datos de Medicaid en DC (unas 400.000 personas): IDs de Medicaid que quedaron en informes publicados — qué deben hacer los afiliados y quienes publican informes

DHCF está enviando cartas individuales a las personas afectadas. Las afectadas son beneficiarias de Medicaid y de DC Healthcare Alliance (un programa de cobertura sanitaria financiado por el Distrito de Columbia).

Si tienen preguntas, llamen a la línea gratuita 1-833-687-5424 indicada en el aviso de DHCF. Si alguien llama o escribe pidiendo sus datos "sobre el incidente", cuelguen y llamen ustedes mismos a ese número.

Los datos expuestos incluían números de ID de Medicaid y fechas de nacimiento. Se usan en la recepción y para verificar la cobertura, por lo que es razonable vigilar que alguien no esté usando su cobertura (robo de identidad médica).

Revisen los avisos de sus proveedores y de su plan de salud por visitas o recetas que no reconocen. Si encuentran alguna, llamen a la línea de DHCF; también pueden denunciarlo en identitytheft.gov, de la Comisión Federal de Comercio (FTC).

Según el aviso, no se incluyeron nombres ni números de la Seguridad Social. Aun así, DHCF recomienda tres medidas:

• Soliciten sus informes de crédito gratuitos en annualcreditreport.com y busquen cuentas que no abrieron
• Coloquen una alerta de fraude con las agencias de crédito
• Coloquen un congelamiento de seguridad con Equifax, Experian y TransUnion

El congelamiento es gratuito, y pueden levantarlo temporalmente cuando soliciten crédito ustedes mismos.

El aviso de DHCF menciona la FTC, la Oficina del Fiscal General del DC (202-727-3400) y las fuerzas del orden como lugares donde denunciar un posible robo de identidad. No respondan a mensajes que usen las cartas o la cobertura noticiosa como excusa para pedir su ID de Medicaid o datos bancarios.

No publiquen su archivo de trabajo tras ocultar o borrar partes de él. Creen un archivo público aparte: una exportación CSV solo con las columnas necesarias, o un libro nuevo con los valores pegados. Las filas de origen y las hojas ocultas nunca entrarán en él.

Como decidió la ciudad de Okawa en sus medidas de prevención, publicar en PDF o HTML es una opción. Incluso en un PDF, sin embargo, un recuadro negro dibujado sobre el texto puede dejar el texto debajo copiable. Usen la función de redacción de su editor de PDF.

Incluso una tabla de totales puede identificar a una persona cuando una celda contiene una o dos personas para un distrito, edad y sexo determinados. Los Centros de Servicios de Medicare y Medicaid de EE. UU. (CMS) tienen la política de no publicar celdas de 1 a 10 personas. Antes de publicar, sustituyan los recuentos pequeños por algo como "menos de 11".

Con herramientas de paneles como Power BI o Tableau, la pantalla puede mostrar un gráfico mientras todo el conjunto de datos subyacente se envía al navegador, o puede extraerse mediante las opciones "mostrar datos" o "descargar". Filtrar datos fuera de la vista no equivale a eliminarlos.

Conecten los paneles públicos únicamente a un conjunto de datos agregado sin filas por persona, y desactiven la descarga de datos si no la necesitan. La opción "Publicar en web" de Power BI hace que un informe sea visible para cualquiera que tenga el enlace.

Justo después de publicar, descarguen el archivo en un navegador en el que no hayan iniciado sesión y ábranlo como lo haría una persona externa. En una hoja de cálculo, muestren todas las hojas y ejecuten Inspeccionar documento; en un panel, usen las herramientas de desarrollador del navegador (pestaña Red) para ver qué datos llegan realmente.

Que esta comprobación la haga alguien distinto de quien elaboró el archivo facilita detectar lo que el autor pasó por alto.

Los informes de DHCF permanecieron en línea casi tres años, desde 2023. Mantengan una lista de los archivos de su sitio web y revisen su contenido al menos una vez al año. Al sustituir o borrar un archivo, confirmen que el archivo antiguo ya no se abre en su URL anterior.