Vilka frister gäller för anmälan av personuppgiftsincident enligt HIPAA?

• Federal nivå

  Underrättelse till berörda personer lämnas utan oskäligt dröjsmål och senast 60 kalenderdagar efter att intrånget upptäckts.

  45 CFR §§ 164.400 to 164.414

• Sektorregel

  Ett intrång som berör 500 eller fler invånare i en delstat kräver dessutom underrättelse till framträdande media och till departementet inom samma 60 dagar. Mindre intrång loggas och rapporteras årligen inom 60 dagar efter kalenderårets slut.

  HHS Breach Portal, notification to the Secretary

• Tillsyn

  Säkerhetsregeln kräver de administrativa, fysiska och tekniska skyddsåtgärder som intrångsanalysen mäts mot.

  45 CFR Part 164, Subpart C

• Anmälningsregeln räknar upptäckt från den dag intrånget är känt, eller borde ha varit känt vid rimlig aktsamhet, för någon i verksamheten.
• En otillåten användning eller utlämning presumeras vara ett intrång, om inte en riskbedömning i fyra steg visar låg sannolikhet för att skyddad hälsoinformation röjts.
• Ett personuppgiftsbiträde underrättar den ansvariga verksamheten utan oskäligt dröjsmål och senast 60 dagar efter upptäckt.

Fristen är ett tak, inte ett mål. Presumtionen innebär att verksamheten själv måste kunna visa den riskbedömning som ledde till att ingen anmälan gjordes.

Patienten får ett skriftligt besked om vad som hänt, vilka uppgifter som berörts och vilka åtgärder som kan vidtas. Den offentliga förteckningen listar incidenter från 500 personer och uppåt.

Registrera upptäcktsdatum för varje rapporterad händelse och genomför bedömningen i fyra steg skriftligt innan beslut fattas om att avstå från anmälan.

Alla amerikanska frågor