Hvilke frister gjelder for varsling om brudd etter HIPAA?

• Føderalt nivå

  Varsel til berørte personer sendes uten ugrunnet opphold og senest 60 kalenderdager etter at bruddet ble oppdaget.

  45 CFR §§ 164.400 to 164.414

• Sektorregel

  Et brudd som berører 500 eller flere innbyggere i en delstat krever også varsel til fremtredende medier og til departementet innen de samme 60 dagene. Mindre brudd loggføres og rapporteres årlig innen 60 dager etter kalenderårets slutt.

  HHS Breach Portal, notification to the Secretary

• Tilsyn

  Sikkerhetsregelen krever de administrative, fysiske og tekniske sikringstiltakene som bruddanalysen måles mot.

  45 CFR Part 164, Subpart C

• Varslingsregelen regner oppdagelse fra den dagen bruddet er kjent, eller burde vært kjent ved rimelig aktsomhet, for noen i virksomheten.
• En utillatt bruk eller utlevering presumeres å være et brudd, med mindre en risikovurdering i fire trinn viser lav sannsynlighet for at helseopplysninger er kompromittert.
• En databehandler varsler den ansvarlige virksomheten uten ugrunnet opphold og senest 60 dager etter oppdagelse.

Fristen er et tak, ikke et mål. Presumsjonen betyr at virksomheten selv må kunne vise risikovurderingen som førte til at varsel ikke ble gitt.

Pasienten får skriftlig melding om hva som skjedde, hvilke opplysninger som var berørt og hvilke tiltak som kan treffes.

Registrer oppdagelsesdato for hver rapportert hendelse og gjennomfør firetrinnsvurderingen skriftlig før beslutning om å ikke varsle.

Alle amerikanske spørsmål