간호 관리자가 8일 전 직원 차량에서 도난당한 병원 지급 노트북에 대상자 850명의 보호 건강 정보(PHI)가 포함되어 있음을 발견했습니다. 노트북은 암호화되어 있었지만, 암호화 인증서가 장치에 부착된 포스트잇에 적혀 있었습니다. HIPAA 위반 통지 규칙에 따라 필요한 조치는 무엇입니까? 해당되는 모든 것을 고르십시오.
Select All That Apply
답을 선택한 뒤 정답을 확인하세요.
해설
첨부된 암호화 키로 인해 PHI를 읽을 수 있게 되고 사고가 850명에게 영향을 미치므로 HIPAA 침해 통지 규칙이 적용됩니다. 옵션 1은 올바릅니다: 주 또는 관할 지역의 거주자 500명 이상에게 영향을 미치는 침해는 저명한 지역 언론에 통지해야 합니다. 옵션 2는 올바릅니다: HHS 장관에게 부당한 지체 없이, 그리고 늦어도 60일 이내에 통지해야 합니다. 옵션 3은 올바릅니다: 15명의 연락처 정보가 불충분하므로, 대체 통지를 웹사이트에 최소 90일 동안 눈에 띄게 게시하거나 주요 인쇄 또는 방송 매체에 게시해야 하며, 최소 90일 동안 활성화된 수신자 부담 전화번호를 제공해야 합니다. 옵션 4는 올바릅니다: 기관은 침해 결정과 PHI가 유출되었을 가능성에 관한 4가지 요소 위험 평가를 문서화해야 합니다. 옵션 5는 올바릅니다: 영향을 받은 개인은 발견 후 부당한 지체 없이, 그리고 늦어도 60 역일 이내에 통지받아야 합니다. 옵션 6은 분기별 회의를 기다리면 통지 기한을 위반할 수 있으므로 올바르지 않습니다.
HIPAA 위반 통지 — >500명 시 60일 기한 + 개인 통지 + HHS 보고 + 미디어 통지 + 90일 연락선 운영. 모두 동시에 필수.
암호화 Safe Harbor 적절히 암호화된 PHI는 통상 통지 대상 아님 — 그러나 본 사례는 암호화 키가 기기에 물리적으로 동반. Safe harbor 무효; 침해 추정.
4요소 위험 평가 1. PHI의 성격·범위 2. 무권한 수신자 3. 실제 획득·열람 여부 4. 완화 조치
오답 5: 분기 회의 지연 = 60일 법정 기한 위반.
NCSBN 테마 MOC — 비밀보호 / 정보 기술 / 법적 책임.
시나리오직원 차량에서 병원 노트북이 8일 전에 도난당함.
범위- 노트북에 PHI가 포함된 850명- 15명의 영향을 받은 개인의 연락처 정보가 불충분하거나 오래됨- 기기는 암호화되었지만, 암호화 인증서가 기기에 첨부되어 있었음
상태- 60일 통지 기간 내에 있음- 키가 첨부되어 있었으므로 암호화 안전 항구 조항이 적용되지 않음
트리거최소 500명의 영향을 받은 개인은 개인, HHS 및 언론 통지가 필요함; 최소 10명의 연락처 정보가 누락된 경우 대체 통지도 트리거됨.
HIPAA 위반 통지 규정 — 45 CFR Part 164 Subpart D — PHI 위반 시 적용 대상 기관과 비즈니스 어소시에이트가 영향받은 개인·HHS·(주·관할 500명 초과 시) 미디어에 정해진 기한 내 통지하도록 요구하는 연방 규정. 표준 기한: 발견일로부터 60일 이내 개인 통지. 500명 미만 위반은 연간 로그.
암호화 Safe Harbor — HIPAA 하에서 무권한자가 사용·읽기·해독할 수 없도록 적절히 암호화된 PHI는 통상 위반이 아니다. 암호화 키가 암호화된 기기와 함께 보관될 때(메모지·기기 내 파일·기본 비밀번호 미변경) safe harbor는 상실된다.
4요소 위험 평가 — PHI 침해가 불확실할 때 요구되는 문서화: (1) PHI의 성격·범위(민감도), (2) PHI를 사용·수령한 무권한자, (3) PHI가 실제로 획득·열람되었는지, (4) 완화 노력. 4요소가 침해 가능성이 낮음을 입증하지 않는 한 침해가 추정된다.