一位護理經理發現，一台醫院發放的筆記型電腦，內含 850 名客戶的受保護健康資訊 (PHI)，於 8 天前從員工車輛中被盜。該筆記型電腦已加密，但加密憑證貼在裝置上的便利貼上。根據 HIPAA 違規通報規則，哪些行動是必須的？請選出所有適用項目。

HIPAA 資料外洩通知規則適用，因為附帶的加密金鑰使 PHI 變得可讀，且該事件影響了 850 名個人。選項 1 正確：影響某州或司法管轄區超過 500 名居民的資料外洩事件需要通知顯著的當地媒體。選項 2 正確：必須在無不當延遲的情況下通知 HHS 部長，且不得晚於 60 天。選項 3 正確：因為 15 人的聯絡資訊不足，必須在網站上顯著張貼替代通知至少 90 天，或置於主要平面或廣播媒體，並提供一個有效期至少為 90 天的免付費電話號碼。選項 4 正確：該實體必須記錄其資料外洩判定以及關於 PHI 受到危害機率的四項因素風險評估。選項 5 正確：必須在無不當延遲的情況下通知受影響個人，且不得晚於發現後 60 個日曆天。選項 6 不正確，因為等待季度會議可能會違反通知期限。