# 看護管理者は、850名の依頼者の保護対象保健情報(PHI)を含む病院支給ノートパソコンが8日前に職員の車両から盗難に遭ったことを発見した。ノートパソコンは暗号化されていたが、暗号化証明書がデバイスに貼られた付箋に記載されていた。HIPAA侵害通知規則に基づいて要求される行動をすべて選択せよ。

> source: MyMerci (mymerci.kr)  
> url: https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=ja  
> language: ja  
> subject: Confidentiality/Information Security  
> category: MOC

## 問題

看護管理者は、850名の依頼者の保護対象保健情報(PHI)を含む病院支給ノートパソコンが8日前に職員の車両から盗難に遭ったことを発見した。ノートパソコンは暗号化されていたが、暗号化証明書がデバイスに貼られた付箋に記載されていた。HIPAA侵害通知規則に基づいて要求される行動をすべて選択せよ。

1

500名超の影響のため、当該州または管轄区域の主要メディアに通知する

2

500名超の影響のため、米国保健福祉省に侵害を報告する

3

連絡先情報が不十分な15人について、90日間目立つようにウェブサイトに通知を掲載するか、主要なメディアを使用し、90日間有効なフリーダイヤル番号を提供する

4

PHI侵害が推定されると判断するために用いた4要素リスク評価を文書化する

5

侵害発見日から60日以内に影響を受けた各個人に書面で通知する

6

侵害報告を統合するため、次回の四半期コンプライアンス委員会まで通知を遅らせる

## 解説

添付された暗号化キーによりPHIが読み取り可能になり、インシデントが850人に影響を与えるため、HIPAA違反通知ルールが適用されます。オプション1は正しいです：州または管轄区域の500人以上の住民に影響を与える違反は、著名な地元メディアへの通知を必要とします。オプション2は正しいです：HHS長官に不当な遅延なく、遅くとも60日以内に通知しなければなりません。オプション3は正しいです：15人の連絡先情報が不十分であるため、少なくとも90日間ウェブサイトに目立つように代理通知を掲載するか、主要な印刷または放送メディアに掲載し、少なくとも90日間有効なフリーダイヤル番号を提供しなければなりません。オプション4は正しいです：事業体は、違反の決定およびPHIが侵害された確率に関する4要素のリスク評価を文書化しなければなりません。オプション5は正しいです：影響を受ける個人に、不当な遅延なく、遅くとも発見後60暦日以内に通知しなければなりません。オプション6は正しくありません。四半期会議を待つことで通知期限に違反する可能性があるためです。

## 詳細解説

HIPAA侵害通知 — 500名超の場合
60日期限 + 個別通知 + HHS報告 + メディア通知 + 90日連絡窓口。すべて同時に必須。

暗号化セーフハーバー
適切に暗号化されたPHIは通常通知不要 — しかし本例では暗号化キーが物理的にデバイスに付随。セーフハーバー無効、侵害推定。

4要素リスク評価
1. PHIの性質・範囲
2. 受信者
3. 実際の取得・閲覧の有無
4. 緩和策

誤答
5: 四半期会議遅延 = 60日法定期限違反。

NCSBNテーマ
MOC — 守秘義務/情報技術/法的責任。

## 臨床シナリオ

シナリオ
従業員の車両から病院のノートパソコンが8日前に盗まれた。

対象範囲
- ノートパソコンにPHIを有する850人
- 15人の影響を受ける個人の連絡先情報が不十分または古い
- デバイスは暗号化されていたが、暗号化証明書がそれに添付されていた

状況
- 60日間の通知期間内
- 鍵が添付されていたため、暗号化セーフハーバーは適用されない

トリガー
少なくとも500人の影響を受ける個人がいる場合、個人、HHS、およびメディアへの通知が必要。少なくとも10人の連絡先情報がない場合も代理通知の対象となる。

## 重要概念

- **HIPAA侵害通知規則** — 45 CFR Part 164 Subpart D — PHI侵害時に対象機関およびビジネスアソシエイトが影響を受けた個人・HHS・(州または管轄で500名超のとき)メディアに定められた期限内に通知することを要求する連邦規則。標準期限:発見から60暦日内に個別通知。500名未満の侵害は年次ログ。
- **暗号化セーフハーバー** — HIPAA下では、無許可者が使用・読み取り・解読できないように適切に暗号化されたPHIは通常侵害ではない。暗号化キーが暗号化デバイスと共に保管されている場合(付箋・デバイス上のファイル・初期パスワード未変更)はセーフハーバー無効となる。
- **4要素リスク評価** — PHI侵害が不確実な場合に要求される文書化:(1)関与PHIの性質・範囲(感度)、(2)PHIを使用または受領した無許可者、(3)PHIが実際に取得・閲覧されたか、(4)緩和努力。4要素が侵害可能性の低さを示さない限り、侵害が推定される。

## 同じテーマの問題

- [A nurse reviews several scenarios involving client information. Which scenarios represent …](https://mymerci.kr/pages/nclex_q.php?qn_id=363986&lang=ja)
- [A nurse discovers that a discharge summary containing protected health information was fax…](https://mymerci.kr/pages/nclex_q.php?qn_id=393393&lang=ja)
- [The charge nurse reviews eight uses or disclosures of protected health information. Drag e…](https://mymerci.kr/pages/nclex_q.php?qn_id=396455&lang=ja)
- [Review the timeline after protected health information is sent to the wrong recipient and …](https://mymerci.kr/pages/nclex_q.php?qn_id=535414&lang=ja)
- [Review the timeline after protected health information is sent to the wrong recipient and …](https://mymerci.kr/pages/nclex_q.php?qn_id=568927&lang=ja)

## 他の言語で読む

- [en](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=en)
- [ko](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=ko)
- [ja](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=ja)
- [zh-TW](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=zh-tw)
- [vi](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=vi)

---

More free questions: [NCLEX-RN 問題](https://mymerci.kr/pages/nclex_bank.php?lang=ja)

_学習参考用です。実際の臨床は最新のガイドラインと所属機関のプロトコルに従ってください。_