# 一位護理經理發現，一台醫院發放的筆記型電腦，內含 850 名客戶的受保護健康資訊 (PHI)，於 8 天前從員工車輛中被盜。該筆記型電腦已加密，但加密憑證貼在裝置上的便利貼上。根據 HIPAA 違規通報規則，哪些行動是必須的？請選出所有適用項目。

> source: MyMerci (mymerci.kr)  
> url: https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=zh-tw  
> language: zh-TW  
> subject: Confidentiality/Information Security  
> category: MOC

## 題目

一位護理經理發現，一台醫院發放的筆記型電腦，內含 850 名客戶的受保護健康資訊 (PHI)，於 8 天前從員工車輛中被盜。該筆記型電腦已加密，但加密憑證貼在裝置上的便利貼上。根據 HIPAA 違規通報規則，哪些行動是必須的？請選出所有適用項目。

1

由於影響超過500人，通知該州或管轄區的主要媒體

2

由於影響超過500人，向美國衛生與公眾服務部報告違規

3

對於 15 名聯絡資訊不足的人員，在網站上張貼顯著通知為期 90 天，或使用主要媒體並提供一個有效期為 90 天的免付費電話號碼

4

記錄用以判定PHI受損推定的4要素風險評估

5

在發現違規後60個日曆日內以書面通知每位受影響的個人

6

為合併違規報告，將通知延至下一季法規遵循委員會會議

## 解析

HIPAA 資料外洩通知規則適用，因為附帶的加密金鑰使 PHI 變得可讀，且該事件影響了 850 名個人。選項 1 正確：影響某州或司法管轄區超過 500 名居民的資料外洩事件需要通知顯著的當地媒體。選項 2 正確：必須在無不當延遲的情況下通知 HHS 部長，且不得晚於 60 天。選項 3 正確：因為 15 人的聯絡資訊不足，必須在網站上顯著張貼替代通知至少 90 天，或置於主要平面或廣播媒體，並提供一個有效期至少為 90 天的免付費電話號碼。選項 4 正確：該實體必須記錄其資料外洩判定以及關於 PHI 受到危害機率的四項因素風險評估。選項 5 正確：必須在無不當延遲的情況下通知受影響個人，且不得晚於發現後 60 個日曆天。選項 6 不正確，因為等待季度會議可能會違反通知期限。

## 深入解析

HIPAA違規通知 — 超過500人時
60日期限 + 個人通知 + HHS報告 + 媒體通知 + 90日聯絡管道。全部同時必須。

加密安全港
適當加密之PHI通常不視為違規 — 但本案加密金鑰實體與裝置同處。安全港失效;推定受損。

4要素風險評估
1. PHI性質與範圍
2. 接收者
3. 是否實際被取得或檢視
4. 緩解措施

錯誤答案
5: 季度會議延誤 = 60日法定期限違反。

NCSBN主題
MOC — 機密性/資訊技術/法律責任。

## 臨床情境

情境
醫院筆記型電腦於 8 天前自員工車輛中被竊。

範圍
- 筆記型電腦中含有 850 名個人的 PHI
- 15 名受影響個人的聯絡資訊不足或已過時
- 裝置已加密，但加密憑證附於其上

狀態
- 在 60 天的通知窗口內
- 加密安全港不適用，因為金鑰附於其上

觸發條件
至少 500 名受影響個人需要進行個人、HHS 和媒體通知；至少 10 人缺少聯絡資訊也會觸發替代通知。

## 重要概念

- **HIPAA違規通知規則** — 45 CFR Part 164 Subpart D — 要求PHI違規時，適用實體與業務夥伴在規定期限內通知受影響個人、HHS及(於州或管轄超過500人時)媒體之聯邦規則。標準期限:發現後60個日曆日內進行個人通知。500人以下之違規列入年度日誌。
- **加密安全港** — HIPAA下，被適當加密致無授權者無法使用、讀取或解碼之PHI通常不算違規。當加密金鑰與加密裝置共置(便利貼、裝置內檔案、未變更預設密碼)時，安全港失效。
- **4要素風險評估** — PHI受損不確定時要求之記錄:(1)涉及PHI之性質與範圍(敏感度),(2)使用或接收PHI之無授權者,(3)PHI是否實際被取得或檢視,(4)緩解努力。除非4要素證明受損可能性低，否則推定受損。

## 相同主題題目

- [A nurse reviews several scenarios involving client information. Which scenarios represent …](https://mymerci.kr/pages/nclex_q.php?qn_id=363986&lang=zh-tw)
- [A nurse discovers that a discharge summary containing protected health information was fax…](https://mymerci.kr/pages/nclex_q.php?qn_id=393393&lang=zh-tw)
- [The charge nurse reviews eight uses or disclosures of protected health information. Drag e…](https://mymerci.kr/pages/nclex_q.php?qn_id=396455&lang=zh-tw)
- [Review the timeline after protected health information is sent to the wrong recipient and …](https://mymerci.kr/pages/nclex_q.php?qn_id=535414&lang=zh-tw)
- [Review the timeline after protected health information is sent to the wrong recipient and …](https://mymerci.kr/pages/nclex_q.php?qn_id=568927&lang=zh-tw)

## 以其他語言閱讀

- [en](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=en)
- [ko](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=ko)
- [ja](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=ja)
- [zh-TW](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=zh-tw)
- [vi](https://mymerci.kr/pages/nclex_q.php?qn_id=368101&lang=vi)

---

More free questions: [NCLEX-RN 題庫](https://mymerci.kr/pages/nclex_bank.php?lang=zh-tw)

_僅供學習參考。實際臨床請遵循最新指引與所屬機構規範。_