HIPAA Breach Notification: Quy Trình Và Thời Hạn

HIPAA breach notification là nghĩa vụ thông báo khi unsecured PHI bị lộ, theo Breach Notification Rule (45 CFR 164.400–414). Covered entity báo cá nhân không chậm trễ và không quá 60 ngày từ khi phát hiện; báo HHS cùng lúc nếu từ 500 người trở lên; báo truyền thông nếu trên 500 cư dân một bang. Business associate báo covered entity trong cùng giới hạn 60 ngày.

Sự cố nào được coi là breach theo HIPAA?

Theo §164.402, breach là việc thu thập, truy cập, sử dụng hoặc tiết lộ PHI theo cách Privacy Rule không cho phép, làm tổn hại tính bảo mật hoặc riêng tư của PHI. Một sự cố như vậy mặc định là breach, trừ khi tổ chức chứng minh được xác suất PHI bị xâm phạm là thấp bằng đánh giá rủi ro theo 4 yếu tố:

Loại và mức độ PHI liên quan, gồm khả năng nhận dạng cá nhân.
Người không được phép đã dùng PHI hoặc nhận PHI là ai.
PHI có thực sự bị xem hoặc lấy đi không.
Rủi ro đã được giảm thiểu đến đâu.

Có ba ngoại lệ hẹp (ví dụ nhân viên có thẩm quyền vô tình truy cập với thiện chí và không tiết lộ tiếp). Nghĩa vụ thông báo chỉ áp dụng cho unsecured PHI: PHI đã được mã hóa hoặc hủy theo hướng dẫn của HHS không phải thông báo nếu bị lộ. Dữ liệu nào là PHI có trong PHI là gì.

Ai phải được thông báo và trong bao lâu?

Mọi mốc thời gian tính từ ngày phát hiện: ngày đầu tiên tổ chức biết, hoặc lẽ ra đã biết nếu thực hiện mức cẩn trọng hợp lý.

Thông báo cho	Khi nào áp dụng	Thời hạn	Căn cứ
Cá nhân bị ảnh hưởng	Mọi breach của unsecured PHI	Không chậm trễ bất hợp lý, không quá 60 ngày lịch từ khi phát hiện	§164.404
Truyền thông lớn tại bang/khu vực	Trên 500 cư dân của một bang hoặc khu vực tài phán	Như thông báo cá nhân	§164.406
HHS (Office for Civil Rights)	Từ 500 người trở lên	Cùng lúc với thông báo cá nhân	§164.408(b)
HHS (Office for Civil Rights)	Dưới 500 người	Ghi log, nộp không quá 60 ngày sau khi kết thúc năm dương lịch	§164.408(c)
Covered entity (do business associate báo)	Business associate phát hiện breach	Không chậm trễ bất hợp lý, không quá 60 ngày từ khi phát hiện; BAA thường đặt hạn ngắn hơn	§164.410

Breach từ 500 người trở lên được HHS đăng công khai trên cổng thông tin breach của HHS Office for Civil Rights. Nếu thiếu thông tin liên lạc của từ 10 người trở lên, cần thông báo thay thế (đăng trên website hoặc truyền thông, kèm số điện thoại miễn phí).

Thông báo cho cá nhân phải có nội dung gì?

§164.404(c) yêu cầu thông báo viết bằng ngôn ngữ dễ hiểu và gồm:

Mô tả ngắn chuyện gì đã xảy ra, ngày xảy ra và ngày phát hiện.
Loại PHI liên quan (tên, số an sinh xã hội, chẩn đoán…).
Các bước cá nhân nên làm để tự bảo vệ.
Tổ chức đang làm gì để điều tra, giảm thiểu và phòng ngừa.
Cách liên hệ để hỏi thêm (điện thoại miễn phí, email, website hoặc địa chỉ).

Thông báo gửi bằng thư, hoặc email nếu cá nhân đã đồng ý nhận email.

Incident response plan cho HIPAA breach cần những gì?

Ghi nhận mọi sự cố liên quan PHI ngay khi phát hiện, kèm thời điểm xảy ra và thời điểm phát hiện, vì đồng hồ 60 ngày chạy từ đó.
Đánh giá rủi ro theo 4 yếu tố và lưu kết luận, kể cả khi kết luận không phải breach; tổ chức chịu trách nhiệm chứng minh (§164.414).
Phân vai trước: ai điều phối (privacy official ở covered entity, security official ở business associate), ai soạn thông báo, ai liên hệ HHS và khách hàng.
Chuẩn bị template thông báo cá nhân, truyền thông và báo cáo cho covered entity theo nội dung ở trên.
Rà soát sau sự cố và cập nhật policy, training, control; liên hệ với risk analysis HIPAA để cập nhật rủi ro.

Vị trí của bước này trong toàn bộ chương trình có trong quy trình tuân thủ HIPAA; với business associate, điều khoản báo sự cố trong BAA được giải thích ở BAA HIPAA cho công ty outsource.

pTrackly hỗ trợ HIPAA breach notification thế nào?

Trong module Privacy của pTrackly, bạn ghi nhận incident với thời điểm xảy ra và phát hiện, chọn luật áp dụng (HIPAA Breach Notification Rule, GDPR hoặc luật khác), và đánh dấu có phải breach phải thông báo hay không. pTrackly tính các mốc HIPAA từ thời điểm phát hiện, nhắc khi sắp đến hạn hoặc quá hạn, và lưu lại thông báo đã gửi. pTrackly không quyết định sự cố có phải breach, không soạn hay gửi thông báo thay bạn; đánh giá rủi ro, nội dung thông báo và việc gửi cho cá nhân, HHS hay covered entity là trách nhiệm của tổ chức và luật sư của bạn. Xem pTrackly cho HIPAA.

Câu hỏi thường gặp

Nếu chưa chắc sự cố có phải breach thì có phải thông báo không?

Có, trừ khi bạn chứng minh được xác suất PHI bị xâm phạm là thấp qua đánh giá 4 yếu tố. Điều tra thêm không làm dừng đồng hồ 60 ngày tính từ khi phát hiện.

Business associate có phải báo trực tiếp cho HHS không?

Theo §164.410, business associate báo cho covered entity, và covered entity báo cá nhân, HHS và truyền thông. BAA có thể giao cho business associate thực hiện một phần việc thông báo, nên cần đọc kỹ hợp đồng.

PHI đã mã hóa bị lộ có phải thông báo không?

Không, nếu PHI được mã hóa theo hướng dẫn của HHS và khóa giải mã không bị lộ cùng; khi đó PHI không phải unsecured PHI.

Thông báo bằng tiếng Anh có đủ không?

Breach Notification Rule yêu cầu ngôn ngữ dễ hiểu. Nghĩa vụ hỗ trợ người không nói tiếng Anh có thể đến từ các luật liên bang khác, nên hãy hỏi luật sư của covered entity.