HIPAA資料外洩通知流程圖
HIPAA資料外洩通知流程：遏止事件、保存證據、由合資格私隱人員評估、批准並發出適用通知、記錄責任交接、補救及結案。
甚麼是hipaa資料外洩通知流程
懷疑私隱或保安事件先要在保存證據下遏止。保安團隊可撤銷存取、追回裝置或停止披露，同時保留日誌、訊息和接收者資料。報告人按發現日期和已知事實開立事件紀錄；保安 / IT識別涉及的資料、系統、人員和接收者。私隱主管判斷是否涉及未受保障的PHI並完成書面風險評估。若未能證明資料受損機會很低，機構便要明確通知責任、準備適用通知、執行獲批溝通、補救弱點及保存完整決定。
本圖只處理外洩通知，不是完整HIPAA私隱或保安計劃。它不界定最少必要存取、不完成企業風險分析、不訂保留期，也不取代business associate協議；亦不假設每宗保安事件都是須通報外洩。「涉及未受保障的**PHI**嗎？」和「已證明資料受損機會很低嗎？」須由合資格私隱主管在需要時結合法律意見決定，不可自動評分。本範本不是醫療或法律意見，亦不保證符合HIPAA、州法、合約、監管或認證要求。
流程圖清楚顯示covered entity與business associate的交接。一方可能發現及遏止事件，另一方負責通知個人、HHS或傳媒。「本機構負責個人通知嗎？」把不負責的一方帶到有紀錄的交接，避免重複或遺漏。五條泳道亦把技術事實、私隱判斷、獲批訊息和營運補救分開。
本流程圖涵蓋的內容
本範本包含
- 五條泳道，由遏止、證據保存、合資格評估和通知計劃，到執行、補救及結案
- 保留日誌和接收者證據的遏止措施，以及最終外洩判斷前已記錄發現日期的事件檔案
- 由私隱主管按書面事實決定「涉及未受保障的**PHI**嗎？」和「已證明資料受損機會很低嗎？」
- 核對covered entity與business associate責任，記錄個人通知負責人和合約交接
- 分別準備個人、傳媒、司法管轄區和HHS通知，再透過獲批溝通路徑執行
- 技術或流程補救、業務主管核實，以及私隱主管結案前保存外洩或非外洩理由
何時使用本範本
- 醫療機構或服務供應商要整理懷疑未經授權存取、使用或披露PHI後的應對
- 保安工單在遏止後直接關閉，沒有書面私隱評估或通知負責人
- covered entity與business associate需要明確交接事實、合約通知和責任
- 私隱、法律、傳訊和營運各自保留工作清單，缺少一致依賴視圖
- 設定個案管理系統前，要先界定決定紀錄、接收者核對和補救驗證
運作方式
整理covered entity和business associate角色
按每項服務和供應商關係指定首報接收人、技術調查人、外洩評估人和各通知負責人，並連結現行協議。
界定保存證據的遏止措施
列出誤發訊息、遺失裝置、暴露入口網站和帳戶受侵時的獲批行動，以及重建或刪除前須保存的日誌和資料。
連接合資格評估工作表
由私隱主管和法律顧問維護現行因素、排除情況和證據標準，不要把四因素覆核變成自動數值答案。
建立司法管轄區和期限矩陣
列出聯邦、州、合約和其他通知的負責人、渠道和期限，並由合資格法律人員核實。
準備及批准溝通材料
確定由誰核實受影響人士、草擬和批准訊息、處理退件及回覆查詢，並把發送結果核對回事件檔案。
演練兩種結果
分別測試有書面非外洩理由和需要個人及監管通知的情況，檢查證據、批准、交接和補救。
常見問題
HIPAA資料外洩通知有哪些步驟？
在保存證據下遏止事件，記錄發現日期，並識別PHI、人員、系統和接收者。私隱主管判斷是否涉及未受保障PHI及評估風險。若不能證明受損機會很低，便確定責任方和受影響人士，準備、批准和發出適用通知，核對送達結果，補救弱點，驗證後保存評估和批准再結案。
HIPAA外洩風險評估考慮甚麼？
45 CFR 164.402至少列出PHI性質和範圍、未獲授權的接收者、資料是否實際被取得或看過，以及風險獲緩解程度。排除情況和資料保障亦重要。應用因素需要合資格判斷，本圖不會代替決定。
HIPAA外洩通知期限是甚麼？
聯邦規則一般要求在沒有不合理延誤下通知個人，且不遲於發現外洩後60個曆日。HHS和傳媒期限部分視乎人數及地區，business associate另有通知covered entity責任。州法和合約可更快，應由法律顧問核對45 CFR 164.404至164.410。
每宗醫療保安事件都會成為HIPAA外洩嗎？
不會。事件可能不涉及PHI、資料已受保障、適用排除情況，或事實足以證明受損機會很低。小規模誤披露亦可能需要評估。保安提供技術事實，私隱主管記錄結論。
本範本保證HIPAA合規嗎？
不保證。它是可自訂營運圖，不是醫療或法律意見、HIPAA風險分析、完整政策或合規證明。合資格私隱和法律人員應覆核完成後流程及每項重大判斷。