HIPAA泄露通知流程图
HIPAA泄露通知流程：遏制事件、保全证据、由合格隐私人员评估、批准并发送适用通知、记录责任交接、落实补救并结案。
什么是hipaa泄露通知流程
疑似隐私或安全事件先要在保留证据的前提下遏制。安全团队可撤销访问、追回设备或阻止披露，同时保留日志、消息和接收方资料。报告人按发现日期和已知事实建立事件记录；安全/IT识别涉及的数据、系统、人员和接收方。隐私负责人判断是否涉及未受保护的PHI并完成书面风险评估。若未能证明受损可能性很低，机构应明确通知责任、准备适用通知、执行获批沟通、补救弱点并保存完整决定记录。
本图只涵盖泄露通知，并不是完整HIPAA隐私或安全计划。它不定义最少必要访问、不完成企业风险分析、不设定保留期，也不取代business associate协议；它也不假设每起安全事件都是须报告泄露。“涉及未受保护的**PHI**吗？”和“已证明受损可能性很低吗？”须由合格隐私负责人在需要时结合律师意见判断，而不是自动评分。本模板不是医疗或法律建议，也不保证符合HIPAA、州法、合同、监管或认证要求。
流程图清楚显示covered entity与business associate的交接。一方可能发现并遏制事件，另一方则负责通知个人、HHS或媒体。“本机构负责个人通知吗？”把不负责通知的一方导向有记录的交接，避免重复或漏发。五条泳道还把技术事实、隐私判断、获批信息和业务补救分开。
本流程图涵盖的内容
本模板包含
- 五条泳道，从遏制、证据保全、合格评估和通知计划，到执行、补救及结案
- 保留日志和接收方证据的遏制措施，以及在最终泄露判断前记录发现日期的事件档案
- 由隐私负责人依据书面事实决定“涉及未受保护的**PHI**吗？”和“已证明受损可能性很低吗？”
- 核对covered entity与business associate责任，记录个人通知负责人和合同交接
- 分别准备个人、媒体、司法辖区和HHS通知，再通过一个获批沟通路径执行
- 技术或流程补救、业务负责人验证，以及隐私负责人结案前保留泄露或非泄露理由
何时使用本模板
- 医疗机构或服务商要梳理疑似未经授权访问、使用或披露PHI后的响应
- 安全工单在遏制后直接关闭，缺少书面隐私评估或通知负责人
- covered entity与business associate需要明确交接事实、合同通知和责任
- 隐私、法务、沟通和运营各自维护任务清单，缺少统一依赖视图
- 配置案件管理系统前，需要先定义决定记录、接收方核对和补救验证
运作方式
梳理covered entity和business associate角色
按每项服务和供应商关系指定首报接收人、技术调查人、泄露评估人和各项通知负责人，并链接现行协议。
定义保留证据的遏制措施
列出误发消息、丢失设备、暴露门户和账户受侵时的获批动作，以及重建或删除前必须保存的日志和资料。
连接合格评估工作表
由隐私负责人和律师维护现行法律因素、排除情形和证据标准，不要把四因素审查改成自动数值答案。
建立辖区和时限矩阵
列明联邦、州、合同及其他通知的负责人、渠道和时限，并由合格法律人员核实现行要求。
准备并批准沟通材料
确定由谁核实受影响人群、起草和批准信息、处理退信及答复来电，并把发送结果核对回事件档案。
演练两种结果
分别测试有书面非泄露理由的情形和需要个人及监管通知的情形，检查证据、批准、交接和补救。
常见问题
HIPAA泄露通知流程有哪些步骤？
在保留证据的前提下遏制事件，记录发现日期，并识别PHI、人员、系统和接收方。隐私负责人判断是否涉及未受保护的PHI并完成风险评估。若不能证明受损可能性很低，则确定责任方和受影响人员，准备、批准并发送适用的个人、HHS、媒体或其他通知，核对送达结果，补救弱点，验证后保存评估和批准再结案。
HIPAA泄露风险评估考虑什么？
45 CFR 164.402至少列出PHI的性质和范围、未经授权的接收者、信息是否实际被取得或查看，以及风险得到缓解的程度。排除情形和信息是否受保护也很重要。应用这些因素需要合格判断，本图不会代替决定。
HIPAA泄露通知时限是什么？
联邦规则通常要求在没有不合理延误的情况下通知个人，且不得晚于发现泄露后60个日历日。HHS和媒体时限部分取决于人数和地区，business associate另有向covered entity通知的义务。州法和合同可能更快，应由律师核对45 CFR 164.404至164.410及适用规则。
每起医疗安全事件都会成为HIPAA泄露吗？
不会。事件可能不涉及PHI，信息可能已受保护，可能适用排除情形，或事实足以证明受损可能性很低。小规模误披露同样可能需要评估。安全团队提供技术事实，隐私负责人记录结论。
本模板保证HIPAA合规吗？
不保证。它是可定制运营图，不是医疗或法律建议、HIPAA风险分析、完整政策或合规证明。合格隐私和法律人员应审查完成后的流程及每项重大判断。