Notificación de incumplimiento

Nombre:  Política de notificación de incumplimiento

Tipo de documento: Procedimiento de política    X Estándar X Instrucciones de entrenamiento / trabajo

Estándar: Para describir el proceso para notificar a las personas afectadas de una violación de la información protegida bajo la Ley de Privacidad, la información de salud protegida no segura (PHI) para los propósitos de la Ley de Portabilidad y Responsabilidad de Seguros de Salud de 1996 (HIPAA), Tecnología de Información de Salud para Asuntos Económicos y Clínicos. Health Act (HITECH) y / o con fines de notificación de incumplimiento estatal.

Alcance

Esto se aplica a todos los empleados, voluntarios y otras personas que trabajen bajo acuerdos contractuales con SHS.

A. Definiciones

Violación del estado - Adquisición no autorizada o creencia razonable de adquisición no autorizada de Información personal que comprometa la seguridad, confidencialidad o integridad de la Información personal.
Informacion personal - significa el nombre o la inicial y el apellido de una persona en combinación con uno o más de los siguientes elementos de datos, cuando el nombre o los elementos de datos no están encriptados o redactados:

1. Número de seguridad social
2. Número de licencia de conducir o número de tarjeta de identificación estatal
3. Número de cuenta o número de tarjeta de crédito o débito, o
4. Un número de cuenta del número de tarjeta de crédito en combinación con cualquier código de seguridad, código de acceso o contraseña que permita el acceso a la cuenta financiera de una persona.

La información personal no incluye información disponible públicamente que esté legalmente disponible para el público en general a partir de registros del gobierno federal, estatal o local. (Fuente 815 ILCS 530/5) Sec. 5. Definiciones).

Incumplimiento de HIPAA - Adquisición, acceso, uso o divulgación no autorizados de PHI no segura.

Información de identificación personal (PII) - Información en cualquier forma que consista en una combinación del nombre de una persona y uno o más de los siguientes: Número de Seguro Social, licencia de conducir o identificación estatal, números de cuenta, números de tarjetas de crédito, números de tarjetas de débito, código personal, código de seguridad, contraseña, número de identificación personal, fotografía, huella digital u otra información que pueda usarse para identificar a una persona.

Información de salud de identificación individual (IIHI) - PII que incluye información relacionada con la condición, tratamiento, pago o provisión de atención médica pasada, presente o futura a la persona identificada.

Violación de la ley de privacidad - Adquisición no autorizada o creencia razonable de adquisición no autorizada de información personal protegida por la Ley de Privacidad. Esta información incluye, entre otros, el número de seguro social, los números de identificación emitidos por el gobierno, los números de cuentas financieras u otra información que presente un riesgo de robo de identidad.

Información privada - Información protegida por la Ley de privacidad, información de identificación personal, información personal e información de salud protegida en conjunto.

Información de salud protegida (PHI) - Información de salud identificable individualmente, excepto los registros educativos cubiertos por FERPA y los registros de empleo.

B. Procedimiento

1. Informar una posible infracción
   1. Notificar al supervisor y al funcionario de HIPAA: cualquier empleado que tenga conocimiento de una posible violación de la privacidad que involucre información privada bajo la custodia o el control de SHS informará inmediatamente a su supervisor / gerente y al funcionario de HIPAA. La notificación debe ocurrir inmediatamente después del descubrimiento de una posible infracción o antes del final de su turno si interfieren otras tareas, sin embargo, en ningún caso la notificación debe ocurrir después de veinticuatro (24) horas después del descubrimiento. El supervisor / gerente verificará las circunstancias de la posible infracción e informará al oficial de HIPAA y al director de la división dentro de las veinticuatro (24) horas posteriores al informe inicial.
   2. Notificar al oficial de HIPAA - métodos de notificación:
      1. Se completará un informe de sucesos inusuales y se enviará por fax al administrador de riesgos, 618-985-6860
      2. Puede llamar al oficial de HIPAA directamente al 618-956-9506.
      3. Proporcione al oficial de HIPAA tantos detalles como sea posible.
      4. Responda a las solicitudes de información adicional del oficial de HIPAA.
      5. Tenga en cuenta que el funcionario de HIPAA tiene la obligación de dar seguimiento a cualquier creencia razonable de que la información privada se ha visto comprometida.
   3. El Oficial de HIPAA notificará al Director Ejecutivo según corresponda teniendo en cuenta la gravedad y el alcance de la infracción.
2. Contener la brecha
   El Oficial de Privacidad / Cumplimiento trabajará con los departamentos para contener inmediatamente la infracción y limitar el alcance y el efecto de la infracción. Los ejemplos incluyen, pero no se limitan a:
   1. Detener la práctica no autorizada
   2. Recuperar los registros, si es posible
   3. Apagar el sistema que fue violado
   4. Mitigar la infracción, si es posible
   5. Corregir las debilidades en las prácticas de seguridad.
   6. Notificar a las autoridades correspondientes, incluido el Departamento de Policía local, si la infracción implica, o puede implicar, cualquier actividad delictiva.
3. Investigar y evaluar los riesgos asociados con la infracción
   1. Para determinar qué otros pasos son necesarios de inmediato, el oficial de HIPAA, en colaboración con los departamentos y la administración afectados, investigará las circunstancias de la infracción, determinará la (s) causa (s) raíz, evaluará los riesgos y desarrollará un plan de resolución. El oficial de HIPAA puede consultar con el personal del centro de salud, el director ejecutivo y el asesor legal para desarrollar un plan de resolución.
      1. Naturaleza y alcance de la PHI involucrada: considere la naturaleza y el alcance de la PHI involucrada, incluidos los tipos de identificadores y la probabilidad o re-identificación. Considere: qué tan sensible es la información (financiera, clínica, identificadores directos).
      2. La persona no autorizada que usó la PHI oa quien se hizo la divulgación.
      3. Si la PHI fue realmente adquirida o vista: ejemplo de baja probabilidad: el análisis forense de una computadora portátil robada indica que no hay violación; alta probabilidad de incumplimiento incluye destinatarios no autorizados que contactan con la entidad cubierta para informar haber recibido PHI por error, haber visto la PHI de forma intermitente.
      4. Hasta qué punto se ha mitigado el riesgo de la PHI: Shawnee hace todo lo posible para mitigar el riesgo en caso de transmisión incorrecta de la PHI, como garantías de que el destinatario destruirá la PHI.
   2. Determine la (s) causa (s) raíz, evalúe el riesgo y desarrolle un plan de resolución. La Oficina de HIPAA puede consultar con el personal del centro de salud, el Director Ejecutivo y / o el asesor legal para desarrollar un plan de resolución.
   3. El Oficial de HIPAA, en colaboración con el Director Ejecutivo, considerará varios factores para determinar si notificar a las personas afectadas por la infracción, incluidos, entre otros:
      1. Obligaciones contractuales
      2. Obligaciones legales: el Asesor Legal de SHS debe completar una evaluación legal separada de la posible infracción y proporcionar los resultados de la evaluación al Oficial de Privacidad / Cumplimiento y al resto del equipo de respuesta a la infracción.
      3. Riesgo de robo de identidad o fraude debido al tipo de información perdida, como número de seguro social, información bancaria, números de identificación.
      4. Riesgo de daño físico si la pérdida pone a una persona en riesgo de acecho o acoso.
      5. Riesgo de daño, humillación o daño a la reputación cuando la información incluye registros médicos o disciplinarios.
      6. Número de personas afectadas
4. Notificación
   1. El Oficial de HIPAA trabajará con el Director Ejecutivo para decidir el mejor método de notificación y determinar qué puede ser requerido por ley.
      1. Notificación directa: si así lo exige la ley, la notificación a las personas afectadas por la infracción se producirá lo antes posible después de la infracción.
         Los avisos deben proporcionarse sin demora razonable y en ningún caso después de sesenta (60) días después del descubrimiento de la infracción, a menos que la policía u otras leyes estatales o locales aplicables indiquen lo contrario. Los avisos deben estar en lenguaje sencillo e incluir información básica, que incluye:
         1. Qué pasó
         2. Tipos de PHI involucrados
         3. Pasos que deben tomar las personas
         4. Pasos que está tomando la entidad cubierta
         5. Los avisos de información de contacto deben enviarse por correo de primera clase o si la persona está de acuerdo por correo electrónico. Si hay información de contacto insuficiente o desactualizada, entonces se requiere un aviso sustituto a través de una notificación indirecta como se especifica a continuación.
      2. Los elementos de notificación necesarios varían según el tipo de infracción y la ley de que se trate. Como resultado, el oficial y el director ejecutivo de SHS HIPAA deben trabajar en estrecha colaboración para redactar cualquier notificación que se distribuya.
   2. Notificación indirecta: como la información del sitio web, los avisos publicados, los medios de comunicación generalmente se producirán solo cuando la notificación directa pueda causar más daño o cuando falte la información de contacto.
   3. Incumplimiento de 500 o más personas: si un incumplimiento afecta a quinientas (500) o más personas, o la información de contacto es insuficiente, SHS notificará a un medio de comunicación prominente que sea apropiado para el tamaño de la ubicación con las personas afectadas, y se notificará proporcionarse en forma de comunicado de prensa.
   4. Consideración de múltiples métodos: El uso de múltiples métodos de notificación en ciertos casos puede ser el enfoque más efectivo.
   5. Los socios comerciales deben notificar a SHS si incurren o descubren una violación de la PHI no protegida. Los socios comerciales deben cooperar con SHS en la investigación y mitigación de la infracción.
   6. Aviso a Salud y Servicios Humanos (HHS) según lo requiere HIPAA: si el funcionario de HIPAA determina que no se requiere notificación de HIPAA; este aviso tampoco es necesario.
      1. La información relacionada con las infracciones que involucren a quinientas (500) o más personas, independientemente de la ubicación, debe enviarse al HHS al mismo tiempo que se emiten las notificaciones a las personas.
      2. Si una infracción involucra a menos de quinientas (500) personas, SHS deberá realizar un seguimiento de todas las infracciones y notificar al HHS dentro de los sesenta (60) días posteriores al final del año calendario.
5. Prevención
   1. Una vez que se tomen las medidas inmediatas para mitigar los riesgos asociados con la infracción, el oficial de HIPAA investigará la causa de la infracción.
      1. Si es necesario, esto incluirá una auditoría de seguridad de las medidas físicas, organizativas y tecnológicas.
      2. Esto también puede incluir una revisión de las medidas de mitigación adoptadas.
   2. El oficial de HIPAA ayudará al departamento responsable a poner en vigencia las salvaguardas adecuadas contra nuevas infracciones.
   3. Los procedimientos se revisarán y actualizarán para reflejar las lecciones aprendidas de la investigación y periódicamente a partir de entonces.
   4. El plan resultante también incluirá recomendaciones de auditoría, si corresponde.

Cumplimiento y ejecución: Todos los gerentes y supervisores son responsables de hacer cumplir estos procedimientos. Los empleados que violen estos procedimientos están sujetos a medidas disciplinarias que pueden incluir el despido de acuerdo con la Política de sanciones de SHS.

Información y aprobaciones de documentos:

Revisión histórica: