PHI envoyées à l'IA : évaluer la violation HIPAA

01

Contenir la fuite et préserver les faits

Demander à l'employé d'arrêter les soumissions supplémentaires et de contacter l'équipe d'incident. Enregistrer le service, le compte, la fonctionnalité, l'heure et les informations impliquées sans disperser les PHI dans une conversation ordinaire ou des tickets de support. Préserver les preuves appropriées dans le système d'incident approuvé et suivre les procédures de réponse de l'organisation.

Identifier si la soumission a réellement quitté l'appareil, atteint un fournisseur ou a été arrêtée par un contrôle. Distinguer un blocage intentionnel d'un blocage observé. Un événement de politique peut aider à établir les faits, mais il doit être concilié avec l'application, le compte employé et d'autres preuves disponibles.

Contexte source : HHS : Règle de notification des violations

02

Établir si la divulgation était non autorisée

Examiner l'objet, le destinataire, l'accord applicable et le périmètre autorisé. Un outil inconnu est une raison d'enquêter, pas un substitut à l'analyse juridique. Inversement, un nom de produit familier ne prouve pas que l'employé a utilisé un compte approuvé ou une fonctionnalité couverte.

Le HHS décrit les exceptions à la définition de violation ainsi que l'évaluation à quatre facteurs. L'équipe de confidentialité responsable doit évaluer ces conditions par rapport aux faits. Ne pas supposer que la suppression de la conversation visible annule la divulgation ou qu'un paramètre sur l'entraînement du modèle détermine si l'information a été compromise.

Contexte source : HHS : Règle de notification des violations · HHS : directives sur HIPAA et cloud computing

03

Examiner les quatre facteurs de risque

Le HHS identifie au moins quatre facteurs : la nature et l'étendue des PHI, y compris les identifiants et la probabilité d'identification ; la personne non autorisée qui a utilisé ou reçu les données ; si les PHI ont été effectivement acquises ou vues ; et l'étendue de l'atténuation. Traiter chaque facteur plutôt que de substituer un score de risque unique.

Pour un service IA, les preuves utiles peuvent inclure la charge utile réelle, l'identité du fournisseur, les termes du compte, les faits pertinents de traitement ou d'accès, et une réponse documentée d'atténuation. Distinguer clairement les faits vérifiés, le souvenir de l'employé et les questions sans réponse. L'absence de preuve ne devient pas une constatation favorable simplement parce qu'aucun dommage n'a été signalé.

Contexte source : HHS : Règle de notification des violations

04

Attribuer les décisions et délais de notification

Les exigences de notification de violation HIPAA concernent les violations de PHI non sécurisées. Évaluer si l'information était non sécurisée selon les directives HHS applicables avant d'attribuer les responsabilités de notification ; cette question est distincte de celle de savoir si le téléchargement était autorisé.

Si la notification est requise, le HHS décrit différentes responsabilités pour les entités couvertes et les associés commerciaux. Les notifications individuelles doivent être fournies sans délai déraisonnable et au plus tard 60 jours après la découverte de la violation. La notification au HHS et, dans certains cas, aux médias, suit des exigences supplémentaires.

Ne pas considérer les 60 jours comme une période d'attente ni appliquer une seule échéance à chaque destinataire. Un associé commercial doit notifier l'entité couverte, et les accords de l'organisation ou d'autres lois applicables peuvent ajouter des obligations. Enregistrer la date de découverte, le décideur responsable, le périmètre affecté et la prochaine action dans le dossier d'incident.

Contexte source : HHS : Règle de notification des violations · 45 CFR 164.404 et la condition des PHI non sécurisées

05

Clore avec des preuves et un changement de contrôle

L'évaluation synthétique ci-dessous ne peut pas soutenir une conclusion de faible probabilité car plusieurs faits importants restent inconnus. C'est un résultat utile : il identifie ce que le responsable de l'incident doit obtenir et empêche qu'une étiquette « pas de violation » non étayée soit inscrite dans le dossier.

Après l’évaluation, traitez la voie qui a permis la soumission. Clarifiez les consignes au personnel, vérifiez l’accès au compte et testez la politique d’entrée prévue avec des données inventées. Conservez l’évaluation et la décision de notification séparément de la remédiation technique. Bloquer les soumissions futures ne supprime ni les copies existantes chez le fournisseur ni ne déclenche une notification de violation.

Contexte source : HHS : Règle de notification des violations