Regra de notificação de violação da saúde: FTC deseja suas idéias sobre mudanças propostas
A regra de notificação de violação da saúde está em vigor desde 2009. Dado o ritmo da inovação, que parece um século nos anos de tecnologia. Desde então, vimos uma explosão na popularidade de aplicativos de saúde, rastreadores de fitness e outros monitores relacionados à saúde. Para acompanhar os desenvolvimentos tecnológicos e as práticas de negócios em evolução, a FTC está propondo alterações na regra e congratula -se com seus comentários.
O Regra de notificação de violação de saúde Aplica -se a certas empresas que não são cobertas pela HIPAA – especificamente, fornecedores de registros pessoais de saúde (PHR), entidades relacionadas à PHR e prestadores de serviços de terceiros. Quando houve uma aquisição não autorizada de informações de saúde não garantidas e identificáveis de uma pessoa, fornecedores de PHR e entidades relacionadas a PHR devem (entre outras coisas) notificar a FTC, os consumidores e, em alguns casos, a mídia. Se sua empresa é um Provedor de serviços de terceiros para Um fornecedor PHR ou uma entidade relacionada à PHR, você também tem requisitos de notificação sob a regra. (Ler Cumprindo a regra de notificação de violação de saúde da FTC Para detalhes.)
Vale a pena notar que as empresas que violam a regra podem ser responsabilizadas por multas civis de até US $ 50.120 por violação. Por exemplo, a Goodrx pagou recentemente uma penalidade civil de US $ 1,5 milhão por violar a regra.
Como parte do processo de revisão regulatória periódica da FTC, pedimos seus comentários em 2020 sobre como o Regra de notificação de violação de saúde está funcionando. Com base em seus comentários – e nos principais desenvolvimentos no ecossistema de informações de saúde – a FTC está propondo alterações na regra. Você vai querer ler o Aviso do Federal Register para obter detalhes, mas aqui estão algumas das revisões em consideração:
- Revisando algumas definições para deixar claro que a regra se aplica a aplicativos de saúde e tecnologias semelhantes não cobertas pela HIPAA;
- Esclarecer que uma “violação de segurança” sob a regra inclui uma aquisição não autorizada de informações de saúde identificáveis que ocorrem como resultado de uma violação de segurança de dados ou de uma divulgação não autorizada;
- Revisar a definição de uma “entidade relacionada ao PHR”;
- Esclarecer o que “extraído de várias fontes” significa na definição de “registro de saúde pessoal”;
- Autorizar o uso expandido de email e outros meios eletrônicos para fornecer aos consumidores um aviso claro e eficaz de uma violação; e
- Expandindo o que precisa estar no aviso aos consumidores – por exemplo, exigindo uma explicação sobre o dano potencial decorrente da violação e os nomes de terceiros que poderiam ter adquirido as informações.
O As mudanças de regra propostas e as ações recentes da aplicação da lei refletem a alta prioridade que a FTC coloca na proteção da privacidade das informações de saúde dos consumidores e que os consumidores saibam o que está acontecendo com suas informações confidenciais. Depois que o aviso for executado no Federal Register, você terá 60 dias para registrar um comentário público. Salve uma etapa e registre on -line através do Regulations.gov.
Procurando mais recursos de conformidade? Visite os FTCs Página de privacidade de saúde.
