За нарушения в сигурността, включващи 500 или повече лица, FTC трябва да се информира едновременно с изпращането на известия до засегнатите лица
Федералната търговска комисия (FTC) обяви на 26 април, че е финализирала промени в Правилото за уведомяване за нарушения на здравето (HBNR), които ще засилят и модернизират правилото, като изяснят приложимостта му към здравните приложения и други подобни технологии и разширяване на информацията, която обхванатите субекти трябва да предоставят на потребителите, когато ги уведомяват за нарушение на техните здравни данни.
HBNR изисква от доставчиците на лични здравни досиета (PHR) и свързани лица, които не са обхванати от Закона за преносимост и отчетност на здравното осигуряване (HIPAA), да уведомяват лицата, FTC и, в някои случаи, медиите за нарушение /на сигурността, бел. ред. / на незащитени лични данни за здравето. Той също така изисква трети страни за доставчици на PHR и свързани с PHR организации да уведомяват такива доставчици и свързани с PHR организации след откриването на нарушение.
„Защитата на чувствителните здравни данни на потребителите е висок приоритет за FTC“, е цитиран да казва Самуел Левин, директор на Бюрото за защита на потребителите на Федералната търговска комисия. „С нарастващото използване на здравни приложения и свързани устройства, актуализираният HBNR ще гарантира, че е в крак с промените на здравния пазар.“ През май 2023 г. бе проведена консултация за предложените промени. След като получи приблизително 120 коментара от широк кръг от лица и заинтересовани страни, FTC финализира промените в правилото, включително:
- Преразглеждане на дефиниции: Комисията преразгледа няколко определения, за да подчертае прилагането на окончателното правило към здравните приложения и подобни технологии, които не са обхванати от HIPAA. Това включва промяна на дефиницията на „здравна информация, която може да бъде идентифицирана от PHR“ и добавяне на две нови дефиниции за „covered health care provider“ и „health care services or supplies“;
- Изясняване на нарушаването на сигурността: Пояснява се, че „нарушение на сигурността“ съгласно последното правило включва неоторизирано придобиване на идентифицируема здравна информация, което възниква в резултат на нарушение на сигурността на данните или неразрешено разкриване;
- Преразглеждане на дефиницията за „PHR related entity“: Определението за „PHR related entity“ е преразгледано по два начина, които се отнасят до обхвата на правилото. Преработеното определение изяснява, че окончателното правило обхваща субектите, които предлагат продукти и услуги чрез онлайн услугите, включително мобилни приложения, на доставчици на лични здравни записи. Освен това става ясно, че само субекти, които имат достъп или изпращат незащитена PHR идентифицираща здравна информация, до личен здравен запис, а не субекти, които имат достъп или изпращат каквато и да е информация до лично здравно досие, се квалифицира като свързани с PHR субекти;
- Изясняване на множество източници на PHR identifiable health information;
- Разширяване на използването на електронно уведомление: Окончателното правило разрешава разширеното използване на имейл и други електронни средства за предоставяне на ясно и ефективно известие на потребителите за нарушение;
- Разширяване на съдържанието на потребителското известие: Крайното правило разширява необходимото съдържание, което трябва да бъде предоставено в известието на потребителите. Например, известието ще трябва да включва името или самоличността (или, когато предоставянето на пълното име или идентичност би представлявало риск за физически лица или образуванието, предоставящо известие, описание) на всички трети страни, придобили незащитена PHR идентифицируема здравна информация в резултат на нарушение на сигурността;
- Промяна на изискването за време: За нарушения, включващи 500 или повече физически лица, трябва да се уведоми FTC едновременно с изпращането на известия до засегнатите лица, което трябва да стане без неоправдано забавяне и в никакъв случай по-късно от 60 календарни дни след откриването на нарушение на сигурността; и
- Подобряване на readability и насърчаване на спазването.