IAPP CIPP/US 学習ガイドによると、違反が確認された後の最優先事項は、法律または契約で義務付けられているように、影響を受けた個人、規制当局、およびその他の利害関係者に通知することです。これは、個人情報の盗難、詐欺、評判の失墜などの潜在的な危害から身を守るための措置を講じることができるようにするためです。タイムリーで正確な通知を提供することは、法的責任を軽減し、顧客の信頼を維持し、適用される法律や規制に準拠するのにも役立ちます。その他のタスクも重要ですが、違反が確認された後の当面の優先事項ではありません。参考文献: IAPP CIPP/US 学習ガイド、第 6 章、セクション 6.4.2、211 ページ。

HHS 内の公民権局 (OCR) は、HIPAA プライバシー ルールの主な執行機関です。このルールは、対象となる事業体とビジネス アソシエイトによる個人識別可能な健康情報の保護に関する国家基準を確立しています。OCR は苦情を調査し​​、コンプライアンス レビューを実施し、プライバシー ルールの遵守を確保するための技術支援とガイダンスを提供します。OCR は、プライバシー ルール違反に対して民事罰金を課すこともできます。罰金は 1 回の違反につき 100 ドルから 50,000 ドルの範囲で、同じ違反に対して年間最大 150 万ドルです。参考資料: HIPAA の施行、IAPP CIPP/US 学習ガイド、第 3 章、セクション 3.1.1

定義済みツールの Web 検索結果によると、フロリダ州は、データ侵害が発生した場合に影響を受ける個人への通知に現在明確な制限を設けている 4 つの選択肢の中で唯一の州です。フロリダ州の法律では、法執行機関または侵害の範囲を特定してシステムの整合性を回復するための措置によって遅延されない限り、侵害の確定または侵害が発生したと信じる理由から 30 日以内に通知を提供することが義務付けられています1。他の州では、通知の期限について、「できるだけ早く」(メイン州)、「可能な限り迅速に、不当な遅延なく」(ニューヨーク州)、「法執行機関の正当なニーズに合わせて、可能な限り迅速に、不当な遅延なく」(カリフォルニア州) など、より柔軟または曖昧な条件が使用されています2。参考文献:
* セキュリティ侵害通知チャート | Perkins Coie
* 州データ侵害通知チャート - 国際データ侵害協会

州の侵害通知法では、個人情報は通常、個人のファーストネームまたはファーストネームのイニシャルと姓に、社会保障番号、州識別番号、口座番号、医療情報などの 1 つ以上の他のデータ要素を加えたものと定義されています。ただし、ファーストネームと姓のみは、個人を特定したり、セキュリティやプライバシーを侵害したりする可能性のある他のデータ要素と組み合わせない限り、通常は個人情報とは見なされません。したがって、オプション B は、州の侵害通知法の下での個人情報の定義に通常は含まれていないため、正解です。参考文献: https://www.ncsl.org/technology-and-communication/security-breach-notification-lawshttps://