受保护的健康信息是指任何可追溯到个人的健康数据，其范围比大多数员工想象的要广。预约时间旁的一个姓名就符合条件，白板上的房间号也一样。最低必要标准随后将访问权限限制在任务实际所需的范围内。
临床环境中几乎所有的隐私事件都是披露而非泄露：例如走廊里的谈话、屏幕面向等候区、出于好奇查看同事的记录。这些事件都不涉及攻击者，也无法通过技术控制来预防。绝不能出现在公开版本中的是真实的患者记录：在用于培训之前，标识符、预约数据和实时系统的截图必须替换为虚构的示例。
该模板通过十个场景涵盖了这些内容：其中两个关于何为可识别信息，两个关于最低必要标准在日常任务中的应用，一个关于允许的披露，一个关于共享空间中的对话，一个关于访问日志以及为何好奇心可被检测，一个关于意外披露后的处理方法，以及一个关于如何报告。
隐私培训每年进行一次，但实际应用可能是在走廊里，同事提出了一个听起来合理的问题时。规定必须足够简单，以便在那一刻能记住并应用，这意味着要教授“如何应对测试”而非“法规本身”。
这个人现在需要这些信息来完成工作吗？这个问题能解决大多数日常情况，而无需回忆法规。
查看同事或公众人物的记录是最常见的访问违规行为，但人们往往不认为这是错误的。明确指出这种行为比任何一般性指示更能改变行为。
口头披露是最常见的事件，也是最少被提及的。展示这种情景并给出正确的替代方案，比三个关于系统的场景更有价值。
意外披露是可以报告并能应对的。害怕报告的员工会拖延，而拖延正是将事件变成通知义务的原因。
上传员工应使用的隐私政策、访问控制程序或事件报告表。支持的格式包括 PDF、DOC、DOCX、PPTX 和 TXT，最大 200 MB。每个场景都可编辑，原始文档保持不变。
.PNG)
小型诊所的走廊和共享病房办公室会产生不同的风险。使用员工实际工作环境的设置，才能让规定感觉更具适用性而非理论性。
.PNG)
意外披露必须在一分钟内报告。报告渠道和措辞应直接显示在屏幕上。
.PNG)
年度培训通常在共享工作站上完成，且静音播放。从九种字幕样式中选择，并在所有合规模块中保持一致，以便系列内容易于识别。
在医疗保健环境中，通常是的。与接受护理事实相关的姓名是可识别的健康信息，这就是为什么预约名单、白板和签到表都属于受保护范围。
访问权限仅限于任务所需，而非角色在技术上允许的范围。即使员工拥有系统访问记录的权限，仍需要有理由才能打开它。
在尝试纠正之前，当天通过指定途径报告。速度决定了它是否仍是内部事件，报告记录与披露本身同样重要。
不。Leadde 制作视频，但不认证任何项目、不跟踪证明，也不单独构成合规证据；它在自身运营中保持 SOC 2、ISO 42001 和 GDPR 合规。评估和记录保存仍由您的合规部门负责。
上传您组织现有的隐私政策，并在年度复习前调整场景。
