The organization must maintain clear documentation of all stages of health data processing, from collection to deletion. Each stage must identify the responsible individual or role to ensure accountability and traceability.

Records should be kept up to date and available for review by relevant authorities in accordance with applicable health data regulations.

The organization must maintain up-to-date policies and procedures to remain compliant with applicable laws and privacy requirements. This includes:

• Promptly revising and implementing policies and procedures to reflect changes in law or regulations.
• Updating the Notice of Privacy Practices when privacy practices change, ensuring compliance with all applicable standards and implementation requirements.
• Reserving the right in the notice to apply privacy practice changes retroactively to existing protected health information (PHI), if applicable.
• Documenting all changes and ensuring new policies are not enforced before the revised notice becomes effective.

Organisaation olisi otettava käyttöön asianmukaiset hallinnolliset, tekniset ja fyysiset suojatoimet, jotka on suunniteltu suojaamaan suojattujen terveystietojen (PHI) yksityisyyttä, ja varmistettava, että nämä toimenpiteet estävät aktiivisesti yksityisyyden suojaa koskevien säännösten rikkomisen ja rajoittavat tehokkaasti satunnaisia luovutuksia.

Organisaation on otettava käyttöön käytännöt ja menettelyt, joilla sallitaan pääsy suojattuihin sähköisiin terveystietoihin.

The organization must implement policies and procedures to prevent, detect, contain, and correct security violations. They must conduct risk analyses, implement risk management measures, enforce sanctions for noncompliance, and regularly review information system activity to protect electronic protected health information.

Organisaation on otettava käyttöön toimintaperiaatteet ja menettelyt sen varmistamiseksi, että kaikilla tarvittavilla työntekijöillä on asianmukainen pääsy suojattuihin sähköisiin terveystietoihin, ja sen estämiseksi, että ne työntekijät, joilla ei ole pääsyä, eivät saa pääsyä suojattuihin sähköisiin terveystietoihin.

Organisaation olisi kehitettävä, toteutettava ja jatkuvasti ylläpidettävä kattavaa tietoturvaohjelmaa, joka määrittää hallinnolliset, fyysiset ja tekniset suojatoimet kaikkien sähköisten suojattujen terveystietojen (PHI) luottamuksellisuuden, eheyden ja saatavuuden varmistamiseksi, suojataan aktiivisesti kohtuullisesti ennakoitavissa olevilta uhkilta sekä kielletyiltä luovutuksilta, ja varmistetaan, että henkilöstö noudattaa jatkuvasti kaikkia tietoturvakäytäntöjä.

Organisaation tulisi rajoittaa henkilötietojen kerääminen vähimmäistasolle, joka on olennainen ja tarvittava kerättävien henkilötietojen käsittelytarkoitusta varten.

Periaatteen toteutuminen tulisi varmistaa säännöllisesti kokonaisuuden näkökulmasta verraten hallintajärjestelmän dokumentaatiot (esim. tietojen käyttötarkoitukset) käytännössä organisaation hallussa oleviin henkilötietoihin.

Organisaation järjestelmien käyttöoikeudet myönnetään ja hallitaan pienimmän oikeuden periaatteen mukaan. Käyttäjälle ei myönnetä enempää käyttöoikeuksia, kun on tarpeen.

Käyttöoikeuksia tarkistetaan ja myös tarpeen tullaan vähennetään, jos käyttäjällä on oikeuksia joita hän tarvitsi tehtävien suorittamiseen, mutta hän ei tarvitse niitä enään.

Henkikötietojen käsittelijät (esim. tietojärjestelmien toimittajat, muut henkilötietojen käsittelijät) sekä henkilötietojen käsittelyyn liittyvät sopimukset on kartoitettu. Dokumentaatio sisältää mm.:

• Käsittelijän nimen ja sijainnin
• Henkilötietojen käsittelyn luonne ja tarkoitus
• Sopimuksen statuksen