Dane regulowane to informacje, których gromadzenie, wykorzystywanie, ujawnianie, przechowywanie lub ochrona podlegają przepisom prawa albo standardom branżowym. Rekord klienta z imieniem i nazwiskiem, kodem pocztowym i datą urodzenia może bardzo szybko przekroczyć tę granicę: gdy tylko pozwala zidentyfikować osobę, przestaje być zwykłą daną operacyjną i zaczyna wiązać się z obowiązkami w zakresie zgodności.

Widać to w codziennych tabelach, które zespoły danych nieustannie przenoszą. Jedna hurtownia pobiera profile klientów, inna dodaje historię zamówień, a model w dalszej części przepływu łączy te wiersze z polami dotyczącymi urządzenia lub lokalizacji. Od tego momentu pytanie brzmi już nie tylko „co jest w tabeli”, ale „co ta tabela może ujawnić przy tym zastosowaniu, w tej jurysdykcji, w tej chwili?”

Spis treści

• Moment, w którym zbiór danych staje się regulowany

  • Dlaczego czynnikiem decydującym jest zwykle kontekst, a nie nazwa tabeli

• Co reguluje RODO

  • Dlaczego quasi-identyfikatory zmieniają reguły gry

  • Co to oznacza w hurtowni danych

• Zdrowie, płatności i finanse w porównaniu

  • Dlaczego podmiot przetwarzający ma takie samo znaczenie jak dane

• Klasyfikowanie pól zamiast tabel

  • Praktyczny model klasyfikacji

  • Dlaczego dotyczy to nie tylko danych klientów

• Gdy przechowywanie i usuwanie ciągną w przeciwnych kierunkach

  • Dlaczego to problem stanu, a nie tylko klasyfikacji

  • Kontrole, które mają znaczenie

• Terminy zgłoszeń, które zamieniają monitoring w dowód

  • Zegar jest mechanizmem kontroli

  • Co musi rejestrować dobry monitoring

• Utrzymanie kontroli w działaniu we własnym środowisku

  • Dlaczego liczy się połączenie

• Co wdrożyć w następnym sprincie

Moment, w którym zbiór danych staje się regulowany

Tabela nie staje się regulowana dlatego, że ktoś tak ją oznaczył w arkuszu kalkulacyjnym. Staje się regulowana wtedy, gdy jej treść, kontekst i sposób użycia poddają ją kontroli prawnej. Dlatego niewielki wyciąg danych klientów może na początku wyglądać niewinnie, a stać się wrażliwy w chwili, gdy zawiera identyfikatory, zostaje połączony z innymi polami lub jest wykorzystywany w celu, który uruchamia przepis prawa.

Robocza definicja, o której warto pamiętać, jest prosta: dane regulowane to informacje objęte wymogami prawnymi dotyczącymi ich gromadzenia, wykorzystywania, ujawniania, przechowywania, bezpieczeństwa lub usuwania. Na gruncie RODO dane osobowe mają tak szerokie znaczenie od 25 maja 2018 r. (wytyczne ICO dotyczące danych osobowych). Dlatego zbiór danych może być regulowany, nawet jeśli nie zawiera numeru PESEL ani pełnego imienia i nazwiska.

Dlaczego czynnikiem decydującym jest zwykle kontekst, a nie nazwa tabeli

Tabela klientów z imionami, kodami pocztowymi, datami urodzenia i historią zamówień może przejść z rutynowej analityki na obszar regulowany, ponieważ może odnosić się do możliwej do zidentyfikowania osoby. Ta sama logika dotyczy akt pracowniczych, plików dostawców, logów kart dostępu, nagrań z monitoringu, nagrań audio i danych o lokalizacji. Jeśli wiersz może zidentyfikować kogoś samodzielnie lub w połączeniu z innymi danymi posiadanymi przez organizację, obowiązki podążają za wierszem, a nie tylko za nazwą schematu.

Przydatnym nawykiem jest zadanie trzech pytań, zanim zaufa się zbiorowi danych:

• Kogo te dane mogą zidentyfikować? Jeśli odpowiedź brzmi „osobę”, jesteśmy na obszarze regulowanym.

• Do czego są wykorzystywane? Zgodne z prawem zastosowanie analityczne i ograniczone zastosowanie operacyjne mogą wiązać się z różnymi obowiązkami.

• Z czym jeszcze można je połączyć? Złączenia często tworzą możliwość identyfikacji tam, gdzie wcześniej nie była ona oczywista.

Dobrą podstawę ochrony prywatności dla zespołów obsługujących dane klientów związane ze zdrowiem opisano w praktykach prywatności w cyfrowej ochronie zdrowia, ponieważ te same „drobne” pola często stają się wrażliwe, gdy zostaną powiązane z osobą i procesem opieki.

Praktyczna zasada: jeśli nowe złączenie, eksport lub model w dalszej części przepływu ułatwia wyodrębnienie konkretnej osoby, należy traktować zbiór danych jako regulowany, dopóki nie udowodni się, że jest inaczej.

Dlatego tak ważne jest myślenie na poziomie pól. Baza danych to zbyt toporny obiekt dla ładu danych. Jednostką kontroli jest pole, transformacja i przypadek użycia.

Szersze ujęcie pojęć związanych ze zgodnością daje wewnętrzny przegląd tego, czym jest zgodność danych z przepisami, który dobrze uzupełnia tę myśl.

Co reguluje RODO

Wiersz może stać się regulowany na długo przed tym, zanim ktokolwiek oznaczy tabelę jako wrażliwą. Zgodnie z RODO dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, w tym identyfikatory bezpośrednie, takie jak imię i nazwisko czy numery identyfikacyjne, oraz identyfikatory pośrednie, takie jak dane o lokalizacji, identyfikatory internetowe oraz cechy genetyczne lub ekonomiczne (art. 4 RODO). Ten szeroki zakres ma znaczenie, ponieważ prosta kontrola „usunięto nazwisko” nie wystarcza.

Dlaczego quasi-identyfikatory zmieniają reguły gry

Tabela programu lojalnościowego może wyglądać na anonimową po usunięciu oczywistych pól. Wystarczy jednak ponownie dodać do tego samego wiersza kod pocztowy, płeć i datę urodzenia, a ich kombinacja nadal może w praktyce wskazywać jedną osobę. Status regulowany podąża wtedy za danymi przez złączenia, eksporty, logi, kopie zapasowe i feature store'y. Charakter prawny nie znika tylko dlatego, że rekord został przeniesiony.

Zespoły hurtowni danych często przeoczają tę zmianę. Klasyfikują tabelę raz, podczas ingestii, a potem zakładają, że etykieta pozostaje prawdziwa wszędzie. Pole może zmienić znaczenie, gdy zostanie połączone z innymi polami, gdy pojawi się nowa kolumna albo gdy zbiór pochodny zostanie udostępniony nowemu zespołowi w nowym celu.

Ład danych zaczyna się od kontekstu pola, a nazwa tabeli jest najmniej wiarygodnym sygnałem, jakim dysponujemy.

Zarządzane metadane powinny rejestrować dla każdego regulowanego zbioru danych jurysdykcję, cel, okres przechowywania, podstawę prawną i zatwierdzone transformacje. Na tym polega różnica między „wiemy, że to jest wrażliwe” a „potrafimy wyjaśnić dlaczego, gdzie i jak długo”.

Co to oznacza w hurtowni danych

Dla inżyniera danych praktycznym testem jest to, czy pipeline potrafi pokazać trzy rzeczy:

1. Które pola są identyfikujące.

2. Które transformacje zmieniły tę możliwość identyfikacji.

3. Które systemy w dalszej części przepływu przejęły obowiązek.

Klasyfikacja na poziomie pól jest uczciwsza niż etykieta tabeli. Eksport danych klientów może być zwykły w jednym procesie i regulowany w innym. Identyfikator pseudonimowy nadal może być uznany za dane osobowe, jeśli ponowna identyfikacja jest racjonalnie możliwa, a zagregowana metryka może już nie identyfikować osób, a mimo to podlegać sektorowym zasadom przechowywania.

W tym miejscu spotykają się też ochrona prywatności i umowy operacyjne. Zespoły zarządzające danymi klientów związanymi ze zdrowiem często opierają się na umowie powierzenia przetwarzania danych medycznych, aby jasno określić odpowiedzialność za przetwarzanie, zwłaszcza gdy te same pola przechodzą między systemami i zastosowaniami.

Zdrowie, płatności i finanse w porównaniu

Notatka kliniczna może pozostać zwykłą informacją w jednym systemie i stać się regulowana w chwili, gdy covered entity lub business associate utworzy ją, otrzyma, przechowuje lub przekaże w formie elektronicznej. Zgodnie z HIPAA Security Rule elektroniczne chronione informacje zdrowotne to umożliwiające identyfikację osoby informacje o zdrowiu w formie elektronicznej, a reguła jest skodyfikowana w 45 CFR Part 160 i Part 164, Subparts A i C (HHS HIPAA Security Rule). Ten sam fakt zapisany na papierze, przekazany w rozmowie telefonicznej lub zawarty w elektronicznej dokumentacji medycznej nie ma tego samego kształtu zgodności.

Dlaczego podmiot przetwarzający ma takie samo znaczenie jak dane

HIPAA pokazuje też, że liczy się rola. Świadczeniodawca, ubezpieczyciel zdrowotny, izba rozliczeniowa lub business associate może podlegać przepisom ze względu na sposób, w jaki obchodzi się z danymi, podczas gdy inna organizacja posiadająca podobne informacje poza tymi rolami może im nie podlegać. Dlatego przeglądy zgodności muszą uwzględniać łącznie nośnik, proces i odpowiedzialność.

Zespołom, które potrzebują praktycznego pomostu między działalnością medyczną a zasadami ochrony prywatności, wskazówki dotyczące zgodności z HIPAA i RODO pokazują, czym różnią się obowiązki w poszczególnych reżimach.

Płatności i finanse działają według tego samego podstawowego schematu, choć zbiór przepisów jest inny. Dane posiadaczy kart są regulowane, ponieważ ich niewłaściwe wykorzystanie może prowadzić do oszustw i strat, dlatego kontrole koncentrują się na tym, gdzie są przechowywane, kto może je zobaczyć i jak przepływają przez systemy. Pipeline'y płatnicze często projektuje się tak, aby minimalizować przechowywanie, izolować wrażliwe pola i ograniczać replikację w dalszej części przepływu.

Użyteczna lekcja jest węższa niż ogólna polityka prywatności. Każdy reżim definiuje własne regulowane treści, własny krąg odpowiedzialnych podmiotów i własny próg incydentu, więc pipeline musi odzwierciedlać te różnice. Pole, które wydaje się nieszkodliwe w jednym procesie, może stać się regulowane w innym, jeśli zmieni się rola, nośnik lub ten sam rekord zacznie przepływać przez nowy system.

Wewnętrzny przegląd dotyczący zgodności danych medycznych z przepisami jest przydatnym uzupełnieniem przy mapowaniu przepływów danych klinicznych na kontrole platformy.

Klasyfikowanie pól zamiast tabel

Najprościej myśleć o danych regulowanych, gdy przestaje się pytać, czy tabela jest regulowana, a zaczyna pytać, czym w danym kontekście staje się każde pole. Pole nieszkodliwe w jednym procesie może stać się regulowane w innym, jeśli zmieni się cel, zbiór danych przekroczy granice jurysdykcji lub nowe złączenie umożliwi ponowną identyfikację osoby.

Praktyczny model klasyfikacji

Dla każdego zbioru danych i każdego dalszego zastosowania warto zadać sześć pytań:

• Zbiór danych: Jakie jest źródło i gdzie się znajduje?

• Pole: Które kolumny zawierają identyfikatory, informacje o zdrowiu lub inne chronione atrybuty?

• Cel: Dlaczego dane są przetwarzane?

• Jurysdykcja: Który reżim prawny ma zastosowanie?

• Właściciel: Kto odpowiada za zbiór danych?

• Dalsze wykorzystanie: Dokąd jeszcze trafią dane?

Dryf schematu może zmienić status regulacyjny. Dotychczas zwykła tabela analityczna może stać się wrażliwa, gdy ktoś doda segment klienta, znacznik gospodarstwa domowego, identyfikator urządzenia lub pole lokalizacji. Tabela nie zyskała nowej tożsamości moralnej. Zyskała nową ekspozycję prawną.

Jeśli nowa kolumna zmienia to, co wiersz może ujawnić, należy natychmiast przeklasyfikować zbiór danych.

Z tego samego powodu sama lokalizacja danych nie jest wiarygodnym wyznacznikiem bezpieczeństwa ani zgodności. Według przytaczanego badania porównawczego Cisco odsetek organizacji kojarzących lokalne przechowywanie z większym bezpieczeństwem spadł z 90% w 2025 r. do 86% w 2026 r., a 89% organizacji międzynarodowych wskazało, że działalność w wielu jurysdykcjach wymaga dostosowanych strategii zgodności (Data compliance guide). Te liczby wskazują na tę samą rzeczywistość operacyjną: o statusie prawnym nie decyduje lokalizacja, lecz kontekst.

Dlaczego dotyczy to nie tylko danych klientów

Akta pracownicze, pliki dostawców, logi operacyjne, zbiory treningowe modeli i telemetria platform mogą stać się regulowane, choć nie wyglądają jak klasyczne dane osobowe klientów. Linia logu może zawierać adres IP. Strumień telemetrii może zawierać identyfikator użytkownika. Feature store może zachować ślady danych źródłowych, które miały zostać zamaskowane.

Wewnętrzna notatka o klasach danych dobrze pasuje do tego modelu, ponieważ użyteczną jednostką nie jest „ta baza danych jest wrażliwa”, lecz „to pole, w tym celu i w tej jurysdykcji, wiąże się z takimi obowiązkami”.

Gdy przechowywanie i usuwanie ciągną w przeciwnych kierunkach

Zespół marketingu prosi o usunięcie rekordu klienta. Jednocześnie przepis finansowy wymaga zachowania części tego rekordu, a dział prawny właśnie wprowadził blokadę prawną (legal hold) w związku z powiązanym postępowaniem. To nie jest przypadek skrajny, tylko normalna kolizja obowiązków w środowiskach regulowanych.

Zasada ograniczenia przechowywania w RODO zakłada przechowywanie danych osobowych nie dłużej, niż jest to konieczne, ale prawo do usunięcia danych może ustąpić przed prawnym obowiązkiem przechowywania. Spory sądowe, postępowania regulacyjne i audyty mogą też wymagać blokady prawnej, która wstrzymuje zwykłe usuwanie odpowiednich rekordów (Fortis data governance guide).

Dlaczego to problem stanu, a nie tylko klasyfikacji

Gdy te obowiązki się zderzają, kluczowe pytanie brzmi: co stało się z każdą kopią, każdą repliką i każdym zbiorem pochodnym? Jeśli wiersz usunięto w głównej hurtowni, ale nadal istnieje w data lake, kopii zapasowej lub eksporcie w dalszej części przepływu, organizacja nie może twierdzić, że usunięcie było kompletne. Jeśli blokada obejmuje jeden podzbiór, a inny nie, system musi zachować tę różnicę.

Dlatego zarządzanie danymi regulowanymi to w rzeczywistości zarządzanie stanem. System musi wiedzieć, gdzie znajduje się rekord, w jakiej fazie cyklu życia jest i czy jakiś wyjątek nie wyłącza zwykłego usuwania.

Wewnętrzny przewodnik po archiwizacji danych jest tu istotny, ponieważ logika przechowywania i usuwania działa tylko wtedy, gdy cykl życia jest widoczny na poziomie rekordu.

Kontrole, które mają znaczenie

Zespół, który chce to wdrożyć w praktyce, powinien monitorować:

• Zakończenie zadań retencyjnych, aby mieć pewność, że zaplanowane usunięcia zostały wykonane.

• Opóźnienie replikacji, aby usunięty rekord nie pozostawał w kopii.

• Zmiany schematu i właściciela, ponieważ nowy właściciel lub nowa kolumna mogą zmienić obowiązki.

• Nietypową trwałość danych, ponieważ rekordy, które przetrwały dłużej niż zatwierdzony okres, często wskazują na wadliwe zadanie lub nieśledzony eksport.

Użyteczna zmiana sposobu myślenia jest prosta. Usunięcie nie jest pojedynczą czynnością. To łańcuch przejść stanu w wielu systemach, a dowody muszą odpowiadać temu łańcuchowi.

Terminy zgłoszeń, które zamieniają monitoring w dowód

Zasady zgłaszania naruszeń sprawiają, że observability staje się częścią zgodności, a nie tylko higieną operacyjną. Zgodnie z UK GDPR, jeśli naruszenie ochrony danych osobowych prawdopodobnie spowoduje ryzyko dla praw i wolności osób, organizacja musi zgłosić je organowi nadzorczemu bez zbędnej zwłoki, a w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, oraz wyjaśnić przyczyny ewentualnego opóźnienia (wytyczne ICO dotyczące naruszeń).

Zegar jest mechanizmem kontroli

Ten termin zmienia zadanie inżynierów. Wykrywanie, klasyfikacja i eskalacja incydentów, a także dowody opatrzone znacznikiem czasu stają się częścią mechaniki prawnej. Jeśli zespół nie potrafi wykazać, kiedy dowiedział się o incydencie, nie potrafi też wykazać, czy zgłoszenie było terminowe.

HIPAA ma inny czynnik wyzwalający, ale ten sam skutek operacyjny. Naruszenie niezabezpieczonych chronionych informacji zdrowotnych dotyczące 500 lub więcej osób zasadniczo wymaga powiadomienia osób, których dotyczy, oraz HHS Secretary, który publikuje listę takich naruszeń na stronie HHS (podsumowanie CRS dotyczące obowiązków HIPAA w razie naruszenia). W chwili, gdy trzeba policzyć poszkodowanych i udowodnić, że informacje nie były zabezpieczone, ścieżka audytu staje się dowodem.

Co musi rejestrować dobry monitoring

System powinien zachowywać:

• Znaczniki czasu incydentów, aby można było udowodnić moment powzięcia wiedzy i eskalacji.

• Klasyfikację danych, których dotyczy incydent, aby zastosować właściwy reżim.

• Ślady lineage, aby zespoły widziały, które kopie i obiekty pochodne zostały ujawnione.

• Działania związane ze zgłoszeniem, aby można było później odtworzyć reakcję.

Jeśli log nie potrafi udowodnić osi czasu, nie jest ścieżką audytu, tylko przypuszczeniem.

Dla zespołów pracujących z danymi regulowanymi oznacza to, że monitoring nie może kończyć się na dostępności. Musi odpowiadać po kolei na pytania: co się zmieniło, kto to widział, kiedy zespół się dowiedział i czy zaczął biec termin zgłoszenia. Dlatego dowody dotyczące incydentów powinny znajdować się w systemie źródłowym, a nie w osobnym arkuszu tworzonym po fakcie.

Utrzymanie kontroli w działaniu we własnym środowisku

Kontrole działają najlepiej tam, gdzie dane już się znajdują. Dzięki temu zespoły mogą wykrywać anomalie w polach regulowanych, walidować reguły na poziomie rekordów, śledzić opóźnienia i wychwytywać zmiany schematu bez wcześniejszego przenoszenia danych produkcyjnych do innego systemu.

digna to platforma klasy enterprise do zarządzania jakością danych i data observability, która działa we własnym środowisku klienta i łączy wykrywanie anomalii oparte na AI, deterministyczną walidację, monitorowanie terminowości oraz ciągłe wykrywanie zmian schematu w hurtowniach, data lake'ach i pipeline'ach, bez przenoszenia danych produkcyjnych. Ma to znaczenie dla danych regulowanych, ponieważ dowody pozostają blisko źródła, a kontrole mogą działać dalej, gdy zmieniają się schematy, właściciele i wzorce dostaw.

Dlaczego liczy się połączenie

Wykrywanie anomalii pomaga ujawniać nietypowe zachowania w tabelach regulowanych. Kontrole terminowości pokazują, czy oczekiwane dane dotarły na czas. Walidacja egzekwuje reguły biznesowe, które często odpowiadają wymogom prawnym. Śledzenie schematu wychwytuje dryf strukturalny, zanim zmieni on poziom ekspozycji.

Razem te kontrole odpowiadają na to samo pytanie z różnych perspektyw: czy stan regulacyjny zmienił się od ostatniej kontroli? W finansach, ochronie zdrowia, telekomunikacji i sektorze publicznym to pytanie pojawia się nieustannie, ponieważ dane nigdy nie są statyczne.

Solidne wdrożenie nie traktuje klasyfikacji, walidacji i monitoringu jako oddzielnych programów. Łączy je tak, aby pole, które staje się identyfikujące, ładunek, który dociera z opóźnieniem, czy schemat, do którego dodano wrażliwy atrybut, generowały dowody w tym samym środowisku. Jeśli zespół potrzebuje zewnętrznego potwierdzenia tego podejścia, szczegóły platformy są dostępne na stronie digna.

Co wdrożyć w następnym sprincie

Warto zacząć od sygnałów, które najczęściej zmieniają status regulacyjny. Należy objąć pomiarami replikację pól wrażliwych, wyjątki między retencją a blokadą prawną, zmiany schematu i właściciela, bazowe poziomy anomalii w tabelach regulowanych oraz oczekiwane i rzeczywiste czasy dostaw. Dowody warto przechowywać przy każdym incydencie, w tym znaczniki czasu, lineage oraz regułę lub blokadę, która uzasadniała działanie.

Jeśli jest miejsce tylko na dwie kontrole, niech będą to śledzenie schematu i dowody retencji. Te dwie wychwytują zmiany, które zwykle najwcześniej zaskakują zespoły.

Dane regulowane nie są statyczną etykietą przypiętą do bazy danych. Zależą od kontekstu, mają swój stan i kształtuje je to, co dane oznaczają w danym procesie. Zespoły, które tak je traktują, mają znacznie większe szanse na przejście audytów bez nerwowego pośpiechu.

Organizacjom, które zaostrzają kontrole danych regulowanych w hurtowniach, data lake'ach i pipeline'ach, digna zapewnia walidację, wykrywanie anomalii, monitorowanie terminowości i wykrywanie zmian schematu we własnym środowisku, bez przenoszenia danych produkcyjnych. Dzięki temu łatwiej utrzymać dowody blisko źródła i wychwycić zmiany ekspozycji, zanim staną się ustaleniami audytu.

Jurysdykcja to jedno z sześciu pytań klasyfikacyjnych, a przy lokalizacji przechowywania zespoły najczęściej mylą ją ze zgodnością z przepisami, dlatego nasz przewodnik o tym, czego naprawdę wymaga rezydencja danych, warto przeczytać razem z tym artykułem.

Najczęściej zadawane pytania

Czym są dane regulowane?

Dane regulowane to informacje, których gromadzenie, wykorzystywanie, ujawnianie, przechowywanie, bezpieczeństwo lub usuwanie podlegają przepisom prawa albo standardom branżowym. Rekord klienta z imieniem, kodem pocztowym i datą urodzenia staje się nimi, gdy pozwala zidentyfikować osobę, bo wtedy niesie obowiązki w zakresie zgodności, a nie jest zwykłą daną operacyjną.

Czy zbiór danych może być regulowany bez nazwisk i numerów identyfikacyjnych?

Tak. Zgodnie z art. 4 RODO dane osobowe obejmują identyfikatory pośrednie, takie jak dane o lokalizacji, identyfikatory internetowe i cechy ekonomiczne. Usunięcie nazwisk z tabeli programu lojalnościowego nie wystarcza, jeśli zostają kod pocztowy, płeć i data urodzenia, bo ich kombinacja nadal może wskazać jedną osobę.

Dlaczego dane warto klasyfikować według pól, a nie tabel?

Ponieważ ta sama tabela może być zwykła w jednym procesie i regulowana w innym. Obowiązki zależą od tego, które kolumny identyfikują osoby, a także od celu, jurysdykcji i dalszego wykorzystania. Dryf schematu, na przykład nowy identyfikator urządzenia lub kolumna lokalizacji, może z dnia na dzień zmienić ekspozycję prawną tabeli.

Co się dzieje, gdy żądanie usunięcia danych koliduje z zasadą przechowywania?

Prawny obowiązek przechowywania lub blokada prawna może mieć pierwszeństwo przed prawem do usunięcia danych z RODO w odniesieniu do tych rekordów. Zespoły muszą wtedy śledzić stan każdej kopii, repliki i zbioru pochodnego oraz monitorować zakończenie zadań retencyjnych, opóźnienie replikacji i rekordy przechowywane dłużej niż zatwierdzony okres.

Jak szybko trzeba zgłosić naruszenie ochrony danych osobowych?

Zgodnie z UK GDPR naruszenie, które prawdopodobnie zagraża prawom osób, należy zgłosić organowi nadzorczemu bez zbędnej zwłoki, a w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. W HIPAA naruszenia niezabezpieczonych informacji zdrowotnych dotyczące 500 lub więcej osób wymagają powiadomienia tych osób i HHS Secretary.