一位居民的成年儿子致电机构询问他母亲在服用什么药物。CNA应当：

解析

HIPAA隐私规则(45 CFR §164.502)和42 CFR §483.10(g)保护居民健康信息。家庭身份本身不授权披露；只有居民指定的个人或持有有效授权的人（医疗POA、监护人）才可接收PHI，且披露必须由适当的执照员工进行。CNA不应确认或否认信息，必须将请求转给护士，由护士在任何披露前验证授权。选项b、c和d都属于未经授权的披露。