Échange de fichiers entre professionnels de santé

L'échange de fichiers entre professionnels de santé passe par quatre canaux principaux : la messagerie sécurisée Direct sur S/MIME (projet Direct de l'ONC), les API FHIR conformes au 21st Century Cures Act, l'échange par requête via HIE (Carequality ou CommonWell), et le transfert de fichiers chiffré ponctuel pour tout ce qui ne rentre pas dans les tuyaux standardisés. En France, le RGPD et les recommandations de la CNIL imposent un chiffrement AES-256-GCM avec TLS 1.3 pour tout échange de données de santé entre structures, ainsi qu'une traçabilité complète des accès. La réalité opérationnelle : un patient sort de l'Hôpital A et se présente à la Clinique B le lendemain matin. La clinique veut le compte-rendu de sortie, la réconciliation médicamenteuse et le scanner. Une requête FHIR récupère parfois ce qu'il faut. Souvent, quelqu'un envoie un fax ou viole HIPAA avec une pièce jointe non chiffrée.

Pourquoi l'échange interprofessionnel continue de dysfonctionner

L'interopérabilité s'est considérablement améliorée depuis la règle finale ONC Cures Act de 2020, mais les frictions quotidiennes persistent. Le patient sorti de l'Hôpital A se présente à la Clinique B le lendemain. La clinique veut le compte-rendu de sortie, la réconciliation médicamenteuse et le scanner. Idéalement, une requête FHIR vers l'API de l'Hôpital A retourne un bundle DocumentReference et un DiagnosticReport. En pratique, le scanner est une étude DICOM de 400 Mo que les points FHIR ne servent pas efficacement, et le compte-rendu de sortie PDF est bloqué dans un champ de pièce jointe que l'API n'expose pas.

Alors quelqu'un envoie un fax. Ou grave un CD. Ou envoie une pièce jointe non chiffrée par email en violant HIPAA. L'écart entre les rails d'échange standardisés et la réalité désordonnée est là où vivent la plupart des violations de données.

Les quatre canaux d'échange en pratique

La messagerie sécurisée Direct utilise S/MIME sur SMTP avec des certificats délivrés par des HISP accrédités par DirectTrust. Elle est push-based, asynchrone, et idéale pour les orientations et les transitions de soins. Epic Care Everywhere, Cerner/Oracle Health Millennium et athenahealth prennent tous en charge Direct. La taille des pièces jointes est généralement plafonnée à 50 à 100 Mo selon le HISP.

Les API FHIR conformes à l'USCDI v3 de l'ONC et à la spécification HL7 FHIR R4 donnent un accès par requête aux données structurées : pathologies, médicaments, allergies, résultats biologiques, constantes vitales. Efficaces pour l'échange lisible par machine. Peu performantes pour les pièces jointes binaires.

L'échange HIE par requête via Carequality (connectant Epic, Cerner, athenahealth, eClinicalWorks) ou CommonWell Health Alliance utilise les profils IHE XCA et XCPD pour l'interrogation documentaire inter-entreprises. Idéal pour les workflows « récupérer tout ce qui existe sur ce patient ».

Le transfert chiffré ponctuel gère tout le reste — études d'imagerie trop volumineuses pour Direct, conservations légales, collaborations de recherche, dossiers d'orientation avec des dizaines de pièces jointes. C'est là que le risque de conformité se concentre.

Les garanties techniques HIPAA appliquées à l'échange de fichiers

La règle de sécurité HIPAA au 45 CFR 164.312 exige des contrôles d'accès, des contrôles d'audit, des contrôles d'intégrité et la sécurité des transmissions. Pour l'échange de fichiers, cela se traduit par : contrôle d'accès (164.312(a)) — identification unique de l'utilisateur et déconnexion automatique ; contrôles d'audit (164.312(b)) — enregistrer qui a accédé à quoi, le journal de transfert en fait partie ; intégrité (164.312(c)) — détecter les modifications non autorisées via des hachages SHA-256 sur les fichiers transférés ; sécurité des transmissions (164.312(e)) — chiffrement en transit, TLS 1.3 constitue le plancher pratique.

Les spécifications traitables comme le chiffrement au repos (164.312(a)(2)(iv)) deviennent de facto obligatoires après les orientations HHS OCR 2024 signalant que « traitable » ne signifie pas « optionnel ».

Accords de partenariat commercial et la chaîne de fournisseurs

Chaque fournisseur qui touche des PHI lors de l'échange a besoin d'un accord de partenariat commercial (BAA) en vertu du 45 CFR 164.504(e). Cela inclut : le fournisseur de DPI (Epic, Cerner, Meditech) ; le HISP routant les messages Direct ; le HIE (s'il est une entité séparée) ; toute plateforme de transfert de fichiers utilisée pour l'échange ponctuel ; le stockage cloud contenant les données de staging.

Si votre clinique utilise Dropbox Business pour les fichiers patients, Dropbox signera un BAA — mais seulement sur le niveau Advanced ou Enterprise. Dropbox grand public et Google Drive grand public ne le font pas. Un lien WeTransfer gratuit envoyé à un radiologue est une violation HIPAA sauf si WeTransfer a signé un BAA, ce que le niveau gratuit n'inclut pas.

Dossiers d'orientation : la plus grande catégorie d'échange de fichiers

Un dossier d'orientation cardiologique typique pèse 40 à 200 Mo : notes de consultation (PDF, 500 Ko à 5 Mo chacune) ; tracés ECG (PDF ou propriétaire) ; compte-rendu et étude DICOM d'échocardiographie (50 à 300 Mo) ; biologies et liste de médicaments (CCD/CCDA) ; comptes-rendus de cathéterisme antérieurs.

La messagerie Direct étouffe sur le DICOM. La télécopie dégrade la qualité d'image. Un lien web sécurisé avec chiffrement côté client et une courte expiration gère tout cela. La plupart des coordinatrices d'orientation veulent cliquer une fois, déposer les fichiers, envoyer un lien. Ce workflow, avec AES-256-GCM et une expiration à 7 jours, boucle le circuit d'orientation sans créer un nouveau projet informatique.

HexaTransfer gère exactement cette forme de transfert : déposer les fichiers, chiffrer dans le navigateur, partager un lien, définir une passphrase. Testez-le sur https://hexatransfer.com — gratuit, sans compte, 10 Go maximum.

Transferts d'urgence et hors heures ouvrables

À 2 heures du matin, un service d'urgences communautaire transfère un patient AVC vers un centre de traitement régional. Ils ont besoin du scanner crânien, de la directive anticipée et du statut de réanimation documenté avant l'arrivée du patient. L'infirmière dispose de 5 minutes.

Le workflow doit fonctionner sur un poste de travail des urgences verrouillé, sans rien installer, sans créer de compte. C'est le filtre brutal sur les outils de transfert en santé. S'il nécessite que l'informatique autorise un nouveau domaine, il n'existera pas quand l'infirmière en aura besoin.

Les outils de transfert pré-approuvés dans un dossier « raccourcis cliniques » du navigateur de l'hôpital fonctionnent. Les instructions imprimées avec les URL aux postes infirmiers fonctionnent. Les flux SSO compliqués ne fonctionnent pas.

Coordination des soins post-aigus

Les établissements de soins de suite et de réadaptation, les services de soins à domicile et les équipes de soins palliatifs échangent constamment des fichiers avec les hôpitaux de soins aigus. Un dossier de sortie pour une admission en SSR comprend typiquement : les antécédents et l'examen physique ; le compte-rendu de sortie ; la réconciliation médicamenteuse ; les évaluations de kinésithérapie et d'ergothérapie ; les photos actuelles de plaies ; le statut de réanimation et les directives anticipées.

Sous les Conditions de Participation CMS, le transfert de ces données doit se produire au moment de la sortie. De nombreux SSR reçoivent encore ces dossiers par fax parce que leur DPI (PointClickCare, MatrixCare) n'a pas d'adresse Direct vers laquelle l'hôpital peut router. Le transfert web sécurisé avec un lien de téléchargement envoyé vers une boîte mail surveillée du SSR constitue un pont en attendant que les API FHIR rattrapent.

Exigences d'audit entre États

Les lois étatiques sur les dossiers médicaux varient. La CMIA californienne, le Texas HB 300 et le SHIELD Act de New York s'ajoutent à HIPAA. En France, le RGPD s'applique avec les recommandations complémentaires de la CNIL. Si vous échangez des dossiers entre États ou entre pays, votre système d'audit doit enregistrer suffisamment de métadonnées pour satisfaire le régime le plus strict.

Champs minimaux d'audit : date et heure (UTC plus heure locale) ; NPI et organisation de l'expéditeur ; NPI et organisation du destinataire ; identifiant du patient (pas le nom dans le journal d'audit) ; type et taille du fichier ; hash SHA-256 ; succès ou échec ; base légale (traitement, paiement, opérations, autorisation).

Conserver ces journaux au moins 6 ans conformément à HIPAA, plus longtemps selon les lois étatiques.

Gérer les transferts demandés par le patient

Les règles anti-blocage d'information du 21st Century Cures Act donnent aux patients le droit de diriger leurs dossiers vers n'importe quel destinataire — un autre prestataire, une application de recherche, un dossier de santé personnel. Quand un patient dit « envoyez mon dossier au Dr Martin », l'organisation ne peut pas refuser parce que le Dr Martin utilise un DPI avec lequel vous n'êtes pas intégré.

La solution de repli est le transfert de fichiers sécurisé avec le patient comme intermédiaire, ou la transmission dirigée par le patient via un appel API DocumentReference. Documenter la demande du patient, envoyer le dossier, journaliser la transmission. Une plainte pour blocage d'information à l'ONC coûte plus que dix outils de transfert combinés.

Rendre cela viable sur le long terme

L'échange de fichiers en santé ne se consolidera pas sur un seul protocole dans les cinq prochaines années. La cible réaliste est un workflow en couches : Direct pour les orientations de routine et les transitions de soins, FHIR pour les requêtes de données structurées, HIE pour les recherches larges de dossiers patients, et le transfert chiffré ponctuel pour tout le reste. Choisir des outils qu'un utilisateur peu technique peut opérer au pire moment de sa garde, et documenter le workflow dans le SOP avant d'en avoir besoin. C'est ce qui maintient les patients en mouvement à travers le système en toute sécurité.