Trasferire cartelle cliniche in sicurezza: guida conforme

Trasferire cartelle cliniche in sicurezza significa che il file è cifrato con chiavi a cui il provider di trasferimento non può accedere, la trasmissione usa TLS 1.3, il provider firma un Business Associate Agreement (BAA) oppure la crittografia è end-to-end e quindi non serve alcun BAA per il testo in chiaro, e il flusso di lavoro produce un record verificabile di trasmissione e ricezione. In termini HIPAA, stai onorando 45 CFR § 164.312 (Salvaguardie tecniche) — controllo di accesso, controlli di audit, integrità e sicurezza della trasmissione. La scorciatoia pratica: carica lo studio DICOM o le cartelle PDF su un servizio basato sul browser che cifra lato client con AES-256-GCM prima che un singolo byte lasci la postazione clinica.

Cosa richiede davvero HIPAA per la trasmissione

La sezione Salvaguardie Tecniche della HIPAA Security Rule (§ 164.312) specifica:

• Controllo di accesso (§ 164.312(a)(1)): identificazione utente univoca, procedura di accesso d'emergenza, logoff automatico, crittografia e decifratura.
• Controlli di audit (§ 164.312(b)): meccanismi hardware, software e procedurali che registrano ed esaminano l'attività.
• Integrità (§ 164.312(c)(1)): le PHI non sono alterate o distrutte in modo non autorizzato.
• Sicurezza della trasmissione (§ 164.312(e)(1)): controlli di integrità più crittografia, dove "ragionevole e appropriata".

"Addressable" nel linguaggio HIPAA non significa opzionale — significa che l'entità coperta deve implementare la salvaguardia o documentare perché non è ragionevole e implementare un'alternativa equivalente. Per la trasmissione di ePHI fuori da una rete fidata, la crittografia è il default quasi universale.

La questione del BAA, riformulata

Un Business Associate Agreement è richiesto quando un fornitore ha accesso a PHI per conto di un'entità coperta. Se il servizio di trasferimento può vedere PHI in chiaro — anche transitoriamente — serve un BAA. Se le PHI sono cifrate end-to-end e il servizio gestisce solo testo cifrato, il servizio probabilmente non è un Business Associate rispetto a quei dati perché non ha mai accesso a PHI come definite in § 160.103.

Questo è l'argomento della conoscenza zero. L'OCR (HHS Office for Civil Rights) non ha emesso una sentenza inequivocabile, ma il "safe harbor" dell'HITECH Act in § 13402(h) — i dati cifrati secondo le linee guida NIST non sono considerati PHI non protette — supporta la posizione che le trasmissioni correttamente cifrate non attivano la notifica di breach. Consiglio pratico: gli studi più piccoli abbinano un servizio firmatario BAA o un servizio a conoscenza zero a un'analisi del rischio documentata sotto § 164.308(a)(1)(ii)(A).

Tipi comuni di file clinici

| File | Dimensione tipica | Contenuti | | --- | --- | --- | | Studio TC DICOM | 200 MB – 2 GB | Slice, metadati (nome paziente, MRN, data studio) | | Studio MRI DICOM | 100 MB – 3 GB | Serie multiple | | Patologia digitale .svs | 500 MB – 5 GB | Immagini whole-slide | | Consolidated CDA (C-CDA) XML | 100 KB – 5 MB | Riepilogo clinico strutturato | | PDF risultati di laboratorio | 50 KB – 20 MB | Esami del sangue, referti di imaging | | Studio DEXA/DXA | 10–50 MB | Immagini di densità ossea | | Export EMR completo | 10 MB – 2 GB | De-identificato o richiesto dal paziente |

Una singola TC addominale con contrasto può raggiungere 1,2 GB. L'email non è un canale per questi.

Perché email e archiviazione cloud standard non bastano

• L'SMTP standard è TLS hop-by-hop — i server di posta lungo il percorso decifrano e ricifrano. Un messaggio che attraversa tre relè ha tre punti di decifratura.
• Gmail, Outlook.com e iCloud Mail archiviano i messaggi sui server del provider con chiavi detenute dal provider.
• Dropbox, Google Drive e OneDrive offrono tutti crittografia a riposo, ma il provider detiene le chiavi. Google firma un BAA solo per Workspace Enterprise con configurazione admin abilitata HIPAA. Drive di livello gratuito non è coperto da HIPAA.
• Il fax, il backup perenne, è ancora in uso nella sanità US — ma il fax via linea telefonica non cifrato passa attraverso i carrier telecom in chiaro.

Un flusso di trasferimento a conoscenza zero per uso clinico

1. Il clinico esporta lo studio DICOM dal PACS (GE Centricity, Philips IntelliSpace, Siemens syngo.via o l'open-source dcm4chee) in un .zip contenente file DICOM anonimizzati o identificati per paziente.
2. Il clinico apre il servizio di trasferimento nel browser. La Web Crypto API deriva una chiave a 256 bit da una passphrase condivisa via PBKDF2-HMAC-SHA256, 600.000 iterazioni, salt casuale a 128 bit.
3. Il browser cifra ogni blocco da 5 MB con AES-256-GCM, IV fresco a 96 bit per blocco. Il testo cifrato si carica su TLS 1.3.
4. Il link viene inviato al clinico ricevente via messaggistica sicura (DirectTrust, TigerConnect) o portale paziente.
5. La passphrase viene trasmessa su un secondo canale — un modulo cartaceo firmato consegnato al paziente, un SMS a un numero verificato o una telefonata.
6. Il ricevente scarica, decifra nel browser, apre in OsiriX, Horos, RadiAnt o nel proprio PACS locale.

Il servizio di trasferimento non vede mai i dati del paziente. L'audit trail registra timestamp di upload, dimensione del file (non il contenuto), timestamp di download e indirizzi IP. Quei log supportano i controlli di audit § 164.312(b) senza rivelare PHI.

Rischi di fuga di metadati

I file DICOM incorporano un header ricco: nome paziente, MRN, data di nascita, medico referente, istituzione. Due percorsi di fuga:

• Il nome del file include COGNOME_PAZIENTE_MRN123456.dcm. Un servizio di trasferimento con nomi file visibili espone gli identificatori anche con contenuto cifrato. Rinomina prima di comprimere.
• I tag DICOM all'interno del file contengono tutti i dati demografici. Un file cifrato nasconde questo al servizio di trasferimento, ma il ricevente lo vede alla decifratura. Se il caso d'uso non richiede identificatori, de-identifica secondo il DICOM Supplement 142 o il § 164.514(b) Safe Harbor di HIPAA prima dell'invio.

Trasferimenti avviati dal paziente

Sotto l'HITECH Act e le regole di blocco delle informazioni del 21st Century Cures Act (45 CFR Part 171, in vigore dal 2021), i pazienti hanno il diritto di ricevere le proprie cartelle in formato elettronico. Un trasferimento cifrato basato sul browser è ben adatto:

• Il paziente richiede le cartelle all'ufficio release-of-information del provider.
• Lo staff ROI carica un bundle compresso PDF/C-CDA/DICOM.
• Il paziente riceve il link alla propria email verificata, password via telefono.
• Il paziente scarica, conserva una copia, inoltra a un provider di second-opinion.

Questo flusso soddisfa gli obblighi di condivisione delle informazioni senza richiedere al paziente di configurare un account portale.

Parallelo GDPR per la sanità europea

L'Articolo 9 del GDPR classifica i dati sanitari come categoria speciale. L'Articolo 32 impone misure tecniche e organizzative appropriate, inclusa la crittografia. Per le cliniche UE (Krankenhäuser tedeschi, hôpitaux francesi, Spitäler svizzeri, ziekenhuizen olandesi), la crittografia end-to-end con derivazione di chiave lato client soddisfa i requisiti dell'articolo, e il trattamento a conoscenza zero riduce la portata dei contratti con il responsabile del trattamento sotto l'Articolo 28.

Le cliniche svizzere ricadono inoltre sotto la nLPD rivista (in vigore da settembre 2023), che si allinea ampiamente con il GDPR sulle aspettative di crittografia.

Conservazione e cancellazione

Le cartelle cliniche hanno conservazione statutaria: 10 anni in Francia (Code de la santé publique L.1110-4), 30 anni in Germania per le cartelle ospedaliere secondo la legge regionale, 7+ anni nella maggior parte degli stati USA secondo la legge statale stratificata su HIPAA. Il trasferimento in sé, però, è effimero. Il timer di conservazione si applica al sistema di registrazione del provider (l'EMR), non al link di trasferimento. Configura la scadenza del trasferimento a 14–30 giorni; il PACS o l'EMR del ricevente prende in carico la custodia a lungo termine.

Confronto di opzioni di trasferimento adatte alla sanità

| Opzione | Crittografia E2E | Capace HIPAA | Dimensione max (tipica) | Accessibile al paziente | | --- | --- | --- | --- | --- | | Gmail standard | No (solo TLS) | No senza BAA Workspace | 25 MB | Sì | | Google Workspace HIPAA (con BAA) | No | Sì | Quota 5 TB | Sì | | Microsoft 365 HIPAA (con BAA) | No | Sì | 250 GB per file (OneDrive) | Sì | | DirectTrust (Direct Project) | Sì (S/MIME) | Sì, progettato per HIPAA | Configurato per HISP | Limitato | | Tresorit Send | Sì (assistita dal server) | BAA disponibile | 5 GB gratis | Sì | | HexaTransfer | Sì (AES-256-GCM nel browser) | Conoscenza zero by design | 10 GB | Sì, senza account |

Le cartelle cliniche portano peso nel momento in cui lasciano l'edificio. Il meccanismo di trasmissione deve essere all'altezza di quel peso.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.