医療機関間のファイル交換を効率化する方法

個人情報保護委員会（PPC）の2024年度報告によれば、医療機関からの個人情報漏洩の約35%がファイル共有・メール送信の不備に起因している。病院、診療所、専門医の間のファイル交換は、個人情報保護法（APPI）の安全管理措置として正しく設計しなければならない。現実には、標準化された交換ルートと場当たり的な暗号化転送を組み合わせた多層アプローチが必要だ。

医療機関間の交換がいまだ壊れる理由

2020年代に入り相互運用性は大きく改善されたが、現場での摩擦は依然として残る。病院Aを退院した患者が翌朝に診療所Bを受診する。診療所は退院サマリー・服薬調整・CT所見を必要とする。理想的にはFHIRクエリが文書参照バンドルと診断報告を返す。実際には、CT検査は400MBのDICOMスタディでFHIRエンドポイントが効率よく提供できず、退院サマリーのPDFはAPIが公開しない添付フィールドに埋まっている。

結果として、ファックスが使われる。あるいはCDが焼かれる。あるいは暗号化されていない添付ファイルがメールで送られ、APPI違反が生じる。この標準的な交換ルートと混沌とした現実のギャップが、データ漏洩の多くを生む場所だ。

4つの交換チャネルの実態

Direct Secure Messaging はDirectTrust認定のHISPが発行する証明書でS/MIME over SMTPを使用する。プッシュ型・非同期型であり、紹介や診療移行に適している。添付サイズはHISPによって50〜100MBに制限されることが多い。

FHIR API（ONC USCDIv3・HL7 FHIR R4準拠）はクエリベースの構造化データアクセスを提供する。病態・投薬・アレルギー・検査結果・バイタルに強いが、バイナリ添付には弱い。

HIEクエリ交換（Carequality・CommonWell Health Alliance）はIHE XCAおよびXCPDプロファイルを用いたクロスエンタープライズ文書クエリを使用する。CDA文書や添付ファイルを返す。

アドホック暗号化転送は、上記に収まらないすべてのケースに対応する。Direct宛に送れない大容量の画像スタディ・法的保持・研究協力・数十の添付を含む紹介パケットがこれにあたる。コンプライアンスリスクが最も集中する領域だ。

HIPAAの技術的セーフガードをファイル交換に適用する

HIPAAセキュリティ規則（45 CFR 164.312）はアクセス制御・監査制御・完全性制御・送信セキュリティを義務付ける。ファイル交換への実装を示す。

アクセス制御（164.312(a)）：一意のユーザー識別と自動ログアウト。患者記録を受け取る共有inbox「frontdesk@clinic.com」はこれを満たさない
監査制御（164.312(b)）：誰が何にアクセスしたかを記録する。転送ログがその一部となる
完全性（164.312(c)）：不正な改ざんの検出。転送ファイルのSHA-256ハッシュを記録する
送信セキュリティ（164.312(e)）：転送時の暗号化。TLS 1.3が実務上の最低基準だ

業務受託者契約とベンダーチェーン

PHIに触れるすべてのベンダーは45 CFR 164.504(e)の業務受託者契約（BAA）が必要だ。対象には以下が含まれる。

EHRベンダー
Directメッセージをルーティングするルーティングサービス（HISP）
HIE（独立した事業体の場合）
アドホック交換に使用するファイル転送プラットフォーム
ステージングデータを保持するクラウドストレージ

個人用DropboxとDropbox BusinessのアドバンスまたはエンタープライズプランではBAA対応が異なる。WeTransferの無料リンクは、BAAが締結されていない限りHIPAA違反だ。

紹介パケット：最大の単発ファイル交換カテゴリ

典型的な循環器科への紹介パケットは40〜200MBにのぼる。

外来診察記録（PDF、500KB〜5MB単位）
心電図記録（PDFまたは独自フォーマット）
心エコー報告書とDICOMスタディ（50〜300MB）
検査結果と投薬リスト（CCD/CCDA）
過去のカテーテル報告書

Directメッセージングは大容量DICOMを扱えない。ファックスは画質を損なう。クライアントサイド暗号化と短い有効期限を持つセキュアなウェブリンクが対応できる。紹介担当者はワンクリックでファイルをドロップし、リンクを送るだけでよい。AES-256-GCMと7日間の有効期限を持つこのワークフローが、新たなITプロジェクトを立ち上げることなく紹介ループを完結させる。

HexaTransfer はこの形状の転送に対応している。ブラウザでファイルをドロップ・暗号化し、リンクを共有してパスフレーズを設定できる。https://hexatransfer.com で無料・アカウント不要・最大10GBで利用できる。

緊急時・時間外の転送

深夜2時、地域の救急病院が脳卒中患者を地域の脳卒中センターへ転送する。患者到着前にCT、POLST、コードステータスの文書が必要だ。救急看護師には5分しかない。

ワークフローはロックされた救急ワークステーション上で動作し、何もインストールせず、アカウントを作らずに機能しなければならない。これが医療転送ツールの厳しい篩だ。新しいドメインをITがホワイトリストに追加する必要があるなら、看護師が必要な瞬間にそのツールは存在しない。

病院の「臨床ショートカット」ブラウザフォルダに事前承認された転送ツールを入れておくことと、ナーシングステーションにURLを記載した印刷物を置いておくことが有効だ。

退院後の在宅ケア連携

介護老人保健施設・訪問看護・ホスピス事業者は急性期病院との間で常時ファイルをやり取りしている。典型的な施設入所用退院パケットに含まれるものを示す。

現病歴・身体所見（H&P）
退院サマリー
服薬調整
PT・OT評価
現在の創傷写真
コードステータスと事前指示書

EHR（PointClickCare、MatrixCare等）に病院がDirectアドレスを持っていない施設がまだ多く、ファックスでこれらのパケットを受け取っている。FHIR APIが追いつくまでの橋渡しとして、監視された施設のinboxへのダウンロードリンクをメールで送る安全なウェブ転送が機能する。

患者からの転送依頼への対応

21世紀の医療法の情報遮断禁止規則は、患者が自分の記録を望む場所へ転送する権利を持つことを保証する。患者が「Dr.スミスに診療録を送ってほしい」と言った場合、組織はDr.スミスが統合されていないEHRを使用しているという理由で拒否できない。

代替手段は、患者を仲介者とした安全なファイル転送、またはDocumentReference APIコールを介した患者指示による送信だ。患者の依頼を記録し、パッケージを送付し、送信をログに残す必要がある。経済産業省（METI）の医療情報ガイドラインでも、患者の権利に基づく情報提供の安全な実施が求められている。

持続可能な仕組みを作る

医療のファイル交換が今後5年以内に単一プロトコルに統合されることはない。現実的な目標は多層ワークフローだ。日常的な紹介・診療移行にはDirect、構造化データクエリにはFHIR、広範な患者記録検索にはHIE、そして他のすべてに暗号化アドホック転送を使う。最も技術が不得意なユーザーがシフトの最悪の瞬間でも操作できるツールを選び、SOPにワークフローを文書化しておく。それが患者を安全にシステム内で移動させ続けることに繋がる。