医療記録を安全に転送：プライバシー準拠ガイド

医療記録の安全な転送とは、転送プロバイダーがアクセスできない鍵でファイルが暗号化されていること、送信にTLS 1.3が使われていること、プロバイダーが事業提携契約（BAA）に署名するか、またはエンドツーエンド暗号化によりプロバイダーが平文にアクセスできない状態になっていること、そして送受信の監査可能な記録が生成されることを意味します。HIPAAの用語では、45 CFR § 164.312（技術的保護措置）——アクセス制御、監査制御、完全性、送信セキュリティを実装することです。実用的な最短経路は、DICOMスタディやPDF記録をブラウザベースのサービスにアップロードし、臨床ワークステーションからバイトが送信される前にクライアントサイドでAES-256-GCMで暗号化することです。

HIPAAが送信に実際に求めること

HIPAAセキュリティルールの技術的保護措置セクション（§ 164.312）は次を規定します。

アクセス制御（§ 164.312(a)(1)）：一意のユーザー識別、緊急アクセス手順、自動ログオフ、暗号化と復号。
監査制御（§ 164.312(b)）：活動を記録・検査するハードウェア、ソフトウェア、手続きの仕組み。
完全性（§ 164.312(c)(1)）：PHI（保護対象保健情報）が不正な方法で変更・破壊されないこと。
送信セキュリティ（§ 164.312(e)(1)）：完全性制御に加えて「合理的かつ適切」な場合の暗号化。

HIPAAの「対応可能」という言葉はオプションを意味しません。対象事業者は保護措置を実施するか、その理由を文書化して同等の代替策を取る必要があります。信頼されたネットワーク外へのePHI送信には、暗号化がほぼ普遍的なデフォルトです。

BAA問題の再考

ベンダーが対象事業者に代わってPHIにアクセスする場合、事業提携契約が必要です。転送サービスが平文のPHIを見られる場合——一時的であっても——BAAが必要です。PHIがエンドツーエンドで暗号化されており、サービスが暗号文のみを扱う場合、§ 160.103で定義されるPHIに決してアクセスしないためサービスはその意味でのビジネスアソシエイトではないと主張できます。

これがゼロ知識の論拠です。OCR（HHS市民権局）は明確な裁定を出していませんが、HITECH法の§ 13402(h)のセーフハーバー——NISTガイダンスに従って暗号化されたデータは「未保護のPHI」とはみなされない——は、適切に暗号化された送信が違反通知をトリガーしないという立場を支持します。小規模な診療所は実務上、BAA署名済みサービスまたはゼロ知識サービスを、§ 164.308(a)(1)(ii)(A)の文書化されたリスク分析と組み合わせて使うことが多いです。

一般的な臨床ファイル形式

| ファイル | 典型的なサイズ | 内容 | | --- | --- | --- | | DICOM CT スタディ | 200MB〜2GB | スライス、メタデータ（患者名、MRN、検査日） | | DICOM MRI スタディ | 100MB〜3GB | 複数シリーズ | | デジタル病理 .svs | 500MB〜5GB | 全スライド画像 | | 統合CDA（C-CDA）XML | 100KB〜5MB | 構造化臨床サマリー | | PDF検査結果 | 50KB〜20MB | 血液検査、画像レポート | | DEXA/DXA スタディ | 10〜50MB | 骨密度画像 | | 完全なEMRエクスポート | 10MB〜2GB | 識別解除済みまたは患者が要求したエクスポート |

造影剤入りの腹部CT一件だけで1.2GBになります。メールはこれらのファイルを送るためのチャネルではありません。

メールと標準クラウドストレージが不十分な理由

標準SMTPはホップバイホップTLS——経路上の各メールサーバーが復号して再暗号化します。三つのリレーを通過するメッセージには三つの復号ポイントがあります。
Gmail 、 Outlook.com 、 iCloud Mail は、プロバイダーが鍵を保持するサーバー上にメッセージを保存します。
Dropbox 、 Google Drive 、 OneDrive はいずれも保存時暗号化を提供しますが、プロバイダーが鍵を持ちます。 Google はHIPAA有効管理設定が構成された Workspace Enterprise にのみBAAに署名します。無料版のDriveはHIPAAの適用範囲外です。
米国医療で今なお使われているFAXは、暗号化されていない固定回線で通信キャリアを平文で通過します。

臨床用ゼロ知識転送フロー

臨床医がPACS（GE Centricity、Philips IntelliSpace、Siemens syngo.via、オープンソースのdcm4chee）からDICOMスタディを匿名化済みまたは患者識別付きのDICOMファイルを含む .zip にエクスポートします。
臨床医がブラウザで転送サービスを開きます。Web Crypto APIが共有パスフレーズからPBKDF2-HMAC-SHA256、60万イテレーション、ランダム128ビットソルトで256ビット鍵を導出します。
ブラウザが各5MBチャンクをAES-256-GCMで、チャンクごとに新しい96ビットIVを使って暗号化します。暗号文はTLS 1.3経由でアップロードされます。
リンクは安全なメッセージング（DirectTrust、TigerConnect）または患者ポータル経由で受信側の臨床医に送ります。
パスフレーズは第二のチャネルで送信します——患者に渡す署名済み紙フォーム、確認済み番号へのSMS、または電話です。
受信者がダウンロードし、ブラウザで復号して、OsiriX、Horos、RadiAnt、またはローカルPACSで開きます。

転送サービスは患者データを決して見ません。監査証跡はアップロードのタイムスタンプ、ファイルサイズ（内容ではなく）、ダウンロードのタイムスタンプ、IPアドレスを記録します。これらのログはPHIを開示することなく§ 164.312(b)の監査制御を支えます。

メタデータ漏洩のリスク

DICOMファイルには豊富なヘッダーが埋め込まれています。患者名、MRN、生年月日、紹介医、施設名などです。漏洩経路は二つあります。

ファイル名 に PATIENT_LASTNAME_MRN123456.dcm が含まれる場合、ファイル名が見える転送サービスは暗号化されたコンテンツであっても識別子を公開します。zip化する前にファイル名を変更します。
DICOMタグ がファイル内にすべての人口統計情報を保持します。暗号化されたファイルはこれを転送サービスから隠しますが、受信者は復号後に見えます。識別子が不要なユースケースでは、DICOM補足142またはHIPAA § 164.514(b)のセーフハーバーに従って送信前に識別解除します。

患者が主導する転送

HITECH法と「21世紀治癒法」の情報ブロッキングルール（45 CFR第171部、2021年施行）により、患者は電子形式で自分の記録を受け取る権利を持ちます。ブラウザベースの暗号化転送がここで適切に機能します。

患者がプロバイダーの情報開示担当者に記録を要求します。
ROIスタッフがzip化されたPDF・C-CDA・DICOMバンドルをアップロードします。
患者が確認済みメールアドレスにリンクを受け取り、パスワードは電話で受け取ります。
患者がダウンロードし、コピーを保持して、セカンドオピニオンを提供するプロバイダーに転送します。

このフローは、患者がポータルアカウントを作成することなく情報共有義務を満たします。

EU医療向けのGDPR要件

GDPR第9条は健康データを特別カテゴリに分類します。第32条は暗号化を含む適切な技術的・組織的措置を義務付けます。EU内の診療所（ドイツの Krankenhäuser 、フランスの hôpitaux 、スイスの Spitäler 、オランダの ziekenhuizen ）には、クライアントサイドの鍵導出を伴うエンドツーエンド暗号化が条文の要件を満たし、ゼロ知識処理により第28条のデータ処理者契約の範囲を縮小できます。スイスの診療所はさらに、2023年9月施行の改訂FADP（nFADP）の適用を受け、暗号化要件においてGDPRと広く整合します。

医療に適した転送オプションの比較

| オプション | E2E暗号化 | HIPAA対応 | 最大容量（目安） | 患者アクセス | | --- | --- | --- | --- | --- | | 標準Gmail | なし（TLSのみ） | WorkspaceのBAAなしでは不可 | 25MB | あり | | Google Workspace HIPAA（BAA付き） | なし | あり | 5TBクォータ | あり | | Microsoft 365 HIPAA（BAA付き） | なし | あり | 250GB/ファイル（OneDrive） | あり | | DirectTrust（Direct Project） | あり（S/MIME） | あり（HIPAA向け設計） | HISPごとに設定 | 制限あり | | Tresorit Send | あり（サーバー支援） | BAA利用可能 | 5GB（無料） | あり | | HexaTransfer | あり（ブラウザ内AES-256-GCM） | ゼロ知識設計 | 10GB | あり（アカウント不要） |

医療記録は施設を離れた瞬間から重みを持ちます。送信の仕組みはその重みに見合うものでなければなりません。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。