Bestandsoverdracht voor Telemedicine: Veilig Op afsten Care

Bestandsoverdracht bij telemedicine vindt plaats binnen HIPAA-gecoverde videoplatforms (Doxy.me, Zoom for Healthcare, Teladoc) of via verbonden EPD-portalen (MyChart, FollowMyHealth) — niet via consumentenmessaging. Het NCSC waarschuwt expliciet tegen het gebruik van niet-versleutelde videotools voor de overdracht van gezondheidsgegevens. Een werkbare stack: een geïntegreerd telezorgplatform met een BAA, een e-prescriptieservice (DrFirst, Surescripts, RxNT) gekoppeld aan het EPD, FHIR-gebaseerde documentuitwisseling voor beeldvorming en labs, en een versleutelde ad-hoc overdrachtsservice zoals HexaTransfer Enterprise voor de zeldzame buiten-band verzending. Zorgverleners moeten nu HIPAA-conforme telehealth-tools gebruiken, niet consumentenversies van Zoom of FaceTime.

De compliance-reset na de pandemie

Tijdens de COVID-pandemie stond de OCR tijdelijk toe dat zorgverleners consumentenvideo (FaceTime, Skype, consumentenversie van Zoom) gebruikten voor telehealth te goeder trouw. Die aanwijzing liep af op 11 mei 2023, met een overgangsperiode van 90 dagen.

Telehealth-bezoeken moeten nu HIPAA-conforme platforms gebruiken met:

Ondertekende Business Associate Agreement
End-to-end of server-side versleuteling van video en data
Toegangscontroles en authenticatie
Auditlogging
Verplichtingen inzake melding van datalekken

Platforms die aan de vereisten voldoen: Doxy.me, Zoom for Healthcare, Microsoft Teams met BAA, Webex for Healthcare, Teladoc, Amwell, MDLive, Doximity Dialer.

Documentverzameling voor de afspraak

Patiënten komen bij een telehealth-afspraak met relevante eerdere dossiers — externe laboratoriumresultaten, beeldvorming op cd's, ontslagsamenvattingen van andere systemen, medicatielijsten. Deze vooraf verzamelen bespaart tijd.

Workflow:

Patiënt boekt via het portaal
Portaal stuurt automatisch een beveiligd uploadformulier 48 uur voor de afspraak
Patiënt uploadt foto's van ID, verzekeringskaart en eventuele eerdere dossiers
Kantoorpersoneel beoordeelt en voegt toe aan EPD
Clinicus heeft alles beschikbaar voordat de videosessie begint

Platforms die dit afhandelen: Phreesia (intake), Klara, Luma Health, Clearwave, Solutionreach. Voor ad-hoc documentverzoeken tijdens de afspraak kan de patiënt uploaden via dezelfde beveiligde link of via het portaal.

Bestandsuitwisseling tijdens de afspraak

Tijdens een afspraak moeten clinici vaak informatie delen met de patiënt: educatief materiaal, na-afspraak-instructies, verwijsbrieven, behandelplannen. De meeste moderne telehealth-platforms bieden bestandsbijlagen in de sessie.

Veelgebruikte bestandstypen:

Na-afspraak-samenvatting (.pdf, 1 tot 3 pagina's): automatisch gegenereerd door EPD
Voorlichtingsmateriaal (.pdf): uit de EPD-bibliotheek
Beeldannotaties (.png, .jpg): ter verklaring van anatomie of procedures
Receptdocumentatie: verzonden via e-prescriptie, niet aan patiënt overhandigd
Laborderformulieren: elektronische handtekening, doorgestuurd naar het lab
Verwijsbrieven: gegenereerd en gedeeld via HIE of Direct

Voor bestanden die te groot zijn voor de telehealth-chat (zeldzaam, maar sommige beeldvorming haalt 100 MB), zet een wachtwoordbeveiligde overdrachtslink in de chat en deel het wachtwoord mondeling tijdens het gesprek.

E-prescriptie en gecontroleerde middelen

E-prescriptie (eRx) is in de meeste staten verplicht. De stack:

E-prescriptiemodule van het EPD (Epic, athenahealth, eClinicalWorks, NextGen)
Surescripts als nationaal netwerk
DrFirst, RxNT als zelfstandige opties voor niet-EPD-workflows
EPCS (Electronic Prescribing of Controlled Substances): vereist tweefactorauthenticatie conform DEA-eisen

De Ryan Haight Act en daaropvolgende DEA-regels regelen het voorschrijven van gecontroleerde middelen via telehealth. Controleer altijd de actuele DEA-richtlijnen voordat u Lijst II-V-medicijnen via telehealth voorschrijft.

Stuur geen recepten als PDF-bestand per e-mail naar patiënten. In 2026 werkt het zo niet — apotheken ontvangen e-Rx via Surescripts; patiënten hanteren het recept niet meer fysiek.

Beeldvorming en diagnostisch testendelen

Telehealth-afspraken omvatten vaak de beoordeling van beeldvorming of diagnostische studies. Opties:

Patiënt heeft beeldvorming in Apple Health (opgehaald van deelnemende ziekenhuizen): scherm delen
Patiënt heeft cd: laat uploaden via een cloud-beelduitwisseling (PocketHealth, Ambra, LifeImage)
Zorgverlener heeft beeldvorming: delen via de beeldviewer van het EPD
Beeldvorming van externe zorgverlener: opvragen via Carequality, CommonWell of TEFCA QHIN

Voor urgente afspraken waarbij beeldvorming tijdens de sessie aankomt, werkt een door de patiënt geüploade DICOM via de bestandsfunctie van het telehealth-platform — maar de bestandsgroottes (vaak 500 MB+) overschrijden de limieten van veel platforms. Een cloud-beelduitwisseling regelt dit beter.

Geestelijke gezondheid en psychiatrische telehealth

Gedragsgezondheidszorg is de grootste telehealth-specialiteit. Dit brengt aanvullende privacy-overwegingen met zich mee:

Psychotherapieaantekeningen (HIPAA 164.501): afzonderlijk beschermd, vereisen specifieke autorisatie voor de meeste openbaarmakingen
42 CFR Part 2 (SUD-dossiers): strenge toestemmingsvereisten voor gegevens over middelengebruiksstoornissen
Staatsspecifiek privacyrecht voor geestelijke gezondheid: vaak strenger dan HIPAA
Minderjarigen: wisselende staatsregels over toestemming van adolescenten voor geestelijke gezondheidsdiensten

In Nederland geldt de AVG voor alle bijzondere categorieën persoonsgegevens, inclusief geestelijke gezondheidsgegevens. De Autoriteit Persoonsgegevens (AP) houdt hierop toezicht.

Licentiëring over staatsgrenzen en workflows met meerdere staten

Clinici die telehealth aanbieden over staatsgrenzen heen, hebben een vergunning nodig in elke staat waar de patiënt zich bevindt (met enkele compactuitzonderingen: IMLC voor artsen, PT Compact, Nurse Licensure Compact, PSYPACT voor psychologen).

Bestandsdeling in de praktijk met meerdere staten brengt aanvullende uitdagingen:

Bewaartermijnen per staatsregels voor dossiers
Formulieren voor vrijgave van medische dossiers conform het vrijgeefstatuut van elke staat
Staatsspecifieke vereisten voor geïnformeerde toestemming
PMP-rapportage (Prescription Monitoring Program) in de staat van de patiënt

Thuisapparaten en bewaking op afstand

Bewaking van patiënten op afstand (RPM) genereert continue datastromen: bloeddruk, glucose, gewicht, ECG, SpO2. Platforms die dit afhandelen:

Dexcom, Abbott Libre (glucose)
Omron, Withings (bloeddruk, gewicht)
Apple Watch, Fitbit (activiteit, ECG)
iRhythm Zio (uitgebreide ECG-bewaking)

Gegevens stromen van apparaat naar leverancierscloud, vervolgens via HL7 FHIR Observation of propriëtaire API naar het EPD. BAA's dekken elke leverancier in het pad.

Ad-hoc bestandsoverdracht voor grensgevallen

Ondanks geïntegreerde platforms zijn er grensgevallen die ad-hoc overdrachten vereisen:

Specialistenbeoordeling van ongewone beeldvorming die nog niet in het PACS staat
Multidisciplinaire tumorboard: pathologie + beeldvorming + labs naar raadplegende zorgverleners sturen
Second-opinion-diensten: door de patiënt geïnitieerde pakketsamenstelling
Medisch-juridische vrijgaves: advocaat verzoekt dossiers voor een rechtszaak
Onderzoeksconsortia: gede-identificeerd gegevensdelen

Gebruik hiervoor een versleutelde overdrachtstool met BAA. Stel een vervaldatum in van 14 dagen, beveilig met een wachtwoord en deel het wachtwoord via een apart kanaal.

Beveiligingspraktijk voor de externe clinicus

Veel telehealth-zorgverleners werken thuis. Minimale maatregelen:

Apparaat: beheerd door de organisatie, schijfversleuteling ingeschakeld (BitLocker, FileVault), EDR geïnstalleerd
Netwerk: VPN naar het ziekenhuisnetwerk of Zero Trust Network Access (Zscaler, Cloudflare Access)
Fysiek: privéruimte met gesloten deur tijdens afspraken, scherm afgeschermd
Authenticatie: MFA op alle klinische systemen (hardwaresleutel zoals YubiKey heeft de voorkeur)
Automatische vergrendeling: schermvergrendeling na 5 minuten inactiviteit

Een werkbare telehealth-stack

Videoplatform: Doxy.me, Zoom for Healthcare of Teams met BAA
EPD met telehealth-module: Epic, athenahealth, eClinicalWorks
E-prescriptie: Surescripts via EPD; DrFirst voor EPCS
Bewaking op afstand: specialiteitsspecifieke platforms met FHIR naar EPD
Ad-hoc overdrachten: end-to-end encryptie-service met BAA
Patiëntintake en formulieren: Phreesia of Klara
Beveiligde berichten: EPD-portaal of BAA-gedekte messaging (TigerConnect)

Probeer HexaTransfer via https://hexatransfer.com — gratis, geen account vereist, maximaal 10 GB.