Regels voor bestanden delen in de zorgsector: essentials

Regels voor het delen van zorgbestanden komen neer op één idee: Protected Health Information (PHI) beweegt alleen via kanalen die het versleutelen, registreren en beperken tot geautoriseerde ontvangers. Onder de HIPAA Security Rule heeft elk tool dat een DICOM-scan, een 45 MB EHR-export of een lab-PDF verstuurt, AES-256-versleuteling nodig, TLS 1.3 in transit, per-gebruiker toegangscontroles en een getekende Business Associate Agreement met de leverancier. AVG Artikel 9 voegt toestemming- en minimalisatievereisten toe voor EU-patiënten. HITECH voegt breukmelding binnen 60 dagen toe, en 2026-regels in meerdere staten verscherpen dat verder.

Wat telt als PHI in een bestand

PHI is alle gezondheidsinformatie gekoppeld aan een van de 18 identificatoren: naam, e-mail, medisch dossiernummer, verzekerings-ID, biometrische data, gezichtsfoto enzovoort. Een radiologieafbeelding zonder naam telt nog steeds als de DICOM-header de patiënt-ID bewaart. Een personeelsschema zonder medische details is waarschijnlijk geen PHI, maar voeg een notitie toe als "verschuif Jordans afspraak na chemo" en het wordt PHI. Dit is relevant omdat de bestandsoverdrachtsregels van toepassing zijn zodra iets van die lijst verschijnt in je .pdf, .xlsx of .zip. Klinieken maken hier fouten door samenvattingsrapporten als "geanonimiseerd" te behandelen terwijl geboortedatum en postcode gecombineerd individuen kunnen re-identificeren onder de HIPAA Safe Harbor-test.

De BAA is niet onderhandelbaar

De HIPAA Privacy Rule bij 45 CFR 164.504(e) vereist een Business Associate Agreement met elke leverancier die PHI namens een gedekte entiteit verwerkt. Dat omvat de bestandsoverdrachtdienst. De BAA benoemt de leverancier als Business Associate, verplicht hen Security Rule-maatregelen te implementeren, verbindt hen aan breukmelding en verbiedt PHI te delen met subcontractanten die geen eigen overeenkomst hebben ondertekend. Consumentenbestandsoverdrachtproducten bieden zelden een BAA op gratis niveaus. Zorgsectorspecifieke diensten zoals Paubox, Kiteworks en enterprise-niveaus van Dropbox doen dat wel. Vóór dat één enkel patiëntbestand wordt verzonden, moet de BAA zijn medeondertekend en op dossier staan.

Minimale technische maatregelen onder de Security Rule

De Security Rule bij 45 CFR 164.312 is verrassend concreet voor een wet uit 2003. Ze verplicht unieke gebruikersidentificatie, automatische uitlogfunctie, versleuteling- en ontsleutelingsmechanismen, auditcontroles en transmissiebeveiliging. In de praktijk voor bestandsoverdracht betekent dit: elke ontvanger authenticeert individueel in plaats van een link te delen, inactieve sessies sluiten na 15 minuten, bestanden zijn end-to-end versleuteld met AES-256-GCM, elke toegang creëert een logvermelding en de transportlaag gebruikt TLS 1.3. De 2024 Notice of Proposed Rulemaking van HHS OCR streeft ernaar de aanwijsbare specificaties verplicht te maken in plaats van "redelijk en passend".

Geautoriseerde toegang en de minimale-noodzaakstandaard

Een patiëntdossier delen met een specialist is prima. De volledige EHR-export sturen terwijl alleen drie pagina's relevant zijn, schendt de minimale-noodzaakstandaard van HIPAA. Bestandsoverdrachttools kunnen helpen door ontvanger-specifieke toegang te ondersteunen, verloopdatumlinks gekoppeld aan een benoemd e-mailadres, en downloadlimieten. Een eerstelijnskliniek die een export van 180 MB naar een cardioloog stuurt, zou in plaats daarvan een uittreksel van 4 MB moeten sturen met relevante labs en beeldvorming. Als dat niet haalbaar is, beperkt redactie via tools zoals Adobe Acrobat of open-source bibliotheken zoals PyMuPDF wat de instelling verlaat.

Patiënttoestemming en AVG Artikel 9

Europese patiënten hebben sterkere standaardrechten dan Amerikaanse patiënten. AVG Artikel 9 categoriseert gezondheidsdata als bijzondere categorieën gegevens, waarvoor expliciete toestemming of een andere specifieke rechtmatige grondslag nodig is. Voor een Brits ziekenhuis dat een scan deelt met een Duitse specialist moet die toestemming zijn gedocumenteerd en intrekbaar zijn. Veel EU-gezondheidsstelsels gebruiken gestandaardiseerde toestemmingsformulieren die worden vastgelegd tijdens de registratie. De bestandsoverdrachtool beheert toestemming niet zelf, maar het omliggende proces is van belang: stuur het bestand niet vóór de toestemming is geregistreerd, en bewaar het toestemmingsbewijs gekoppeld aan het transferlog.

Tijdslijnen voor breukmelding

Als een laptop met niet-versleutelde patiëntbestanden wordt gestolen, of een verkeerd geadresseerde transferlink de verkeerde ontvanger bereikt, treedt de HIPAA Breach Notification Rule in werking. Gedekte entiteiten hebben 60 dagen om getroffen personen, HHS en soms media te informeren voor inbreuken van meer dan 500 records. De AVG is strakker: 72 uur aan de toezichthoudende autoriteit. Meerdere Amerikaanse staten vereisen nu snellere melding; de CMIA van Californië stelt 15 dagen voor bepaalde inbreuken. De snelste manier om de tijdlijn te vermijden is versleuteling die kwalificeert voor safe harbor onder HHS-richtlijnen. Een gestolen laptop met AES-256-versleutelde bestanden triggert vaak geen meldingsverplichting omdat de data als onbruikbaar wordt beschouwd.

Auditing en bewaring

HIPAA vereist zes jaar bewaring voor beleid, auditlogs en risicobeoordelingen. Bestandsoverdrachtslogboeken vallen hieronder. Een typisch auditverzoek van OCR na een klacht wil zien: wie heeft een specifiek patiëntdossier geüpload, wanneer, wie heeft het gedownload, vanaf welk IP, en of de overdracht was versleuteld. Het logformaat moet machine-leesbaar en exporteerbaar zijn. Tools die logs slechts 90 dagen bewaren, voldoen niet aan deze vereiste tenzij je ze opneemt in een SIEM. Gezondheidsstelsels routeren bestandsoverdrachtslogboeken vaak naar Splunk, Sumo Logic of Microsoft Sentinel met zes jaar koude opslag op S3 Glacier of Azure Archive.

Grensoverschrijdende klinische onderzoeksbestanden

Farmaceutische bedrijven die trials uitvoeren in de VS, EU en Azië staan voor overlappende regels. Een dataset van 500 MB die van een Boston CRO naar een onderzoeker in München gaat, overschrijdt de HIPAA- en AVG-grenzen. De werkbare opzet: versleutel het bestand lokaal met AES-256 vóór upload, gebruik een transfertool met EU-opslaglocatie, neem een Data Transfer Agreement op met verwijzing naar de 2021 SCCs en pseudonimiseer patiëntidentificatoren met een sleutel die alleen bij de bron wordt bewaard. Voor DICOM-beeldvorming verwijderen tools zoals de de-identificatieprofielen van dcm4che PHI uit headers vóór export.

HexaTransfer versleutelt bestanden in je browser met AES-256-GCM vóór upload, slaat ciphertext op in EU-datacenters en verwijdert na 7 dagen. Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB. Koppel het voor gereguleerd productiegebruik aan de BAA-review van je organisatie.

Bestanden delen in de zorg werkt wanneer de tool, het proces en de documentatie op één lijn liggen. Versleuteling houdt de data veilig als er iets misgaat. Toegangscontroles houden de juiste ogen op het bestand. Logs bewijzen naleving wanneer auditors vragen stellen. Sla er één van over, en één verkeerd doorgestuurde .pdf wordt een meldingsplichtige inbreuk.