Bestandsuitwisseling tussen zorgverleners onderling

Bestandsuitwisseling tussen zorgverleners vindt plaats via vier hoofdkanalen: Direct Secure Messaging via S/MIME (het Direct Project van de ONC), FHIR-gebaseerde API's conform de 21st Century Cures Act-regels, HIE-querywisseling via Carequality of CommonWell, en ad-hoc versleutelde bestandsoverdracht voor alles wat niet in de gestandaardiseerde pijpen past. De Autoriteit Persoonsgegevens (AP) concludeerde in haar thematisch onderzoek van 2023 dat onvoldoende beveiligde uitwisseling van medische dossiers de meest voorkomende categorie van AVG-overtredingen in de zorgsector vormt in Nederland. Ziekenhuizen, specialistische klinieken, verpleeghuizen en thuiszorgorganisaties bevinden zich op verschillende punten van dit spectrum, en de meeste uitwisselingen in de praktijk omvatten minstens twee kanalen — een FHIR-query voor de samenvatting plus een versleutelde .pdf-overdracht voor de volledige operatienota of de beeldvormingsstudie.

Waarom uitwisseling tussen zorgverleners nog steeds misloopt

Interoperabiliteit is aanzienlijk verbeterd, maar dagelijkse wrijving blijft bestaan. Een patiënt ontslagen uit Ziekenhuis A verschijnt de volgende ochtend bij Kliniek B. De kliniek wil de ontslagbrief, de medicatieverzoening en de CT-lezing. Idealiter geeft een FHIR-query naar de API van Ziekenhuis A een DocumentReference-bundel en een DiagnosticReport terug. In de praktijk is de CT-lezing een 400 MB DICOM-studie die FHIR-eindpunten niet efficiënt serveren, en de ontslagbrief als PDF zit opgesloten in een bijlageveld dat de API niet blootstelt.

Dus iemand faxt het. Of brandt een cd. Of mailt een onversleutelde bijlage en overtreedt HIPAA en de AVG.

De kloof tussen de gestandaardiseerde uitwisselingsrails en de rommelige werkelijkheid is waar de meeste datalekken leven.

De vier uitwisselingskanalen in de praktijk

Direct Secure Messaging gebruikt S/MIME via SMTP met certificaten uitgegeven door DirectTrust-geaccrediteerde HISP's. Het is push-gebaseerd, asynchroon en ideaal voor verwijzingen en zorgoverdrachten. Epic's Care Everywhere, Cerner/Oracle Health's Millennium en athenahealth ondersteunen Direct allemaal. Bijlagegrootte is doorgaans beperkt tot 50-100 MB afhankelijk van de HISP.

FHIR-API's conform ONC USCDI v3 en de HL7 FHIR R4-specificatie bieden query-gebaseerde toegang tot gestructureerde data: aandoeningen, medicaties, allergieën, laboratoriumresultaten, vitale functies. Goed voor machine-leesbare uitwisseling. Zwak voor binaire bijlagen.

HIE-querywisseling via Carequality (verbindt Epic, Cerner, athenahealth, eClinicalWorks) of CommonWell Health Alliance gebruikt IHE XCA- en XCPD-profielen voor cross-enterprise documentquery. Goed voor "haal alles op wat er over deze patiënt bestaat"-workflows.

Ad-hoc versleutelde overdracht handelt al het andere af — beeldvormingsstudies te groot voor Direct, juridische bewaringen, onderzoekssamenwerking, verwijzingspakketten met tientallen bijlagen. Hier concentreert het nalevingsrisico zich.

HIPAA's technische beveiligingsmaatregelen toegepast op bestandsuitwisseling

HIPAA's Security Rule bij 45 CFR 164.312 vereist toegangscontrole, auditcontroles, integriteitscontroles en transmissiebeveiliging. Voor bestandsuitwisseling betekent dat:

• Toegangscontrole (164.312(a)) — unieke gebruikersidentificatie en automatische afmelding. Een gedeelde inbox "balie@kliniek.nl" die patiëntdossiers ontvangt, voldoet hieraan niet
• Auditcontroles (164.312(b)) — registreren wie wat heeft geopend; het overdrachtslogboek maakt hier deel van uit
• Integriteit (164.312(c)) — ongeoorloofde wijziging detecteren; SHA-256-hashes op overgedragen bestanden
• Transmissiebeveiliging (164.312(e)) — versleuteling in transit; TLS 1.3 is de praktische ondergrens

De Autoriteit Persoonsgegevens (AP) beschouwt versleuteling op basis van de AVG (artikel 32) als een vereiste maatregel voor de overdracht van gezondheidsgegevens, niet als een optie.

Business Associate Agreements en de leveranciersketen

Elke leverancier die patiëntgegevens aanraakt tijdens uitwisseling, heeft een Business Associate Agreement nodig onder 45 CFR 164.504(e). Dat omvat:

• De EPD-leverancier (Epic, Cerner, Meditech)
• De HISP die Direct-berichten routeert
• De HIE (als het een afzonderlijke entiteit is)
• Elk bestandsoverdrachtplatform dat wordt gebruikt voor ad-hoc uitwisseling
• Cloudopslag voor de klaarzetdata

Als uw kliniek Dropbox Business gebruikt voor patiëntbestanden, ondertekent Dropbox een BAA — maar alleen op het Advanced- of Enterprise-niveau. Consumentenversies van Dropbox en Google Drive doen dit niet. Een gratis WeTransfer-link naar een radioloog is een HIPAA-overtreding tenzij WeTransfer een BAA heeft ondertekend, wat het gratis niveau niet doet.

Verwijzingspakketten: de grootste categorie voor bestandsuitwisseling

Een typisch cardiologisch verwijzingspakket beslaat 40-200 MB:

• Praktijknotities (.pdf, 500 KB-5 MB elk)
• ECG-tracingen (PDF of propriëtair)
• Echocardiografierapport en DICOM-studie (50-300 MB)
• Labs en medicatielijst (CCD/CCDA)
• Eerdere hartcatheterisatierapporten

Direct Messaging hapert bij de DICOM. Faxen verliest beeldkwaliteit. Een beveiligde weblink met client-side versleuteling en een korte vervaltijd handelt het af. De meeste verwijzingscoördinatoren willen eenmalig klikken, bestanden neerzetten, een link verzenden. Die workflow, met AES-256-GCM en een vervaltijd van 7 dagen, sluit de verwijzingslus zonder een nieuw IT-project te bedenken.

HexaTransfer handelt precies deze vorm van overdracht: bestanden neerzetten, versleutelen in de browser, een link delen, een wachtzin instellen. Probeer het via https://hexatransfer.com — gratis, geen account, maximaal 10 GB.

Noodoverdrachten en overdrachten buiten kantooruren

Om 2 uur 's nachts draagt een regionaal ziekenhuis een CVA-patiënt over aan een tertiair beroertecentrum. Ze hebben de hoofd-CT, de POLST en de codeerstatus gedocumenteerd nodig voordat de patiënt arriveert. De ziekenhuisverpleegkundige heeft 5 minuten.

De workflow moet werken op een vergrendeld ziekenhuiswerkstation, zonder iets te installeren, zonder een account aan te maken. Dat is het brutale filter voor zorgoverdrachtstools. Als IT een nieuw domein op de whitelist moet plaatsen, bestaat het niet wanneer de verpleegkundige het nodig heeft.

Vooraf goedgekeurde overdrachtstools in de browser-favorietenmap van een ziekenhuis werken. Voorgedrukte instructies met URL's op de verpleegpost werken. Ingewikkelde SSO-stromen werken niet.

Coördinatie van poliklinische zorg

Verpleeghuizen, thuiszorg en hospice-organisaties wisselen voortdurend bestanden uit met acute-zorgziekenhuizen. Een ontslagontvangstpakket voor een verpleeghuisopname omvat doorgaans:

• Anamnese en lichamelijk onderzoek
• Ontslagbrief
• Medicatieverzoening
• Fysiotherapie- en ergotherapiebeoordelingen
• Actuele wondfoto's
• Codeerstatus en voorafgaande wilsverklaring

Onder CMS Conditions of Participation en de IMPACT Act moet de overdracht van deze gegevens plaatsvinden bij het ontslagmoment. Veel verpleeghuizen ontvangen deze pakketten nog steeds per fax omdat hun EPD (PointClickCare, MatrixCare) geen Direct-adres heeft waarnaar het ziekenhuis kan routeren. Beveiligde weboverdracht met een downloadlink gemaild naar een bewaakte verpleeghuisinbox is een brug totdat de FHIR-API's bijgewerkt zijn.

Auditvereisten over staatsgrenzen heen

Staatsmedische dossierwetten variëren. In Nederland gelden de AVG, de WGBO en sectorspecifieke regels. De AVG vereist dat organisaties kunnen aantonen welke overdrachten er hebben plaatsgevonden (verantwoordingsplicht, artikel 5, lid 2). Bij uitwisseling over landsgrenzen heen gelden de strengste vereisten van de betrokken jurisdicties.

Minimumauditvelden:

1. Datum en tijdstip (UTC plus lokaal)
2. BIG-registratienummer en organisatie van de verzender
3. BIG-registratienummer en organisatie van de ontvanger
4. Patiëntidentificator (niet de naam in het auditlogboek)
5. Bestandstype en -grootte
6. SHA-256-hash
7. Succes of mislukking
8. Rechtsgrondslag (behandeling, betaling, activiteiten, autorisatie)

Bewaar deze logboeken minimaal 6 jaar conform HIPAA, langer conform AVG en staatsspecifieke wetten.

Patiëntgestuurde overdrachten afhandelen

Informatieblokkeeringsregels geven patiënten het recht hun dossiers te sturen waarheen ze willen — een andere zorgverlener, een onderzoeksapp, een persoonlijk gezondheidsdossier. Wanneer een patiënt zegt "stuur mijn dossier naar Dr. Jansen", kan de organisatie niet weigeren omdat Dr. Jansen een EPD gebruikt waarmee u niet integreert.

De terugvaloptie is beveiligde bestandsoverdracht met de patiënt als intermediair, of patiëntgestuurde transmissie via een DocumentReference API-aanroep. Documenteer het verzoek van de patiënt, stuur het pakket, log de transmissie. Een informatieblokkeerklacht bij de ONC kost meer dan tien overdrachtstools samen.

Houdbaar maken

Bestandsuitwisseling in de zorg gaat de komende vijf jaar niet consolideren op één protocol. Het realistische doel is een gelaagde workflow: Direct voor routineverwijzingen en zorgoverdrachten, FHIR voor gestructureerde datavragen, HIE voor brede patiëntdossier-lookups, en versleutelde ad-hoc overdracht voor alles daartussenin. Kies tools die uw minst technische gebruiker kan bedienen op het slechtste moment van hun dienst, en documenteer de workflow in de SOP voordat u die nodig heeft. Zo blijven patiënten veilig door het systeem bewegen.