Troca de Ficheiros Entre Prestadores de Saúde

A maioria das violações de dados na saúde não acontece por ataques sofisticados — acontece quando alguém envia um ficheiro de doente por email sem encriptação porque o sistema de referenciação não funciona às 2 da manhã. O RGPD Artigo 9.º classifica os dados de saúde como categoria especial, e a CNPD já emitiu coimas a entidades de saúde portuguesas por transmissões sem salvaguardas adequadas. A troca de ficheiros entre prestadores acontece por quatro canais principais: mensagens seguras Direct com S/MIME, APIs FHIR, consulta HIE via redes de interoperabilidade, e transferência encriptada ad-hoc para tudo o que não cabe nos canais normalizados.

Por Que a Troca Entre Prestadores Continua a Falhar

A interoperabilidade melhorou significativamente nos últimos anos, mas a fricção diária persiste. Um doente tem alta do Hospital A e aparece na Clínica B na manhã seguinte. A clínica quer a nota de alta, a reconciliação de medicação e o relatório da TC. Idealmente, uma consulta FHIR ao sistema do Hospital A retorna um bundle DocumentReference e um DiagnosticReport. Na prática, o relatório da TC é um estudo DICOM de 400 MB que os endpoints FHIR não servem eficientemente.

Então alguém envia por fax. Ou grava um CD. Ou envia um anexo sem encriptação por email — violando o RGPD e arriscando uma notificação obrigatória à CNPD nos termos do Artigo 33.º.

O intervalo entre os canais normalizados de troca e a realidade confusa é onde a maioria das exposições de dados ocorre.

Os Quatro Canais de Troca na Prática

Mensagens Seguras Direct usam S/MIME sobre SMTP com certificados emitidos por HISPs acreditados. São baseadas em push, assíncronas e ideais para referenciações e transições de cuidados. A maioria dos sistemas hospitalares suporta Direct. O tamanho de anexo limita-se tipicamente a 50-100 MB dependendo do HISP.

APIs FHIR segundo as normas HL7 FHIR R4 dão acesso baseado em consulta a dados estruturados: condições, medicamentos, alergias, resultados laboratoriais, sinais vitais. Bom para troca legível por máquina. Fraco para anexos binários de grande dimensão.

Consulta HIE via redes de interoperabilidade usa perfis IHE XCA e XCPD para consulta de documentos entre organizações. Devolve documentos CDA e, por vezes, ficheiros anexados. Bom para fluxos de "obter tudo o que existe sobre este doente".

Transferência encriptada ad-hoc trata de todo o resto — estudos de imagiologia demasiado grandes para Direct, dados de investigação, pacotes de referenciação com dezenas de anexos. É aqui que o risco de conformidade se concentra e onde as orientações da CNPD se tornam críticas.

Salvaguardas Técnicas do RGPD Aplicadas à Troca de Ficheiros

O RGPD Artigo 32.º exige medidas técnicas e organizacionais adequadas. Para a troca de ficheiros, isso traduz-se em:

• Controlo de acesso — identificação única do utilizador e bloqueio automático. Uma caixa de entrada partilhada tipo "recepcao@clinica.pt" a receber registos de doentes não cumpre este requisito
• Registos de auditoria — registo de quem acedeu ao quê. O registo de transferência faz parte desta obrigação
• Integridade — deteção de alterações impróprias; hashes SHA-256 nos ficheiros transferidos
• Segurança de transmissão — encriptação em trânsito; TLS 1.3 é o mínimo prático

As medidas endereçáveis como encriptação em repouso tornam-se de facto obrigatórias após as orientações da CNPD sinalizarem que "endereçável" não significa "opcional" para dados de categoria especial.

Acordos de Processamento e a Cadeia de Fornecedores

Cada fornecedor que toca em dados de saúde durante a troca necessita de um Acordo de Processamento de Dados (DPA) ao abrigo do Artigo 28.º do RGPD. Isso inclui:

• O sistema de registo clínico eletrónico (SClínico, sistema hospitalar próprio)
• O HISP que encaminha mensagens Direct
• A plataforma de transferência de ficheiros usada para troca ad-hoc
• O armazenamento em nuvem que contém os dados de staging

Se a sua clínica usa um serviço de armazenamento genérico para ficheiros de doentes, verifique se esse fornecedor assinou um DPA. Os serviços gratuitos tipicamente não o fazem — o que torna cada transferência uma violação do RGPD.

Pacotes de Referenciação: A Maior Categoria de Troca

Um pacote de referenciação típico de cardiologia tem 40-200 MB:

• Notas de consulta (.pdf, 500 KB-5 MB cada)
• Registos de ECG (PDF ou proprietário)
• Relatório de ecocardiograma e estudo DICOM (50-300 MB)
• Análises e lista de medicação (CDA/CCDA)
• Relatórios de cateterismo anteriores

As mensagens Direct não conseguem lidar com o DICOM. O fax perde qualidade de imagem. Um link web seguro com encriptação do lado do cliente e uma expiração curta resolve o problema. A maioria dos coordenadores de referenciação quer clicar uma vez, colocar os ficheiros, enviar um link — e esse fluxo de trabalho, com AES-256-GCM e expiração de 7 dias, fecha o ciclo de referenciação sem criar um novo projeto de TI.

O HexaTransfer adapta-se exatamente a este tipo de transferência: coloca os ficheiros, encripta no navegador, partilha um link, define uma palavra-passe. Experimente em https://hexatransfer.com — gratuito, sem conta, máximo de 10 GB.

Transferências de Emergência e Fora de Horas

Às 2 da manhã, uma urgência comunitária transfere um doente com AVC para um centro regional. Precisam da TC crânio, da diretiva antecipada de vontade e do estado de reanimação documentado antes de o doente chegar. O enfermeiro da urgência tem 5 minutos.

O fluxo de trabalho tem de funcionar num computador bloqueado da urgência, sem instalar nada, sem criar uma conta. Esse é o filtro brutal das ferramentas de transferência na saúde. Se requer que o departamento de TI autorize um novo domínio, não estará disponível quando o enfermeiro precisar.

As ferramentas de transferência pré-aprovadas na pasta de "atalhos clínicos" do navegador do hospital funcionam. As instruções impressas com URLs na estação de enfermagem funcionam. Os fluxos de SSO complicados não funcionam.

Coordenação dos Cuidados Pós-Agudos

Unidades de cuidados continuados, cuidados domiciliários e cuidados paliativos trocam ficheiros com hospitais de agudos continuamente. Um pacote de alta para uma unidade de cuidados continuados inclui tipicamente:

• Anamnese e exame físico
• Nota de alta
• Reconciliação de medicação
• Avaliações de fisioterapia e terapia ocupacional
• Fotografias de feridas atuais
• Diretiva antecipada de vontade

Sob os requisitos da Rede Nacional de Cuidados Continuados Integrados e as normas de continuidade de cuidados, esta informação deve estar disponível no momento da alta. Muitas unidades ainda recebem estes pacotes por fax porque o seu sistema de informação não tem um endereço Direct para o qual o hospital possa encaminhar. Uma transferência web segura com um link de descarregamento enviado para uma caixa de entrada monitorizada da unidade é uma solução de transição até as APIs FHIR amadurecerem.

Requisitos de Auditoria para Troca Entre Prestadores

Os requisitos do RGPD e das normas de auditoria clínica exigem que o sistema de transferência registe metadados suficientes. Campos mínimos de auditoria:

1. Data e hora (UTC e hora local)
2. Identificador e organização do remetente
3. Identificador e organização do destinatário
4. Identificador do doente (não o nome no registo de auditoria)
5. Tipo e tamanho do ficheiro
6. Hash SHA-256
7. Sucesso ou falha
8. Base jurídica (tratamento, pagamento, operações, autorização)

Conserve estes registos pelo período exigido pelo RGPD e pela legislação nacional de registos clínicos — em Portugal, tipicamente mínimo de 10 anos para processos clínicos de adultos.

Transferências Pedidas pelo Doente

Os doentes têm o direito, ao abrigo do Artigo 20.º do RGPD (portabilidade de dados) e da legislação de saúde portuguesa, de solicitar os seus registos e de os dirigir para qualquer prestador. Quando um doente diz "envie o meu processo para o Dr. Silva", a organização não pode recusar porque o Dr. Silva usa um sistema clínico com o qual não integra.

A solução alternativa é a transferência segura de ficheiros com o doente como intermediário, ou a transmissão dirigida pelo doente através de uma chamada à API de DocumentReference. Documente o pedido do doente, envie o pacote, registe a transmissão. Uma queixa por bloqueio de informação à CNPD ou à ERS custa mais do que dez ferramentas de transferência combinadas.

Tornar o Processo Sustentável

A troca de ficheiros na saúde não vai consolidar-se num único protocolo nos próximos anos. O objetivo realista é um fluxo de trabalho por camadas: Direct para referenciações de rotina e transições de cuidados, FHIR para consultas de dados estruturados, HIE para pesquisas amplas de registos de doentes, e transferência ad-hoc encriptada para todo o resto. Escolha ferramentas que o utilizador menos qualificado tecnicamente consiga operar no pior momento do seu turno, e documente o fluxo de trabalho no POS antes de o precisar. É isso que mantém os doentes a circular em segurança no sistema.