Обмен файлами между поставщиками медицинских услуг

Роскомнадзор классифицирует сведения о состоянии здоровья как специальную категорию персональных данных по 152-ФЗ, требуя их обязательной защиты при передаче между медицинскими организациями. Обмен файлами между поставщиками медицинских услуг происходит по четырём основным каналам: защищённый обмен сообщениями Direct по S/MIME, FHIR-based API, запросный обмен через HIE и специальная зашифрованная передача файлов для всего остального. Больницы, специализированные клиники, учреждения сестринского ухода и службы домашнего медицинского обслуживания занимают разные позиции на этом спектре, и большинство реальных обменов включает как минимум два канала: FHIR-запрос для выписки и зашифрованная передача .pdf для полной операционной заметки или исследования изображений.

Почему обмен между поставщиками всё ещё даёт сбой

Интероперабельность значительно улучшилась, но ежедневные трения сохраняются. Пациент выписывается из больницы А и приходит в клинику Б на следующее утро. Клинике нужна выписная справка, сверка лекарств и КТ. В идеале FHIR-запрос к API больницы А возвращает нужные документы. На практике КТ-исследование — это 400-мегабайтное DICOM, которое FHIR-эндпоинты не обслуживают эффективно, а выписная справка в формате PDF застряла в поле вложения, которое API не отдаёт.

В итоге кто-то отправляет факс. Или записывает на CD. Или отправляет незашифрованное вложение по электронной почте, нарушая требования 152-ФЗ.

Именно в разрыве между стандартизированными каналами обмена и реальной практикой происходит большинство утечек данных.

Четыре канала обмена на практике

Direct Secure Messaging использует S/MIME поверх SMTP с сертификатами от аккредитованных HISP. Это асинхронный обмен с инициативой отправителя, идеальный для направлений и переводов. Ограничение размера вложений обычно составляет 50–100 МБ в зависимости от HISP.

FHIR API по стандарту HL7 FHIR R4 обеспечивают запросный доступ к структурированным данным: состояниям, лекарствам, аллергиям, результатам анализов, показателям жизнедеятельности. Хорош для машиночитаемого обмена. Слаб для бинарных вложений.

Запросный обмен через HIE с использованием профилей IHE XCA и XCPD возвращает CDA-документы и иногда прикреплённые файлы. Хорош для сценариев «вытянуть всё существующее по этому пациенту».

Специальная зашифрованная передача обрабатывает всё остальное — исследования изображений, слишком большие для Direct, правовые обеспечения, исследовательские сотрудничества, пакеты направлений с десятками вложений. Именно здесь концентрируется риск несоответствия требованиям.

Технические требования безопасности к обмену файлами

Требования к безопасности при передаче файлов медицинских данных:

Контроль доступа — уникальная идентификация пользователя и автоматический выход из системы. Общий почтовый ящик «frontdesk@clinic.com», получающий записи пациентов, не соответствует требованиям.
Контроль аудита — регистрация того, кто и к чему получал доступ. Журнал передачи является частью этой системы.
Целостность — обнаружение ненадлежащих изменений. Хэши SHA-256 переданных файлов.
Безопасность передачи — шифрование при транзите. TLS 1.3 является практическим минимумом.

152-ФЗ и Приказ ФСТЭК России № 21 устанавливают технические требования к уровням защиты информационных систем персональных данных (УЗ-1 до УЗ-4), причём медицинские данные обычно требуют УЗ-3 или выше.

Соглашения о деловом партнёре и цепочка вендоров

Каждый вендор, прикасающийся к защищённым медицинским данным при обмене, нуждается в надлежащем соглашении о конфиденциальности. Это включает:

Вендора ЭМК
HISP, маршрутизирующий Direct-сообщения
HIE (если это отдельная организация)
Любую платформу передачи файлов для специального обмена
Облачное хранилище, содержащее промежуточные данные

Если ваша клиника использует публичный облачный сервис без соответствующих договорённостей, это нарушение требований безопасности медицинских данных. Бесплатные уровни большинства сервисов не включают необходимые соглашения о защите данных.

Пакеты направлений: крупнейшая категория обмена файлами

Типичный пакет направления в кардиологию занимает 40–200 МБ:

Амбулаторные записи визита (.pdf, 500 КБ–5 МБ каждая)
ЭКГ-трассировки (PDF или проприетарный формат)
Заключение и DICOM эхокардиографии (50–300 МБ)
Анализы и список лекарств (CCD/CCDA)
Предыдущие катетеризационные заключения

Direct-обмен не справляется с DICOM. Факс теряет качество изображения. Безопасная веб-ссылка с клиентским шифрованием и коротким сроком действия решает задачу. Большинство координаторов направлений хотят нажать один раз, перетащить файлы и отправить ссылку.

HexaTransfer обрабатывает именно такую форму передачи: перетащите файлы, зашифруйте в браузере, поделитесь ссылкой, установите парольную фразу. Попробуйте на hexatransfer.com — бесплатно, без учётной записи, максимум 10 ГБ.

Экстренные и внеплановые передачи

В 2 часа ночи районная скорая помощь переводит пациента с инсультом в региональный инсультный центр. Им нужно КТ головы, POLST и задокументированный код статуса до прибытия пациента. У медсестры скорой помощи 5 минут.

Рабочий процесс должен работать на защищённой рабочей станции скорой помощи, без установки чего-либо, без создания учётной записи. Это жёсткий фильтр для инструментов передачи медицинских данных. Если требуется разрешение IT на новый домен, инструмента не будет, когда он понадобится медсестре.

Заранее одобренные инструменты передачи в папке «клинические ярлыки» браузера больницы работают. Распечатанные инструкции с URL-адресами на сестринских постах — тоже. Сложные потоки единого входа — нет.

Координация помощи после выписки

Учреждения долговременного ухода, службы домашнего медицинского обслуживания и хосписы постоянно обмениваются файлами с острыми больницами. Пакет перевода пациента обычно включает:

Историю болезни
Выписную справку
Сверку лекарств
Оценки физической и трудовой терапии
Текущие фотографии ран
Код статуса и распоряжения о медицинской помощи

Многие учреждения долговременного ухода всё ещё получают эти пакеты по факсу, поскольку их ЭМК не имеет адреса Direct, на который больница могла бы отправить данные. Безопасная веб-передача со ссылкой для скачивания, отправленной на контролируемый почтовый ящик учреждения, является переходным решением до тех пор, пока FHIR API не наверстают упущенное.

Требования к аудиту при передаче через государственные границы

Если вы обмениваетесь записями через границы субъектов России или с иностранными организациями, ваша система аудита должна фиксировать достаточно метаданных для выполнения наиболее строгих требований. 152-ФЗ требует обязательного уведомления Роскомнадзора о трансграничных передачах персональных данных с указанием страны назначения.

Минимальные поля аудита:

Дата и время (UTC плюс местное время)
Отправитель и организация
Получатель и организация
Идентификатор пациента (не имя в журнале аудита)
Тип и размер файла
SHA-256
Статус успеха или отказа
Правовое основание передачи

Храните эти журналы в соответствии с требованиями законодательства, но не менее 6 лет.

Устойчивость системы

Обмен медицинскими файлами не консолидируется на одном протоколе в ближайшие пять лет. Реалистичная цель — многоуровневый рабочий процесс: Direct для обычных направлений и переводов, FHIR для структурированных запросов данных, HIE для широкого поиска записей пациентов и зашифрованная специальная передача для всего остального. Выбирайте инструменты, которыми наименее технически подготовленный пользователь сможет воспользоваться в наихудший момент своей смены, и задокументируйте рабочий процесс в СОП заблаговременно.