Tıbbi kayıtları güvenli aktarma: uyumluluk rehberi

Tıbbi kayıtları güvenli aktarmak; dosyanın transfer sağlayıcısının erişemediği anahtarlarla şifrelenmesi, iletimin TLS 1.3 kullanması, sağlayıcının ya bir İş Ortağı Sözleşmesi (BAA) imzalaması ya da şifrelemenin uçtan uca olması — yani düz metin için BAA gerekmemesi — ve iş akışının iletim ile alımın denetlenebilir kaydını oluşturması anlamına gelir. HIPAA terminolojisiyle 45 CFR § 164.312 (Teknik Korumalar) gerekliliklerini karşılarsınız: erişim denetimi, denetim denetimleri, bütünlük ve iletim güvenliği. Pratik kısa yol: DICOM çalışmasını veya PDF kayıtlarını, klinik iş istasyonundan herhangi bir bayt çıkmadan önce AES-256-GCM ile istemci tarafında şifreleyen tarayıcı tabanlı bir hizmete yükleyin.

HIPAA'nın iletim için somut olarak gerektirdikleri

HIPAA Güvenlik Kuralı'nın Teknik Korumalar bölümü (§ 164.312) şunları belirtir:

• Erişim Denetimi (§ 164.312(a)(1)): benzersiz kullanıcı tanımlama, acil erişim prosedürü, otomatik oturum kapatma, şifreleme ve çözme.
• Denetim Denetimleri (§ 164.312(b)): faaliyeti kaydeden ve inceleyen donanım, yazılım ve prosedürel mekanizmalar.
• Bütünlük (§ 164.312(c)(1)): ePHI'nin yetkisiz şekilde değiştirilmemesi veya yok edilmemesi.
• İletim Güvenliği (§ 164.312(e)(1)): "makul ve uygun" olduğu durumlarda bütünlük denetimleri artı şifreleme.

HIPAA dilinde "adreslenebilir" isteğe bağlı anlamına gelmez — kapsanan kuruluşun korumayı uygulaması veya neden makul olmadığını belgeleyerek eşdeğer bir alternatif uygulaması gerekir. Güvenilen ağ dışında ePHI iletimi için şifreleme neredeyse evrensel varsayılandır.

BAA sorusu, yeniden çerçevelenmiş haliyle

İş Ortağı Sözleşmesi, bir satıcının kapsanan kuruluş adına PHI'ye erişimi olduğunda gereklidir. Transfer hizmeti düz metin PHI görebiliyorsa — geçici bile olsa — BAA gereklidir. PHI uçtan uca şifreliyse ve hizmet yalnızca şifreli metni işliyorsa, § 160.103'te tanımlandığı biçimde bu veriye hiçbir zaman PHI olarak erişmediğinden hizmet tartışmalı biçimde İş Ortağı değildir.

Bu sıfır bilgi argümanıdır. HHS Sivil Haklar Ofisi (OCR) net bir karar vermemiştir; ancak HITECH Yasası'nın § 13402(h) "güvenli liman" hükmü — NIST kılavuzuna göre şifrelenmiş veriler güvensiz PHI sayılmaz — düzgün şifrelenmiş iletimlerin ihlal bildirimini tetiklemediği görüşünü destekler. Pratik öneri: küçük ölçekli uygulamalar, BAA imzalı veya sıfır bilgili bir hizmeti § 164.308(a)(1)(ii)(A) kapsamında belgelenmiş risk analiziyle eşleştirir.

Yaygın klinik dosya türleri

| Dosya | Tipik boyut | İçerik | | --- | --- | --- | | DICOM BT çalışması | 200 MB – 2 GB | Kesitler, meta veriler (hasta adı, MRN, çalışma tarihi) | | DICOM MRI çalışması | 100 MB – 3 GB | Birden fazla seri | | Dijital patoloji .svs | 500 MB – 5 GB | Tüm slayt görüntüleri | | Konsolide CDA (C-CDA) XML | 100 KB – 5 MB | Yapılandırılmış klinik özet | | PDF laboratuvar sonuçları | 50 KB – 20 MB | Kan testleri, görüntüleme raporları | | DEXA/DXA çalışması | 10–50 MB | Kemik yoğunluğu görüntüleri | | Tam EMR dışa aktarımı | 10 MB – 2 GB | Kimliği gizlenmiş veya hasta istekli dışa aktarım |

Kontrastlı tek bir karın BT'si 1,2 GB'a ulaşabilir. E-posta bu veriler için uygun bir kanal değildir.

E-posta ve standart bulut depolamanın yetersiz kaldığı noktalar

• Standart SMTP atlama noktasından atlama noktasına TLS'dir — yol boyunca posta sunucuları şifresini çözer ve yeniden şifreler. Üç röle üzerinden geçen bir ileti üç şifre çözme noktasına sahiptir.
• Gmail, Outlook.com ve iCloud Mail iletileri sağlayıcı elindeki anahtarlarla sunucularında depolar.
• Dropbox, Google Drive ve OneDrive bekleme sırasında şifreleme sunar; ancak sağlayıcı anahtarları elinde tutar. Google, HIPAA'yı yalnızca HIPAA özellikli yönetici yapılandırmasına sahip Workspace Enterprise için imzalar. Ücretsiz Drive HIPAA kapsamında değildir.
• Yedek olarak kullanılan faks hâlâ ABD sağlık sisteminde mevcuttur — ancak şifresiz kablo faksı telekomünikasyon operatörlerinden düz metin olarak geçer.

Klinik kullanım için sıfır bilgili transfer akışı

1. Klinisyen PACS sisteminden (GE Centricity, Philips IntelliSpace, Siemens syngo.via veya açık kaynaklı dcm4chee) DICOM çalışmasını anonimleştirilmiş veya hasta kimliğiyle DICOM dosyaları içeren bir .zip'e aktarır.
2. Klinisyen tarayıcıda transfer hizmetini açar. Web Crypto API, 600.000 iterasyon ve 128 bitlik rastgele salt ile PBKDF2-HMAC-SHA256 aracılığıyla paylaşılan bir paroladan 256 bitlik anahtar türetir.
3. Tarayıcı her 5 MB'lık parçayı taze 96 bitlik IV ile AES-256-GCM kullanarak şifreler. Şifreli metin TLS 1.3 üzerinden yüklenir.
4. Link, güvenli mesajlaşma (DirectTrust, TigerConnect) veya hasta portalı aracılığıyla alıcı klinisyene gönderilir.
5. Parola ikinci bir kanaldan iletilir — hastaya verilen imzalı kağıt form, doğrulanmış bir numaraya SMS veya telefon araması.
6. Alıcı indirir, tarayıcıda şifresini çözer, OsiriX, Horos, RadiAnt veya yerel PACS'ta açar.

Transfer hizmeti hasta verilerini hiçbir zaman görmez. Denetim izi yükleme zaman damgasını, dosya boyutunu (içeriği değil), indirme zaman damgalarını ve IP adreslerini kaydeder. Bu kayıtlar, PHI ifşa etmeden § 164.312(b) denetim denetimlerini destekler.

GDPR ve KVKK paraleli: Avrupa ve Türkiye'de sağlık verileri

GDPR'ın 9. Maddesi sağlık verilerini özel kategori olarak sınıflandırır. 32. Madde, şifreleme dahil uygun teknik ve organizasyonel önlemleri zorunlu kılar. AB klinikleri için uçtan uca, istemci tarafı anahtar türetimiyle şifreleme maddenin gerekliliklerini karşılar; sıfır bilgi işleme, 28. Madde kapsamındaki veri işleyici sözleşmelerinin kapsamını daraltır.

Türkiye'de ise 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) yürürlüktedir. Sağlık verileri KVKK kapsamında özel nitelikli kişisel veri olarak tanımlanır ve işlenmesi katı kurallara tabidir. KVKK'nın 12. maddesi, kişisel verilerin hukuka aykırı işlenmesini önlemek için uygun güvenlik düzeyini sağlayan teknik tedbirlerin alınmasını gerektirir. Uçtan uca şifreleme, hem GDPR hem KVKK beklentileriyle örtüşen teknik bir tedbir olarak kabul edilmektedir.

İsviçreli klinikler ayrıca Eylül 2023'ten bu yana yürürlükte olan revize FADP (nFADP) kapsamına girer; bu düzenleme şifreleme beklentileri açısından GDPR ile büyük ölçüde örtüşmektedir.

Meta veri sızıntısı riskleri

DICOM dosyaları zengin başlık bilgisi içerir: hasta adı, MRN, doğum tarihi, başvuran hekim, kurum. İki sızıntı yolu mevcuttur:

• Dosya adı HASTA_SOYADI_MRN123456.dcm içerir. Görünür dosya adlarına sahip transfer hizmeti, içerik şifreli olsa bile tanımlayıcıları açığa çıkarır. Sıkıştırmadan önce yeniden adlandırın.
• DICOM etiketleri tüm demografik bilgileri dosya içinde tutar. Şifreli dosya bunu transfer hizmetinden gizler; ancak alıcı şifre çözdükten sonra görür. Kullanım durumu tanımlayıcı gerektirmiyorsa DICOM Ek 142 veya HIPAA'nın § 164.514(b) Güvenli Liman yöntemi uyarınca göndermeden önce kimliği gizleyin.

Hasta tarafından başlatılan aktarımlar

HITECH Yasası ve 21. Yüzyıl Tedavi Yasası'nın bilgi engelleme kuralları (45 CFR Bölüm 171, 2021'den itibaren geçerli) uyarınca hastalar kayıtlarını elektronik formatta alma hakkına sahiptir. Tarayıcı tabanlı şifreli aktarım bu amaç için uygundur:

• Hasta, sağlayıcının kayıt yayınlama ofisinden kayıtlarını talep eder.
• ROI personeli sıkıştırılmış PDF/C-CDA/DICOM paketini yükler.
• Hasta, doğrulanmış e-posta adresine linki, telefona şifreyi alır.
• Hasta indirir, bir kopyasını saklar, ikinci görüş sağlayıcısına iletir.

Bu akış, hastanın portal hesabı kurmasını gerektirmeden bilgi paylaşımı yükümlülüklerini yerine getirir.

Saklama süresi ve silme

Klinik kayıtların yasal saklama süreleri vardır: Fransa'da 10 yıl (Code de la santé publique L.1110-4), Almanya'da hastane kayıtları için eyalet hukuku kapsamında 30 yıl, ABD'nin çoğu eyaletinde HIPAA üzerine katmanlanan eyalet hukukuna göre 7'den fazla yıl. Aktarımın kendisi ise geçicidir. Saklama saati sağlayıcının kayıt sisteminde (EMR) çalışır, transfer linkinde değil. Transfer son kullanma süresini 14–30 gün olarak yapılandırın; alıcının PACS'ı veya EMR'ı uzun vadeli velayet üstlenir.

Sağlık alanı için uygun aktarım seçeneklerinin karşılaştırması

| Seçenek | Uçtan uca şifreleme | HIPAA uyumlu | Tipik maks. boyut | Hasta erişimi | | --- | --- | --- | --- | --- | | Standart Gmail | Yok (yalnızca TLS) | BAA olmadan yok | 25 MB | Var | | Google Workspace HIPAA (BAA ile) | Yok | Var | 5 TB kota | Var | | Microsoft 365 HIPAA (BAA ile) | Yok | Var | 250 GB dosya başına (OneDrive) | Var | | DirectTrust (Direct Project) | Var (S/MIME) | Var, HIPAA için tasarlanmış | HISP'e göre yapılandırılmış | Sınırlı | | Tresorit Send | Var (sunucu yardımlı) | BAA mevcut | 5 GB ücretsiz | Var | | HexaTransfer | Var (AES-256-GCM tarayıcı içi) | Tasarımı gereği sıfır bilgi | 10 GB | Var, hesap gerekmez |

Tıbbi kayıtlar binayı terk ettiği anda ağırlık taşır. İletim mekanizması bu ağırlıkla örtüşmelidir.

hexatransfer.com'da deneyin — ücretsiz, hesap gerekmez, 10 GB'a kadar.