> Disclaimer: Questo contenuto è destinato esclusivamente a scopi educativi e di riferimento per i costruttori di software. Non costituisce consulenza medica, legale, finanziaria o normativa. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.
45 CFR Parte 164 - Regola di Sicurezza HIPAA
La regolamentazione federale USA che specifica le salvaguardie amministrative, fisiche e tecniche che le entità coperte e i business associate devono implementare per proteggere l'ePHI. Per la telemedicina: le salvaguardie tecniche di 164.312 coprono il controllo degli accessi, la trasmissione sicura, i controlli di audit e l'integrità.
Adaptive Bitrate Streaming (ABR)
Tecnica che regola dinamicamente la qualità video/audio in base alla larghezza di banda di rete disponibile. ABR previene la caduta della sessione su reti instabili degradando gradualmente la qualità piuttosto che terminare la connessione.
AES-256
Advanced Encryption Standard con chiave a 256 bit. Algoritmo di crittografia simmetrica standard del settore per PHI a riposo. Richiesto per le registrazioni di sessione, le note cliniche, i backup e i dati dei sensori in tutte le architetture di telemedicina conformi alla HIPAA.
API FHIR R4
Interfaccia di programmazione delle applicazioni conforme alla versione 4 di HL7 FHIR. Le piattaforme di telemedicina usano le API FHIR R4 per il pull dei dati del paziente pre-sessione (risorsa Patient, Condition, MedicationRequest) e la scrittura delle note dell'incontro post-sessione (risorsa Encounter, DocumentReference).
Autenticazione a Più Fattori (MFA)
Un meccanismo di autenticazione che richiede due o più fattori di verifica: qualcosa che sai, qualcosa che hai, qualcosa che sei. Salvaguardia tecnica HIPAA per la telemedicina. TOTP (autenticatore) e FIDO2/WebAuthn sono preferibili rispetto a SMS OTP per gli account dei fornitori con capacità di prescrizione.
BAA - Business Associate Agreement
Contratto richiesto dalla HIPAA (45 CFR § 164.504(e)) tra un'entità coperta e qualsiasi fornitore che tratti PHI per suo conto. Obbligatorio per: piattaforme video, provider di hosting cloud, servizi di archiviazione delle registrazioni, fornitori EHR, servizi di trascrizione AI.
Callback del Fornitore
Meccanismo di fallback di emergenza per le sessioni di telemedicina interrotte: il fornitore chiama il paziente tramite voce telefonica quando la connessione video/audio non può essere ripristinata. Il numero di callback deve essere validato alla prenotazione e archiviato come campo non PHI per l'accesso di emergenza.
CMEK - Customer-Managed Encryption Key
Chiavi di crittografia gestite dal cliente tramite cloud KMS o HSM anziché chiavi gestite dal provider. Le CMEK forniscono evidenza di audit della gestione delle chiavi, consentono la rotazione delle chiavi controllata dal cliente e impediscono al provider cloud di decifrare la PHI. Pratiche migliori per le architetture di telemedicina ad alta affidabilità.
Codice CPT per Telemedicina
I codici CPT (Current Procedural Terminology) utilizzati per fatturare i servizi di telemedicina. I codici E/M 99201-99215 sono applicabili alla telemedicina sincrona. Il modificatore -95 indica la telemedicina interattiva in tempo reale; il modificatore -93 il servizio solo audio. Il POS 02 indica telemedicina fornita in un luogo diverso dall'abitazione del paziente; POS 10 nell'abitazione del paziente.
Consenso Telehealth
Il processo formale di acquisizione del consenso del paziente per la ricezione di servizi medici tramite canali di telemedicina. Il contenuto del consenso richiesto varia per stato. Deve essere distinto da: consenso generale del paziente, consenso alla registrazione e consenso alle funzionalità AI. Ogni evento di consenso deve essere archiviato con: versione del modulo di consenso, identità del paziente, timestamp e metodo di raccolta.
Crittografia a Riposo
Protezione della PHI archiviata - registrazioni di sessione, note cliniche, database, backup - con algoritmi crittografici (tipicamente AES-256). Specifica indirizzabile nella Regola di Sicurezza HIPAA universalmente considerata ragionevole e appropriata per le architetture di telemedicina.
DEA EPCS - Electronic Prescribing of Controlled Substances
La prescrizione elettronica di sostanze controllate (Schedule II-V) conforme al regolamento DEA (21 CFR Parte 1311). Requisiti per i costruttori: verifica dell'identità IAL2+ alla registrazione, autenticazione a due fattori al momento della prescrizione, audit log immutabile di tutti gli eventi EPCS e integrazione PDMP prima della finalizzazione della prescrizione.
DTLS-SRTP
Datagram Transport Layer Security - Secure Real-time Transport Protocol. Stack crittografico per i flussi media WebRTC. DTLS stabilisce il materiale di chiave; SRTP cifra il payload media. Protegge le sessioni video/audio in transito per soddisfare la salvaguardia di trasmissione HIPAA.
E/M (Evaluation and Management)
Codici di fatturazione usati per i servizi di telemedicina che corrispondono a visite di valutazione e gestione di persona. Codici 99201-99215 applicabili; il livello del codice riflette la complessità dell'incontro clinico.
Firma Digitale del Consenso
Una firma elettronica giuridicamente vincolante applicata a moduli di consenso nel contesto della telemedicina. Deve includere: identificatore del firmatario, timestamp, checksum o hash del contenuto del documento, indirizzo IP e metodo di firma (click-through, firma disegnata, token OTP). Le firme digitali dei pazienti devono essere archiviate come prove immutabili per le verifiche normative.
FSMB DocInfo
Il servizio di verifica dei fornitori del Federation of State Medical Boards che consolida i dati delle licenze statali. Consente alle piattaforme di telemedicina di interrogare lo stato della licenza di un fornitore in più stati tramite una singola API anziché chiamare ogni commissione medica statale individualmente.
HL7 FHIR
Health Level 7 Fast Healthcare Interoperability Resources. Standard per lo scambio di dati sanitari tramite API RESTful. Versione R4 rilevante per la telemedicina: consente il pull dei dati del paziente da EHR certificati, la scrittura delle note degli incontri e la gestione degli appuntamenti.
ICE - Interactive Connectivity Establishment
Framework WebRTC per stabilire la connessione multimediale peer-to-peer attraverso i firewall NAT. Raccoglie candidati di connessione da interfacce locali, server STUN e relay TURN. I relay TURN nel percorso dei media gestiscono PHI e richiedono l'hosting conforme HIPAA.
JWT - JSON Web Token
Un token compatto, firmato digitalmente, utilizzato per autenticare i partecipanti alla sessione di telemedicina. Per la telemedicina, i JWT di sessione devono includere: ID paziente, ID fornitore, ID sessione, ambiti autorizzati, scadenza (massimo 1 ora) e timestamp di emissione. Non incorporare valori PHI nei payload JWT - usare identificatori opachi.
NIST SP 800-63A (Identity Assurance Level)
Linee guida NIST che definiscono i livelli di garanzia dell'identità per la verifica dell'identità digitale. IAL2 (verifica remota dell'identità con documento) è richiesto dalla DEA per la registrazione EPCS nei fornitori di telemedicina che prescrivono sostanze controllate.
ONC 21st Century Cures Act
La regola finale dell'Office of the National Coordinator (ONC) sull'interoperabilità e il blocco delle informazioni. Impone alle EHR certificate di fornire API basate su FHIR per l'accesso ai dati del paziente. Proibisce il "blocco delle informazioni" - pratiche che limitano il flusso di dati sanitari elettronici. Rilevante per i costruttori di telemedicina che si integrano con i sistemi EHR certificati.
PDMP - Prescription Drug Monitoring Program
Database statali che monitorano le prescrizioni di sostanze controllate. Molti stati richiedono legalmente ai prescrittori di interrogare il PDMP prima di prescrivere sostanze controllate Schedule II-V. PMPInterConnect abilita le query PDMP multi-stato per i pazienti che si sono spostati di recente.
PHI - Protected Health Information
Qualsiasi informazione sanitaria individualmente identificabile soggetta alla HIPAA. In telemedicina: contenuto delle sessioni, note degli incontri, prescrizioni, diagnosi, dati dei sensori e metadati delle sessioni collegati all'identità del paziente.
Regola di Parità Telehealth
Leggi in 40+ stati USA che impongono agli assicuratori di coprire i servizi di telemedicina alle stesse condizioni dei servizi di persona per gli stessi codici procedurali. I costruttori devono supportare: assegnazione dei codici CPT equivalenti alle visite di persona, codici del luogo di servizio appropriati (POS 02, POS 10) e modificatori telemedicina (-95, -93).
Ryan Haight Act (Legge Ryan Haight)
Il Ryan Haight Online Pharmacy Consumer Protection Act del 2008 (Legge Pubblica 110-425). Vieta la prescrizione di sostanze controllate via Internet senza precedente valutazione medica di persona, con eccezioni limitate. I costruttori devono implementare un gate di prescrizione che controlli la documentazione della valutazione di persona o l'eccezione applicabile.
SFU - Selective Forwarding Unit
Un'architettura del server multimediale WebRTC in cui il server inoltra selettivamente flussi multimediali codificati tra i partecipanti senza transcodificare. Le SFU hanno un overhead di elaborazione inferiore rispetto alle MCU e sono preferite per le sessioni di telemedicina multi-partecipante. Le SFU che gestiscono sessioni PHI richiedono hosting conforme alla HIPAA e BAA con il fornitore.
SRTP - Secure Real-time Transport Protocol
Il protocollo di crittografia per i payload media RTP (Real-time Transport Protocol). SRTP cifra il contenuto audio e video trasportato su RTP, proteggendo il contenuto della sessione clinica dalla cattura della rete. Richiesto per tutte le piattaforme di telemedicina WebRTC per soddisfare la salvaguardia di trasmissione HIPAA.
Verifica della Licenza (License Verification)
Il processo di conferma che un fornitore di telemedicina detiene una licenza medica attiva nello stato in cui si trova fisicamente il paziente al momento della visita. Le fonti di verifica primarie sono le commissioni mediche statali; l'accesso consolidato tramite FSMB DocInfo o il database IMLC. La cache dello stato della licenza non deve superare le 24 ore - le licenze possono essere sospese senza preavviso.
WebRTC - Web Real-Time Communication
Standard browser aperto per la comunicazione audio, video e dati in tempo reale senza plugin. Lo stack di protocolli primario per la telemedicina web moderna. Salvaguardie di sicurezza: DTLS-SRTP per la crittografia dei media, ICE per il NAT traversal, HTTPS/WSS per la segnalazione.
WSS - WebSocket Secure
Il protocollo WebSocket sicuro (WebSocket over TLS). Richiesto per tutta la segnalazione WebRTC nella telemedicina - stabilisce canali di controllo della sessione crittografati per lo scambio di offerte/risposte SDP e candidati ICE. Non utilizzare mai WS non crittografato per la segnalazione di telemedicina.