Cartella clinica digitale: requisiti, conservazione e accessi.

Tre cose diverse, chiamate quasi allo stesso modo

Buona parte della confusione nasce dal lessico. Nel linguaggio comune si dice "cartella" per tutto, ma le regole cambiano parecchio a seconda di cosa si ha davvero per le mani.

• La cartella clinica in senso proprio documenta un singolo episodio — tipicamente un ricovero. È il documento dell'ospedale, con i suoi obblighi.
• Il dossier sanitario è l'insieme dei dati generati da eventi clinici presenti e passati, condiviso fra i professionisti sanitari all'interno della stessa struttura: ricostruisce la storia completa del paziente presso quella struttura.
• Il fascicolo sanitario elettronico sta a un altro livello ancora: raccoglie i dati generati da strutture diverse, secondo la normativa nazionale e regionale.

Quello che tiene un professionista nel proprio studio — anamnesi, note delle sedute, referti, immagini — non è né un fascicolo né, di norma, un dossier: è la documentazione della cura che presta lui. E per quella, come abbiamo visto altrove, non serve chiedere un consenso: la base giuridica è la finalità di cura.

Quando la tua cartella diventa un dossier

Il passaggio avviene per una ragione organizzativa, non tecnologica: quando più professionisti della stessa struttura accedono alla stessa storia clinica del paziente. È la situazione tipica del poliambulatorio, ma anche dello studio associato dove il paziente passa dall'uno all'altro e ciascuno vuole vedere cosa è stato fatto prima.

In quel caso il quadro cambia, e in modo abbastanza netto. Secondo le indicazioni del Garante:

• serve il consenso informato del paziente alla costituzione del dossier, e il rifiuto non può impedirgli di accedere alle cure;
• il paziente ha diritto di sapere chi ha consultato i suoi dati;
• può oscurare singoli dati o documenti, che restano non visibili attraverso il dossier — e l'oscuramento è revocabile nel tempo;
• alcune informazioni a maggior tutela — tra cui quelle relative a violenza sessuale, infezione da HIV, uso di sostanze — vanno menzionate espressamente nell'informativa e coperte da un consenso specifico.

Chi accede a cosa: l'accesso modulare

L'idea che "in studio siamo pochi, ci fidiamo" non è un criterio ammesso. L'impostazione richiesta è quella dell'accesso differenziato: il personale amministrativo accede soltanto alle informazioni strettamente necessarie alle proprie funzioni, non al dettaglio clinico.

Nella pratica di uno studio significa una separazione molto concreta: chi sta alla reception ha bisogno dell'agenda, dei recapiti e di sapere chi arriva alle quindici; non ha bisogno di leggere l'anamnesi né le note dell'ultima seduta. Se il software non sa distinguere queste due cose, la separazione esiste solo nelle intenzioni.

Vale la pena aggiungere che questa non è una misura contro i collaboratori: è una misura che protegge anche loro. Un accesso che non è possibile è un accesso che nessuno dovrà mai giustificare.

Le tracce: cosa registrare, e per quanto

Il registro degli accessi è la parte che quasi tutti sottovalutano, ed è quella che serve davvero il giorno in cui bisogna ricostruire un fatto. Per il dossier sanitario le indicazioni del Garante sono precise: vanno tracciate e registrate automaticamente tutte le operazioni, compresa la semplice consultazione, e per ogni accesso vanno conservati almeno il codice identificativo di chi ha operato, la data e l'ora, la postazione utilizzata, l'identificativo del paziente e il tipo di operazione.

Questi log vanno conservati per almeno 24 mesi dalla data dell'operazione. È previsto anche che i sistemi rilevino eventuali anomalie negli accessi: non basta scrivere le righe di registro, bisogna accorgersi quando qualcosa non torna.

Anche se il tuo studio non ricade nella disciplina del dossier, questa è una buona misura di riferimento. Il costo di tenere un registro è quasi nullo; il costo di non averlo si scopre tutto insieme, nel momento peggiore.

Per quanto tempo si conserva

Qui bisogna essere onesti: non esiste un numero valido per tutti, e chi te lo dà sta semplificando. La durata dipende dal tipo di documentazione e dagli obblighi che gravano sulla tua professione, che in ambito sanitario possono essere lunghi. Il principio generale del GDPR è che i dati si conservano per il tempo necessario alle finalità per cui sono stati raccolti, e non oltre.

La conseguenza operativa è che devi saper rispondere a due domande: quale documentazione tieni, e per quanto tempo. Se la risposta è "tutto, per sempre, non si sa mai", non stai applicando il principio — stai solo accumulando rischio. Un sistema che anonimizza in automatico le posizioni ferme da anni, secondo una soglia che decidi tu, trasforma questo principio in qualcosa che avviene anche quando nessuno ci pensa.

Il digitale sposta il problema, non lo elimina

Passare dalla carta al software risolve alcune cose — la leggibilità, la ricerca, il fatto che l'armadio non prenda fuoco — e ne introduce altre, che conviene guardare in faccia.

Dove stanno i dati e chi li gestisce

Se usi un servizio in cloud, il fornitore tratta dati per tuo conto: quel rapporto va regolato per iscritto, con l'atto di nomina a responsabile del trattamento previsto dal GDPR. È un documento che devi avere, e che il fornitore serio ti dà senza che tu debba insistere. Chiedi anche dove sono ospitati fisicamente i dati.

I backup esistono davvero?

Un backup che nessuno ha mai provato a ripristinare è un'ipotesi, non una garanzia. Vale per il fornitore, e vale per te se tieni copie locali.

Puoi portare via quello che è tuo

È la domanda da fare prima di firmare, non quando vuoi cambiare: in che formato posso esportare l'anagrafica e lo storico, e con quanto preavviso. Se la risposta è vaga, quella vaghezza è il prodotto.