Nel Fascicolo sanitario elettronico, alimentazione, consultazione e oscuramento sono operazioni diverse. La struttura sanitaria deve spiegare all’assistito quale scelta sta compiendo e verificare che il sistema ne applichi gli effetti. Una casella generica di consenso può confondere accesso ai documenti, prestazione sanitaria e visibilità di un singolo evento.
Le FAQ del Garante sul FSE chiariscono che costituzione e alimentazione sono automatiche nel quadro previsto, mentre il consenso resta necessario per la consultazione a fini di cura; il rifiuto o la revoca non fanno venir meno la prestazione sanitaria. Il decreto sul FSE 2.0 del 7 settembre 2023, con le modifiche applicabili, disciplina il funzionamento. Questa guida organizza un controllo operativo delle scelte e della visibilità, senza sostituire le istruzioni del servizio regionale competente.
Separare i tre percorsi nell’informazione
La prima distinzione riguarda l’inserimento dei dati nel fascicolo e l’accesso per le finalità previste. Il personale deve poter spiegare perché la mancata autorizzazione alla consultazione non equivale automaticamente a impedire ogni alimentazione. La documentazione deve utilizzare termini coerenti con il funzionamento reale.
La seconda distinzione riguarda l’oscuramento di dati o documenti. Tale scelta non coincide con la cancellazione dell’originale conservato dalla struttura che lo ha prodotto. Un assistito può limitare la visibilità nel FSE senza che ciò elimini gli obblighi di conservazione del documento sanitario nel sistema di origine.
La terza riguarda il dossier sanitario interno e la consegna dei referti online. Sono percorsi collegati alla documentazione sanitaria ma distinti dal FSE. Il personale non dovrebbe utilizzare un modulo o una spiegazione unica che renda indistinguibili tutti questi servizi.
Verificare l’informativa realmente fornita
Raccogliete versione del testo, canali di consegna e istruzioni agli operatori. L’informazione deve descrivere i trattamenti pertinenti e le scelte disponibili, compresa la possibilità di conoscere gli accessi e richiedere l’oscuramento. Verificate che l’interfaccia e il materiale cartaceo non contraddicano il testo ufficiale.
La guida all’informativa privacy può aiutare a controllare chiarezza e completezza, ma il contenuto deve essere specifico per il FSE. Un testo generico sui servizi sanitari non spiega necessariamente chi possa consultare il fascicolo e quali effetti produca una scelta dell’assistito.
Prestate attenzione a lingua, comprensibilità e canali alternativi. Una persona che non riesce a utilizzare il portale deve poter ricevere informazioni e assistenza secondo le modalità del servizio. L’operatore deve conoscere i limiti della propria funzione e il punto cui indirizzare una domanda che richiede approfondimento.
Registrare la scelta senza confonderla con l’accesso di chiunque
Il consenso alla consultazione per cura non autorizza ogni soggetto che disponga di un account sanitario. La consultazione deve rispettare finalità, rapporto di cura e profili autorizzativi previsti. La struttura deve quindi mantenere distinta la scelta dell’assistito dalla verifica del ruolo e della necessità di accesso del professionista.
La gestione delle autorizzazioni deve consentire di attribuire l’operazione a un’identità riconoscibile. Account condivisi o deleghe poco chiare rendono difficile spiegare chi abbia consultato un documento. Considerate sostituzioni, cambi di reparto e cessazione delle funzioni.
Conservate le evidenze pertinenti della scelta e delle sue modifiche, usando i meccanismi previsti dal servizio. La registrazione deve permettere di ricostruire il contesto e la versione informativa, senza raccogliere ulteriori dati personali non necessari. Un modulo firmato non dimostra da solo che lo stato del sistema sia stato aggiornato.
Applicare l’oscuramento al documento e alla sua esistenza
Le FAQ del Garante spiegano che l’oscuramento deve impedire agli altri soggetti abilitati alla consultazione per cura di venire automaticamente a conoscenza della scelta e dell’esistenza di dati oscurati. Questo richiede attenzione non soltanto al contenuto, ma anche a elenchi, messaggi e indicatori dell’interfaccia.
Verificate quindi che un documento non visibile non venga rivelato da un titolo, da una riga segnaposto o da un conteggio facilmente interpretabile. Il controllo deve seguire i profili pertinenti e il comportamento effettivo, evitando prove su dati reali quando un ambiente o un caso di esercitazione sono sufficienti.
Distinguete la visibilità dell’assistito e dei titolari che hanno generato i documenti dalle condizioni degli altri soggetti. Non promettete che l’oscuramento renda il documento inesistente per qualunque finalità o sistema. La spiegazione deve rispettare il quadro applicabile e chiarire quali effetti siano limitati al fascicolo.
Preparare una scheda della richiesta
| Campo | Informazione da raccogliere |
|---|---|
| Assistito | Identificazione proporzionata secondo il servizio |
| Oggetto | Consenso alla consultazione, revoca o oscuramento |
| Documento | Riferimento necessario per la scelta richiesta |
| Canale | Portale o assistenza autorizzata |
| Informazione | Versione e spiegazione fornite |
| Attuazione | Stato registrato e sistema interessato |
| Verifica | Esito pertinente e limiti del controllo |
| Riscontro | Informazione comprensibile sull’azione eseguita |
La scheda non deve diventare un nuovo archivio di referti. Quando basta un identificativo del documento, evitate di copiarne il contenuto nella richiesta di assistenza. La minimizzazione dei dati riguarda anche ticket, email e note degli operatori.
Gestire revoca e modifica delle scelte
La revoca del consenso alla consultazione deve produrre gli effetti previsti sul relativo accesso, senza essere descritta come cancellazione dell’intero patrimonio documentale. Verificate quali componenti ricevano l’aggiornamento e come viene gestita la coerenza fra servizi collegati.
Se l’assistito modifica l’oscuramento, il processo deve applicare la scelta al documento pertinente e fornire un riscontro comprensibile. Evitate che l’operatore selezioni un gruppo di documenti diverso da quello richiesto perché l’interfaccia usa etichette ambigue. Una conferma dell’oggetto può prevenire errori senza introdurre ostacoli inutili.
La gestione dell’esattezza dei dati rimane distinta. Se il problema è un contenuto sanitario errato, occorre coinvolgere la struttura competente per il documento e il processo di correzione. Nascondere il referto non risolve automaticamente l’errore nell’archivio di origine.
Considerare emergenza e dati a maggiore tutela
La FAQ 14 del Garante precisa che i dati a maggior tutela nascono oscurati nel FSE e sono inizialmente visibili solo all’assistito, che può decidere liberamente di renderli visibili a terzi. Comprendono, per esempio, dati relativi a sieropositività, interruzione volontaria di gravidanza e servizi dei consultori familiari. Il catalogo del servizio deve applicare la tutela alle categorie previste, senza attendere una richiesta individuale per ciascun documento.
La FAQ 16 disciplina l’emergenza senza consenso alla consultazione: occorrono impossibilità fisica o incapacità dell’interessato e un rischio grave, imminente e irreparabile per la salute o l’incolumità fisica. Il personale sanitario che prende in cura la persona accede prioritariamente al profilo sanitario sintetico e, se necessario, agli ulteriori documenti, per il tempo strettamente necessario alle cure in emergenza. Restano esclusi i documenti per i quali l’assistito ha richiesto l’oscuramento. Non trasformate quindi l’emergenza in una casella libera per aggirare le scelte del paziente.
Per questi casi, consultate le disposizioni e le istruzioni aggiornate del servizio, mantenendo distinti accesso ordinario e percorso eccezionale. Una verifica tecnica può controllare che il percorso richieda le informazioni previste e produca un evento riconoscibile, senza simulare impropriamente un’emergenza su un paziente reale.
La guida ai dati particolari dell’articolo 9 offre il quadro generale, ma le regole specifiche del fascicolo devono essere applicate nel loro contesto. Evitate di dedurre da una condizione generale per il trattamento sanitario un’autorizzazione indistinta a consultare ogni documento del FSE.
Consentire la verifica degli accessi
L’assistito deve poter conoscere gli accessi al proprio fascicolo secondo il servizio previsto. Organizzate l’assistenza per interpretare le informazioni e gestire una segnalazione di accesso inatteso. Un elenco tecnico senza spiegazioni può essere difficile da comprendere, soprattutto quando mostra nomi di strutture o codici di ruolo.
La progettazione dei log deve rendere gli eventi interpretabili e proteggerli. Se la persona contesta una consultazione, conservate gli elementi pertinenti e coinvolgete il referente capace di verificare contesto e rapporto di cura. Non concludete automaticamente che ogni evento inatteso sia illecito, ma non liquidatelo con una risposta generica.
Per possibili accessi non autorizzati, applicate la procedura delle violazioni di dati quando pertinente. La valutazione deve distinguere fatti osservati, informazioni mancanti e misure adottate, mantenendo la riservatezza degli altri interessati coinvolti.
Esempio di percorso compilato
In un caso interamente ipotetico, un’assistita chiede di oscurare un documento già presente nel fascicolo. L’operatore autorizzato verifica identità e riferimento del documento, spiega che la scelta riguarda la visibilità nel FSE e non la cancellazione dell’originale sanitario, quindi applica la procedura prevista dal servizio.
Il riscontro indica quale operazione è stata eseguita e come la persona può controllarne lo stato. In un ambiente di esercitazione, il team verifica che un profilo ordinario di consultazione per cura non veda il documento né un segnale che ne riveli automaticamente l’esistenza, mentre i profili previsti dal quadro applicabile mantengono le rispettive possibilità.
Il collaudo scopre che una schermata secondaria mostra ancora il titolo. L’anomalia viene assegnata al gestore tecnico e il caso rimane aperto fino alla verifica della correzione. L’esempio dimostra perché controllare soltanto il pulsante «oscurato» nella console non basta: la misura deve essere efficace in tutte le viste pertinenti.
Mantenere il controllo fra servizi e aggiornamenti
Quando cambiano portale, integrazioni o profili, riesaminate le prove sulle scelte e sulla visibilità. Il GDPR richiede misure adeguate e responsabilizzazione; il fascicolo di verifica deve quindi collegare requisiti, configurazioni ed esiti osservati.
Conservate versione informativa, scheda delle responsabilità, casi di esercitazione e azioni correttive. Evitate copie cliniche non necessarie per dimostrare il funzionamento. Il risultato utile è un servizio nel quale l’assistito comprende la scelta, l’operatore sa applicarla e il sistema ne mantiene gli effetti attraverso i percorsi di consultazione pertinenti.
Prevedete inoltre un canale per segnalare una scelta che appare applicata in un servizio ma non in un altro. Il referente deve raccogliere soltanto identificativi, orari e schermate pertinenti, evitando l’invio indiscriminato del referto. La segnalazione deve raggiungere chi gestisce l’interoperabilità e rimanere tracciata fino al controllo dell’esito, così da non lasciare all’assistito il compito di coordinare autonomamente tutti i soggetti tecnici coinvolti.