Un servizio di referti online deve consegnare il documento al paziente giusto attraverso il canale scelto, senza trasformare la comodità digitale in un’esposizione dei dati sanitari. Per un laboratorio o una struttura sanitaria italiana, il lavoro concreto consiste nel collegare identificazione, scelta del paziente, pubblicazione, avviso, download, assistenza e rimozione dalla consultazione. Il risultato utile è una procedura che il personale possa eseguire e che il responsabile del servizio possa collaudare prima dell’apertura.
La refertazione online non coincide con la formazione della documentazione clinica, né con tutte le funzioni del fascicolo sanitario elettronico. Le FAQ del Garante sui referti online illustrano le condizioni del servizio e richiamano il DPCM 8 agosto 2013. Per le scelte sul fascicolo nazionale e regionale serve invece il percorso dedicato al FSE, alla consultazione e all’oscuramento. Una schermata comune non cancella questa differenza giuridica e organizzativa.
Delimitare il servizio prima di scegliere il software
Descrivere quali prestazioni producono un referto, chi lo valida, quale applicazione riceve il documento e dove il paziente lo ritira. Includere i passaggi manuali: un indirizzo dettato al telefono, una delega presentata allo sportello o un allegato inoltrato dall’assistenza possono essere più rischiosi dell’area riservata.
La scheda del servizio deve distinguere almeno quattro oggetti: l’originale conservato dalla struttura, la copia resa disponibile al paziente, l’avviso di disponibilità e i registri degli accessi. Hanno contenuti, finalità e durate diverse. Un SMS può essere cancellato secondo una regola propria senza modificare il referto; la fine della disponibilità sul portale non autorizza la distruzione dell’originale clinico.
Individuare anche le prestazioni che richiedono un percorso specifico. Le FAQ del Garante segnalano limiti per la refertazione digitale di esami genetici e HIV. Il catalogo degli esami va quindi verificato prima di attivare una distribuzione automatica indistinta. Il personale deve sapere chi decide le esclusioni, con quale riferimento e attraverso quale modalità alternativa viene assicurata la consegna.
Informare e raccogliere la scelta sul canale
Il trattamento necessario alla cura e il servizio facoltativo di refertazione online non vanno presentati come un’unica autorizzazione. Secondo le FAQ, la consegna online richiede una scelta libera, informata ed esplicita; il rifiuto non preclude l’accesso alla prestazione sanitaria. L’informativa deve spiegare il servizio con contenuti specifici, distinguendoli dall’informativa generale sulle cure.
Operativamente, conservare la versione dell’informativa presentata, la scelta, il momento e il canale attraverso cui è stata espressa. Non usare una casella già selezionata. La schermata deve rendere comprensibile anche la consegna alternativa, senza costringere il paziente a telefonare per scoprire come ottenere il documento.
Il consenso generale al servizio non impedisce al paziente di chiedere una modalità diversa per un singolo esame successivo. Collegare quindi la scelta sia al profilo del paziente sia alla prestazione interessata, con una regola di precedenza chiara. Se lo sportello registra un rifiuto per quel referto, il processo notturno non deve ripristinare automaticamente l’opzione generale.
Per i moduli, applicare la minimizzazione dei campi: un numero utile per l’avviso non deve diventare obbligatorio se il paziente sceglie una modalità che non lo richiede. Separare i contatti di servizio dalle eventuali comunicazioni promozionali.
Verificare il destinatario senza complicare inutilmente l’accesso
L’identificazione iniziale deve collegare la persona al referto corretto. Controllare omonimie, codici duplicati, fusioni delle anagrafiche e deleghe. Un’autenticazione forte non risolve un’associazione sbagliata tra account e paziente: autentica con precisione la persona a cui il sistema ha assegnato il documento errato.
Definire una procedura diversa per assistenza tecnica e modifica dell’identità. L’operatore che sblocca un account non dovrebbe poter sostituire liberamente il recapito e poi inviare un referto. Per le modifiche rilevanti richiedere una verifica proporzionata e registrare la decisione, limitando la raccolta di documenti d’identità a ciò che è effettivamente necessario.
La gestione dell’esattezza dei dati aiuta a trattare i recapiti non verificati e gli errori anagrafici prima della pubblicazione. Un rimbalzo dell’email non prova da solo che il paziente abbia fornito un indirizzo diverso: può dipendere dal servizio di posta. Evitare correzioni automatiche basate soltanto sulla somiglianza tra indirizzi.
Proteggere portale, email e avvisi secondo il loro ruolo
Per il portale, le FAQ del Garante richiamano connessioni protette e autenticazione forte. La verifica TLS e dei certificati deve comprendere anche le pagine di recupero e i servizi utilizzati dall’applicazione. Il collegamento al documento non deve funzionare per chiunque conosca un URL prevedibile.
Per l’email, il documento va trattato come allegato protetto, evitando di riportare i risultati nel corpo del messaggio. La protezione del file e la comunicazione della credenziale devono essere progettate insieme: inviare password e allegato nello stesso messaggio riduce la separazione che si intende ottenere. Verificare inoltre che le anteprime, i nomi dei file e l’oggetto non rivelino informazioni cliniche non necessarie.
Gli SMS di disponibilità non devono contenere tipo di esame, risultati o credenziali. Un avviso sobrio come «È disponibile un documento nell’area riservata del servizio» limita ciò che compare sullo schermo bloccato. Valutare comunque se il nome del mittente o del reparto possa rivelare un’informazione delicata nel particolare contesto.
Gestire disponibilità e rimozione dal portale
Le FAQ indicano un massimo di quarantacinque giorni di disponibilità del referto sul sito e la possibilità per l’utente di eliminare dalla consultazione online tutti o alcuni referti. Questa regola riguarda quella modalità di disponibilità: non è una durata generale di conservazione della documentazione sanitaria.
Il collaudo deve verificare la scadenza sulla pagina del paziente, sugli URL diretti, sulle anteprime e sulle copie che servono il download. Un documento scomparso dall’elenco ma ancora scaricabile attraverso il collegamento precedente non è stato realmente tolto dalla consultazione.
Documentare separatamente la conservazione dei dati del sistema clinico, dei log e delle copie tecniche. Se un backup conserva temporaneamente un oggetto non più disponibile online, impedire che un ripristino lo ripubblichi senza applicare nuovamente le scadenze e le scelte registrate.
Esempio di configurazione da portare al collaudo
Un laboratorio ipotetico attiva un portale per referti ammessi al servizio. Decide una disponibilità di trenta giorni, entro il limite indicato dalle FAQ, e conserva l’originale nel sistema clinico secondo la disciplina applicabile. La durata scelta per il portale è una decisione dell’esempio, non una raccomandazione universale per ogni struttura.
| Passaggio | Configurazione dell’esempio | Prova richiesta |
|---|---|---|
| Adesione | Scelta non preselezionata, alternativa allo sportello visibile | Nuovo account senza adesione non riceve pubblicazioni |
| Avviso | SMS privo di risultato, esame e password | Verifica del testo ricevuto sul telefono |
| Accesso | Account individuale con autenticazione forte | Account diverso non apre il documento |
| Disponibilità | Trenta giorni dalla pubblicazione | URL e anteprima non funzionano dopo la scadenza |
| Rimozione richiesta | Comando per singolo referto e intera area | Il documento resta nel sistema clinico ma sparisce dal portale |
| Assistenza | Operatore non può leggere il referto durante il recupero ordinario | Prova con profilo di assistenza |
Il verbale deve indicare chi ha eseguito ogni prova, con quale ambiente e quale esito. Utilizzare referti sintetici nel collaudo ordinario; se un problema richiede dati reali, autorizzare e limitare l’accesso senza riversare documenti sanitari nei ticket.
Preparare l’errore di consegna prima che accada
L’assistenza deve riconoscere subito segnalazioni come «vedo il referto di un’altra persona» o «ho ricevuto un allegato che non mi riguarda». Bloccare la disponibilità interessata, preservare le evidenze e attivare la valutazione della violazione senza attendere la chiusura del normale ticket.
La comunicazione al paziente e l’eventuale notifica all’autorità dipendono dalla valutazione prevista dagli articoli 33 e 34 del GDPR. La guida alla comunicazione del data breach agli interessati aiuta a separare le informazioni confermate dalle verifiche ancora in corso. Non chiedere al destinatario errato di inoltrare nuovamente l’allegato attraverso una casella generica per dimostrare l’errore.
Assegnare responsabilità verificabili
La direzione sanitaria definisce il perimetro clinico e le eccezioni; il responsabile del servizio organizza la consegna; l’IT dimostra le protezioni; il personale dello sportello applica le scelte; il DPO fornisce consulenza e sorveglia nei limiti del proprio ruolo. Il fornitore tecnico deve avere istruzioni, accessi e obblighi coerenti con l’incarico effettivo.
Il fascicolo di avvio comprende flusso, informative, gestione delle scelte, matrice degli accessi, verifiche sui canali, regole di disponibilità, assistenza e gestione degli incidenti. Valutare la necessità di una DPIA prima dell’avvio, considerando tecnologia, scala, dati sanitari e rischi; non trattare il semplice acquisto del portale come prova che tale valutazione sia stata svolta.
Dopo l’avvio, riesaminare i reclami, gli errori anagrafici, le consegne fallite e le richieste di rimozione. Un aumento delle telefonate di pazienti bloccati può indicare un problema di accessibilità o recupero, non soltanto utenti poco esperti. La sicurezza deve mantenere disponibile un percorso concretamente utilizzabile anche da chi non possiede uno smartphone personale o ha bisogno di assistenza autorizzata.
Controllare deleghe e passaggi tra servizi
La delega al ritiro va collegata alla prestazione e ai poteri effettivamente riconosciuti. Un recapito del familiare inserito per prenotare non dimostra, da solo, che quel familiare possa accedere a tutti i referti presenti e futuri. Il modulo di prenotazione deve distinguere il contatto organizzativo dal destinatario autorizzato alla documentazione.
Quando il servizio cambia fornitore, eseguire una migrazione di prova che includa scelte negative, scadenze già trascorse e rimozioni richieste. Trasferire solo gli account attivi con tutti i documenti storici può rendere nuovamente visibile ciò che non avrebbe dovuto essere consultabile. Nel verbale di migrazione registrare le categorie escluse, il controllo sugli account duplicati e la verifica finale compiuta con un paziente simulato. L’apertura del nuovo portale richiede quindi anche una verifica del comportamento delle preferenze, non soltanto del numero di file copiati correttamente.