Soluzioni · Cliniche mediche

Applicazioni web per cliniche mediche.

Software per processi che necessitano del proprio spazio di lavoro. La pagina presente mette la meccanica del servizio accanto alle regole che si applicano alle cliniche mediche — senza pretendere un progetto che non abbiamo realizzato.

Discuti il tuo scenario

Punto di partenza

Come appaiono le cliniche mediche prima di qualsiasi software

L’ufficio registrazione è un punto di triage che non ha il diritto di fare triage. La persona al telefono decide, in trenta secondi, a quale specialità si adatta quanto descritto dal paziente, se serve un’impegnativa, se il servizio è coperto e quando è il primo posto libero. Lo fa per dieci agende diverse, ciascuna con i propri giorni e ambulatori. Tutto il suo lavoro è un problema di routing — ed è l’unico anello della clinica in cui l’informazione clinica appare senza che esista un atto medico alle spalle.

In una clinica vivono due mondi in parallelo per lo stesso servizio. Il percorso coperto passa dal medico di famiglia, da un’impegnativa e, per le indagini ad alta performance, da una prenotazione nel sistema nazionale. Il percorso a pagamento inizia direttamente al telefono. La stessa indagine, la stessa apparecchiatura, due pazienti che vi arrivano per strade del tutto diverse, con documenti diversi e scadenze diverse. Una pagina di servizi che descrive solo una delle due strade lascia metà dei visitatori senza risposta.

Il flusso di dati che conta non è la prenotazione, è il risultato. Le analisi e i referti di indagine vengono prodotti dopo la visita e devono arrivare alla persona. Ogni clinica lo risolve in modo diverso: via e-mail, sul canale di messaggistica da cui ha scritto il paziente, tramite un portale, oppure «venite a ritirarlo». È l’unica decisione di architettura che sposta un documento con diagnosi fuori dalla clinica, e di solito è l’unica che non è stata presa da nessuno in modo esplicito — è successo perché era la strada più breve.

Il catalogo dei servizi di una clinica è un oggetto codificato: ogni voce ha un codice, una denominazione, un’unità di misura e una tariffa, e le denominazioni sono scritte nel linguaggio del nomenclatore, non nel linguaggio del paziente. Sul sito di solito arriva un elenco appiattito, senza codice e senza unità. Da questo nascono due conversazioni separate — una al telefono su che cosa significhi la denominazione, l’altra alla cassa sul perché l’importo non sia quello della pagina.

Molte cliniche registrano le chiamate al front office. Il motivo dichiarato è la qualità, il meccanismo è una funzione spuntata nella centrale telefonica. Ma una registrazione in cui una persona descrive i propri sintomi è un dato relativo alla salute in un file audio, conservato in un sistema scelto dal fornitore di telefonia, non dalla clinica, spesso senza termine di cancellazione e senza che qualcuno abbia scritto da qualche parte che questo trattamento esiste.

Tre passi e la freccia che torna indietro

Regulile

Ciò che si applica nelle cliniche mediche, con l’articolo da cui proviene

Ciascuna regola qui sotto riporta l’atto normativo che la impone. La verifica non richiede di prenderci sulla parola.

Quasi tutto ciò che passa attraverso la clinica è categoria speciale di dati

Il trattamento dei dati relativi alla salute è vietato come regola, e la legalità deriva da una specifica eccezione, non da una base generale. La definizione copre qualsiasi dato relativo alla salute fisica o mentale, inclusi quelli che risultano dalla prestazione di servizi di assistenza medica e rivelano lo stato della persona. In una clinica, questo significa il risultato di laboratorio, il referto di indagine, l’impegnativa, il motivo della presentazione annotato all’ufficio registrazione e, talvolta, solo il nome della specialità per cui il paziente è prenotato. I dati genetici e quelli biometrici usati per l’identificazione univoca hanno una propria definizione e rientrano nella stessa interdizione.

FonteLegge 195/2024, art. 9 para. (1), art. 4 (definizioni di „date privind sănătatea”, „date genetice”, „date biometrice”); Regolamento (UE) 2016/679, art. 9 para. (1)

L’accesso viene concesso nel volume necessario alla decisione, non per funzione

Due norme dicono la stessa cosa da direzioni diverse, e insieme rendono il principio del minimo privilegio un obbligo legale, non una buona pratica. L’eccezione che consente il trattamento per diagnosi e cura funziona solo quando i dati sono trattati da o sotto la responsabilità di un professionista soggetto all’obbligo di segreto professionale. E la comunicazione di informazioni confidenziali senza il consenso del paziente è ammessa per coinvolgere nel processo curativo altri specialisti, ma solo nel volume necessario per prendere una decisione adeguata. Un sistema in cui ogni account del personale medico vede ogni scheda non rispetta nessuna delle due.

FonteLegge 195/2024, art. 9 para. (2) lett. h) e para. (3), art. 32 para. (1); Legge 263/2005, art. 12 para. (2) e para. (4) lett. a)

Un sistema non può decidere da solo il percorso clinico del paziente

L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o lo incida in modo analogo in misura significativa. E le decisioni che rientrano nelle eccezioni a questa regola non possono fondarsi su categorie speciali di dati se non si applica l’eccezione del consenso esplicito o quella dell’interesse pubblico rilevante, con misure adeguate istituite. Anche quando si applica un’eccezione, il titolare del trattamento deve garantire almeno il diritto della persona a ottenere l’intervento umano, a esprimere il proprio punto di vista e a contestare la decisione. In concreto: un sistema può raccogliere ciò che dice il paziente e può instradarlo verso una persona; non può chiudere da solo la domanda «di che cosa avete bisogno».

FonteLegge 195/2024, art. 22 para. (1), (3) e (4); art. 9 para. (2) lett. a) e g)

Il laboratorio, il centralino telefonico, l’agenda online e il call center esterno sono tutti in catena

Ogni fornitore che tratta dati per conto della clinica è una persona autorizzata e richiede un contratto scritto che stabilisca oggetto, durata, natura, finalità, tipo di dati e categorie di interessati, con istruzioni documentate, personale vincolato alla riservatezza, il divieto di subappaltare senza autorizzazione, assistenza alle richieste dei pazienti e cancellazione o restituzione al termine. Se invece un partner stabilisce insieme alla clinica le finalità e i mezzi — non solo esegue — sono contitolari del trattamento e hanno bisogno di un accordo che ripartisca in modo trasparente le responsabilità, la cui essenza è portata a conoscenza del paziente. E se il fornitore conserva al di fuori dello Spazio Economico Europeo, è necessaria una decisione di adeguatezza o garanzie adeguate, come le clausole standard di protezione dei dati.

FonteLegge 195/2024, art. 28 para. (2)–(4) e (8); art. 26 para. (1)–(3); art. 44 para. (2); art. 46 para. (2) lett. c)

La valutazione d’impatto ha una soglia, e la consultazione preventiva ha un termine

La valutazione d’impatto è imposta in particolare per il trattamento su larga scala di categorie particolari di dati, per la valutazione sistematica e completa basata su trattamento automatizzato che costituisce la base di decisioni con effetti significativi, e per il monitoraggio sistematico su larga scala di un’area accessibile al pubblico. «Larga scala» non è una parola libera: il riferimento europeo dice che i dati dei pazienti di un solo medico non vi rientrano — una rete di cliniche, invece, vi rientra in modo discutibile e va valutata. Se la valutazione indica un rischio elevato che la clinica non può attenuare, segue la consultazione del Centro prima del trattamento, e il Centro risponde entro otto settimane al massimo, termine che può essere prorogato di sei. Questa è una durata che si inserisce nel piano di un progetto, non si scopre alla fine.

FonteLegge 195/2024, art. 35 para. (1), (3) e (7), art. 36 para. (1) e (2), art. 37 para. (1) lett. c); Regolamento (UE) 2016/679, considerando (91)

Le richieste dei pazienti hanno un termine scritto nella legge, e l’accesso al proprio dossier è garantito due volte

Il titolare fornisce le informazioni sulle azioni intraprese a seguito di una richiesta senza ritardi ingiustificati e al più tardi entro un mese dal ricevimento; il termine può essere prorogato di due mesi, informando l’interessato nel primo mese. Le informazioni e le misure sono fornite gratuitamente. Separatamente, la legge sul paziente richiede ai prestatori di garantire l’accesso illimitato del paziente alle informazioni sui propri dati medici, ai risultati e ai dossier con indagini, con rilascio di un riepilogo scritto alla dimissione, e il paziente può ottenere copia di qualsiasi parte dei propri dossier. Una clinica il cui sistema non può produrre tale esportazione viola un termine, non solo un’aspettativa.

FonteLegge 195/2024, art. 12 para. (3) e (5), art. 15; Legge 263/2005, art. 11 para. (4)

Mecanica

Cosa fanno concretamente le applicazioni web

Le stesse funzionalità che sono sulla pagina del servizio, dove ciascuno ha il file e la linea dietro.

Scriviamo le regole del dominio prima del primo schermo

Un contratto di implementazione, in testo, che fissa il vocabolario e gli invarianti: che cosa significa un posto prenotato, che cosa significa un pagamento incassato, che cosa va in fail closed quando un servizio non risponde. Nella piattaforma per l’istituzione di spettacoli le regole sono esplicite — denaro in unità minori intere più la valuta, disponibilità solo da prenotazioni durature nel database, chiavi di idempotenza sugli ordini critici, cache mai come fonte di verità per lo stock, dati della carta mai memorizzati. Sono regole che si verificano nel codice, non principi.

Costruiamo il nucleo su test che girano senza il sistema vivo

Le risposte reali dei sistemi esterni vengono salvate come fixture e l’analizzatore viene testato su di esse, non sul portale che può essere giù proprio nel giorno in cui Lei lavora. Nel sistema di interrogazione dei portali di voli, la suite viene eseguita in 0,52 secondi e passa integralmente; i test che toccano davvero i portali sono marcati separatamente e devono essere richiesti esplicitamente. La stessa separazione esiste in tutti e quattro i sistemi: ciò che si può verificare al banco si verifica al banco.

Consegniamo il repository, la messa in funzione e gli accessi

Non un file zip. Il repository con la cronologia dei commit, un documento che descrive come si solleva il sistema su una macchina vuota — database, variabili d’ambiente, servizio di sistema, server web davanti — e gli accessi che lo rendono vostro. Sotto la nostra directory di progetti esistono oggi 150 repository git, 103 README e 19 documenti di tipo DEPLOY o HANDOVER; questa forma di consegna è l’abitudine, non l’eccezione.

Quando il sistema dell’altro non ha API, diciamo quale rischio assumete

I portali B2B che interroghiamo non pubblicano un’interfaccia programmatica, quindi l’autenticazione avviene come per un utente, con cookie di sessione e chiave di connessione, e viene rifatta automaticamente alla scadenza. Il rischio è scritto nel README del progetto, non scoperto in seguito: l’autenticazione programmatica è una zona grigia rispetto alle condizioni d’uso del portale, e per un volume di produzione intenso la soluzione corretta è chiedere all’operatore la sua API ufficiale. Un cliente ha il diritto di saperlo prima di firmare, non dopo.

I documenti entrano una sola volta, anche se li leggiamo dieci volte

Ogni transazione estratta da una notifica bancaria o da un estratto PDF riceve un identificatore esterno calcolato come fingerprint SHA-256 sui suoi campi, e l’inserimento in Postgres avviene con `ON CONFLICT (external_id) DO NOTHING`. Conseguenza pratica: la casella postale può essere riletta quante volte volete, e il saldo non si raddoppia. Senza questa regola, qualunque pipeline di ingestione finisce per produrre duplicati, cioè un problema di contabilità.

La classificazione con modello avviene tramite strumenti, non con testo libero

Il modello non scrive una frase che poi indoviniamo noi: riceve sette strumenti — pagamento da cliente, stipendio, imposta, pagamento verso creditore, spesa di esercizio, sconosciuto — e deve sceglierne uno, con un punteggio di confidenza tra 0 e 1. Per l’abbinamento approssimativo dei nomi della controparte esiste una riserva separata, basata sulla similarità dei vettori. «Sconosciuto» è un’uscita legittima, con motivo, non un fallimento nascosto.

Il servizio, in dettaglio

I dati

Cosa tocca ogni sistema del settore

Le classi di dati che hanno le cliniche mediche, con la base della conservazione laddove la legge la fornisce.

Risultati di laboratorio e referti di esami: Il documento con diagnosi o con valori di laboratorio è il nucleo della categoria speciale e, allo stesso tempo, l’unico oggetto in clinica progettato per uscire dalla clinica. Nel momento in cui si sceglie il canale di consegna, la clinica sceglie anche il livello di sicurezza del trattamento — l’obbligo è di implementare misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dello sviluppo tecnologico e della gravità delle conseguenze. Il canale richiesto dal paziente non è, di per sé, una giustificazione; è una preferenza che deve rientrare in una misura decisa dal titolare del trattamento.Conservazione: Neverificato per il termine settoriale di archiviazione della documentazione medica, stabilito da atti del Ministero della Salute, che non siamo riusciti ad aprire oggi. Il principio applicabile resta la conservazione per un periodo che non supera quanto necessario allo scopo, e i termini previsti per categorie rientrano nel registro delle attività di trattamento.FonteLegea 195/2024, art. 9 alin. (1), art. 32 alin. (1), art. 5 alin. (1) lit. e), art. 30 alin. (1) lit. f); Legea 263/2005, art. 12 alin. (1)
Il rinvio da parte del medico di famiglia: L’impegnativa indica chi invia, verso quale specialità e, di regola, perché. È un dato sulla salute e, inoltre, è la prova del percorso assicurato. Circola tra tre titolari diversi — ambulatorio di famiglia, clinica e, per il rimborso, cassa di assicurazione — e tra loro ogni trasmissione è una divulgazione che ha bisogno della sua base giuridica.Conservazione: Quanto è necessario per l’atto medico a cui si riferisce e per il relativo rimborso. Il termine si stabilisce espressamente, non si eredita dalla durata del contratto con il fornitore di software.FonteLegge 195/2024, art. 5 para. (1) lett. b) e e), art. 9 para. (1), art. 30 para. (1) lett. d); Legge 263/2005, art. 12 para. (3)
La prenotazione e il motivo della presentazione: Nome, telefono, specialità, medico, data, ora — e il campo libero in cui la segreteria annota ciò che ha detto il paziente. Il campo libero è quello che cambia il regime dell’intera registrazione: «controllo» è amministrativo, due frasi sui sintomi non lo sono più. La prenotazione vera e propria si basa sull’esecuzione del contratto o sulle misure prese su richiesta della persona prima del contratto; il contenuto clinico nel campo libero richiede qualcos’altro, motivo per cui la cosa più corretta è non richiederlo lì.Conservazione: In relazione allo scopo della programmazione e al rapporto che segue. Uno storico delle programmazioni conservato all’infinito «per statistica» ha bisogno del proprio fondamento e del proprio termine.FonteLegea 195/2024, art. 6 alin. (1) lit. b), art. 5 alin. (1) lit. c), art. 9 alin. (1)
Le registrazioni delle chiamate alla segreteria: Audio in cui una persona identificabile descrive il proprio stato. È un dato sulla salute in un altro formato, e basta. Per esistere legalmente, ha bisogno di una propria base giuridica — se è l’interesse legittimo, il paziente ha il diritto di opporsi per motivi personali e il trattamento si interrompe se il titolare non dimostra motivi legittimi e cogenti che prevalgano. E ha bisogno di un’informativa al momento della raccolta: identità del titolare, finalità e base giuridica, destinatari, intenzione di trasferimento, periodo di conservazione, diritti, diritto di presentare reclamo al Centro.Conservazione: È stabilito dall’operatore e comunicato al momento della raccolta; quando non può essere indicato un periodo esatto, vengono comunicati i criteri per stabilirlo. Una funzione di registrazione lasciata sull’impostazione predefinita della centrale non è un termine.FonteLegge 195/2024, art. 13 para. (1) e (2), art. 6 para. (1) lett. f), art. 21 para. (1) e (4), art. 9 para. (1)
Imaging e referti radiologici: L’immagine e la sua interpretazione sono due oggetti, spesso in due sistemi, a volte presso due fornitori. Entrambi sono categoria speciale. Quando l’interpretazione viene effettuata da un radiologo esterno, compare un terzo partecipante nella catena, e il suo ruolo — responsabile del trattamento o titolare autonomo — si stabilisce in base a chi decide le finalità e i mezzi, non in base a come è scritto in fattura.Conservazione: Come nella documentazione medica: non verificato settorialmente, deciso in base al principio di necessità e scritto nell’evidenza delle attività di trattamento.FonteLegge 195/2024, art. 4 (definizione di «dati relativi alla salute»), art. 28 para. (1) e (9), art. 26 para. (1), art. 30 para. (1) lett. f)
Status di assicurato, polizza e numero di identificazione nazionale: Sono i dati che la cancelleria richiede per primi e da cui dipende la risposta alla domanda sul costo. Il numero di identificazione nazionale — inclusa la serie e il numero del documento d'identità — può essere trattato nelle situazioni previste per qualsiasi base giuridica, ma se la base è il legittimo interesse, il titolare è obbligato a istituire garanzie specifiche: misure per ridurre al minimo i dati e per la sicurezza, termini di conservazione stabiliti in base alla natura dei dati e allo scopo, con termini specifici di cancellazione o di revisione, e formazione periodica delle persone che li trattano.Conservazione: Quanto richiede il rimborso e i relativi obblighi contabili. Quando la base è il legittimo interesse, il termine specifico di cancellazione o di riesame non è facoltativo.FonteLegge 195/2024, art. 53 para. (1) e (2), art. 4 (definizione di «numero di identificazione nazionale»), art. 6 para. (1)

Limbajul

Le parole che usano le persone di lì

Un agente che dice “prenotazione” dove il settore usa un altro termine si sente subito come estraneo. Per questo il vocabolario entra nella configurazione, non nel glossario finale.

Segreteria: Il punto in cui entrano le richieste — allo sportello e al telefono. Non è «reception» e non è call center; è l’anello che distribuisce il paziente tra le agende degli specialisti. Quando qualcuno della clinica dice «alla segreteria», parla di un ruolo, non di un locale.
Impegnativa: Il documento con cui il medico di famiglia invia il paziente a uno specialista o a un’indagine. È la chiave del percorso assicurato; senza di esso, la stessa indagine diventa una prestazione a pagamento. Un sito che elenca i servizi senza dire se richiedono impegnativa manca esattamente la domanda con cui arriva il visitatore.
Servizi medici ad alte prestazioni: La categoria di indagini per le quali la prenotazione si effettua separatamente, tramite un sistema proprio, non tramite l’agenda della clinica. Il termine è usato così com’è nella comunicazione pubblica della cassa malati ed è la parola che cerca il paziente.
Nomenclator: Il catalogo codificato dei servizi medici. Ogni voce ha codice, denominazione, unità di misura e tariffa. La denominazione del nomenclatore è il linguaggio contabile della clinica, non il linguaggio del paziente — la traduzione tra i due è una parte reale del lavoro sui contenuti.
Unità di misura: Ciò che viene conteggiato in una voce di servizio: la seduta, la visita, la consultazione, l’indagine, la procedura, il caso trattato. Due cliniche con la stessa tariffa esposta possono emettere fatture diverse perché conteggiano cose diverse. Un prezzo senza unità non è un’informazione completa.
Ambulatorio / degenza: L’assistenza in cui il paziente torna a casa nello stesso giorno, rispetto a quella con ricovero. La documentazione differisce — scheda ambulatoriale rispetto a cartella clinica — e con essa differiscono anche quali dati vengono raccolti e chi li vede.
Co-pagamento: La parte pagata dal paziente per un servizio che altrimenti è coperto. È la fonte più frequente di incomprensioni alla cassa, perché il paziente ha letto «coperto» e ha pagato qualcosa.
IMSP: Istituzione medico-sanitaria pubblica. Conta perché il regime di un’istituzione pubblica è diverso: per le autorità e le istituzioni pubbliche, il legittimo interesse non è disponibile come base nell’adempimento delle attribuzioni, e la designazione di un responsabile della protezione dei dati è obbligatoria per il solo loro status.
Prestatore di servizi sanitari: Il termine giuridico nella legge sui pazienti per le istituzioni medico-sanitarie e farmaceutiche, indipendentemente dalla forma di proprietà. È la parola con cui la legge si rivolge alla clinica.

Dove si rompe

Cosa va storto quando le cliniche mediche si digitalizzano in fretta

Il risultato parte sul canale più breve, e il canale non compare da nessuna parte nei documenti

Il referto viene inviato sul mezzo indicato dal paziente, perché così è il più rapido. Da quel momento esiste un trattamento con un destinatario e, spesso, un trasferimento al di fuori dello Spazio Economico Europeo, che non compare nel registro delle attività di trattamento, non compare nell’informativa fornita al paziente al momento della raccolta e non ha un contratto di nomina con il fornitore del canale. La clinica non ha deciso nulla di sbagliato — non ha deciso nulla, ed è proprio questo il problema che emerge alla prima richiesta di accesso o alla prima contestazione.

Tutti vedono tutto, perché è più semplice

Un solo livello di accesso per il personale medico, un account condiviso alla segreteria. La legge richiede che il coinvolgimento di altri specialisti senza il consenso del paziente avvenga solo nella misura necessaria per prendere una decisione adeguata, e l’eccezione medica stessa è legata al professionista tenuto al segreto. Senza ruoli e senza registro, la clinica non può dimostrare né il rispetto né il contrario — e l’onere di dimostrare il rispetto spetta al titolare del trattamento, in base al principio di responsabilità.

Il chatbot del sito scivola nel triage

Inizia come risposta a domande su orario e prezzo. Poi qualcuno aggiunge la domanda «cosa La disturba», perché sembra utile. In quel momento raccoglie dati di categoria speciale su un canale progettato per dati amministrativi, e se poi decide anche dove inviare il paziente, tocca il divieto relativo alle decisioni automatizzate basate su tali dati. Lo scivolamento non si vede in una demo — si vede nelle trascrizioni, due mesi dopo.

Elenco dei servizi pubblicato senza codice e senza unità

Sul sito si inseriscono la denominazione e l’importo. Il paziente non può capire dalla pagina se ha bisogno di impegnativa, se l’importo è per seduta o per caso, e se il suo status cambia la risposta. Il risultato è che la pagina genera esattamente le chiamate che avrebbe dovuto ridurre, e la clinica trae la conclusione che «le persone comunque chiamano», invece di vedere che la pagina non contiene l’informazione per cui chiamano.

La registrazione delle chiamate avviata dalla centrale telefonica, non da una decisione

La funzione si attiva perché esiste. Nessuno scrive la finalità, la base, il termine, chi ha accesso ai file e cosa accade con essi quando cambia il fornitore di telefonia. Si accumula un deposito di dati sanitari in formato audio, presso un terzo, senza informativa al momento della raccolta e senza termine. Quando arriva una richiesta di accesso o di opposizione, la clinica scopre di non poter nemmeno cercarvi dentro.

Domande

Cosa chiede qualcuno di una clinica medica prima di acquistare software

Posso inviare i risultati delle analisi via e-mail o messaggistica, se il paziente lo chiede?

La richiesta del paziente non è, da sola, la misura di sicurezza. L’obbligo del titolare del trattamento è di implementare misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato di sviluppo tecnologico, dei costi e della gravità delle conseguenze per la persona. Un referto con diagnosi è una conseguenza grave se arriva alla persona sbagliata. In pratica, la domanda corretta non è «posso», ma «che cosa compensa il canale»: la verifica dell’identità del destinatario, un link che scade, una password trasmessa in altro modo, un portale. E se il documento passa attraverso un fornitore di canale, quello è un incaricato del trattamento ed entra nel regime contrattuale e in quello del trasferimento.

Posso mettere un sistema che chiede al paziente quali sintomi ha e lo invia allo specialista giusto?

Può raccogliere e può instradare verso una persona. Non può concludere la decisione da solo. La persona ha il diritto di non essere sottoposta a una decisione basata esclusivamente su un trattamento automatizzato che la riguarda in modo significativo, e le decisioni che rientrano nelle eccezioni non possono basarsi su categorie speciali di dati se non mediante consenso esplicito o rilevante interesse pubblico, con misure adeguate. Anche in tal caso, devono essere garantiti l’intervento umano, l’espressione del punto di vista e la contestazione della decisione. Un assistente che propone e una persona che conferma è un’architettura che rientra nella legge; un instradatore automatico sui sintomi no.

Registro le chiamate alla segreteria. Cosa devo dire e a chi?

Al momento della raccolta, al paziente: chi è il titolare e come si contatta, i dati di contatto del responsabile della protezione dei dati, se esiste, le finalità e la base giuridica, i legittimi interessi perseguiti se questa è la base, i destinatari o le categorie di destinatari, l’intenzione di trasferimento verso un altro Stato, il periodo di conservazione o i criteri per determinarlo, i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, il diritto di revocare il consenso se su di esso si basa, e il diritto di presentare un reclamo al Centro. E se la base è l’interesse legittimo, il diritto di opposizione deve essere portato esplicitamente all’attenzione, in modo chiaro e separato da qualsiasi altra informazione, al più tardi alla prima comunicazione.

Lavoro con un call center esterno. Basta un contratto di prestazione di servizi?

No, se quel contratto non contiene le clausole richieste. Il contratto di nomina a responsabile del trattamento deve stabilire l’oggetto, la durata, la natura, lo scopo del trattamento, il tipo di dati e le categorie di persone interessate, e deve prevedere espressamente il trattamento solo su istruzioni documentate, l’impegno di riservatezza del personale, le misure di sicurezza, il divieto di ingaggiare un altro sub-responsabile senza autorizzazione scritta, l’assistenza alle richieste dei pazienti e alla notifica delle violazioni, la cancellazione o la restituzione dei dati alla fine e la messa a disposizione delle informazioni necessarie per gli audit. E se il gestore del call center arriva a stabilire esso stesso le finalità e i mezzi, è considerato titolare per quel trattamento, con la relativa responsabilità.

I medici lavorano in proprio nella mia clinica. Chi è il titolare?

Si decide in base a chi stabilisce le finalità e i mezzi, non in base alla forma del contratto. Quando due o più entità li stabiliscono congiuntamente, sono titolari congiunti e devono stabilire in modo trasparente, mediante un accordo, le responsabilità di ciascuno — in particolare l’esercizio dei diritti dei pazienti e gli obblighi di informazione. L’essenza dell’accordo viene portata a conoscenza del paziente, e il paziente può esercitare i propri diritti nei confronti di ciascuno dei titolari, indipendentemente da quanto scritto nell’accordo tra loro. L’ambiguità qui non è neutra: si risolve a sfavore di chi non può mostrare un accordo.

Mi serve una valutazione d’impatto prima di collegare un nuovo sistema?

È richiesta in particolare per il trattamento su larga scala di categorie speciali, per la valutazione sistematica e globale basata su trattamento automatizzato con effetti significativi, e per il monitoraggio sistematico su larga scala di un’area accessibile al pubblico. Il Centro approva l’elenco dei tipi di operazioni che la richiedono e può approvare anche un elenco di quelle per le quali non è necessaria; gli elenchi sono pubblicati nella Gazzetta Ufficiale e sulla pagina del Centro. Se la valutazione mostra un rischio elevato non mitigato, segue la consultazione preventiva, con risposta entro un massimo di otto settimane, prorogabile di sei. Riferimento utile in senso inverso: i dati dei pazienti di un singolo medico non sono considerati trattamento su larga scala.

Quanto tempo ho per rispondere a una richiesta di accesso al dossier?

Al massimo un mese dal ricevimento, senza ritardi ingiustificati. Il termine può essere prorogato di due mesi quando necessario, ma la proroga e i suoi motivi vengono comunicati entro il primo mese. La risposta è gratuita. In parallelo, la legge sul paziente richiede un accesso illimitato ai propri dati sanitari e il diritto di ottenere una copia di qualsiasi parte dei propri dossier. La domanda pratica per qualsiasi sistema acquistato dalla clinica è una sola e si pone prima della firma: può produrre, su richiesta, l’esportazione completa dei dati di una persona.

Il paziente chiede la cancellazione. Devo cancellare il dossier medico?

Il diritto alla cancellazione non si applica nella misura in cui il trattamento è necessario per adempiere a un obbligo legale che prevede il trattamento, per motivi di interesse pubblico nel settore della salute pubblica, a fini di archiviazione nel pubblico interesse, oppure per l’accertamento, l’esercizio o la difesa di un diritto in un procedimento. La documentazione medica rientra tipicamente nella prima ipotesi. Ciò che può essere cancellato, quasi sempre, è lo strato aggiunto sopra: il consenso al marketing, le registrazioni delle chiamate conservate senza termine, i thread di messaggistica, gli account del portale. Una risposta corretta separa i due strati invece di rifiutare in blocco.

Quale rischio reale ho se rimando tutto di un anno?

La legge è in vigore dal 23 agosto 2026, a 24 mesi dalla pubblicazione. Le sanzioni arrivano fino a 1.000.000 di lei o all’1% del fatturato totale dell’anno precedente per gli obblighi del titolare e del responsabile del trattamento, e fino a 2.000.000 di lei o al 2% per i principi di trattamento, i diritti degli interessati e i trasferimenti — si considera il valore maggiore. Le sanzioni si applicano anche alle autorità e alle istituzioni pubbliche. Esiste una gradazione: dal primo anno si applica il 10% dell’importo stabilito, dal secondo il 40%, dal terzo il 100%. Quindi il rinvio non è neutro — sposta lo stesso errore in un anno in cui costa quattro, poi dieci volte di più.

Ciò che non possiamo sostenereNon inseriamo in questa pagina alcun risultato proprio misurato su una clinica medica e non lo sostituiamo con un dato di mercato. Non siamo un prestatore di servizi di responsabile della protezione dei dati, non emettiamo pareri legali e non facciamo le veci di un giurista: ciò che è scritto qui sono norme citate con articolo, non l’analisi di un caso. Non siamo riusciti a verificare i termini settoriali di archiviazione della documentazione medica, stabiliti da atti del Ministero della Sanità — la fonte ufficiale consolidata ha restituito 403 nel giorno della verifica, e un termine che non può essere mostrato resta non verificato. Non abbiamo verificato l’elenco dei tipi di operazioni per cui il Centro impone la valutazione d’impatto; quando è pubblicato, decide quello, non il presente testo. Non costruiamo software medico certificato come dispositivo e non ci occupiamo della conformità dell’atto medico. Non abbiamo un codice di condotta approvato dal Centro e nessuna certificazione ai sensi della legge. Non nominiamo alcuna clinica e non pubblichiamo nulla sui pazienti di qualcuno.

Il servizio, in dettaglio Ciò che abbiamo costruito effettivamente Tutti gli scenari

Servizio, applicatoNon abbiamo ancora consegnato esattamente questa combinazione. Ciò che ha letto sopra è la meccanica del nostro servizio, verificabile sulla sua pagina, affiancata alle regole che lo governano clinici medicale — ciascuno con l’articolo da cui proviene. Ciò che abbiamo costruito concretamente sta nella pagina del servizio e nel portfolio.

Fonti 8 fonti · verificate il 2026-09-07

Cosa vorresti che funzionasse meglio?

Raccontaci il tuo processo. Insieme stabiliamo cosa vale la pena costruire, cosa possiamo collegare e come verifichiamo il risultato.

Parliamone