Scambio di file tra operatori sanitari

Il Garante per la protezione dei dati personali ha ricordato nelle sue linee guida del 2020 sulla telemedicina che la trasmissione di dati clinici tra operatori sanitari deve avvenire su canali sicuri: l'email ordinaria non lo è. Lo scambio di file tra operatori sanitari in Italia avviene attraverso quattro canali principali — il Fascicolo Sanitario Elettronico (FSE) per i dati strutturati autorizzati, la PEC per le comunicazioni formali, i sistemi di interoperabilità regionali per lo scambio standardizzato, e il trasferimento cifrato ad hoc per tutto ciò che non rientra nelle pipe standardizzate. Ospedali, cliniche specialistiche, RSA e servizi di assistenza domiciliare si trovano in punti diversi di questo spettro, e la maggior parte degli scambi reali coinvolge almeno due canali.

Perché lo scambio tra operatori continua a rompersi

L'interoperabilità è migliorata significativamente con l'implementazione regionale del FSE 2.0 e le iniziative di interoperabilità del PNRR, ma la frizione quotidiana persiste. Un paziente dimesso dall'Ospedale A si presenta alla Clinica B il mattino dopo. La clinica vuole la lettera di dimissione, la riconciliazione farmacologica e il referto TC. Idealmente, una query al FSE regionale restituisce il documento strutturato pertinente. In pratica, il referto TC è uno studio DICOM da 400 MB che i sistemi regionali non servono in modo efficiente, e la lettera di dimissione è bloccata in un formato PDF allegato che l'API non espone.

Così qualcuno invia un fax. O masterizza un CD. O invia un allegato non cifrato via email e viola il GDPR.

Il divario tra le infrastrutture di scambio standardizzate e la realtà disordinata è dove si concentra la maggior parte delle violazioni dei dati.

I quattro canali di scambio nella pratica italiana

PEC (Posta Elettronica Certificata) garantisce la certezza della trasmissione e dell'identità del mittente, ma non la crittografia end-to-end del contenuto degli allegati. È adeguata per la comunicazione formale tra strutture sanitarie, ma richiede una soluzione aggiuntiva per i file di grandi dimensioni o ad alta sensitività.

FSE regionale consente l'accesso strutturato ai documenti clinici per gli operatori autorizzati del paziente. La copertura e le funzionalità variano significativamente per regione — alcune regioni hanno sistemi maturi con anni di storia clinica disponibile; altre sono ancora in fase di implementazione del FSE 2.0 previsto dal PNRR.

Sistemi di interoperabilità regionali come le reti di imaging, i sistemi di referral e le piattaforme di continuità assistenziale gestiscono lo scambio strutturato tra strutture affiliate. Il loro grado di sviluppo varia per Regione e per tipologia di struttura.

Trasferimento cifrato ad hoc gestisce tutto il resto — studi di imaging troppo grandi per la PEC, cartelle cliniche per consulenze multi-specialistiche, pacchetti di referral con decine di allegati. Qui si concentra il rischio di conformità.

Requisiti tecnici del GDPR per lo scambio di file

Il GDPR all'articolo 32 richiede misure tecniche adeguate allo stato dell'arte. Per lo scambio di file clinici tra operatori, questo si traduce in:

• Controllo degli accessi — identificazione univoca dell'utente e disconnessione automatica; una casella di posta condivisa "segreteria@clinica.it" che riceve cartelle cliniche non supera questo requisito
• Log di audit — registrazione di chi ha acceduto a cosa; il log di trasferimento ne fa parte
• Integrità — rilevamento di alterazioni non autorizzate; hash SHA-256 sui file trasferiti
• Sicurezza della trasmissione — crittografia in transito; TLS 1.3 è il livello minimo pratico

L'ACN (Agenzia per la Cybersicurezza Nazionale) nelle sue linee guida per gli operatori di servizi essenziali del settore sanitario ha chiarito che la crittografia non è più "raccomandabile" ma obbligatoria per i dati sanitari in transito.

Accordi sul trattamento e catena dei fornitori

Ogni fornitore che entra in contatto con dati sanitari durante lo scambio necessita di un accordo sul trattamento dei dati ai sensi dell'articolo 28 GDPR. Questo include:

• Il fornitore della cartella clinica elettronica
• Il provider PEC se usato per comunicazioni cliniche
• Il sistema regionale di interoperabilità
• Qualsiasi piattaforma di trasferimento file usata per lo scambio ad hoc
• Lo storage cloud che contiene i dati in staging

Se la clinica usa Dropbox per i file dei pazienti, Dropbox potrebbe firmare un accordo sul trattamento dei dati — ma solo su livelli enterprise. Dropbox consumer e Google Drive consumer non lo fanno. Un link WeTransfer gratuito inviato a un radiologo è una violazione del GDPR a meno che WeTransfer non abbia firmato un accordo sul trattamento dei dati, cosa che il livello gratuito non include.

Pacchetti di referral: la categoria di scambio più voluminosa

Un tipico pacchetto di referral cardiologico pesa 40-200 MB:

• Note della visita ambulatoriale (.pdf, 500 KB-5 MB ciascuna)
• Tracciati ECG (PDF o proprietario)
• Referto e studio DICOM dell'ecocardiogramma (50-300 MB)
• Esami di laboratorio e lista farmaci (CCD/CCDA o PDF)
• Referti di precedenti cateterismi

La PEC soffoca sul DICOM. Il fax perde qualità all'immagine. Un link web sicuro con crittografia lato client e una scadenza breve gestisce il tutto. La maggior parte dei coordinatori di referral vuole cliccare una volta, caricare i file, inviare un link. Quel flusso di lavoro, con AES-256-GCM e scadenza a 7 giorni, chiude il ciclo di referral senza inventare un nuovo progetto IT.

HexaTransfer gestisce esattamente questa tipologia di trasferimento: carica i file, crittografa nel browser, condividi un link, imposta una passphrase. Prova su https://hexatransfer.com — gratuito, senza registrazione, fino a 10 GB.

Trasferimenti urgenti e fuori orario

Alle 2 di notte, un pronto soccorso di comunità trasferisce un paziente con ictus a un centro hub per l'ictus. Hanno bisogno della TC cranio, del POLST e della documentazione clinica urgente prima che il paziente arrivi. L'infermiere ha 5 minuti.

Il flusso di lavoro deve funzionare su una workstation del PS bloccata, senza installare nulla, senza creare un account. Questo è il filtro brutale sugli strumenti di trasferimento in sanità. Se richiede all'IT di autorizzare un nuovo dominio, non esisterà quando l'infermiere ne ha bisogno.

Gli strumenti di trasferimento pre-approvati in una cartella "scorciatoie cliniche" del browser dell'ospedale funzionano. Le istruzioni stampate con URL alla postazione infermieristica funzionano. I flussi SSO complicati non funzionano.

Coordinamento post-acuzie

RSA, assistenza domiciliare e servizi hospice scambiano file con gli ospedali in modo continuo. Un pacchetto di dimissione per l'ammissione in RSA include tipicamente:

• Anamnesi e visita medica
• Lettera di dimissione
• Riconciliazione farmacologica
• Valutazioni fisioterapiche
• Foto delle ferite attuali
• Stato di rianimazione e direttive anticipate

Molte RSA ricevono ancora questi pacchetti via fax perché la loro cartella clinica non ha un'interfaccia che l'ospedale possa raggiungere facilmente. Il trasferimento web sicuro con un link per il download inviato a una casella PEC monitorata dalla RSA è un ponte fino a quando i sistemi non si integrano.

Audit e log per la responsabilità

Le normative regionali e il GDPR richiedono che i log di scambio contengano abbastanza metadati per soddisfare i requisiti delle autorità regolatorie. Campi minimi:

1. Data e ora (UTC più ora locale)
2. Medico o struttura mittente (con identificativo)
3. Medico o struttura destinataria
4. Identificativo del paziente (non il nome nel log di audit)
5. Tipo e dimensione del file
6. Hash SHA-256
7. Successo o fallimento
8. Base giuridica (cura, pagamento, operazioni, autorizzazione)

Conservare questi log per almeno 5 anni secondo le indicazioni del Garante per la protezione dei dati personali, più a lungo secondo normative regionali specifiche.

Trasferimenti richiesti dal paziente

Le norme sull'accesso ai dati sanitari personali danno ai pazienti il diritto di dirigere le proprie cartelle cliniche dove vogliono — un altro operatore, un'app di salute personale, un servizio di seconda opinione. Quando un paziente dice "manda la mia cartella al Dott. Rossi", la struttura non può rifiutare perché il Dott. Rossi usa un sistema che non si integra.

La soluzione di fallback è il trasferimento sicuro di file con il paziente come intermediario, o la trasmissione diretta al paziente tramite il FSE. Documentare la richiesta del paziente, inviare il pacchetto, registrare la trasmissione. Un reclamo al Garante per la protezione dei dati personali per blocco dell'accesso costa più di dieci strumenti di trasferimento messi insieme.

Rendere lo scambio sostenibile

Lo scambio di file sanitari non si consoliderà su un unico protocollo nei prossimi cinque anni. L'obiettivo realistico è un flusso di lavoro a strati: FSE e PEC per i referral di routine e le transizioni assistenziali, sistemi di interoperabilità regionali per le query strutturate, e trasferimento cifrato ad hoc per tutto il resto. Scegliere strumenti che il professionista meno tecnico riesca a usare nel momento peggiore del turno, e documentare il flusso di lavoro nel SOP prima di averne bisogno.