Fascicolo medico elettronico: standard di sicurezza 2026

La cartella medica elettronica cumula due regimi che non si sovrappongono: quello della protezione dei dati personali, che tratta le informazioni sanitarie come una categoria particolare soggetta a un divieto di principio, e quello del Codice della sanità pubblica francese, che impone i propri termini di conservazione e i propri diritti di accesso. La conformità al primo non equivale alla conformità al secondo, e la maggior parte delle inadempienze riscontrate deriva proprio da questa confusione.

L'hosting: una certificazione obbligatoria

Chiunque ospiti dati sanitari a carattere personale per conto di terzi, nell'ambito di attività di prevenzione, diagnosi o cura, deve essere certificato a tale scopo.

Questo obbligo è strutturale e viene spesso scoperto tardivamente. Non dipende dal volume di dati né dalla dimensione della struttura: uno studio che affida il proprio software gestionale a un fornitore online deve assicurarsi che l'hosting dei dati sia garantito da un operatore certificato. La responsabilità di questa verifica spetta al titolare del trattamento, ossia al professionista o alla struttura, e non al fornitore.

Ne derivano due aspetti pratici: il contratto di subappalto deve menzionare esplicitamente questa certificazione e il suo perimetro, e un cambio di fornitore o di infrastruttura richiede di riverificare tale copertura.

Il regime dei dati sanitari

I dati relativi alla salute rientrano in una categoria particolare il cui trattamento è in linea di principio vietato. Il trattamento è lecito solo se rientra in una delle eccezioni tassativamente previste — in particolare la presa in carico sanitaria, la medicina preventiva, o il consenso esplicito della persona.

Questa architettura invertita ha una conseguenza diretta: per ogni trattamento, occorre poter individuare l'eccezione che lo fonda. Un uso secondario dei dati — statistiche interne, miglioramento di uno strumento, ricerca — non si deduce dalla liceità del trattamento di cura; richiede un proprio fondamento.

A ciò si aggiungono gli obblighi generali: registro dei trattamenti, informativa alle persone, termini di conservazione definiti, valutazione d'impatto quando il trattamento presenta un rischio elevato — il che è frequentemente il caso per una cartella paziente informatizzata.

I termini di conservazione

Rientrano nel Codice della sanità pubblica francese e non nel solo principio di limitazione.

La cartella medica costituita presso una struttura sanitaria si conserva per venti anni a decorrere dall'ultimo ricovero o dall'ultima visita ambulatoriale. A questo si sovrappongono due regole particolari:

• Per un paziente minorenne al momento della presa in carico, la conservazione si prolunga fino al suo ventottesimo compleanno quando questo termine è più lontano.
• In caso di decesso del paziente entro dieci anni dall'ultimo accesso, la cartella viene conservata almeno dieci anni a decorrere dalla data del decesso.

Questi termini sono sospesi da qualsiasi ricorso amministrativo o contenzioso volto a mettere in causa la responsabilità della struttura o dei professionisti.

Il collegamento con i termini di prescrizione dell'azione di responsabilità è diretto: l'azione si prescrive in dieci anni a decorrere dal consolidamento del danno, e una cartella distrutta prematuramente priva il professionista del suo principale mezzo di difesa — argomento approfondito nel nostro articolo sulla responsabilità civile professionale.

La tracciabilità degli accessi

È l'esigenza più operativa, e quella la cui assenza è più difficile da recuperare.

Ogni accesso alla cartella deve essere registrato: chi ha consultato, quale elemento, in quale data. Questa registrazione svolge due funzioni distinte e complementari.

prevengono e individuano gli accessi indebiti, che costituiscono una delle violazioni più frequenti nelle strutture sanitarie — consultazione della cartella di un collega, di un familiare, di una persona conosciuta.

Essa protegge il professionista, consentendo di dimostrare che un accesso contestato non ha avuto luogo, o che un accesso contestato rientrava effettivamente nella presa in carico. Senza un registro, un sospetto non può essere né confermato né escluso.

Le autorizzazioni devono inoltre essere differenziate a seconda delle mansioni: l'appartenenza all'équipe di cura non apre l'accesso all'intera cartella, ma solo alle informazioni necessarie, come illustrato nel nostro articolo sul segreto medico.

Il diritto di accesso del paziente

Il paziente accede direttamente a tutte le informazioni riguardanti la propria salute, senza dover motivare la richiesta.

La comunicazione avviene al più presto dopo un periodo di riflessione e al più tardi entro un termine che si allunga quando le informazioni risalgono a più di cinque anni. Gli eventuali costi si limitano al costo di riproduzione e invio.

Due limiti disciplinano questo diritto: le informazioni raccolte presso terzi non coinvolti nella presa in carico ne sono escluse, così come quelle riguardanti tali terzi. Dopo il decesso, l'accesso degli aventi diritto è disciplinato da un regime distinto, limitato alle informazioni necessarie al motivo invocato.

Scenari d'uso

Cambio di software gestionale. Verificare la certificazione di hosting del nuovo fornitore, la reversibilità dei dati e il formato di esportazione. Una migrazione senza un piano di recupero espone alla perdita di cartelle i cui termini di conservazione sono ancora in corso.

Studio associato. Differenziare le autorizzazioni per medico e per paziente anziché aprire l'intera cartella a tutti. È il punto di controllo più frequente, e riguarda l'organizzazione tanto quanto la tecnica — argomento trattato nel nostro articolo sulla conformità amministrativa di uno studio medico.

Richiesta di accesso da parte di un paziente. Verificare l'identità, isolare le informazioni escluse, rispettare il termine applicabile in base all'anzianità. Tracciare la richiesta e la risposta: il rispetto del termine si dimostra.

Domande frequenti

È necessario un hosting certificato? Sì, non appena vengono ospitati dati sanitari per conto di terzi in un contesto di prevenzione, diagnosi o cura. La verifica spetta al titolare del trattamento, non al fornitore.

Per quanto tempo conservare una cartella medica? Venti anni a decorrere dall'ultimo accesso in struttura, con proroga fino ai ventotto anni del paziente se era minorenne, e almeno dieci anni a decorrere dal decesso avvenuto entro dieci anni.

Il paziente può consultare la propria cartella? Sì, direttamente e senza motivo, entro i termini previsti, che si allungano per le informazioni risalenti a più di cinque anni. Possono essere richiesti solo i costi di riproduzione e invio.

La registrazione degli accessi è obbligatoria? Sì, e protegge tanto il professionista quanto il paziente: senza un registro, un accesso contestato non può essere né confermato né escluso.

Un professionista può consultare qualsiasi cartella della struttura? No. L'accesso si limita alle informazioni necessarie alla sua funzione nella presa in carico del paziente interessato. Le autorizzazioni devono essere differenziate di conseguenza.

Si possono usare i dati a fini statistici? Non a titolo del trattamento di cura. Ogni uso secondario richiede un proprio fondamento di liceità, ed eventualmente un'informativa specifica alle persone.

Da ricordare

Due regimi si sovrappongono e devono essere trattati separatamente. La protezione dei dati impone di individuare, per ogni trattamento, l'eccezione che lo rende lecito — la finalità di cura non copre gli usi secondari. Il Codice della sanità pubblica francese impone i propri termini di conservazione, che si contano in decenni e si sospendono in caso di ricorso.

Tra i due, un dispositivo serve entrambi i regimi: la registrazione degli accessi, associata ad autorizzazioni differenziate. È ciò che permette di dimostrare che il limite del "necessario alla funzione" è stato rispettato, ed è anche ciò che protegge il professionista quando gli viene contestato un accesso. Il ragionamento si ricollega a quello applicabile alla raccolta del consenso: ciò che non è tracciato non può essere né provato né confutato.