Settore Sanità
Affiancamento normativo e organizzativo per ospedali privati, case di cura, cliniche, poliambulatori, RSA e laboratori di analisi: lavoriamo con direzione sanitaria, gestione del rischio, DPO, sistemi informativi e acquisti su accreditamento, sicurezza delle cure, dati sulla salute, NIS2 e Modello 231.
Le sfide del settore
Requisiti strutturali, tecnologici e organizzativi con base nazionale (D.P.R. 14 gennaio 1997), requisiti ulteriori di qualificazione fissati dalle Regioni, verifiche periodiche e accordi contrattuali con volumi e tariffe: qui non è in gioco solo una sanzione, ma il titolo con cui la struttura opera e la sua relazione economica con il Servizio sanitario nazionale.
Eventi avversi ed eventi sentinella da rilevare e trasmettere, sinistri da gestire, copertura assicurativa da mantenere, documentazione sanitaria da consegnare nei termini di legge: la sicurezza delle cure è oggi un obbligo organizzativo, non una buona pratica facoltativa.
Cartella clinica elettronica, dossier sanitario, Fascicolo sanitario elettronico, telemedicina, refertazione online e ricerca clinica moltiplicano i punti di accesso a dati particolari, con basi giuridiche diverse per cura, sanità pubblica e ricerca e con la necessità di tracciare chi consulta cosa.
Un ransomware su un sistema informativo ospedaliero non ferma un ufficio: blocca liste operatorie, laboratorio, diagnostica per immagini e accesso allo storico del paziente. Reti poco segmentate, dispositivi medici connessi con cicli di aggiornamento lunghi e backup non provati rendono il ripristino incerto.
Rendicontazione delle prestazioni, contributi e fondi pubblici, acquisti di farmaci e dispositivi, rapporti con i medici prescrittori: aree in cui il D.Lgs. 231/2001 espone l’ente a sanzioni pecuniarie e interdittive, queste ultime capaci di incidere sull’attività autorizzata.
Rischio biologico, radiazioni ionizzanti, chemioterapici, movimentazione dei pazienti, stress lavoro-correlato e aggressioni al personale sanitario, oltre a rifiuti sanitari e formazione continua: adempimenti che coinvolgono ogni reparto e vanno documentati, non solo dichiarati.
Ambiti di intervento
Confrontiamo i requisiti applicabili, dai minimi nazionali ai requisiti ulteriori della Regione di riferimento, con la documentazione e le prassi effettive di reparto, individuiamo le evidenze mancanti e prepariamo la struttura alle verifiche. Dove esistono o sono utili sistemi certificati (ISO 9001, ISO 45001, ISO/IEC 27001) li usiamo come ossatura, evitando manuali paralleli.
Affianchiamo la direzione sanitaria e la funzione di gestione del rischio su incident reporting, analisi degli eventi avversi, audit clinici, flussi verso Centro regionale e Osservatorio nazionale, raccomandazioni ministeriali. Rivediamo il processo di rilascio della documentazione sanitaria perché i termini dell’art. 4 della L. 24/2017 siano rispettati in modo tracciabile.
Riordiniamo il registro dei trattamenti, le informative e i consensi distinti per cura, ricerca e comunicazione, e la procedura per le violazioni. Sul dossier sanitario definiamo profili di accesso per ruolo e reparto, tracciatura e verifica periodica dei log; sui fornitori (software house, laboratori esterni, service di refertazione) rivediamo contratti e nomine a responsabile del trattamento. Il ruolo di DPO esterno viene assunto quando la struttura non dispone di un presidio interno adeguato e indipendente.
Verifichiamo se la struttura rientra nel perimetro del D.Lgs. 138/2024 e con quale classificazione, seguiamo registrazione presso l’ACN, misure di gestione del rischio e procedura di notifica degli incidenti, e mettiamo alla prova cartella clinica elettronica, PACS, sistemi di laboratorio, portali di prenotazione e reti dei dispositivi medici con vulnerability assessment e penetration test.
Costruiamo o aggiorniamo il Modello sui processi realmente esposti (rendicontazione verso la Regione, acquisti sanitari, liberalità e sponsorizzazioni, salute e sicurezza, reati informatici e tributari) e organizziamo l’Organismo di Vigilanza con flussi informativi da risk management, DPO e sistemi di gestione. Per gli enti soggetti anche alla L. 190/2012 e agli obblighi di pubblicazione del D.Lgs. 33/2013 coordiniamo i due sistemi invece di duplicarli.
Impostiamo un piano di audit unico su clinico, amministrativo e informatico, con verifiche a campione su cartelle, consensi, accessi ai sistemi, appalti e adempimenti di sicurezza, e restituiamo alla direzione generale indicatori leggibili su eventi avversi, reclami, tempi di risposta e stato delle azioni correttive.
Per una struttura sanitaria le regole non riguardano solo il modo di lavorare: riguardano il titolo con cui lavora. Autorizzazione all’esercizio, accreditamento istituzionale e accordi contrattuali poggiano sugli artt. 8-ter, 8-quater e 8-quinquies del D.Lgs. 502/1992. I requisiti minimi strutturali, tecnologici e organizzativi hanno base nazionale (D.P.R. 14 gennaio 1997), ma le Regioni li integrano con requisiti ulteriori di qualificazione e ne verificano periodicamente il possesso: cambiano da territorio a territorio e vanno letti nella versione vigente.
La sicurezza delle cure è parte del diritto alla salute da quando la L. 24/2017 (Gelli-Bianco) ne ha fissato gli strumenti: funzione di gestione del rischio sanitario, flussi sugli eventi avversi verso il Centro regionale e l’Osservatorio nazionale presso AGENAS, obbligo di copertura assicurativa o di analoghe misure (art. 10), con requisiti minimi definiti in via attuativa. L’art. 4 fissa i termini di consegna della documentazione sanitaria: sette giorni dalla richiesta, integrazioni entro trenta.
Dati e sistemi sono il capitolo che cresce più in fretta. I dati sulla salute sono categorie particolari ai sensi dell’art. 9 del GDPR, con basi giuridiche diverse fra cura, sanità pubblica e ricerca; la nomina del responsabile della protezione dei dati è obbligatoria per i soggetti pubblici e quando il trattamento su larga scala di questi dati è attività principale (art. 37 GDPR): è il perimetro del DPO esterno. Il D.Lgs. 138/2024 colloca la sanità fra i settori ad alta criticità, con una classificazione che dipende da dimensione e attività, da verificare caso per caso (compliance NIS2). L’indisponibilità dei sistemi clinici è insieme un problema di continuità delle cure, di sicurezza informatica e di violazione di dati sulla salute: va gestita con un’unica procedura. I dispositivi medici connessi (Regolamento (UE) 2017/745) aggiungono un perimetro tecnico distinto dall’IT amministrativo.
Restano gli obblighi dell’ente: il Modello 231 su reati contro la pubblica amministrazione, indebita percezione di erogazioni, omicidio colposo e lesioni gravi (art. 25-septies), oltre alla sicurezza sul lavoro (D.Lgs. 81/2008). Per gli enti pubblici e, nei limiti dell’art. 2-bis del D.Lgs. 33/2013, per gli enti di diritto privato in controllo pubblico entrano anche prevenzione della corruzione (L. 190/2012) e trasparenza, da coordinare con il Modello anziché duplicarlo.
Lavoriamo dentro i processi clinici e amministrativi. Il punto di partenza è la ricognizione di ciò che esiste: evidenze dei requisiti di accreditamento, procedure della direzione sanitaria, incident report e sinistri aperti, registro dei trattamenti, profili di accesso agli applicativi clinici. Da lì nasce un piano con priorità, responsabili e tempi.
L’intervento è proporzionato alla struttura: una casa di cura con blocco operatorio, una RSA e un laboratorio di analisi hanno rischi e adempimenti diversi, e procedure sovradimensionate non vengono applicate in reparto.
Gli interlocutori sono la direzione generale e sanitaria, la gestione del rischio, il DPO, i sistemi informativi e gli acquisti: un solo referente che attraversa le funzioni invece di quattro consulenti che non si parlano. Il perimetro si definisce insieme: un singolo tema (un requisito di accreditamento da ricostruire, un evento avverso da analizzare, i profili di accesso a un applicativo clinico), un presidio periodico degli adempimenti e degli indicatori, oppure l’affiancamento in una fase specifica, come una verifica di accreditamento annunciata o un cambio di sistema informativo. Responsabilità e tempi sono fissati in partenza.
Il valore sta nel tenere insieme temi affidati di solito a soggetti diversi. La cartella clinica elettronica è requisito di accreditamento, archivio di dati particolari, sistema critico per la continuità del servizio e fonte di prova nel contenzioso: leggerla da tutti questi lati produce una sola procedura, un solo registro degli accessi, un solo piano di verifiche. Le decisioni restano alla direzione.
Domande frequenti
Il D.Lgs. 231/2001 non impone in via generale l’adozione del Modello. In alcune Regioni la disciplina dell’accreditamento e degli accordi contrattuali richiama modelli organizzativi e sistemi di controllo interno, e nelle procedure di affidamento pubblico il Modello compare di norma come elemento premiale dell’offerta tecnica più che come requisito di partecipazione: sono verifiche da fare sulla normativa della Regione di riferimento e sul singolo atto di gara, non un dato generalizzabile. Al di là dell’obbligo formale resta la sostanza: senza un Modello adottato prima del fatto, attuato con efficacia e vigilato da un Organismo di Vigilanza autonomo, l’ente non ha lo strumento con cui difendersi dalla contestazione, e per una struttura accreditata le sanzioni interdittive pesano più di quelle pecuniarie.
L’accesso va limitato al personale che partecipa al processo di cura, per il tempo e nella misura necessari, con profili differenziati per ruolo e reparto e con la possibilità per l’interessato di opporsi all’inserimento di singoli episodi. La dimostrazione passa da tre elementi: profili di autorizzazione allineati all’organizzazione reale, tracciatura degli accessi conservata per il periodo definito, verifiche periodiche a campione con esiti documentati e azioni sui casi anomali. Senza il terzo elemento i primi due non bastano in caso di ispezione o reclamo.
Il D.Lgs. 138/2024 colloca il settore sanitario fra quelli ad alta criticità e include i prestatori di assistenza sanitaria, ma la qualificazione come soggetto essenziale o importante dipende da dimensione, natura dell’attività e criteri specifici previsti dal decreto: non è una risposta uguale per tutte le strutture e va verificata caso per caso. Se il perimetro è confermato, seguono la registrazione sulla piattaforma dell’ACN nei termini annuali previsti, le misure di gestione del rischio proporzionate e la notifica degli incidenti significativi secondo le fasi e i tempi stabiliti, a partire da una prima segnalazione tempestiva.
Con tre lavori distinti. Il primo è tecnico: segmentazione delle reti fra amministrativo, clinico e dispositivi medici, gestione delle utenze privilegiate, aggiornamenti, backup separati dalla rete di produzione e ripristino provato con esercitazioni, non solo descritto in procedura. Il secondo è organizzativo: procedure di continuità in modalità cartacea per triage, terapie, blocco operatorio e laboratorio, con responsabilità definite e personale addestrato. Il terzo è di gestione dell’evento: una sola procedura che tenga insieme la notifica al Garante per la violazione di dati sulla salute, la notifica dell’incidente all’ACN quando dovuta, la comunicazione ai pazienti e i flussi verso l’Organismo di Vigilanza.
Per i soggetti pubblici la nomina è sempre obbligatoria. Per le strutture private l’obbligo scatta quando il trattamento su larga scala di dati relativi alla salute costituisce attività principale (art. 37 GDPR): per un ospedale, una casa di cura, una RSA o un laboratorio di analisi la condizione è di norma soddisfatta, mentre per realtà ambulatoriali molto contenute la valutazione richiede un esame del volume e della continuità dei trattamenti. In ogni caso la valutazione va messa per iscritto, anche quando porta a non nominare, e i dati di contatto del DPO designato vanno comunicati al Garante e riportati in informative e registro.
Servizi collegati
Adeguamento al Regolamento UE 2016/679 e al Codice Privacy: assessment, registro dei trattamenti, DPIA, policy e formazione.
ApprofondisciResponsabile della protezione dei dati in outsourcing: indipendenza, competenza specialistica e presidio continuo degli obblighi privacy.
ApprofondisciAdeguamento alla Direttiva UE 2022/2555 e al D.Lgs. 138/2024: perimetro, gap analysis, misure di sicurezza, governance e notifica degli incidenti.
ApprofondisciVerifiche tecniche di sicurezza su reti, applicazioni e infrastrutture: individuiamo le vulnerabilità prima che lo faccia un attaccante.
ApprofondisciModelli di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001, risk assessment dei reati presupposto e supporto all’Organismo di Vigilanza.
ApprofondisciParliamone
Raccontaci le priorità della tua impresa: in un primo incontro senza impegno analizziamo il contesto e ti proponiamo un percorso concreto, con tempi e risultati misurabili.