Cartella clinica digitale: integrità dei referti e dei dati sanitari

Ogni struttura sanitaria ha ormai spostato referti, immagini e consensi dentro sistemi digitali. La cartella clinica digitale ha reso tutto più veloce da consultare e più semplice da condividere, ma ha anche cambiato la natura del problema: un documento informatico si può copiare, sostituire o rigenerare senza lasciare i segni fisici che una volta tradivano una manomissione su carta. E mentre la firma elettronica protegge il referto dal momento in cui viene firmato, resta scoperta la fase più delicata, quella in cui il dato clinico viene catturato o generato.

La domanda che direzioni sanitarie, medici legali e assicurazioni si pongono oggi non è più "come archiviamo il documento", ma "come dimostriamo che quel referto è autentico e non è stato alterato". La risposta è che l'integrità di un dato clinico va garantita alla fonte, nel momento esatto della sua creazione, con una catena di custodia verificabile che regge in giudizio e in perizia. È il punto su cui si gioca il valore probatorio dell'intera cartella clinica digitale.

Perché l'integrità della cartella clinica digitale è diventata critica

L'integrità della cartella clinica digitale è diventata critica perché il documento sanitario è passato da oggetto fisico difficile da alterare a file modificabile e riproducibile, mentre il suo valore legale è rimasto identico. Un referto vale come prova in un contenzioso, in un'istruttoria assicurativa e in una perizia medico-legale: se la sua autenticità è contestabile, tutto ciò che vi si fonda diventa fragile.

Dalla cartella cartacea al fascicolo sanitario elettronico

La confusione tra tre concetti diversi è all'origine di molti errori. La cartella clinica informatizzata è il documento prodotto e gestito internamente da un reparto o da una struttura durante il ricovero o la prestazione. La cartella clinica elettronica (CCE) è la sua versione nativa digitale, firmata e conservata a norma. Il fascicolo sanitario elettronico (FSE) è invece l'insieme dei dati e documenti che seguono il cittadino nel tempo, alimentato dalle diverse strutture e consultabile dal paziente. In altre parole, la cartella nasce nella struttura, il fascicolo la raccoglie e la rende disponibile. Sono livelli distinti, con responsabilità e requisiti di integrità propri: un errore alla fonte si propaga fino al fascicolo.

Referti e immagini diagnostiche alterabili con l'AI

Le immagini diagnostiche sono oggi il punto più esposto, perché l'intelligenza artificiale generativa produce alterazioni che l'occhio umano non riesce a distinguere. Non si tratta più di ipotesi teoriche. Uno studio presentato a USENIX Security 2019 (Mirsky et al.) ha dimostrato che iniettando o rimuovendo noduli tumorali da TAC polmonari con un modello generativo, i radiologi hanno diagnosticato erroneamente il 99% delle scansioni con tumori aggiunti e il 94% di quelle con tumori rimossi. Il dato più allarmante: anche dopo essere stati avvisati dell'attacco, gli specialisti hanno continuato a sbagliare nel 60% e nell'87% dei casi (arxiv.org). Se un'immagine diagnostica sintetica è indistinguibile per un medico esperto, la verifica visiva non basta più: serve una prova tecnica dell'autenticità e della provenienza del dato, indipendente da chi lo custodisce.

Cosa significa integrità per un dato clinico

L'integrità di un dato clinico indica che il suo contenuto è rimasto identico a quello originale, che se ne conosce l'autore e il momento di creazione, e che ogni eventuale modifica è tracciata e riconducibile. Insieme all'integrità operano due requisiti gemelli: l'autenticità (il dato proviene davvero dalla fonte dichiarata) e la provenienza (la sua origine e la sua storia sono documentate e verificabili).

Nella prassi medico-legale, il valore probatorio della cartella clinica digitale poggia su cinque requisiti che devono coesistere: integrità e immodificabilità del contenuto, identificazione certa dell'autore tramite firma, completezza e corretta cronologia delle annotazioni, riservatezza e sicurezza dei dati, conservazione a norma nel tempo. L'immodificabilità non significa che il documento non possa mai cambiare, ma che ogni variazione genera una nuova versione tracciata, con autore, data e ora registrati. È la differenza tra correggere un referto lasciando una storia verificabile e sostituirlo di nascosto. Questa distinzione, che con la carta era garantita dalla materialità del foglio, nel digitale va ricostruita con strumenti crittografici e con una catena di custodia. In un contesto in cui l'integrità dei dati va difesa anche dalla manipolazione con AI, l'autenticazione dei contenuti diventa parte integrante della qualità del dato clinico.

I rischi concreti: contenziosi, perizie e responsabilità

I rischi concreti si manifestano quando l'autenticità della cartella clinica digitale viene messa in discussione in una controversia. Un referto contestato non è solo un problema tecnico: mina la responsabilità sanitaria, la posizione dell'assicuratore e la solidità della perizia. Chi deve decidere ha bisogno di sapere che quel dato è quello originale, senza doversi fidare sulla parola.

Quando un referto contestato fa crollare una perizia

Il referto di pronto soccorso è un atto pubblico che, per i fatti attestati dal pubblico ufficiale, fa piena prova fino a querela di falso. Questa è la cosiddetta fede privilegiata: secondo l'orientamento consolidato della Corte di Cassazione, la cartella clinica ha natura di certificazione amministrativa e i fatti oggettivi in essa registrati dal sanitario si presumono veri salvo che non se ne dimostri la falsità con lo strumento processuale più gravoso. Il rovescio della medaglia è chiaro: se una parte riesce a insinuare il dubbio che un referto sia stato alterato o retrodatato, la consulenza tecnica d'ufficio costruita su quel documento perde la sua base. Una perizia medico-legale vale quanto valgono i dati su cui si fonda. Quando l'integrità del referto è dimostrabile in modo indipendente, la contestazione si spegne prima di partire; quando non lo è, l'intera ricostruzione dei fatti diventa attaccabile.

Assicurazioni e istruttoria sui sinistri

Nell'istruttoria di un sinistro, la documentazione clinica alterata è un rischio economico diretto per la compagnia. La valutazione del danno biologico, il nesso causale e la quantificazione dell'indennizzo dipendono da referti, immagini e cartelle. Se un'immagine diagnostica può essere generata o modificata senza lasciare traccia, l'assicuratore non ha modo di distinguere un sinistro autentico da uno gonfiato o simulato basandosi sul solo esame del documento. Organizzazioni sanitarie e assicurazioni usano soluzioni di autenticità del dato per produrre una catena di custodia verificabile della documentazione clinica in contenzioso, così da fondare le decisioni su prove opponibili anziché su presunzioni.

Il quadro normativo: GDPR, CAD ed eIDAS per i dati sanitari

La cartella clinica digitale è regolata dall'intreccio di tre corpi normativi. Il Codice dell'Amministrazione Digitale, il Regolamento europeo sulla protezione dei dati e il Regolamento eIDAS definiscono rispettivamente il valore del documento informatico, la tutela dei dati sanitari e gli strumenti fiduciari come firma, sigillo e marca temporale.

Il Codice dell'Amministrazione Digitale, D.Lgs. 82/2005 (normattiva.it), stabilisce quando un documento informatico ha efficacia probatoria e fissa le regole della conservazione a norma, che deve garantire la leggibilità e l'integrità del documento nel tempo secondo le linee guida AgID. Il GDPR, Regolamento UE 2016/679, all'articolo 9 classifica i dati relativi alla salute come categoria particolare, sottoponendoli a tutele rafforzate e imponendo misure che ne assicurino integrità e riservatezza (gdpr-info.eu). Il Regolamento eIDAS, UE 910/2014 (eur-lex.europa.eu), disciplina firma elettronica, sigillo elettronico e marca temporale qualificati, che sono gli strumenti con cui si lega un contenuto a un'origine certa e a un istante temporale opponibile. Il Garante per la protezione dei dati personali ha inoltre fissato requisiti specifici per la consegna dei referti online, tra cui l'autenticazione forte del paziente. Sul fronte europeo, lo Spazio europeo dei dati sanitari (Regolamento adottato l'11 febbraio 2025 e in vigore dal 26 marzo 2025) rafforza ulteriormente le richieste di tracciabilità e integrità dei dati sanitari.

Come si certifica l'integrità di un dato clinico alla fonte?

Certificare l'integrità di un dato clinico alla fonte significa attestarne provenienza e stato nel momento esatto in cui viene catturato o generato, prima che entri nella cartella clinica. A differenza della firma e della conservazione a norma, che proteggono il documento dal momento della firma in avanti, la certificazione alla fonte copre la fase più esposta: quella in cui un referto, un'immagine diagnostica o un consenso informato può essere sostituito o generato con strumenti di AI, prima che entri nella cartella clinica digitale. TrueScreen genera una prova forense del dato, con marca temporale e sigillo elettronico apposto tramite QTSP terzi, e una catena di custodia verificabile che documenta chi, quando e come. Il risultato è un dato clinico opponibile in giudizio e in perizia medico-legale: la sua integrità non dipende dalla fiducia nel sistema documentale, ma da una prova tecnica indipendente e ripetibile.

TrueScreen, la piattaforma di autenticità del dato, certifica provenienza e integrità del dato clinico alla fonte applicando una metodologia forense che si articola in quattro momenti: acquisizione con protezione dell'integrità già alla cattura, verifica, certificazione con valore legale e conservazione sicura. La differenza rispetto agli strumenti tradizionali è di posizione temporale: non interviene a valle, sul documento già formato, ma nell'istante in cui il dato nasce.

La certificazione è indipendente dal tipo di contenuto. Un referto in PDF, un'immagine diagnostica in formato DICOM trattata come file, una registrazione di una visita in telemedicina o un dato prodotto e processato da un sistema di AI possono essere certificati con lo stesso principio. Per la cattura del referto direttamente da un'interfaccia web, la cattura forense del referto produce un'acquisizione integra e datata. Per i flussi automatizzati, la certificazione via API alla fonte inserisce l'attestazione direttamente nel processo che genera o riceve il dato. Il sigillo elettronico e la marca temporale qualificati, riconosciuti a livello internazionale e apposti tramite un QTSP terzo, legano il contenuto a un'origine certa; la catena di custodia documenta ogni passaggio in modo verificabile.

Un esempio concreto: una struttura di diagnostica per immagini certifica alla cattura ogni referto radiologico e la relativa immagine DICOM. In caso di contenzioso, la perizia dispone di una prova d'integrità indipendente dalla parola della struttura, e la contestazione sull'autenticità perde consistenza. Lo stesso vale per le soluzioni per la sanità che devono reggere davanti a un assicuratore o a un giudice.

Esempi pratici: referto radiologico e consenso informato

Gli scenari in cui l'integrità alla fonte fa la differenza sono quelli in cui il dato clinico può essere contestato a distanza di tempo. Due casi ricorrenti aiutano a capire il meccanismo.

Nel referto radiologico digitale, il rischio è che l'immagine diagnostica venga sostituita, ritoccata o generata con AI tra la produzione e l'utilizzo in un contenzioso. Certificare l'immagine DICOM e il referto nel momento della cattura crea un ancoraggio verificabile: qualsiasi versione successiva che non corrisponda a quella impronta è, per definizione, un'alterazione. Con TrueScreen una struttura sanitaria può attestare che un referto o un'immagine diagnostica non è stato alterato né generato con AI.

Nel consenso informato digitale raccolto in telemedicina, la contestazione tipica riguarda ciò che il paziente ha effettivamente visto e accettato, e quando. Certificare la sessione e il consenso informato in telemedicina alla fonte documenta il contenuto mostrato e l'istante dell'accettazione, trasformando una possibile parola contro parola in una prova ripetibile. In entrambi i casi il principio è lo stesso: si passa dalla fiducia nel sistema alla dimostrabilità tecnica del dato.