Secondo la LCIP, la CIP contiene informazioni e documenti rilevanti per i professionisti della salute coinvolti nelle cure successive. La scelta delle informazioni e dei dati ritenuti rilevanti ai fini della cura dipende dal singolo caso e dall’anamnesi del paziente. Analogamente, anche oggi i professionisti della salute decidono quali informazioni trasmettere ai colleghi coinvolti nelle cure successive, per esempio tramite un rapporto di dimissione da un ospedale o un rapporto di trasferimento.
Informazioni
Domande e risposte sull'attuazione della CIP
Note di lettura:
CIP: cartella informatizzata del paziente
LCIP: La legge federale sulla cartella informatizzata del paziente
Contenuto della CIP
La cartella clinica elettronica è la documentazione digitale interna di uno o più professionisti della salute in una struttura sanitaria (p. es. ospedale o studio medico). Contiene dunque dati che vengono registrati e memorizzati nel sistema d’informazione dell’ospedale o dello studio medico (sistema primario), per esempio in occasione di un consulto medico o di una degenza ospedaliera. I diversi sistemi primari esistenti in Svizzera non possono scambiarsi informazioni direttamente.
Per quanto riguarda la CIP, i dati e i documenti rilevanti per le cure successive vengono messi a disposizione di altri professionisti della salute su una piattaforma digitale (sistema secondario), previo consenso del paziente. Se necessario e in accordo con il paziente, tali documenti e informazioni vengono poi trasmessi ad altri professionisti della salute, che potranno importarli nel loro sistema primario. Ciò semplifica lo scambio dei dati rilevanti ai fini della cura nel settore sanitario. I dati della CIP sono sempre disponibili, anche quando i sistemi primari dei professionisti della salute non sono consultabili, come per esempio di notte o nel fine settimana.
Ciononostante, la CIP non sostituisce la documentazione medica nei sistemi primari, né esenta i professionisti della salute dall’obbligo di raccogliere e gestire la documentazione medica dei loro pazienti.
Di norma sono i professionisti della salute curanti a decidere quali dati potrebbero essere rilevanti per le cure successive. Si raccomanda di stabilire a livello organizzativo o tecnico quali tipi di documenti debbano essere considerati importanti ai fini delle cure successive e quindi memorizzati nella CIP (p. es. rapporti di
dimissione, rapporti operatori, referti, esami di laboratorio o elenchi delle terapie farmacologiche).
Il paziente può rimuovere un documento memorizzato nella CIP se, diversamente dalla struttura sanitaria, lo considera irrilevante. Allo stesso modo, può chiedere che vi sia aggiunto un documento che ritiene importante per le cure successive, oppure può caricarlo lui stesso. Questo diritto deriva dal diritto generale all’informazione.
No. Sem una persona ha dato il proprio consenso alla costituzione di una CIP, i professionisti della salute possono presumere che accetti che la struttura sanitaria o il professionista della salute curante vi registrino i dati rilevanti ai fini della cura (art. 3 cpv. 2 LCIP). Pertanto non è necessario ottenere nuovamente il consenso. Se il paziente desidera che, durante un trattamento, determinati dati medici non vengano caricati nella CIP, deve comunicarlo esplicitamente alla struttura sanitaria o al professionista della salute responsabile prima dell’inizio del trattamento.
Sì, sono automaticamente contrassegnati dal metadato «Ruolo dell’autore» e così identificati come immessi dal paziente stesso (cfr. all. 3 OCIP-DFI).
Nella fase iniziale la CIP conterrà principalmente file PDF, ma vi si potranno registrare, come è già oggi il caso, anche file audio, immagini e video. In Svizzera, dopo i documenti cartacei, i PDF costituiscono il formato più utilizzato per lo scambio di dati tra strutture sanitarie. Inoltre, prima dell’introduzione dei primi formati di scambio di dati strutturati della CIP non esisteva alcun formato di scambio che venisse impiegato in tutto il Paese e che potesse essere letto in maniera corretta dai diversi sistemi d’informazione delle cliniche. Con il tempo nella CIP verranno implementati sempre più dati strutturati.
Link interno: Maggiori informazioni sullo sviluppo dei dati strutturati
Per caricare un documento nella CIP devono essere soddisfatti diversi criteri descrittivi, ovvero i cosiddetti metadati. Questi consentono la ricerca mirata di determinati documenti secondo diverse categorie e criteri, come il tipo di documento, la disciplina medica, l’autore o la data di creazione.
Nel campo di testo libero è inoltre possibile redigere in un linguaggio semplice una breve descrizione del documento, per informare pazienti o professionisti della salute sul suo contenuto.
Apportando una correzione o un’integrazione a un documento ne viene creata una nuova versione. È così possibile aggiungere o correggere un’informazione mancante o errata, ma il documento rimane lo stesso dal punto di vista del contenuto. Per esempio, se il primario aggiunge la propria firma su un rapporto di dimissione, di questo documento viene creata una versione 2 e mantenuta la versione precedente con l’aggiunta dello stato «obsoleto» («deprecated»). Per ragioni di tracciabilità, i professionisti della salute non possono cancellare le versioni precedenti (cfr. rapporto esplicativo, commento all’art. 11 OCIP).
Il portale d’accesso per i professionisti della salute e per i pazienti deve indicare chiaramente quali dati medici non sono più validi oppure quali altre versioni sono eventualmente disponibili (art. 11 e 18 OCIP, n. 3.1 e 9.2 all. 2 OCIP-DFI [Condizioni tecniche e organizzative di certificazione delle comunità e delle comunità di riferimento, CTO]).
No. I documenti rilevanti ai fini della cura devono essere caricati nella CIP (art. 10 cpv. 1 lett. a LCIP), ma spetta alle comunità (di riferimento) elaborare una direttiva interna per il periodo in cui deve avvenire la registrazione dei dati nella CIP. Esse possono obbligare contrattualmente le strutture sanitarie al suo rispetto. Occorre tenere presente che i termini devono essere definiti in modo da non entrare in contrasto con le finalità della CIP (sostegno ai processi di cura, promozione della sicurezza dei pazienti, miglioramento della qualità delle cure ecc.). Per il caricamento di informazioni sensibili che richiedono una spiegazione preventiva da parte di un professionista della salute sono previste norme speciali.
La CIP appartiene al paziente, che decide in merito ai diritti d'accesso e ai gradi di riservatezza. Inoltre, i documenti della CIP possono essere aggiornati oppure classificati o filtrati secondo diversi criteri, come il luogo di creazione (p. es. nome dell’ospedale) o la disciplina medica (p. es. chirurgia). Le vecchie versioni dei documenti sono spostate nella cronologia.
I professionisti della salute decidono quali informazioni sono rilevanti per le cure successive. I pazienti possono anche esigere che determinati documenti non siano memorizzati nella loro CIP o scegliere il grado di riservatezza «segreto».
Gli obblighi di conservazione dei documenti nella CIP sono esplicitamente disciplinati dalla LCIP. I dati registrati nella CIP da professionisti della salute sono distrutti dopo 20 anni (). Tuttavia, il paziente può decidere diversamente (art. 10 cpv. 2 lett. b OCIP; n. 2.6 seg. all. 2 OCIP-DFI [Condizioni tecniche e organizzative di certificazione delle comunità e delle comunità di riferimento, CTO]). Se un paziente revoca il suo consenso alla CIP, tutti i dati devono essere distrutti. In questo caso la consultazione dei dati deve essere immediatamente impedita avvalendosi di mezzi tecnici (messaggio LCIP pag. 4612). I verbali e la dichiarazione di revoca devono invece essere conservati per dieci anni (art. 10 cpv. 3 LCIP e art. 21 cpv. 1 OCIP).
In caso di decesso di un paziente, la comunità di riferimento può sopprimere la sua CIP al più presto due anni dopo la data del decesso (art. 21 cpv. 2 OCIP). I diritti d’accesso devono rimanere immutati dal momento in cui si viene a conoscenza del decesso fino alla soppressione della CIP, poiché non viene più eseguito alcun trattamento.
La seguente scheda informativa indica quali requisiti devono essere presi in considerazione nella messa a disposizione di documenti da parte di utenti tecnici (ruolo del technical user; «TCU»), affinché la procedura sia conforme alle disposizioni legali.
No. Il contenuto della CIP, ai sensi della LCIP, consiste di informazioni rilevanti per le cure successive. Questo, in linea generale, vale per documenti attuali. Si è rinunciato all’obbligo per le comunità e le comunità di riferimento di registrare retroattivamente documenti nella CIP.
La presunzione legale per la registrazione di documenti si riferisce dunque soltanto ai documenti generati dopo che:
- un professionista della salute si è affiliato a una comunità (di riferimento) certificata; e
- il paziente ha aperto una CIP.
Le comunità (di riferimento) possono liberamente offrirsi di caricare i documenti più datati. In questo caso, da una parte esse devono provvedere affinché i propri membri sostengano e attuino questo approccio e, dall’altra, devono informare il paziente in merito a questa possibilità e ottenere il suo consenso alla registrazione. Quest’ultimo può essere dato separatamente o nell’ambito del consenso alla costituzione della CIP.
I documenti attribuiti per errore a una CIP, che non riguardano in nessun modo il paziente, devono essere cancellati integralmente. Un esempio potrebbe essere un referto di laboratorio di un paziente X caricato per errore nella CIP del paziente Y. Per ragioni di tracciabilità, i documenti attribuiti correttamente, ma mancanti di informazioni o contenenti informazioni errate non devono essere cancellati, ma soltanto annullati e convertiti in una nuova versione.
Il paziente può in qualsiasi momento richiedere che determinati dati medici registrati nella CIP vengano cancellati o distrutti (art. 10 cpv. 2 lett. c OCIP e n. 2.7 lett. c all. 2 OCIP-DFI [Condizioni tecniche e organizzative di certificazione delle comunità e delle comunità di riferimento]). Può inoltre contrassegnare nel portale d’accesso i dati e i documenti da cancellare. I dati e i documenti indicati come eliminati non sono più visualizzati e vengono cancellati o distrutti dalla comunità o comunità di riferimento entro congruo termine.
I formati di scambio sviluppati da eHealth Suisse sono disciplinati dal diritto esecutivo della LCIP (all. 4). Dal momento in cui i requisiti minimi per un formato di scambio sono stati stabiliti nell’OCIP-DFI, le comunità (di riferimento) hanno 12 mesi di tempo per indicarlo sulla loro piattaforma CIP (p. es. tramite modulo). Le comunità (di riferimento) sono libere di definire formati di scambio con informazioni strutturate supplementari o di definirli prima del termine previsto dalla legge per i processi di cura nel loro bacino d’utenza. In questo caso è però possibile che i formati di scambio non siano supportati in altre comunità (di riferimento) e che le informazioni ivi contenute possano essere visualizzate e lette soltanto in versione PDF. Tuttavia, non appena nell’OCIP-DFI è stabilito un formato di scambio per un ambito tematico, questo deve essere utilizzato. eHealth Suisse pubblica regolarmente nuovi formati di scambio su , non (ancora) inseriti nell’allegato 4 OCIP-DFI. Anche in questo caso le comunità (di riferimento) sono libere di integrarli e offrirli già sulla loro piattaforma CIP.
Il paziente visualizza i contenuti in forma grezza (ovvero senza ulteriore elaborazione) o sotto forma di documento messo a punto (analogamente a un web browser che rende il linguaggio HTML facilmente leggibile per l’utente). Il portale per i professionisti della salute e quello per i pazienti devono essere in grado di visualizzare in modo corretto e completo dati strutturati leggibili da persone (cfr. n. 3.3 lett. d e n. 9.4.2 all. 2 OCIP-DFI). I fornitori tecnici possono decidere come attuare questa disposizione.
No, la CIP è utilizzata principalmente per consentire ad altri professionisti della salute di accedere alle informazioni rilevanti ai fini della cura contenute nella documentazione medica esistente. Il compito dei professionisti della salute si limita allo scaricare i documenti disponibili dalla CIP e al caricare nuovi documenti a trattamento avvenuto. Se il sistema primario dispone di una cosiddetta integrazione profonda, i processi di caricamento e scaricamento di documenti possono essere automatizzati, per non pregiudicare il flusso di lavoro.
Informazioni mancanti o incomplete rappresentano un rischio per la sicurezza dei pazienti. La LCIP menziona espressamente, tra gli scopi della CIP, quello di migliorare la qualità dei processi di cura e di accrescere la sicurezza dei pazienti. A lungo termine, la CIP ha il potenziale di riunire in modo sicuro le informazioni rilevanti in un sistema di archiviazione digitale uniforme a livello nazionale. Tuttavia, per sfruttare questo potenziale è assolutamente necessario che il maggior numero possibile di professionisti della salute aderisca alla CIP. La revisione completa della LCIP prevede inoltre l’adesione obbligatoria per tutti i professionisti della salute.
La CIP non sostituisce la documentazione medica dei sistemi primari né esenta i professionisti della salute dall’obbligo di raccogliere e gestire la documentazione medica dei loro pazienti.
Con la CIP non si crea alcuna situazione che non sia coperta dalle norme vigenti.
No. La LCIP prevede una cartella del paziente virtuale e una memorizzazione decentralizzata dei dati. La CIP non sostituisce la cartella clinica. In altre parole: la CIP non contiene alcun documento originale, ma rimanda semplicemente tramite un registro dei documenti al luogo di memorizzazione dei dati, ossia direttamente ai sistemi di archiviazione dei professionisti della salute oppure al sistema di archiviazione dei documenti delle comunità (di riferimento).
Con la soppressione della CIP, tutti i documenti ivi contenuti vengono eliminati. Poiché la CIP contiene soltanto copie di documenti, le informazioni mediche restano nei sistemi d’informazione dei professionisti della salute.
Accesso alla CIP
Soltanto i pazienti e i professionisti della salute possono accedere alla CIP.
Per essere considerati professionisti della salute in ambito CIP è necessario disporre della qualifica professionale ed essere coinvolti nell’ambito di una cura (art. 2 lett. b LCIP).
Di norma, per verificare se una persona possiede le qualifiche professionali per poter esercitare in quanto professionista della salute in Svizzera, si confrontano i dati da essa forniti con quelli contenuti in un registro professionale federale o cantonale.
Questi registri nazionali e intercantonali, tuttavia, non sono completi. Vi possono essere altre professioni riconosciute dal diritto cantonale o nazionale che potrebbero soddisfare i requisiti per la definizione di «professionista della salute», ma che non sono iscritte in un registro nazionale o cantonale, come l’operatore/operatrice sociosanitario/a AFC. In questi casi è la comunità, eventualmente di concerto con le autorità competenti o le società specializzate, a decidere se le qualifiche professionali soddisfano i requisiti per la definizione di «professionista della salute» ai sensi della LCIP.
In linea di principio possono visionare la CIP soltanto i professionisti della salute a cui il paziente ha concesso il diritto d’accesso. I documenti che possono essere consultati dipendono dal diritto d’accesso accordato e dal grado di riservatezza del documento.
Per poter registrare documenti i professionisti della salute non hanno bisogno del diritto d’accesso, ma devono aver aderito alla CIP.
I professionisti della salute possono accedere alla CIP di un paziente senza disporre del diritto d’accesso soltanto in caso di emergenza medica. In queste situazioni possono accedere ai documenti normalmente accessibili. Il paziente sarà informato dell’accesso a posteriori, per esempio tramite e-mail o SMS. Inoltre, l’accesso in situazioni di emergenza è registrato in modo chiaro nel verbale degli accessi.
Sì. Per elaborare dati e documenti nella CIP i professionisti della salute possono coinvolgere altre persone, definite come persone ausiliarie secondo l’articolo 101 del Codice delle obbligazioni (CO).
Il personale ausiliario opera sempre in nome e per conto del professionista della salute responsabile e può essere incaricato da quest’ultimo di accedere alla CIP. Di conseguenza queste persone possono accedere alla CIP nella stessa misura del professionista della salute responsabile. Il trattamento dei dati da parte del personale ausiliario viene verbalizzato esattamente come quello dei professionisti della salute. È possibile pertanto risalire sempre a quale persona ha avuto accesso alla CIP e su incarico di chi.
Anche i laboratori indipendenti e gli istituti che effettuano analisi su mandato di un professionista della salute sono considerati strutture sanitarie ai sensi della LCIP, in particolare se soddisfano i requisiti di cui agli articoli 53 e 54 dell’ordinanza sull’assicurazione malattie. Spetta alla rispettiva comunità (di riferimento) controllare se un laboratorio indipendente soddisfa questi requisiti. Per analogia, ciò vale anche per la rilevazione dei professionisti della salute che lavorano presso il laboratorio.
Un medico di fiducia degli assicuratori-malattie non è un professionista della salute ai sensi della LCIP. Non è coinvolto nella cura e non può dunque affiliarsi ad alcuna comunità (di riferimento) certificata. Il processo di richiesta di documenti da parte del medico di fiducia è disciplinato dalla LAMal e non è legato alla disponibilità di una CIP.
Per i medici di fiducia che svolgono questa funzione a tempo pieno non si pone il problema. Tuttavia, un medico che lavora come medico di fiducia a titolo accessorio può affiliarsi a una comunità (di riferimento) come professionista della salute ai sensi della LCIP e potrebbe dunque avere accesso a una CIP (p. es. medico di famiglia con attività secondaria di medico di fiducia). In questo caso tale medico è tenuto a separare rigorosamente i due ruoli ed è responsabile di non utilizzare il sistema CIP nella sua funzione di medico di fiducia.
Il paziente può stabilire il grado di riservatezza da attribuire a ogni nuovo documento registrato nella CIP (art. 4 lett. a OCIP). Se il paziente attribuisce un’impostazione più restrittiva, ovvero il grado di riservatezza «limitatamente accessibile» oppure «segreto», questo può essere cambiato rispettivamente in «normalmente accessibile» o «limitatamente accessibile» soltanto dal paziente stesso.
I professionisti della salute possono soltanto cambiare il grado di riservatezza di un documento da «normalmente accessibile» (impostazione standard) a «limitatamente accessibile».
Link esterno: Maggiori informazioni su gradi di riservatezza nella CIP
La CIP non cambia sostanzialmente nulla in termini di prassi. Oggi lo scambio di documenti tra professionisti della salute curanti avviene per posta, fax o e-mail criptata. Se un medico ritiene che una determinata informazione della cartella clinica di un paziente sia rilevante per il ricovero ospedaliero o per un trattamento successivo, può allegare questa informazione al rapporto di trasferimento, indipendentemente dal fatto che questa provenga dalla CIP o dal sistema primario dei professionisti della salute.
L’accesso amministrativo consente alle comunità (di riferimento) di garantire il buon funzionamento delle loro piattaforme. La,seguente scheda informativa illustra le disposizioni da rispettare.
Link esterno: Scheda informativa: Accessi amministrativi alla CIP (in tedesco) (121 KB, 05/10/23)
Link esterno: Scheda informativa: Accessi amministrativi alla CIP (in francese) (173 KB, 05/10/23)
No. Non potendo affiliarsi ad alcuna comunità (di riferimento), non hanno accesso alla CIP.
I periti dell’AI e i case manager a titolo accessorio che hanno accesso alla CIP nella loro funzione principale, per esempio come medici di famiglia, devono separare rigorosamente i propri ruoli e sono responsabili di non utilizzare il sistema CIP per la loro attività secondaria.
No. I collaboratori di organizzazioni di pazienti o di leghe per la salute non possono accedere alla CIP. Tale accesso è riservato agli specialisti del settore sanitario che dispongono della necessaria qualifica professionale e sono membri di una comunità (di riferimento). Anche nei casi in cui professionisti della salute facenti parte di un’organizzazione di pazienti o di una lega per la salute adempiono il requisito della qualifica professionale, questi non soddisfano in genere il requisito del contesto di cura richiesto dalla CIP.
Link esterno: Definizioni di «professionista della salute» e «cura» nella LCIP (art. 2 lett. b e c)
No. Secondo la LCIP l’apertura di una CIP è volontaria per un paziente (cfr. art. 3 cpv. 1 LCIP). È inammissibile che un’assicurazione malattie imponga a un assicurato di aprire o tenere una CIP attraverso le condizioni supplementari dell’assicurazione di base. Ciò vale per tutti i modelli dell’assicurazione di base, quindi anche per quelli alternativi.
L’assicurazione non può nemmeno esigere di accedere a una CIP. La LCIP stabilisce espressamente che il paziente non può essere obbligato a rendere accessibili dati contenuti nella propria CIP (art. 3 cpv. 4 LCIP).
L’Ufficio federale della sanità pubblica esercita la vigilanza sugli assicuratori che offrono l’assicurazione di base. Verifica in modo sistematico e capillare i piani d’esercizio delle assicurazioni malattie, tra cui anche possibili collegamenti non ammessi con la CIP.
La vigilanza sulle assicurazioni complementari, che sono disciplinate dal diritto delle assicurazioni private, spetta invece all’Autorità federale di vigilanza sui mercati finanziari (FINMA).
Apertura di una CIP
In linea di principio tutte le persone capaci di discernimento e a partire dai 16 anni possono aprire una CIP in maniera autonoma. La CIP è volontaria e gratuita. Per l’apertura occorrono:
- Numero AVS
- Uno dei seguenti documenti d’identità**:
- Passaporto svizzero o carta d’identità svizzera validi
- Permesso di soggiorno (B, C, Ci, F*, G, L, N*, S*)
- Tutte le carte di legittimazione emesse dal Dipartimento federale degli affari esteri (DFAE)
* Se l’identità del richiedente può essere stabilita senza alcun dubbio con il deposito di un passaporto.
** La licenza di condurre non è un documento d’identità valido.
Bambini e adolescenti
Per i bambini fino ai 12 anni i genitori possono aprire una CIP per loro in quanto rappresentanti legali. Tra i 12 e i 16 anni, il bambino può decidere insieme ai genitori se aprire una CIP. Anche in questo caso è tuttavia fondamentale che vi sia un rappresentante
legale.
Persone bisognose d’assistenza
Per le persone sotto curatela e bisognose d’assistenza, il rappresentante legale può aprire autonomamente una CIP presentando i documenti necessari.
Frontalieri
Gli ex frontalieri che non dispongono più di un permesso per frontalieri svizzero non possono aprire una CIP, nemmeno se sono ancora affiliati a un’assicurazione malattie svizzera o riconosciuta dalla LAMal.
Link esterno: Scheda informativa: Rappresentanze in ambito CIP (460 KB, 09/09/23)
L’utilizzo della CIP è gratuito per la popolazione. Ogni comunità di riferimento è libera di decidere se riscuotere emolumenti per determinati servizi (p. es. per l’apertura della CIP o per la creazione dell’identità elettronica).
I pazienti che dispongono di una CIP possono nominare un rappresentante che li aiuti nella gestione della loro cartella. Anche i rappresentanti devono essere informati in merito al funzionamento di base della CIP nonché alle possibilità, ai diritti e agli obblighi legati all’utilizzo della CIP.
Link esterno: Come funziona la rappresentanza in ambito CIP?
Link esterno: Scheda informativa: Rappresentanze in ambito CIP (460 KB, 09/09/23)
Link esterno: Ausilio per l’attuazione: Rappresentanze in ambito CIP (in tedesco) (718 KB, 14/09/23)
No. La CIP è volontaria per tutte le persone in Svizzera. Ognuno può decidere autonomamente se aprire una CIP e gestire i propri dati sanitari in maniera elettronica.
La revisione completa della LCIP prevede un modello opt-out (apertura automatica della CIP per tutte le persone domiciliate in Svizzera). La normativa non è ancora entrata in vigore.
Il Consiglio federale ne ha informato la popolazione il 28 giugno 2023.
Link esterno: Maggiori informazioni sulla revisione della LCIP Link esterno:
I pazienti possono cambiare in qualsiasi momento la propria comunità di riferimento.
Non sono tenuti a indicarne i motivi. Con l’eventuale passaggio a un’altra comunità di riferimento i dati e i documenti medici già resi disponibili non vengono persi, ma rimangono accessibili.
L’articolo 3 capoverso 3 LCIP prevede che il paziente possa revocare in ogni tempo il consenso alla costituzione della CIP senza indicarne i motivi. Anche il numero 6.1.3 lettera e dell’allegato 2 OCIP-DFI contempla esplicitamente la possibilità di una revoca senza formalità. Ciò significa che è sufficiente una semplice telefonata.
A prescindere da ciò, la comunità di riferimento deve assicurarsi che la persona che chiede la revoca sia identificata in modo inequivocabile, per esempio mediante lo strumento d’identificazione di un emittente certificato o mediante un’altra procedura (n. 12.2.2 lett. a all. 2 OCIP-DFI).
Per «professionista della salute» la LCIP intende gli specialisti del settore sanitario riconosciuti dal diritto federale o cantonale.
Anche se l’autorizzazione viene revocata ai sensi della legge sulle professioni mediche, il Cantone può continuare ad autorizzare l’esercizio della professione, per esempio «sotto vigilanza» di un altro professionista della salute. Se ne può dedurre che l’iscrizione nel registro da sola non è sufficiente per consentire l’ammissione nella Health Provider Directory (HPD), che consente l’accesso a una CIP. Si consiglia pertanto di contattare le autorità cantonali.
Link esterno: Scheda informativa: I professionisti della salute secondo la LCIP (172 KB, 18/01/24)
Comunità (di riferimento)
Le comunità e comunità di riferimento sono per definizione unità organizzative di professionisti della salute e dei loro istituti (art. 2 lett. d ed e LCIP). Di conseguenza, soltanto questi e nessun altro attore, come i Cantoni o gli assicuratori-malattie, possono essere membri di una comunità (di riferimento). Tuttavia, la comunità (di riferimento) può delegare i propri compiti a terzi in conformità con le pertinenti disposizioni del Codice civile, per esempio a un’organizzazione esterna di gestione. A tale organizzazione la comunità (di riferimento) può trasferire, tra l’altro, i compiti legati all’ottenimento della certificazione. Ad essere certificata, tuttavia, è la comunità (di riferimento) in quanto tale.
Tutte le informazioni riguardanti il finanziamento della CIP sono disponibili sul sito web dell’Ufficio federale della sanità pubblica.
Una comunità (di riferimento) costituita mediante fondi federali è tenuta a offrire la possibilità di aprire una CIP a tutti i pazienti e professionisti della salute nel bacino di utenza previsto. Questo requisito si basa sull’ordinanza sugli aiuti finanziari per la cartella informatizzata del paziente e sul contratto di sovvenzionamento tra la Confederazione e la comunità (di riferimento) in questione.
Le comunità (di riferimento) sovvenzionate possono decidere autonomamente se accettare anche pazienti
esterni al loro bacino di utenza. Lo stesso vale per le comunità (di riferimento) che non fanno richiesta di aiuti finanziari.
No. Tuttavia, nell’interesse dei pazienti e dei professionisti della salute, le comunità di riferimento dovrebbero mettere a disposizione una soluzione di facile utilizzo per la conversione.
La LCIP non vieta alle comunità (di riferimento) di mettere a disposizione altri servizi al di fuori dell’area
riservata CIP, purché ciò non comprometta il funzionamento della CIP e i dati ivi contenuti siano utilizzati soltanto per lo scopo specificato nella LCIP. I sistemi esperti, per esempio, possono essere offerti dalle comunità soltanto sulla base dei dati che i professionisti della salute hanno precedentemente acquisito dalla CIP nel loro sistema primario previa autorizzazione dei pazienti.
Le raccomandazioni nazionali di eHealth Suisse sui servizi supplementari mirano a garantire l’interoperabilità delle soluzioni in tutta la Svizzera. Le raccomandazioni sono state elaborate in collaborazione con le comunità (di riferimento) e altri attori interessati:
Il Servizio di assistenza deve sostenere i pazienti nell’impiego della CIP e comprendere almeno un’offerta online (p. es. help desk, catalogo di domande e risposte, chatbot); non è invece necessario mettere a disposizione una linea telefonica diretta oppure uno sportello. Se il supporto prevede che un collaboratore acceda ai terminali dei pazienti, è necessario ottenere il consenso di questi ultimi e documentare l’accesso
(conformemente al cap. 11.1.2 lett. c all. 2 OCIP-DFI del 22 marzo 2017, ediz. 2). Non è però obbligatorio offrire l’accesso ai terminali. Nel caso in cui il Servizio di assistenza non sia in grado di aiutare il paziente, occorre prevedere un processo che stabilisca chi risponde alle domande ed entro quando.
Il Servizio di assistenza deve essere disponibile almeno nella lingua ufficiale del bacino di utenza della comunità di riferimento. Se nel bacino di utenza si parlano più lingue ufficiali, il Servizio di assistenza deve essere disponibile in almeno due lingue ufficiali.
Al numero 3.3. dell’allegato 2 OCIP-DFI (Condizioni tecniche e organizzative di certificazione per le comunità e le comunità di riferimento, CTO) si stabilisce che il portale d’accesso per i professionisti della salute deve: «per la consultazione dei dati medici destinati a essere visualizzati om memorizzati, prevedere un limite massimo ammissibile di dati medici per unità temporale, al superamento del quale si attivano idonee misure di blocco o misure di sicurezza supplementari». L’UFSP ed eHealth Suisse rinunciano a emanare raccomandazioni nazionali su questo punto. Le CTO lasciano di proposito libertà d’azione alle comunità, poiché se ogni margine di manovra fosse limitato da disposizioni federali o raccomandazioni nazionali verrebbe meno l’idea di attuazione decentralizzata. In questa sede si intende semplicemente ricordare che la disposizione dell’ordinanza mira a evitare un numero eccessivo di caricamenti, per cui nella definizione del limite massimo bisogna tenere conto del principio di proporzionalità.
Non ci sono disposizioni in merito. Occorre semplicemente garantire che il paziente abbia sempre accesso ai documenti della CIP. È indifferente se questi rimangono nell’archivio originario o vengono trasferiti in quello della nuova comunità (di riferimento).
Sì. Anche se la LCIP si basa sul principio fondamentale del decentramento e prevede diversi archivi di documenti per una comunità (di riferimento), queste ultime possono organizzarsi in funzione delle loro esigenze. Non esistono disposizioni legali che vietino l’archiviazione comune di documenti. Diverse strutture sanitarie possono unirsi per gestire un archivio di documenti comune, fino al caso estremo in cui l’intera comunità (di riferimento) dispone di un solo archivio.
Se una comunità (di riferimento) optasse per un unico archivio di documenti, quest’ultimo deve essere gestito con particolare attenzione nel quadro del sistema di gestione della protezione e della sicurezza dei dati adeguato al rischio (conformemente agli art. 10 e 12 cpv. 4 OCIP in combinato disposto con i n. 2.4, 4.2.1, 4.2.3 e 4.15.2 all. 2 OCIP-DFI).
La comunità (di riferimento) è responsabile del rispetto di questo processo (cfr. n. 1.3.3 e 1.3.4 all. 2 OCIP-DFI). Innanzitutto si tratta di far sì che i dati amministrativi siano identici e che le mutazioni come per esempio il cambiamento dei nominativi siano riconosciute.
A prescindere dal contesto CIP, la vera e propria attuazione resta competenza delle strutture sanitarie (di norma del rispettivo servizio HR) che, meglio di altri, sono in grado di valutare la situazione e i cambiamenti in loco. L’organismo di certificazione verifica in loco presso la struttura sanitaria il processo di ammissione, gestione e dimissione, e se è garantito il rispetto dei processi. Un’eventuale garanzia della qualità dei dati HPD, anch’essa svolta regolarmente dalla comunità (di riferimento), corrisponderebbe quindi a un’ulteriore verifica di tali dati per ogni struttura sanitaria affiliata.
Professionisti della salute e strutture sanitarie
Gli ospedali, comprese le cliniche di riabilitazione e gli istituti psichiatrici, le case per partorienti e le case di cura hanno l’obbligo legale di offrire la CIP. Si tratta di strutture che fatturano prestazioni ospedaliere a carico dell’assicurazione obbligatoria delle cure medico-sanitarie (AOMS), nello specifico di fornitori di prestazioni secondo gli articoli 39 e 49a capoverso 4 LAMal nonché strutture secondo l’articolo 39 capoverso 1 o 3 oppure secondo l’articolo 49 capoverso 4 LAMal (laboratori, strutture diurne, centri residenziali ecc.) e strutture che fatturano soltanto una parte delle prestazioni a carico dell’AOMS, poiché queste – pur se soltanto per parte delle prestazioni – devono essere autorizzate come ospedali o case di cura ai sensi della LAMal.
Dal 1° gennaio 2022 i medici e le strutture sanitarie ambulatoriali sono tenute ad aderire alla CIP se presentano una nuova domanda di ammissione nell’AOMS (art. 37 cpv. 3 LAMal).
I Cantoni hanno il compito di verificare le domande e stabiliscano quali documenti occorre presentare.
Tutti gli altri professionisti della salute e strutture possono decidere volontariamente se affiliarsi a una comunità (di riferimento).
Link esterno: Scheda informativa: Chi deve offrire una CIP? (172 KB, 18/01/24)
La LCIP non prevede disposizioni al riguardo. In linea di principio, la struttura sanitaria può scegliere liberamente la comunità (di riferimento) cui affiliarsi, a meno che il Cantone non prescriva a titolo vincolante la comunità (di riferimento) da esso sostenuta. Il sanzionamento in caso di inosservanza è retto dalla legislazione cantonale.
La struttura sanitaria può effettuare il collegamento tecnico nei due modi seguenti.
Mediante il portale d’accesso del proprio offerente di CIP: questa soluzione non richiede alcuna integrazione tecnica. I professionisti della salute importano manualmente i documenti nella CIP. È indicata come soluzione transitoria o per le organizzazioni che gestiscono soltanto un numero esiguo di CIP.
Mediante il proprio sistema d’informazione: per questa soluzione è necessaria un’integrazione tecnica nei sistemi d’informazione della struttura sanitaria. I professionisti della salute possono così caricare i dati automaticamente nella CIP senza dover passare da un sistema all’altro e, nel contempo, memorizzarli e riutilizzarli nei propri sistemi informatici. In questo modo, durante le cure i professionisti della salute hanno accesso in ogni momento alle informazioni rilevanti ai fini della cura dei pazienti. Questa soluzione, che prevede una cosiddetta «integrazione profonda», presuppone adeguamenti al sistema d’informazione da parte del proprio partner informatico. È indicata per le organizzazioni che lavorano regolarmente con la CIP.
Maggiori informazioni sul collegamento alla CIP
Sì. Il senso della CIP è che i professionisti della salute aderenti al sistema CIP carichino nella CIP i documenti rilevanti ai fini della cura sinora contenuti nella cartella clinica elettronica del paziente (art. 1 cpv. 3 LCIP).
Non è necessaria la richiesta esplicita da parte dei pazienti, poiché in caso di cura si presume che la persona interessata acconsenta che i professionisti della salute registrino dati nella propria CIP (art. 3 cpv. 2 LCIP).
Le comunità (di riferimento) devono garantire che le strutture sanitarie a loro affiliate carichino nella CIP soltanto i dati rilevanti ai fini della cura sinora contenuti nella cartella clinica elettronica del paziente (all. 2 n. 2.4 lett. a OCIP-DFI).
Il Consiglio federale si è espresso in proposito nella sua risposta all’interpellanza 17.3694.
Link esterno: Risposta del Consiglio federale del 22.11.2017
La LCIP non cambia nulla in merito all’attribuzione delle responsabilità e a chi risponde in caso di danni. L’eventualità che un errore costituisca una violazione degli obblighi di diligenza deve essere valutata in ciascun caso a seconda delle circostanze.
Link esterno: Scheda informativa: Responsabilità nell’utilizzo della CIP (191 KB, 04/09/23)
Identificazione sicura
Sì, le comunità (di riferimento) possono decidere liberamente quali strumenti d’identificazione elettronici certificati accettare per l’accesso alla CIP.
La LCIP e le relative disposizioni di esecuzione prevedono che tutti i partecipanti alla CIP (pazienti e professionisti della salute) dispongano di uno strumento d’identificazione elettronico di un emittente certificato. Tuttavia, nessuna disposizione obbliga le comunità (di riferimento) ad accettare tutti gli strumenti d’identificazione elettronici certificati.
Con l’Id-e statale la Confederazione intende porre le basi per la trasformazione digitale. Nella seduta del 22 novembre 2023, il Consiglio federale ha adottato il messaggio concernente la nuova legge federale sul mezzo d’identificazione elettronico e altri mezzi di autenticazione elettronici.
L’Ufficio federale della sanità pubblica si tiene regolarmente in contatto con gli Uffici federali competenti per garantire che la futura identità elettronica possa essere utilizzata anche per accedere alla CIP.
La votazione riguardava un disegno di legge per la creazione di una nuova identità elettronica nazionale. Tuttavia, il risultato della votazione non ha avuto ripercussioni sulle altre identità elettroniche private e cantonali già esistenti, né tanto meno sugli strumenti d’identificazione certificati per la CIP. Le condizioni di approvazione e certificazione degli strumenti d’identificazione per la CIP (cfr. art. 7 LCIP, cap. 4 OCIP e art. 8 OCIP-EDI) sono rette dalla legislazione concernente la CIP.
Nell’area riservata CIP si utilizzano diversi identificatori del paziente a seconda dello scopo. Il numero d’identificazione del paziente viene emesso dall’Ufficio centrale di compensazione della Confederazione e può essere utilizzato nella CIP quale elemento utile per l’identificazione univoca dei pazienti. Non consente di risalire matematicamente ad altri numeri quale il numero AVS.
Gli identificatori personali riducono il rischio di registrare dati errati, per esempio di caricare un documento nella CIP sbagliata, e rendono più difficoltosa la creazione di profili personali, dato che non sono collegati al numero AVS.
No, il NAVS13 (numero d’assicurato ai sensi dell’art. 50c della legge federale sull’assicurazione per la vecchiaia e per i superstiti [LAVS]) può essere utilizzato da una comunità (di riferimento) esclusivamente per gli scopi di cui all’articolo 5 capoverso 2 LCIP:
domandare all’Ufficio centrale di compensazione un numero d’identificazione del paziente;
attribuire correttamente il numero d’identificazione del paziente.
Per l’apertura di una CIP per un neonato è necessario un numero d’identificazione del paziente. L’Ufficio centrale di compensazione (UCC) attribuisce questo numero dopo avere registrato i dati di base del bambino nella banca dati UPI dell’UCC. Tale registrazione può richiedere qualche giorno dalla nascita del bambino.
In caso di cambiamento di nome o luogo di domicilio, spetta al paziente modificare queste informazioni attraverso l’apposito portale d’accesso o comunicarle alla propria comunità di riferimento affinché i dati anagrafici nel Master Patient Index possano essere aggiornati. Le modifiche dei dati anagrafici dei pazienti nell’UPI saranno trasmesse dall’Ufficio centrale di compensazione (UCC) alle comunità di riferimento tramite un servizio push (UPI-Broadcast). L’UCC gestisce i dati anagrafici dei pazienti secondo lo .
Secondo l’articolo 21 OCIP, la comunità di riferimento può sopprimere la CIP di un paziente deceduto al più presto due anni dopo la data del decesso. La comunità di riferimento tuttavia non è obbligata a eseguire attivamente indagini sullo stato di vita, la data del decesso o altri dati analoghi. Non sussiste nemmeno l’obbligo per l’UCC o i registri comunali del Cantone di comunicare i decessi a comunità o comunità di riferimento.
Tuttavia, i Cantoni sono liberi di integrare il corrispondente obbligo di notifica nel diritto cantonale, eventualmente – a condizione che sia creata la necessaria base legale – anche tramite l’utilizzo del NAVS13. Lo stesso vale per la verifica del decesso attraverso una ricerca presso il registro cantonale degli abitanti.
In caso di soppressione di una CIP, l’UCC annulla il corrispondente EPR-SPID informando in seguito le altre comunità (di riferimento) tramite broadcast degli annullamenti avvenuti (cfr. ).
Protezione e la sicurezza dei dati nella CIP
La LCIP e le relative ordinanze prevedono disposizioni severe in materia di protezione e sicurezza dei dati. Ai fini della certificazione, le comunità di riferimento e i fornitori di piattaforme devono dimostrare di rispettare tutte le disposizioni in materia di protezione dei dati.
Tutte le informazioni concernenti le disposizioni legali sulle misure di sicurezza nella CIP sono reperibili su Fedlex e nei documenti qui riportati:
Link esterno: Scheda informativa: CIP: le dieci principali misure di sicurezza (197 KB, 06/10/23)
La procedura di certificazione è svolta da un organismo di certificazione indipendente accreditato dal Servizio di accreditamento svizzero secondo la LCIP. L’Ufficio federale della sanità pubblica (UFSP) ha accompagnato il processo in veste di titolare dello schema di certificazione («schema owner»).
Anche i sistemi primari devono soddisfare le condizioni di certificazione vigenti (p. es. autenticazione, criteri d’interoperabilità). Si può così rinunciare a una verifica diretta delle interfacce tecniche dei numerosi sistemi primari, che risulterebbe molto onerosa dal punto di vista delle risorse, controllando il rispetto delle disposizioni esclusivamente per l’elemento centrale della piattaforma CIP. L’organismo di certificazione si riserva la possibilità di svolgere audit presso le strutture sanitarie collegate e i loro sistemi primari nell’ambito di un’apposita procedura.
Tutti i dati sono criptati e memorizzati in Svizzera. Questo requisito è previsto dall’articolo 12 capoverso 5 OCIP. Le comunità (di riferimento) sono responsabili della memorizzazione sicura ai sensi della LCIP. L’organismo di certificazione verifica regolarmente il rispetto delle disposizioni legali nel quadro della ricertificazione.
Avvalendosi del suo diritto di farsi consegnare dati o di esigerne la trasmissione a terzi secondo l’articolo 28 della legge federale sulla protezione dei dati, una persona ha ora la possibilità di esigere i propri dati o di trasmetterli a terzi in un formato di uso corrente e leggibile elettronicamente (p. es. CSV, XML, JSON, HTML o PDF). A tale scopo è necessario che il responsabile automatizzi i dati e li elabori con il consenso della persona interessata o direttamente mediante contratto. Questo diritto può essere esercitato gratuitamente, a meno che la consegna o la trasmissione dei dati non comporti un onere sproporzionato, come può essere il caso in cui è necessaria una laboriosa opera di selezione tra i dati della persona in questione e quelli di terzi.
Questo diritto è di principio applicabile anche alla consegna dei dati contenuti nella cartella clinica.
I dati sanitari sono informazioni sensibili che devono essere trattate adottando particolari misure di protezione tecniche e organizzative. Di conseguenza, i professionisti della salute che trasmettono dati sanitari per via elettronica sono responsabili di garantire una comunicazione sicura (p. es. criptaggio). Quale piattaforma di scambio sicura, la CIP è il canale di scambio ideale tra le strutture sanitarie. In alternativa, i dati possono essere inviati anche mediante e-mail sicure (criptate). La trasmissione di dati sensibili tramite e-mail non criptate deve essere evitata o limitata alle comunicazioni amministrative non sensibili in termini di contenuto, come per esempio lo spostamento di appuntamenti.
Trattandosi di organizzazioni di diritto privato, questo compito spetta all’Incaricato federale della protezione dei dati e della trasparenza.
L’idea alla base della CIP si fonda su uno scambio decentralizzato di dati tra diversi attori all’interno dell’area riservata CIP. Un collegamento unidirezionale o bidirezionale tra due punti d’accesso, che possa essere criptato ai relativi punti terminali (end-to-end), priverebbe la CIP delle funzioni necessarie. Un criptaggio end-to-end non permetterebbe di ridurre i rischi, ma avrebbe soltanto un impatto sulla sicurezza complessiva della CIP.
Le basi giuridiche della CIP (LCIP) e l’architettura IT che ne deriva si basano sul principio secondo cui i dati e i documenti possono e devono essere messi a disposizione senza che il destinatario sia noto al momento di renderli disponibili. Quale sistema di archivio secondario, la CIP è progettata in modo da fornire ai professionisti della salute autorizzati l’accesso ai dati medici e ai documenti dei pazienti in cura.
Un organismo di certificazione accreditato verifica che la trasmissione e la memorizzazione dei dati dei pazienti siano protetti mediante una procedura sicura di criptaggio e conformemente alle disposizioni della LCIP.
Link esterno: Scheda informativa: CIP: le dieci principali misure di sicurezza (197 KB, 06/10/23)
Componenti tecnici della CIP
L’architettura tecnica della CIP consiste di componenti tecnici centrali della Confederazione e di diverse comunità e comunità di riferimento collegate tra loro.
Link interno: Maggiori informazioni sugli aspetti tecnici dell’architettura
Gli identificatori di oggetti OID (Object Identifier) e GLN (Global Location Number) permettono di identificare in modo univoco una comunità, una struttura, un’unità o una persona. Nell’attuazione dell’architettura eHealth gli OID svolgono un importante ruolo per l’interoperabilità tecnica e semantica.
Le comunità (di riferimento) devono richiedere gli ODI presso la fondazione Refdata, per sé stesse o per conto delle strutture sanitarie loro affiliate. I professionisti della salute non hanno bisogno degli ODI poiché vengono identificati attraverso i GLN. Inoltre, anche le strutture sanitarie possono attribuire gli ODI, in particolare per reparti e gruppi, basati sugli ODI ricevuti dalla Refdata.
Basi giuridiche
La LCIP non cambia nulla in merito all’attribuzione delle responsabilità e a chi risponde in caso di danni. La responsabilità e l’obbligo di rispondere per errori tecnici o per la mancata disponibilità di documentazione informatizzata del paziente sono valutati secondo gli stessi principi che si applicano all’uso della tecnologia nel settore sanitario in generale (sistemi informatici in generale, apparecchi a raggi X, dispositivi terapeutici, apparecchi per la respirazione artificiale ecc.).
Link esterno: Scheda informativa: Responsabilità nell’utilizzo della CIP (191 KB, 04/09/23)
Le autorità preposte in caso di controversie o di ricorsi sono i consueti organi di consulenza della Confederazione e dei Cantoni (p. es. incaricati della protezione dei dati a livello federale o cantonale).
Dalla LCIP e dalle relative disposizioni di esecuzione non deriva alcun compito vincolante per i Cantoni. Tuttavia, questi ultimi devono verificare la compatibilità tra la propria legislazione e la LCIP e, se del caso, provvedere all’attuazione delle modifiche necessarie. Il Comitato direttivo della CDS ha raccomandato ai Cantoni di creare all’occorrenza le basi giuridiche nei seguenti ambiti tematici:
- l’affiliazione di ospedali cantonali o altre strutture ospedaliere con mandato di prestazioni cantonale a una comunità di diritto privato o a una comunità di riferimento;
- il cofinanziamento della costituzione, della certificazione e della gestione di comunità o comunità di riferimento, qualora il Cantone intenda richiedere a tal fine aiuti finanziari della Confederazione;
- l’eventuale obbligo per i professionisti della salute che esercitano sotto la propria responsabilità di affiliarsi a una comunità (di riferimento) certificata.
Poiché la LCIP sarà oggetto di una revisione completa nei prossimi anni, è possibile che i Cantoni dovranno assumere nuovi compiti. Nel quadro del finanziamento transitorio, i Cantoni parteciperanno alla metà dei costi per ogni CIP aperta (CHF 30.-).
Link esterno: Maggiori informazioni sulla revisione della LCIP
Sì, poiché l’utilizzo secondario dei dati della CIP non è previsto dalla LCIP. È ipotizzabile un utilizzo dei dati per l’istituzione di registri di malattie o della qualità, per scopi statistici o di ricerca, oppure come base per l’ottimizzazione di processi amministrativi. All’occorrenza sarà necessario completare le pertinenti disposizioni. Attualmente la ricerca con dati della CIP si basa unicamente sulla legge sulla ricerca umana (LRUm), purché il paziente abbia dato il suo consenso e le altre disposizioni della LRUm siano rispettate. Se i Cantoni intendono utilizzare i dati della CIP per gestire il sistema sanitario, è necessaria una base giuridica a livello cantonale. Essi devono pertanto verificare la compatibilità del proprio quadro giuridico con la LCIP e adeguarlo ove necessario. In quest’ambito si applicano le disposizioni in materia di protezione dei dati.
La revisione completa della LCIP menziona l’utilizzo dei dai della CIP a scopi di ricerca, purché il paziente vi abbia acconsentito.
Link esterno: Maggiori informazioni sulla revisione della LCIP