Sanità digitale, sarà l’anno della svolta? Ecco come concretizzare i buoni propositi

Il 2022 per la Sanità è stato finalmente l’anno della “realizzazione” del digitale: le risorse sono disponibili – 15,63 miliardi di euro dal PNRR, 2,89 miliardi di euro dal Piano nazionale per gli investimenti complementari (PNC) e ulteriori risorse straordinarie per un totale di oltre 20 miliardi di euro – e servono a sostenere riforme e investimenti a beneficio del Servizio sanitario nazionale, da realizzare con vincoli temporali stringenti entro il 2026.

Cosa augurarsi per il 2023? Che sia l’anno dell’attenzione alla cura, non solo dei cittadini e pazienti, ma anche cura verso ciò che si propone in termini di modelli, ciò che si realizza in termini di innovazione, di valore, di tutela del singolo e delle comunità. I tempi del PNRR possono essere tiranni e fornire alibi per una smania di “fare” senza troppo pensare. È, invece, fondamentale fare tutto ciò che serve (che non è poco), ma in modo ineccepibile, perché è da questa enorme e straordinaria capacità produttiva che dipende buona parte del futuro del nostro Sistema Sanitario.

La sicurezza informatica delle aziende nel 2023: i punti chiave per difendersi

Gli indirizzi politici e le linee guida tracciate in questo anno appena passato supportano una visione il più possibile olistica degli elementi da considerare per innovare il sistema in chiave digitale. L’approccio per affrontare un percorso strutturato di realizzazione del nuovo modello di sanità e dei suoi servizi deve prevedere l’integrazione della progettazione del nuovo modello organizzativo e dei processi con la scelta delle soluzioni tecnologiche abilitanti e pronte ad entrare in produzione, avendo cura di non tralasciare nella fase di Service Design l’orientamento ai dati e la progettazione degli aspetti di security e di tutela del dato per mitigare i rischi connessi alla sempre più profonda e imprescindibile digitalizzazione.

Sanità, i fondi del PNRR

La Missione 6 Salute del PNRR pone tra i suoi obiettivi l’adeguamento del SSN al nuovo contesto demografico (popolazione sempre più anziana) ed epidemiologico; la riduzione delle disuguaglianze nell’erogazione dei servizi; il sostegno all’assistenza territoriale e alla capillarità dei servizi di prevenzione e di cura; l’innovazione sia tecnologica che organizzativa e di ricerca per il miglioramento dell’offerta.

Tale strategia si esplicita nelle due aree (Componenti) che caratterizzano gli interventi della Missione Salute:

1. Il ridisegno della rete di assistenza sanitaria territoriale con professionisti e prestazioni disponibili in modo capillare su tutto il territorio nazionale;
2. Il rinnovo del parco tecnologico ospedaliero, la digitalizzazione del Servizio sanitario nazionale, gli investimenti in ricerca e formazione del personale sanitario.

Le iniziative per concretizzare riforme e investimenti

Ripercorriamo dunque le principali iniziative che nel corso dell’anno appena concluso hanno dato gambe alle riforme e agli investimenti che via via daranno forma alla nuova Sanità, una sanità che grazie al digitale si farà più vicina, personalizzata, sicura, equa e sostenibile.

• Il Decreto Ministeriale 77 (uscito in bozza a inizio anno, affinato nel corso dei mesi e poi pubblicato in Gazzetta Ufficiale a giugno 2022) costituisce la Riforma dell’Assistenza Territoriale, definendo al suo interno un nuovo modello organizzativo della rete di assistenza primaria (attraverso strutture quali: Case di Comunità, Centrali Operative Territoriali, Ospedali di Comunità, Infermieri di Comunità), individuando standard tecnologici e organizzativi uniformi su tutto il territorio nazionale, promuovendo un nuovo assetto istituzionale per la prevenzione in ambito sanitario, ambientale e climatico (attraverso la definizione di obiettivi strategici e della governance del sistema).
• Le Linee Guida di attuazione del Fascicolo Sanitario Elettronico – FSE (pubblicate in Gazzetta Ufficiale a luglio 2022) definiscono la strategia per le iniziative di evoluzione del FSE in termini di servizi di sanità digitale omogenei e uniformi; architettura rafforzata ai fini dell’interoperabilità del FSE; uniformità dei contenuti in termini di dati e codifiche; potenziamento della governance nell’attuazione del FSE.
• Le Linee Guida per i servizi di Telemedicina (pubblicate in Gazzetta Ufficiale a novembre 2022) costituiscono le regole di riferimento – dopo anni di indicazioni, suggerimenti e progetti pilota – rispetto ai servizi minimi di Telemedicina che dovranno essere garantiti a livello regionale: Televisita, Teleconsulto, Telemonitoraggio e Teleassistenza.
• L’aggiudicazione delle Gare strategiche per la Sanità Digitale nell’ambito del nuovo “Piano Triennale per l’informatica nella PA”, bandite da Consip: prima gara dedicata ai Sistemi informativi clinico-assistenziali in termini di telemedicina e cartella clinica elettronica (attiva da inizio 2022), seconda gara dedicata ai Sistemi informativi sanitari e Servizi al cittadino (attivata a dicembre 2022), terza gara dedicata ai Sistemi Informativi Gestionali (di cui è in corso di completamento l’aggiudicazione).

Come il digitale guida la rivoluzione della Sanità

Appare evidente che due sono i grandi fili conduttori che accomunano tali iniziative e che hanno guidato finora e devono accompagnare in futuro lo sviluppo della Sanità: il ripensamento delle cure sul territorio e l’innovazione organizzativa e tecnologica. In entrambi i casi è il digitale il motore che guida la trasformazione della Sanità, ne ridisegna gli spazi, le funzioni, gli assetti organizzativi e i contenuti stessi dei processi di cura. Rendere la Sanità innovativa e sostenibile, spostare il focus dall’ospedale al territorio non sarebbe possibile senza l’ausilio del digitale, che annulla le disparità (geografiche, economiche, sociali), riduce gli errori, aumenta il coinvolgimento dei cittadini, rende più democratico l’accesso al complesso ecosistema che è il nostro Servizio Sanitario Nazionale.

A differenza del passato, quando spesso si è sentita la mancanza di cornici – anche normative – chiare ed esplicite, oggi il disegno che emerge è più netto e indica una strada da seguire. Il DM 77 si pone come obiettivo ultimo del rafforzamento del territorio quello di evitare il sovraffollamento degli ospedali per fornire servizi e cure appropriati e tempestivi. Tale rafforzamento implica la realizzazione di nuove strutture dedicate ai servizi territoriali, in parte anche figlie di riconversioni funzionali, che necessiteranno non solo di muri, ma soprattutto di personale qualificato, di tecnologia, di integrazione e interoperabilità con le altre strutture preesistenti e con la rete informativa che assicura l’erogazione di servizi di qualità e rispondenti alle reali necessità dei pazienti. Le normative relative a FSE e Telemedicina sono la sintesi che arriva dopo anni di discussioni – alternate a momenti di stasi – e che mette un punto rispetto alla strategia di sviluppo e alle implicazioni pratiche che ne derivano. Le grandi gare per gli Accordi Quadro di Sanità Digitale sono lo strumento che facilita la realizzazione della strategia immaginata dal Ministero della Salute e dagli enti competenti.

Aldilà delle diverse posizioni che si possono prendere rispetto a tale disegno, è innegabile che si sia arrivati ad un punto di svolta – grazie anche alle risorse economiche dedicate – destinato a trasformare in maniera stabile e duratura il volto della Sanità italiana in ottica digitale.

Innovazione in Sanità, come attuarla

Tuttavia, il diavolo sta nei dettagli, potremmo dire, ed è nei dettagli delle norme e delle Linee Guida che deve essere posta la maggiore attenzione, in particolare in riferimento alla modalità di attuazione della Sanità digitale. Come ben sappiamo, infatti, innovare non significa acquistare una tecnologia e renderla semplicemente disponibile. Non significa nemmeno fare formazione a tappeto e tantomeno creare nuove strutture e funzioni senza preoccuparsi di riempirle di significati. Trasformare il sistema significa tutto questo insieme e molto di più: significa, a partire dalla comprensione profonda del contesto e dei bisogni, agire contemporaneamente sulla revisione dei modelli organizzativi e dei processi, individuare le soluzioni e gli strumenti a supporto del nuovo modo di erogare i servizi, formare le persone sulle competenze chiave, tutelare le persone e i dati, rendere accessibili i servizi. Per sintetizzare potremmo riassumere così gli elementi cardine di tale approccio:

• Processi e organizzazione: progettazione e revisione dei processi in logica Human Centered Design
• Tecnologie: selezione delle soluzioni tecnologiche abilitanti e supporto nella loro adozione
• Dati: valorizzazione dei dati attraverso la Data strategy e data governance
• Competenze: sviluppo e valorizzazione delle competenze abilitanti nuovi modelli organizzativi
• Compliance: aderenza all’impianto normativo in termini di Data Protection (Privacy by design)
• Security: valutazione e adeguamento alle normative in materia di sicurezza (Security by design)
• Accessibilità: adeguamento e sviluppo di touchpoint accessibili a supporto dell’adozione dei servizi

La Connected Health è un esempio di come lavorare in modo integrato a partire dalla definizione del modello e della strategia per la realizzazione di un ecosistema di strumenti e servizi di prevenzione, cura e riabilitazione (Telemedicina, accoglienza, digitalizzazione PDTA, ecc.) fino alla sua realizzazione attraverso attività di:

• Service Design dei percorsi/servizi (processi, spazi, ergonomia, …) in ottica human centered, di ridisegno dei touchpoint digitali (accessibilità, usabilità e user adoption);
• definizione del modello dati logico che abilita i servizi nei diversi touchpoint e soluzioni applicative;
• raccolta requisiti di business (organizzativi, logistici, tecnologici, normativi/compliance e sicurezza);
• selezione dei partner tecnologici per lo sviluppo/implementazione delle soluzioni abilitanti;
• valorizzazione della comunicazione con il paziente (es. front end; service desk);
• Change management e Project Management nel ridisegno dei processi e nell’implementazione delle soluzioni (test e collaudo).

Nelle norme e nelle Linee Guida sopra richiamate, molteplici sono i riferimenti alle componenti che devono caratterizzare la Sanità digitale e per alcune di esse riteniamo utile porre l’accento sul valore e il significato.

Dati e interoperabilità

Il ridisegno della Sanità che implica l’individuazione e realizzazione di nuove strutture e funzioni – anche a livello territoriale – non deve accompagnarsi a una proliferazione incontrollata di piattaforme e dati, ma al contrario è auspicabile una architettura ideata in modo coerente e governata ai diversi livelli di attuazione dei servizi. È questo l’esempio che viene dato dal nuovo FSE 2.0 e dalla Piattaforma Nazionale di Telemedicina. In entrambi i casi la direzione che si propone è duplice e contempla la condivisione del dato e l’interoperabilità. Rispetto alla condivisione dei dati ci si attende che sia il più possibile:

• plurale, puntando sulla aggregazione dei dati generati da fonti diverse ed eterogenee – inclusi i dati autoprodotti dai cittadini;
• standard, generando dati basati su protocolli che ne garantiscano la piena interoperabilità;
• multidisciplinare, sfruttando a diversi livelli decisionali dati per la prevenzione, la cura, per la ricerca, ecc., a prescindere dal luogo in cui sono stati generati;
• a supporto delle decisioni, superando la logica della pura rendicontazione/consuntivazione per evolvere verso una logica di lettura dei dati tesa a comprendere i fenomeni, ad anticiparli, e dunque ad individuare le azioni necessarie per governare la sanità basandoci sulla conoscenza generata dai dati.

Un ulteriore concetto chiave deve essere quello di interoperabilità: non sistemi a silos, dunque, ma sistemi integrati in grado di scambiare dati e informazioni e di mettere a disposizione dei cittadini servizi appropriati, affidabili, tempestivi e sicuri. Nel caso del FSE, ad esempio, si cita esplicitamente nella norma che la nuova infrastruttura dovrà essere integrata a: Anagrafe Nazionale Assistiti (ANA), per i dati anagrafici degli assistiti e l’identificazione dei MMG/PLS ad essi associati; Sistema Tessera Sanitaria (Sistema TS), per l’acquisizione dei dati amministrativi di prescrizione e certificazione, nonché l’utilizzo dei dati dei medici ed operatori sanitari iscritti agli ordini professionali; INI-Anagrafe Consensi Nazionale, per verificare il consenso alla consultazione del fascicolo; INI-Anagrafe Nazionale delle Deleghe per quanto riguarda la verifica dei delegati per l’accesso al FSE; Document Repository delle strutture sanitarie; Servizi di Telemedicina, che alimenteranno il Data Repository con i dati acquisiti dai dispositivi medici.

Le aziende sanitarie alla sfida della Connected Care: come l’ha affrontata il Policlinico Gemelli

Integrazione significa anche non cancellare le esperienze pregresse – svolte a livello regionale o aziendale – ma sfruttare le iniziative virtuose esistenti e metterle a fattor comune. È questo il caso della Telemedicina per la quale la piattaforma nazionale e le esperienze condotte dalle Regioni capofila Lombardia e Puglia diventeranno un’opzione che potranno esercitare le Regioni, ma non l’unica. L’idea è che le singole esperienze su scala ridotta (aziendale o regionale) possano integrarsi purché garantiscano determinati livelli di interoperabilità e di servizio minimi. Nel disegno complessivo, infatti, si contemplano cinque diversi livelli di servizi:

• servizi centrali (SPID, PagoPA, ecc.);
• servizi abilitanti (gestione dei nomenclatori, della privacy, dei dati amministrativi, ecc.);
• servizi minimi di telemedicina (televisita, teleconsulto, teleassistenza, telemonitoraggio);
• layer d’interoperabilità per consentire la collaborazione applicativa dei verticali regionali e aziendali;
• layer di governance e diffusione.

Come garantire allora la corretta condivisione dei dati, anche attraverso l’interoperabilità dei sistemi? Sicuramente una delle chiavi di volta sarà la capacità di impostare una strategia di valorizzazione dei dati e di data governance: conoscere i dati e le fonti che li generano, definire un linguaggio comune (standard e policy), comprenderne il valore in termini di impatto sui processi chiave è il primo passo per traguardare la realizzazione di nuovi sistemi a supporto della Sanità che generino valori sia per gli erogatori che per gli utenti finali. Non solo: la tutela del dato, in tempi recenti, è diventata sempre di più un aspetto imprescindibile nella definizione e realizzazione di nuovi assetti organizzativi e tecnologici. Ambiti come la data protection e la security entrano in gioco a partire dal disegno dei nuovi servizi e non (solo) come elementi regolatori (e sanzionatori) a cose fatte.

Gli aspetti privacy

La strategia e gli interventi propri della Missione Salute del PNRR non possono compiersi e raggiungere gli obiettivi che si sono posti senza garantire la fiducia, quell’ “atteggiamento che risulta da una valutazione positiva di fatti, circostanze, relazioni, per cui si confida nelle altrui e proprie possibilità, e che produce un sentimento di sicurezza” come riporta Treccani. La fiducia che è da sempre un elemento imprescindibile del rapporto tra medico e paziente, oggi più che mai rischia di essere compromessa proprio da quella digitalizzazione che se è l’elemento cardine che può portare alla realizzazione di una nuova Sanità, al tempo stesso rischia, se mal utilizzata, di compromettere il rapporto di fiducia basato sulla confidenzialità delle informazioni. Interoperabilità, integrazione di sistemi, decentramento delle cure, tutta la portata innovativa di questa “rivoluzione sanitaria”, rischierebbe di essere rifiutata se andasse a minare la fiducia dei pazienti. Se in passato il rapporto di fiducia si limitava al rapporto paziente-medico e quindi ad un rapporto uno ad uno (al più uno a pochi), la digitalizzazione introduce nuovi player necessari, nuove figure essenziali al raggiungimento del risultato, player e figure che, nonostante abbiano accesso ai dati personali di soggetti vulnerabili, non sempre sono tenuti a doveri di segretezza e di riservatezza perché appartenenti ad un ordine o iscritti ad un albo.

Ed è proprio nel cercare di costruire e consolidare questo rapporto di fiducia che il rispetto delle normative vede un momento fondamentale: la compliance non può più essere vista solamente come un qualcosa di dovuto perché prescritto, come un insieme di articoli di legge, di documenti, di atti burocratici, di consensi resi e di moduli firmati. La nuova sanità esige un nuovo approccio culturale che vede nel rispetto della normativa l’opportunità da cogliere, il fattore abilitante da possedere per poter essere davvero credibili e garantire ai pazienti-utenti il rispetto di quella promessa di fiducia che la delicatezza dell’ambito sanitario richiede.

La protezione dei dati personali non può che partire quindi da una profonda e reale consapevolezza del contesto di riferimento, a garanzia del rispetto dei principi di accountability, di privacy by design e privacy by default, e tale consapevolezza deve essere una consapevolezza diffusa, che investa, in modi e tempi differenti, tutti i player coinvolti nella nuova sanità: enti, regioni, strutture sanitarie, operatori tecnologici, sviluppatori di software e di medical device, professionisti della sanità fino ad arrivare ai pazienti stessi. Solo in questo modo sarà possibile assicurare non solo la riservatezza dei dati, ma anche la loro esattezza, il loro aggiornamento nel tempo e quindi la loro usabilità e ri-usabilità.

Uso dei dati per ricerca e sperimentazione

Altro tema assolutamente rilevante, che non è sfuggito all’attenzione del Consiglio Superiore di Sanità nella “Proposta per lo schema di Riforma dei Sistemi Informativi Sanitari”, è quello dell’utilizzo secondario dei dati personali per finalità ulteriori, in primo luogo per la ricerca scientifica e le sperimentazioni cliniche. Se è vero che il Regolamento europeo sulla protezione dei dati personali non ha come obiettivo solo la data protection, ma altresì la libera circolazione dei dati all’interno dell’Unione Europea, è altrettanto vero che è il GDPR stesso a lasciare spazi di autonomia agli Stati membri in determinati ambiti, tra cui quelli riguardanti trattamenti di dati genetici, biometrici e relativi alla salute. Il nostro legislatore e la nostra autorità Garante per la protezione dei dati si sono quindi pronunciati in merito a come può avvenire l’utilizzo secondario dei dati personali, confermando e talvolta introducendo condizioni che, se certamente garantiscono una forte protezione del dato, rischiano di impedire la corretta circolazione e quindi l’utilizzo dei dati a favore dell’attività di ricerca.

Se davvero si vuole cogliere appieno la portata innovativa della Missione Salute, è più che opportuno un intervento normativo che vada nella direzione di una corretta ed equilibrata definizione delle condizioni per l’utilizzo di dati personali (protetti, esatti, aggiornati) per finalità di ricerca scientifica. Tale intervento è fortemente auspicabile anche alla luce delle iniziative che centralmente l’Europa sta portando avanti, tra cui la creazione dell’European Health Data Space: mantenere un’impostazione eccessivamente garantista, al limite dell’ostruzionismo, rischierebbe non solo di rallentare la ricerca scientifica in Italia, ma altresì di ostacolare un percorso europeo che potrebbe vedere l’Italia come uno dei protagonisti.

Cyber security e Sanità digitale

La definizione di regole coerenti ed equilibrate per l’uso di dati è un passo importante ma non basta: proteggere i dati ed il funzionamento stesso di un sistema sanitario sempre più interconnesso e digitale richiede una grande attenzione alla Cybersecurity. Nel mondo sanitario, infatti, c’è da sempre tanta attenzione alla riservatezza del dato ma altrettanta attenzione dev’essere posta per l’integrità e disponibilità del dato, poiché la salute del paziente dipende sempre più da quelle.

Un dato non corretto, manomesso, o un dato o un servizio non disponibili nell’erogazione di una prestazione sanitaria possono comportare danni irreversibili alla sua salute. Il rischio è tutt’altro che teorico: negli ultimi mesi gli attacchi hacker ad aziende sanitarie sono stati molteplici, mettendo in serio pericolo i dati (e la salute) dei pazienti, così come la continuità dei servizi.

La situazione in Italia

Un esempio è l’attacco hacker alla ASST Fatebenefratelli-Sacco avvenuto a inizio maggio, che ha compromesso e mandato in tilt i sistemi informativi di 4 ospedali e 33 sedi territoriali dell’ASST, mentre il personale medico e sanitario sono stati costretti a ricorrere a carta e penna per la registrazione di pazienti, cure e medicinali somministrati. Similmente, il centro ospedaliero di Versailles è stato colpito a inizio dicembre da un attacco ransomware ed è stato costretto ad annullare operazioni e trasferire pazienti in strutture vicine.

Un rapporto dell’ENISA (European Union Agency for Cybersecurity) sottolinea che l’Italia è al quarto posto al mondo come vittima di attacchi ransomware, dopo USA, Germania e Francia, considerando il periodo maggio 2021-giugno 2022^[10]. A livello globale, il settore sanitario è tra i più colpiti, con una media di 9,23 milioni di dollari per data breach e un aumento del 60% degli attacchi rispetto al secondo trimestre del 2021. La Sanità è sempre più sotto pressione, un settore appetibile per i cybercriminali poiché considerato vulnerabile al pagamento dei riscatti, per evitare la diffusione dei dati e proteggere le infrastrutture critiche. Per esempio, sul dark web una cartella clinica può valere anche più di 1000 dollari.

Visto che il futuro della salute è connesso e la digitalizzazione, l’innovazione e l’interoperabilità sono diventati principi fondamentali per il sistema sanitario, nell’ottica di un miglioramento delle cure per i pazienti, allo stesso modo la messa in sicurezza dei sistemi dovrebbe essere integrata nei processi con lo stesso identico obiettivo. Al contempo, la diffusione di dispositivi medici e IoT, che hanno permesso un passo avanti notevole nelle cure garantite ai pazienti, si rivelano anche alleati per gli hacker, pronti a sfruttare le nuove porte lasciate aperte dalla digitalizzazione. Le strutture sanitarie devono, oggi più che mai, gestire con priorità i rischi legati all’utilizzo di dispositivi medici e IoT, non più isolati ma connessi in rete, utilizzati sia in struttura che sul territorio.

Come gestire i rischi

Come affrontare correttamente i rischi? In una logica di security by design. È importante che in fase di progettazione vengano svolti i passaggi fondamentali per proteggere i dati: vengano fatte le giuste valutazioni di rischio ed individuati di conseguenza i requisiti di sicurezza, vengano classificati i dati e tracciati i flussi all’interno del sistema informativo. Se queste attività sono svolte in una fase successiva, il risultato sarà meno efficace e potrà avere un impatto maggiore sui costi, sull’efficacia e sull’usabilità delle soluzioni.

Il fine ultimo deve essere quello di fornire alle aziende sanitarie un insieme di misure di sicurezza per rendere tutti i sistemi più protetti, in termini di riservatezza, integrità e disponibilità dei dati, limitando l’impatto negativo degli attacchi e rendendo i sistemi sempre più capaci di rialzarsi e reagire dopo una violazione. Infatti, non è possibile essere inviolabili e sicuri, ma si può essere resilienti e pronti in caso di incidenti.