Rapporto sui risultati

paziente ai professionisti della salute. Altrimenti avverrà in pratica quanto segue: i professionisti della salute daranno al personale ausiliario il loro SID assieme alla password – con i problemi che ne conseguiranno.

1.4 Identificazione e autenticazione (art. 8 lett. d)

1.4.1 / 1.4.2: HIN indica che al numero 1.4.1 sono menzionati esplicitamente solo i professionisti della salute e al numero 1.4.2 anche il personale ausiliario. Ipotizza che anche il personale ausiliario abbia bisogno di un’identità propria ed è importante che anche il personale ausiliario possa utilizzare solo il SID di cui all’articolo 30 OCIP. Il numero 1.4.1 dovrebbe essere completato nel modo seguente: «Für den Zugriff von Gesundheitsfachpersonen und Hilfspersonen auf das elektronische Patientendossier [...]». IG eHealth e Posta temono che i login degli ospedali non siano più ammessi. IG eHealth aggiunge che il capoverso disciplina solo i requisiti del SID per l’accesso e chiede quali esigenze si applicano per le scritture in una cartella. IG eHealth chiede che anche i SID delle organizzazioni conformi alla legislazione cantonale siano accettati per l’accesso alla cartella informatizzata del paziente. Analogamente, Posta segnala che bisogna accettare i SID delle organizzazioni perché queste devono rispettare anche le prescrizioni di altre leggi. La certificazione dei SID in seno a un’organizzazione non rientra nell’OCIP. È inoltre opportuno chiarire se un’autenticazione a un unico fattore non sia sufficiente per i sistemi che consentono solo una visualizzazione protetta da scrittura del dossier medico. Tessaris chiede le seguenti modifiche al numero 1.4.2: «Gemeinschaften und Gesundheitseinrichtungen müssen sicherstellen, dass die eindeutigen Parameter der IDM von Gesundheitsfachpersonen und Hilfspersonen zuverlässig mit der registrierten Identität der jeweiligen Person in der Gemeinschaft bzw. der Gesundheitseinrichtung verbunden wird». FMH vede delle ridondanze nel numero 1.4.2 e propone una regolamentazione chiara a livello di OCIP.

1.4.3: Riguardo al numero 1.4.3 privatim rinvia ai suoi commenti nelle osservazioni generali sull’OCIP. HIN sostiene esplicitamente l’autenticazione forte a 2 fattori. STSAG considera inaccettabile inserire dei requisiti per i sistemi primari in un’ordinanza sulla cartella informatizzata del paziente, poiché gli istituti devono già osservare le disposizioni cantonali in materia. Visto il mancato rispetto della sovranità e della sicurezza dei dati dei sistemi primari, il numero 1.4.3 deve essere definitivamente stralciato. K3 e VZK segnalano che i sistemi primari collegati sono probabilmente dei sistemi centrali utilizzati molto di frequente (Hospital Information System - HIS) ai quali si deve poter accedere rapidamente nell’attività corrente. Il numero 1.4.3 deve essere limitato in modo da essere applicato solo in caso di accesso alla cartella informatizzata del paziente da un sistema primario. SSIM e FMH constatano che nei numeri 1.4.3 / 1.4.3.1 si prescrivono delle esigenze in materia di sistemi primari e chiedono quindi di eliminare le disposizioni sull’autenticazione dei sistemi primari. OFAC osserva che le comunità non possono garantire nulla riguardo ai sistemi primari, perché non ne sono né proprietarie né responsabili. I sistemi primari non sono di responsabilità delle comunità.

Secondo BHF, dal numero 1.4.3.1 si potrebbe dedurre che i diritti di accesso si applichino anche ai documenti caricati, cioè ripresi nel sistema primario dalla piattaforma eHealth. Ci si chiede se s’intende che nel sistema primario è integrata una «finestra della cartella informatizzata del paziente» e che quindi non si lavora più nel sistema primario, ma che si visualizza esclusivamente un contenuto del browser sulla cartella informatizzata del paziente. La differenza sarebbe notevole e avrebbe delle ripercussioni dirette sui diritti di accesso, come già commentato a proposito dell’OCIP (art. 8, lett. e). Nella pratica non s’impiegano quasi mai tali procedure di autenticazione nei sistemi primari. Sono inoltre numerose le persone che non sono registrate nell’HPI perché non richiedono un accesso alla cartella informatizzata del paziente, ma che lavorano con i sistemi primari e potrebbero pertanto accedere ai documenti caricati. Ciò eluderebbe i presupposti della cartella informatizzata del paziente. Secondo KSSG il numero 1.4.3.1 comporterebbe che gli utenti dovrebbero usare un’autenticazione a due fattori per accedere a ogni applicazione che in qualche modo comunica con la cartella informatizzata del paziente, sia come fonte di documenti sia come fruitore di documenti. Le comunità devono garantire che tutti i sistemi tecnici, come p. es. i sistemi primari, utilizzino una procedura di autenticazione forte per accedere alla