Rapporto sui risultati

di quale conferma si tratti. È quindi necessaria una precisazione o una riformulazione. Per limitare il rischio di abusi, ahdis propone di precisare al numero 4.8.3.8.1 «die Serial ID, HASH des TLS-Clientzertifikats» al posto di «TLS-Clientzertifikat». Riguardo al sistema primario come attore IHE, OFAC critica che nell’elenco mancano le interfacce fra la comunità e il resto del mondo. Non è obbligatorio che il trasporto e lo scambio fra i sistemi primari e la comunità avvenga secondo il protocollo IHE. In generale tutte le interconnessioni fra la comunità e terzi dovrebbero far parte dell’inventario in qualità d’interfacce.

4.9 Requisiti in materia di protezione e sicurezza dei dati per le strutture sanitarie affiliate e i loro professionisti della salute nonché per i loro terminali (lett. e)

HIN si rallegra dei requisiti posti ai terminali. SSIM e FMH criticano che i requisiti previsti per le strutture sanitarie aderenti e i loro professionisti della salute violano la sovranità dei sistemi primari. Chiedono la revisione di tutta la sezione e in particolare lo stralcio dei numeri 4.9.1.2.3, 4.9.2 e 4.9.3. A parere di VGIch, il SIEM deve limitarsi a quelle parti tecniche e organizzative dell’infrastruttura di una comunità che servono a mettere a disposizione la cartella informatizzata del paziente, e non deve essere applicato alle estensioni (separate logicamente) destinate a fornire una comunicazione orientata né all’infrastruttura e organizzazione degli istituti aderenti. Un numero a sé stante dovrebbe prescrivere una separazione esplicita. OFAC osserva che le comunità non possono garantire qualcosa che riguarda le strutture aderenti, di cui non sono né proprietarie né responsabili. Il ruolo della comunità nei confronti delle strutture aderenti si limita a descrivere i requisiti tecnici e organizzativi delle loro interfacce.

4.9.2 / 4.9.3: Terminali sicuri per i professionisti della salute: BINT scrive che attraverso il numero 4.9.2 la responsabilità viene trasferita agli aderenti, cosa di per sé accettabile. Questo requisito non può essere però né imposto né sanzionato, oltre a superare l’ambito di competenza della LCIP, e va quindi stralciato. ISSS preferirebbe un testo corredato di una lista di esempi e propone quindi la seguente formulazione: «[…] Endgeräte sicherzustellen (z.B. auch speziell eingeschränkt für Internet-Nutzung, Visual- oder Audio-Aufnahmen, Datentransfers, Synchronisationen), die von den Gesundheitsfachpersonen […]».Posta osserva in riferimento ai numeri 4.9.2 e 4.9.3 che le comunità non possono controllare né validare i singoli computer collegati. Questo requisito non è realizzabile; le comunità devono definire i requisiti di sicurezza per gli utenti nelle loro condizioni generali. Integic dichiara quanto segue nel suo commento sul numero 4.9.3: «Personenspezifische Benutzer und definitives Verbot / Verweigerung von Sammel- oder Gruppenbenutzerzugängen» e chiede di completare il numero in questo senso. A parere di VGIch, il numero 4.9.3 costituisce un’ingerenza nelle competenze di esercizio degli ospedali e deve quindi essere stralciato. È infatti sufficiente un contratto fra comunità e struttura sanitaria. Per K3, VZK, ZAD e il Cantone ZH si tratta di punti scontati, che sono già rispettati nella pratica. Il numero 4.9.3 deve essere stralciato o altrimenti semplificato attraverso una disposizione generale e astratta da inserire nell’OCIP. VAKA, K3 e VZK segnalano che un firewall non è un elemento sul terminale del professionista della salute e propongono di stralciare il testo in questione o di adeguare il titolo del capoverso. OFAC scrive che il rapporto fra comunità e strutture sanitarie aderenti è di natura meramente contrattuale. Se l’UFSP decide di assoggettare i professionisti della salute a disposizioni e norme severe sulla sicurezza dell’informazione e la protezione dei dati, ciò non dovrà avvenire attraverso la cartella informatizzata del paziente, perché nella LCIP non vi è una base legale a riguardo.

4.10 Requisiti in materia di protezione e sicurezza dei dati per il personale (cpv. 1 lett. f)

ZAD e i Cantoni NW e ZH ribadiscono il parere espresso sul numero 4.6, al quale si associano anche K3 e VZK per il numero 4.10.

4.10.1: ÄTG e HÄ CH evidenziano che la protezione dei dati e una corretta gestione dei dati sensibili rappresentano già oggi un compito importante per i professionisti della salute. Nella realizzazione degli obiettivi previsti per le comunità è però importante fare in modo che le esigenze vengano raggiunte con buon senso, oculatezza e un onere tollerabile in termini di tempo e finanze (vantaggio marginale). Posta chiede se si tratta qui dell’esercizio dei sistemi della LCIP, come amministrazione, engineering, helpdesk, ecc. e desidera una concretizzazione.