Introduzione della tracciabilità dei dati all'ASL di Brindisi

SUMMARY Introduction The important progress of ICT technology gives us the possibility to improve the quality of our life. We can even notice how the positive trends of technological and social evolution are linked together: in fact if on one hand new technology creates social habits not yet evident (such as the use of the web, of the blog, etc.), on the other hand particular needs find the right solutions only through technologies made ad hoc for specific situations (like the home-care systems). A very fertile ground for the development and the application of innovation in the field of ICT is the Healthy field. European people are getting old very fast, as epidemiological data show, so it is estimated that people over 65 will grow from 17% in 2005 to 30% in 2050 (Eurostat source). The consequence is an increase of the demand of facilities as far as healthy assistance is concerned, so that in this field it is expected efficiency in this field and good results. This trend has seen, since 1997, the dizzy growth in percentage, on the national PIL and a growth of healthy charges in all the countries which belong to the Organization for Economic Cooperation and Development (O.E.C.D.). It is even estimated that this charge will be trebled within 2020, so the challenge is to reduce the unnecessary charges to improve abilities and competences and to offer a more efficient healthy service. Considering the great capital of information which belongs to the healthy field, it emerges the importance of ICT applications in order to improve the effectiveness of the whole system, reducing or restraining the costs and taking advantage of new funds to invest in 13 health and wellness. Thanks to the spreading of e-Health instruments and to the development of medicine, the health assistance can aim to the personalization of services, which may offer different ways of developed prevention in order to reduce the recourse to healthy system (in this case wellness, prevention and integrated healthy cares…). Information and Communication Technology allows to monitor, in real time, patients who do not live on the spot, sending to the doctor the alert, if it is necessary (especially for heart disease patients), without limiting their daily activities but trying to improve their quality of life. Health and wellness are strictly linked to the improvement of bureaucracy, that is to say that healthy services have to be integrated to the management of the risk, considering the management of medical practices (risk of medical mistakes) and economical factors. The most important challenge is the integration of health services with those of the public administration, such as socio-sanitary net and public administration net or insurance systems. The new medical technologies and the new ways of catching and using information are the two most important aspects which are expected to revolutionize the healthy field. It is necessary to encourage the collaboration between healthy services and operators trying to “move” information instead of people, in order to define improved systems of prevention thanks to the results of genomics and to create personal paths of healthy care, which consider the specificity of each patient. This complex and developed path must moreover consider a fundamental driver of healthy field: the so-called “equity”, that is the possibility everybody can have to reach the developed services offered by the whole social system without discrimination. Importance of security in the healthy field What is the role of security? At the ASL of Brindisi, we can see the transformation from a system based on a weak computerized system, or based on an incomplete computerization, to a system based on the efficiency of the administration and strongly distributed to satisfy the demand. Computerized solutions are of great impact on the life of the hospital. Fig. 1 shows a synthetic view of the flow of data into the hospital of the ASL of Brindisi, so we have two kinds of interpretation: the vertical line shows the different steps of the treatment process ( from the clinical tests to administrative section); the horizontal line shows the patients who come into the hospital and go away with their medical report. Each step is 14 linked to several computerized standard: medical (DICOM, HL7, references for the eHR management,…) and administrative (HL7 and regional owner standard). Beside we can see the world of the home-care with further technology (Body Sensors Networks, Smart Homes, mobile technologies and home automation,…) which send data to the hospital. In all this scheme computerization is not entirely distributed. Fig. 1 : evolutive scheme of hospital facilities and computerized references involved. The several steps of computer maturity and the several integration of hospital computer systems are not always easy to apply, especially in the application step. To this, we can associate the heterogeneity of hospital computerized references and their respective incompatibility, and the great value of the asset managed by these systems. This gives us an interesting picture of the situation. The hospital computerized systems and even the computerized system of the ASL of Brindisi, are strongly distributed and complex and they must carry critical information (the Health asset belongs to the so-called hard core of the privacy regulations). Beside this element it is necessary to consider the great fragmentary nature of computerized standards in the field of health. Only recently societies linked to DICOM and HL7 have started to deal with security, but that is not enough. The most important thing is the almost total lack of the so-called “fire-proof”, so it is a fact the lack of real reactions against Health Institutions (either outside or inside the hospital). Today the implemented systems are due to the best practices which have not been created 15 in healthy contexts. They have been criticized because of their connection to the net. This lack of “specific” experience is probably the main characteristic, which differs the computerized systems from those belonging to the banks, under pressure for a long time. Legislation imposes the clauses and the rules, in order to manage security and to protect personal information, but often the solutions which have been taken are not suitable enough to avoid the attacks (properly prepared for the healthy world). The result is that the “hospitals” are not able to change themselves, from a physical point of view, in order to offer net services (to the operators and to the patients). So the ASL of Brindisi has to provide computerized references, which can give in a simple way, the protection of patients’ health and the protection of their private life. Today, the regulation in force allows the health system to deal with patients directly, but at the same time, it makes every effort to protect them. As a matter of fact, private data of the patients are strictly guarded. This is, probably, the critic point healthy systems have to face, because they are responsible from a civil, penal and administrative point of view. Anyway, healthy systems make every effort to guarantee patients’ privacy, as a matter of fact the d. lgs 196/2003 controls the protection of privacy, especially in the healthy field, in an organic and complete way. The ASL of Brindisi has accepted this provision in order to gain this end in order to make use of the right structural and logistic measures.

SOMMARIO Introduzione Le forti spinte evolutive delle tecnologie ICT generano contributi estremamente preziosi per il miglioramento della qualità della vita. Si può addirittura notare come i trend positivi dell’evoluzione tecnologica e sociale spesso si alimentino reciprocamente: se da una parte, infatti, nuove tecnologie creano abitudini sociali non ancora esistenti o manifeste (quali l’utilizzo del web, dei blog ecc.), dall’altra parte bisogni particolari trovano soluzioni adeguate solo tramite tecnologie progettate ad hoc per specifiche situazioni (come nel caso dei sistemi di home-care). Un terreno particolarmente fertile per lo sviluppo e l’applicazione dell’innovazione in campo ICT è il settore sanitario. La popolazione europea, infatti, sta rapidamente invecchiando come si evince dai dati epidemiologici e si stima che gli over 65 passeranno dal 17% del 2005 al 30% nel 2050 (fonte Eurostat). Ne consegue un aumento di richieste di servizi nei confronti dell’assistenza sanitaria, da cui ci si aspetta una sempre maggiore efficienza di procedure ed efficacia di risultati. Questo trend ha già comportato, a partire dal 1997, la crescita vertiginosa, in percentuale sul PIL nazionale, delle curve di spesa per il settore della sanità in tutte le nazioni facenti parte della Organizzazione per Cooperazione e Sviluppo Economici (OCSE). Si stima addirittura che questa spesa sarà più che triplicata entro il 2020. La sfida in questo senso è rappresentata dall’opportunità di ridurre le spese inutili, integrare le competenze e rendere più efficiente il servizio sanitario. 8 Tenendo conto del considerevole capitale informativo che caratterizza il settore sanitario, emerge l’importanza delle applicazioni ICT per migliorare l’efficacia dell’intero sistema riducendo o contenendo i costi e usufruendo di nuovi fondi da investire in salute e benessere. Grazie alla diffusione degli strumenti di e-Health ed ai progressi della medicina, infatti, l’assistenza sanitaria può puntare su una maggiore personalizzazione dei servizi che permettono di offrire modalità di prevenzione evolute, in grado di ridurre il ricorso alle strutture sanitarie (si parla in questo caso di wellness, prevenzione e cure integrate,…). L’Information & Communication Technology consente anche il monitoraggio a distanza dei pazienti in tempo reale, sia dentro che fuori casa, inviando al medico l’allerta in caso di bisogno (si pensi ai cardiopatici), senza però dover subire limitazioni nello svolgimento delle proprie attività quotidiane e con un conseguente miglioramento della qualità della vita dei pazienti. Salute e benessere, inoltre, non possono prescindere da un’ottimizzazione degli aspetti burocratici, il che implica una forte integrazione dei servizi sanitari con quelli di gestione del rischio, sia per quanto riguarda la gestione delle pratiche mediche (rischio di errori medici), sia per quanto riguarda i fattori economici. La principale sfida in questo senso è l’integrazione dei servizi di cura con altri servizi della pubblica amministrazione, quali reti socio-sanitarie e rete amministrativa pubblica o sistemi assicurativi. Le nuove tecnologie mediche e i nuovi modi di catturare e utilizzare informazioni sono i due principali aspetti che si prevede rivoluzioneranno la sanità. Bisogna favorire la collaborazione tra strutture e operatori cercando di “muovere” le informazioni invece delle persone, definire sistemi di prevenzione avanzati grazie ai risultati della genomica, e mettere a punto percorsi di cura personalizzati che tengano conto della specificità dei singoli pazienti. Questo complesso percorso evolutivo deve inoltre fare leva su un driver fondamentale del mondo sanitario: la cosiddetta “equity”, ovvero la possibilità per tutti di accedere con pari opportunità ai servizi evoluti dell’intero sistema sociale. Importanza della sicurezza in ambito sanitario In tutto questo la sicurezza che ruolo gioca? Sostanzialmente, all’interno dell’ASL di Brindisi, si sta assistendo alla trasformazione da un sistema debolmente informatizzato o informatizzato non omogeneamente ad uno che dell’efficienza amministrativa deve fare un vincolo e che per esigenze degli utenti deve essere fortemente distribuito. Le soluzioni informatiche impattano pesantemente su tutta la vita ospedaliera. La Figura 1 mostra una 9 vista sintetica del flusso di dati all’interno di un presidio ospedaliero dell’ASL di Brindisi. Sono rappresentate due chiavi di lettura: in verticale le varie fasi del processo di cura (dagli esami medici fino alla parte amministrativa), in orizzontale i pazienti che entrano nella struttura e ne escono con un referto. Ogni fase è governata da vari standard informatici: medicali (DICOM, HL7, protocolli per la gestione degli eHR,…) e amministrativi (HL7 e standard proprietari regionali). Di fianco troviamo il mondo dell’home-care con ulteriori tecnologie (Body Sensors Networks, Smart Homes, tecnologie mobili e home automation,…) che a loro volta inviano dati all’ospedale. In tutto questo schema l’informatizzazione non è uniformemente distribuita. Figura 1: schema evolutivo dei servizi ospedalieri e protocolli informatici coinvolti. I diversi livelli di maturità informatica e le differenti integrazioni dei sistemi informativi ospedalieri rendono alcuni passaggi non sempre semplici, soprattutto in fase applicativa. A tutto questo possiamo associare da una parte l’eterogeneità dei protocolli informatici ospedalieri adottati e la loro relativa incompatibilità, dall’altra parte l’enorme valore dell’asset gestito da questi sistemi, ne deriva un quadro particolarmente interessante. I sistemi informativi ospedalieri, così come il sistema informativo dell’ASL di Brindisi, sono fortemente distribuiti e complessi e devono veicolare informazioni assolutamente critiche (l’asset sanitario fa parte del cosiddetto nocciolo duro della normativa sulla 10 privacy). Al fianco di questo elemento occorre considerare la grande frammentarietà degli standard informatici del mondo della sanità. Solo recentemente i consorzi legati a DICOM ed HL7 hanno iniziato a stabilire un approccio unificato alla sicurezza, ma ancora molto rimane da fare. La cosa più importante però è la quasi totale mancanza della cosiddetta “prova del fuoco”, è un dato di fatto la mancanza di attacchi reali esplicitamente architettati per agire contro le istituzioni sanitarie (sia dall’esterno che dall’interno). I sistemi oggi implementati derivano dalle best practices nate in contesti non sanitari che hanno subito attacchi generici derivanti ad esempio, dal solo fatto di essere connessi alla rete. Questa mancanza di esperienza “specifica” è forse la principale caratteristica che differenzia i sistemi informativi sanitari rispetto ad esempio a quelli bancari, sotto pressione da tempo. La legislazione stabilisce i vincoli e le norme programmatiche per la gestione della sicurezza e per la protezione delle informazioni personali, ma le soluzioni adottate spesso non sono adeguatamente robuste o meglio, non testate da attacchi veri e originali (appositamente preparati per il mondo sanitario). Il risultato è che gli “ospedali”, dovendo trasformarsi da luogo fisico di cura a rete di servizi (per gli operatori sanitari e per i pazienti), si trovano in grande difficoltà. Allora, è evidente la necessità per l’ASL di Brindisi di dotarsi di protocolli operativi che, senza reintrodurre vuoti formalismi o intralci eccessivi, garantisca al paziente sia la tutela della salute che la tutela della sua sfera privata. Se la normativa attualmente vigente ha, opportunamente, introdotto misure semplificate per quanto attiene al rapporto più immediato tra la persona e la struttura sanitaria, d’altro canto ha, altrettanto opportunamente, dettato una puntuale disciplina delle misure strutturali da adottarsi per tutelare adeguatamente gli interessati. È evidente che la sensibilità dei dati trattati in ambito sanitario richieda un’organizzazione delle strutture tali da garantire standard di riservatezza particolarmente elevati. Questo è, probabilmente, il profilo di maggior criticità per le strutture sanitarie poiché la colpevolezza nell’organizzazione (sia commissiva che omissiva) può dar luogo a profili di responsabilità civile, penale ed amministrativa. D’altronde, da questo punto di vista, non vi sono ragioni che possano giustificare misure che, anche in minima parte, pregiudichino la privacy delle persone. 11 Concludendo, si può affermare che il d.lgs. 196/2003 ha positivamente innovato la disciplina della tutela dei dati personali, specie in ambito sanitario, dandovi una sistemazione completa ed organica. L’ASL di Brindisi è pertanto tenuta ad adeguarsi a tali disposizioni che come si è già avuto modo di dire, intendono tutelare nella sostanza e non solo nella forma la privacy del soggetto coinvolto. A tal fine, quindi, è necessario che vi sia l’adozione delle misure organizzative e strutturali necessarie per tale adeguamento.