Sul vostro server, con le vostre chiavi

La domanda a cui nessun fornitore risponde in modo chiaro

«Potete leggere le mie cartelle cliniche?» La maggior parte dei sistemi gestionali per studi clinici risponde con una politica: che non lo fanno, che esiste un controllo degli accessi, che il personale è vincolato al segreto professionale. Con ogni probabilità è vero. È anche una promessa, e una promessa è altra cosa da un’impossibilità.

Se Anotera è eseguito presso di voi, la risposta è un’altra: no, e non è una cosa che abbiamo deciso noi. Le cartelle cliniche sono cifrate con una chiave per ciascun clinico, che nasce sulla vostra macchina nel momento in cui viene eseguita l’installazione. Non la lascia. Non possiamo recuperarla e non possiamo essere costretti a consegnarla.

L’altra metà della frase compare nello stesso corpo di testo durante l’installazione: se una chiave viene persa, le cartelle cliniche di quel clinico non sono più leggibili. Nemmeno da noi. È questo il prezzo, e va detto ad alta voce prima che qualcuno dica sì — non in una nota a piè di pagina, dopo.

Uno script, dodici minuti

Vi servono un server con Docker, un dominio che punti a esso e le porte 80 e 443 aperte. Il resto è un solo script, che può essere eseguito anche da chi non lavora con i server tutti i giorni:

bash anotera-opsaet.sh --tjek     # er maskinen klar?
bash anotera-opsaet.sh            # sæt op

Chiede il nome dello studio, il vostro dominio e chi deve avere accesso. Poi genera le chiavi, scrive la configurazione, ottiene il certificato e avvia cartella clinica, prenotazioni e video. Alla fine sullo schermo resta una cosa da fare prima di chiudere la finestra: annotare le chiavi e consegnarle di persona.

Lo script verifica il DNS prima di fare qualsiasi altra cosa. Un certificato che non può essere ottenuto, infatti, produce un errore che somiglia a molte altre cose — e si finisce per cercare nel posto sbagliato per un’ora.

L’intero sistema, non una versione ridotta

Cartella clinica con cifratura per ciascun clinico. Calendario con trascinamento, conflitti e più partecipanti per appuntamento. Prenotazione con identificazione, così che lo stesso cliente non diventi due cartelle cliniche. Lista d’attesa che trasforma una disdetta in una seduta. Videoconsulto con registrazione, a cui il cliente deve acconsentire di persona. Pagina del cliente, dove il cliente vede i propri appuntamenti. Esportazione di tutto, senza chiedere il nostro permesso.

L’ultimo punto merita una seconda lettura. Uno studio che non può portare fuori le proprie cartelle cliniche non può recedere dal contratto con il proprio fornitore senza venire meno al proprio obbligo di conservazione. L’esportazione si trova quindi dietro allo stesso pulsante di tutto il resto, e funziona senza che nessuno debba approvarla.

Quattro cose che non si attivano da sole

Queste richiedono qualcosa che solo voi potete procurare, perché sono accordi intestati a voi — non a noi:

• Backup. Lo script li configura, ma siete voi a scegliere dove conservare la copia fuori dalla macchina. Una copia sullo stesso disco protegge da un errore, non dal guasto del server.
• SMS. Un account proprio presso un gateway. Fino ad allora il sistema conta i messaggi invece di inviarli — e lo dichiara sullo schermo, così che nessuno creda che un promemoria sia in partenza.
• Bozze di nota. Un accordo proprio con un fornitore di modelli linguistici. Non lo attiviamo per impostazione predefinita: le trascrizioni verrebbero altrimenti inviate da qualche parte senza che nessuno abbia detto sì.
• Rendicontazione a «danmark». Il vostro numero di clinico e il vostro accesso. Il sistema prepara le rendicontazioni complete e le lascia come bozze finché la cosa non è a posto.

Non sono lacune che ci siamo dimenticati di menzionare. È la differenza tra un sistema che gira presso di voi e uno che gira presso di noi: gli accordi sono anche vostri.

Ciò che non è ancora abbastanza buono

L’installazione è stata provata su una macchina pulita e funziona. Non è stata provata su venti diversi fornitori di server, e non dispone di un percorso di aggiornamento eseguibile senza leggere una guida. Se volete gestirlo da soli oggi, vi serve qualcuno che se la senta di aprire un terminale.

Se invece siete ospitati presso di noi, quella parte la prendiamo in carico noi. La differenza in termini di riservatezza è reale: in quel caso le chiavi le abbiamo noi, e la risposta alla domanda di cui sopra torna a essere una promessa invece di un’impossibilità. Entrambe le soluzioni sono difendibili. Semplicemente non sono la stessa cosa, e preferiamo dirlo che non dirlo.