Marca temporale nel referto medico: cos'è, a cosa serve e perché non tutti i software la includono
In sintesi:- La marca temporale RFC 3161 certifica quando un referto è stato creato e che non è stato modificato dopo, tramite impronta SHA-256.
- Non sostituisce la firma elettronica qualificata eIDAS: sono due strumenti distinti con valore legale diverso.
- La maggior parte dei software di refertazione non la include perché aggiunge complessità infrastrutturale, ma in caso di contenzioso la differenza è sostanziale.
---
Imagina questo scenario: un paziente contesta il contenuto del referto che gli hai consegnato sei mesi fa. Sostiene che tu abbia documentato qualcosa di diverso da quello che aveva realmente riferito, oppure che la data del documento non corrisponda al giorno effettivo della visita. Il tuo gestionale mostra una data, certo. Ma quella data è davvero certificata da qualcuno di terzo e indipendente? O è semplicemente un campo testuale che qualunque sistema potrebbe, in linea teorica, modificare?
Questa è la domanda concreta che la marca temporale nel referto medico aiuta a rispondere.
Il problema: un referto senza data certificata è più fragile di quanto pensi
La marca temporale applicata a un referto medico è uno strumento crittografico che certifica, in modo indipendente e verificabile, due cose precise: che quel documento esisteva in quella forma esatta a partire da un determinato istante, e che non è stato alterato dopo quella data.
Nella pratica ambulatoriale quotidiana, la maggior parte dei referti viene prodotta con un software che imprime una data e un'ora nel testo o nei metadati del file. Il problema è che questa data è generata internamente dal sistema, senza alcuna certificazione esterna. Se domani qualcuno — in buona o cattiva fede — dovesse mettere in discussione il momento in cui quel documento è stato redatto, non avrebbe modo di confutare l'obiezione con uno strumento tecnico oggettivo.
Non si tratta di una preoccupazione astratta. La giurisprudenza civile italiana, in materia di responsabilità sanitaria, tende a valutare la completezza e la credibilità della documentazione clinica come elemento centrale nella ricostruzione dei fatti (Cassazione civile, sez. III, orientamento consolidato post-Legge Gelli-Bianco 2017). Un documento la cui data non sia verificabile in modo indipendente può essere contestato più facilmente nei tempi di redazione, e questo espone il medico a una posizione difensiva più debole.
Spetta al medico — e al suo legale — valutare caso per caso il valore probatorio dei propri documenti. Ma avere uno strumento tecnico che certifichi data e integrità è oggettivamente meglio che non averlo.
Cosa fa la marca temporale RFC 3161 (e cosa non fa)
Lo standard RFC 3161 è il protocollo internazionale per le marche temporali crittografiche. Funziona così: quando un documento viene marcato temporalmente, il sistema ne calcola un'impronta digitale univoca (l'impronta SHA-256, una stringa alfanumerica di 64 caratteri che identifica quel documento in modo univoco al mondo) e la invia a un server di marcatura temporale certificato. Questo server, gestito da un'autorità di fiducia terza, risponde con un token firmato che attesta: «questo documento, con questa impronta esatta, esisteva il giorno X alle ore Y:Z».
Il risultato pratico è duplice. Prima di tutto, puoi dimostrare che il referto esisteva in quella data, indipendentemente da quanto dica il tuo software. Seconda cosa, e forse più rilevante: puoi dimostrare che il documento non è stato modificato dopo quella data, perché qualunque modifica, anche minima, cambierebbe l'impronta SHA-256 e renderebbe il token temporale non più corrispondente al file.
Cosa non fa, invece? La marca temporale RFC 3161 non certifica l'identità del firmatario. Non equivale a una firma del medico sul documento. Non attesta che sei stato tu a redigere quel referto, né che il contenuto clinico sia corretto. Certifica solo che quel testo, in quella forma, esisteva a partire da quel momento.
È una distinzione importante, e va tenuta ben chiara.
Quanto è affidabile l'impronta SHA-256?
L'algoritmo SHA-256 appartiene alla famiglia SHA-2 e produce un hash di 256 bit. La probabilità di una collisione (cioè che due documenti diversi producano la stessa impronta) è talmente bassa da essere considerata computazionalmente impossibile con le tecnologie attuali. L'NIST (National Institute of Standards and Technology) lo raccomanda come standard di riferimento per applicazioni che richiedono integrità documentale. In termini pratici: se l'impronta corrisponde al token, il documento è integro. Se non corrisponde, è stato modificato.
La differenza tra marca temporale RFC 3161 e firma elettronica qualificata eIDAS
Qui molti medici — e molti vendor di software — fanno confusione, ed è una confusione che può avere conseguenze concrete.
Il Regolamento europeo eIDAS (n. 910/2014) definisce diversi livelli di firma elettronica: semplice, avanzata e qualificata. La firma elettronica qualificata ha valore legale equivalente alla firma autografa in tutti gli Stati membri dell'Unione Europea. Richiede un dispositivo sicuro di creazione della firma (tipicamente una smart card o un token USB rilasciati da un prestatore di servizi fiduciari qualificato), e certifica sia l'integrità del documento sia l'identità del firmatario in modo giuridicamente riconosciuto.
La marca temporale qualificata eIDAS è anch'essa un servizio fiduciario qualificato, distinto dalla marca temporale RFC 3161 standard: ha valore legale superiore ed è erogata da prestatori iscritti nell'elenco di fiducia (trust list) nazionali.
Refertius non emette firme elettroniche qualificate o avanzate ai sensi del Regolamento eIDAS, e la marca temporale RFC 3161 che applica ai referti non è una marca temporale qualificata eIDAS. La responsabilità clinica resta del medico.
Detto questo, la marca temporale RFC 3161 offre comunque un livello di tracciabilità documentale significativo rispetto a un documento senza alcuna certificazione esterna. Non è il massimo strumento disponibile sul mercato, ma è già molto più di nulla, e per la stragrande maggioranza dei contesti ambulatoriali privati rappresenta un livello di protezione documentale che pochi competitor offrono di default.
Quando serve davvero la firma qualificata eIDAS?
Per i referti ambulatoriali privati ordinari, l'orientamento prevalente non impone la firma qualificata come requisito obbligatorio. Questa diventa rilevante — e in certi contesti necessaria — per la documentazione inviata telematicamente al SSN, per alcuni tipi di certificazioni INPS, e per documentazione che deve avere valore legale equiparato alla scrittura privata autenticata. Per questi casi, il medico deve dotarsi di un dispositivo di firma qualificata separato, indipendentemente dal software di refertazione che usa.
Perché la maggior parte dei software di refertazione non include la marca temporale
La risposta breve è: complessità infrastrutturale e costi di integrazione.
Implementare correttamente la marcatura temporale RFC 3161 richiede un'integrazione con un servizio di timestamping authority (TSA) esterno, la gestione dei token crittografici, la conservazione sicura degli hash associati a ogni documento, e un sistema di verifica che permetta al medico di controllare in qualunque momento l'integrità di un referto storico. Non è una funzione che si aggiunge con una riga di codice.
I software di refertazione nati come semplici editor di testo — o come moduli di gestionali più ampi non progettati con la tracciabilità documentale come priorità — non hanno questa infrastruttura. Aggiungercela a posteriori significa un intervento architetturale significativo.
C'è anche un altro fattore: fino a pochi anni fa, la sensibilità del mercato su questo tema era bassa. I medici non chiedevano questa funzione, quindi i vendor non la sviluppavano. Il progressivo aumento dei contenziosi in ambito di responsabilità sanitaria, e una maggiore consapevolezza sulle implicazioni medico-legali della documentazione clinica, stanno cambiando la situazione, ma lentamente.
Il risultato è che oggi la maggior parte dei referti prodotti in ambulatorio privato non ha alcuna forma di certificazione crittografica dell'integrità o della data. Sono documenti validi clinicamente, ma documentalmente fragili in caso di contestazione sui tempi di redazione.
Puoi approfondire il tema della conformità documentale e GDPR nella refertazione ambulatoriale per avere un quadro normativo più completo.
Come funziona la marca temporale in Refertius
Refertius applica la marcatura temporale RFC 3161 a ogni referto generato. Il processo avviene automaticamente, senza che il medico debba fare nulla di aggiuntivo: alla generazione del documento, il sistema calcola l'impronta SHA-256 del referto e la invia a una TSA esterna, che restituisce il token temporale certificato. Questo token viene conservato e associato al referto nell'archivio.
In pratica, ogni referto prodotto con Refertius ha tre elementi documentabili in modo indipendente: il contenuto clinico, l'impronta SHA-256 che certifica l'integrità del testo, e il token temporale che certifica il momento di esistenza del documento.
Se in futuro dovesse sorgere una contestazione sulla data di redazione o sul contenuto del referto, il medico — o il suo legale — può verificare crittograficamente che il documento non sia stato alterato dopo la marcatura. Non è una garanzia assoluta di tutela giuridica, perché la valutazione spetta sempre al giudice, ma è uno strumento tecnico oggettivo che supporta la difendibilità della documentazione clinica.
Il sistema funziona anche in ottica di tracciabilità documentale a lungo termine: i referti marcati temporalmente restano verificabili anche a distanza di anni, indipendentemente da aggiornamenti del software o migrazioni di sistema. Per chi gestisce più ambulatori o lavora in strutture con più professionisti, questa continuità è rilevante anche dal punto di vista organizzativo. Puoi esplorare le opzioni di integrazione via endpoint FHIR R4 e API REST se lavori in un contesto multi-professionista.
A differenza di soluzioni che richiedono passaggi manuali per la marcatura, con Refertius il processo è integrato nel flusso di generazione del referto: il medico parla normalmente con il paziente durante la visita, il sistema genera il documento strutturato, e la marcatura avviene contestualmente, senza interruzioni nel flusso di lavoro.
Se vuoi verificare come funziona concretamente prima di qualunque impegno economico, puoi provare Refertius gratis con i primi referti omaggio, senza carta di credito.
Per chi voglia approfondire il rapporto tra documentazione clinica strutturata e protezione in sede di contenzioso, l'articolo sulla conformità del software di refertazione medica offre un quadro più ampio sulle caratteristiche da valutare nella scelta di uno strumento.
---
Scopri Refertius — 3 ore gratis senza carta. Prova la demo gratuita (3 referti omaggio, senza carta)---
Domande frequenti sulla marca temporale nel referto medico
La marca temporale RFC 3161 ha valore legale in Italia?
La marca temporale RFC 3161 ha valore probatorio come prova dell'esistenza e dell'integrità di un documento a una certa data, ma non equivale alla marca temporale qualificata eIDAS, che è un servizio fiduciario qualificato con valore legale più elevato. Secondo l'orientamento prevalente, può essere usata come elemento di prova in sede civile, ma la valutazione concreta spetta sempre al giudice. Per usi che richiedono piena equivalenza alla firma autografa, è necessaria la firma elettronica qualificata, che Refertius non emette.
Qual è la differenza tra impronta SHA-256 e firma digitale qualificata?
L'impronta SHA-256 è un hash crittografico che identifica in modo univoco il contenuto di un documento: certifica che quel testo non è stato modificato, ma non certifica chi lo ha redatto. La firma digitale qualificata eIDAS, invece, certifica anche l'identità del firmatario con valore legale equiparato alla firma autografa. Sono strumenti complementari, non alternativi: l'uno garantisce l'integrità del contenuto, l'altra attesta la paternità del documento.
Se uso Refertius, devo comunque firmare i referti con la mia firma qualificata?
La responsabilità clinica e la paternità del documento restano sempre del medico. Refertius genera il referto e lo marca temporalmente con RFC 3161, ma non emette firme elettroniche qualificate o avanzate ai sensi del Regolamento eIDAS. Se la tua attività o il contesto normativo specifico richiedono una firma qualificata sul documento (ad esempio per certificazioni da trasmettere al SSN), dovrai dotarti di un dispositivo di firma qualificata separato e apporla al documento generato.
Un referto senza marca temporale è invalido?
No, un referto privo di marcatura temporale non è invalido sul piano clinico o normativo. La marcatura temporale RFC 3161 non è un requisito obbligatorio per tutti i referti ambulatoriali privati secondo la normativa vigente. Tuttavia, la sua assenza rende il documento più vulnerabile in caso di contestazione sui tempi di redazione o sull'integrità del contenuto, perché non esiste uno strumento tecnico indipendente che certifichi quando e in quale forma il documento è stato prodotto.
Quanto costa aggiungere la marca temporale a un referto?
Con Refertius la marcatura temporale RFC 3161 è inclusa nel processo di generazione del referto per tutti i piani, senza costi aggiuntivi per singolo documento. I piani disponibili partono dalla prova gratuita con i primi referti omaggio senza carta di credito, fino al piano Individuale a 95 euro al mese con 63 referti inclusi, al piano Struttura a 249 euro al mese per strutture fino a 15 medici con 150 referti condivisi, e all'opzione Enterprise su misura per organizzazioni più grandi. I referti eccedenti il piano costano 1,68 euro ciascuno.
Condividi questo articolo