IL RISULTATO ERA GIUSTO. IL NOME NO.
- Francesco Lazzari
- 7 ago
- Tempo di lettura: 9 min
Identificazione e trascrizione nel POCT: un dato analiticamente valido diventa clinicamente falso quando finisce nella cartella sbagliata
Una notizia emersa il 6 agosto 2026 ha mostrato le conseguenze estreme che può avere un campione attribuito alla persona sbagliata. Nella diagnostica di prossimità l’errore d’identità può nascere in pochi secondi: un profilo selezionato male, un codice digitato a mano, un barcode aggirato o un risultato copiato. La qualità non comincia dal reagente. Comincia dalla certezza di sapere a chi appartiene il dato.
Il 6 agosto 2026 l’Associated Press ha raccontato la storia di una donna della Georgia che afferma di aver subito un’isterectomia non necessaria dopo che un campione tissutale appartenente a un’altra paziente sarebbe stato associato al suo nome.
Secondo la ricostruzione dell’Associated Press, la donna ricevette nel marzo 2025 una diagnosi di tumore endometriale aggressivo e fu operata nel maggio successivo. A settembre, un’analisi del DNA avrebbe mostrato che il tessuto maligno non era il suo.
Occorre essere precisi. Questi fatti sono esposti in una causa appena depositata e non risultano ancora accertati da una sentenza. Non è pubblicamente noto in quale passaggio sia avvenuto l’errore. L’organizzazione sanitaria coinvolta ha dichiarato che la paziente non avrebbe dovuto vivere quell’esperienza, di aver adottato misure correttive e di voler affrontare il caso in modo responsabile.
Il caso riguarda l’anatomia patologica statunitense, non il POCT italiano. Non può essere usato per accusare laboratori, farmacie o dispositivi di prossimità.
Può però ricordarci una verità difficile: un esame può essere tecnicamente corretto e produrre una decisione devastante se appartiene alla persona sbagliata.
Nel POCT questo rischio è spesso meno visibile. Non ci sono sempre provette che attraversano reparti, accettazioni e laboratori. La persona è davanti all’operatore, il campione viene analizzato sul posto e il risultato compare in pochi minuti. Proprio questa apparente semplicità può indurre a considerare l’identificazione un passaggio amministrativo.
Non lo è. È il primo controllo di qualità.
La macchina misura il campione, non riconosce la persona
Un analizzatore può verificare la temperatura, leggere il barcode del reagente, bloccare un lotto scaduto, controllare il volume e produrre un risultato con precisione eccellente.
Ma se prima dell’analisi è stato selezionato il profilo di Mario Rossi invece di quello di Mauro Rossi, lo strumento non può sapere che quel valore non appartiene alla cartella aperta.
Nella diagnostica centralizzata l’identità deve rimanere collegata al campione lungo una catena fisica e informatica. Nel near-patient testing la catena è più corta, ma non scompare. Cambia forma:
persona → identificazione → richiesta o finalità → campione → analizzatore → risultato → documento → sistema informativo → eventuale FSE → decisione clinica.
Ogni freccia è un possibile punto di scambio.
Un errore può nascere quando:
viene cercato il paziente per nome e si seleziona un omonimo;
la data di nascita viene confermata con una domanda chiusa anziché dichiarata dalla persona;
il codice fiscale è digitato manualmente;
si utilizza un profilo generico per evitare una registrazione lenta;
il test viene eseguito offline e riconciliato in seguito;
risultati di più persone vengono stampati insieme;
il valore viene ricopiato a mano in un gestionale;
un familiare presenta una tessera sanitaria non propria;
un operatore usa le credenziali del collega;
una correzione cancella il dato originario senza lasciare traccia.
Il risultato può quindi essere analiticamente valido, ma clinicamente falso per quella persona.
Il dato del 2026: la trascrizione manuale non è un dettaglio
Nel maggio 2026 è stato pubblicato lo studio Lost in Transcription, condotto al Royal Melbourne Hospital.
I ricercatori hanno confrontato i valori registrati automaticamente dal sistema POCT con quelli trascritti manualmente nelle schede cartacee. Hanno analizzato 4.391 misurazioni di glicemia e 378 di chetoni relative a 250 ricoveri.
Tra le glicemie:
il 7,4% non era stato riportato nella cartella;
il 13% era stato trascritto in modo non corretto;
il 54% delle glicemie inesatte presentava una discrepanza considerata dagli autori potenzialmente significativa sul piano clinico;
il 36% degli orari risultava trascritto in modo inesatto e, in un terzo di questi casi, la differenza superava quindici minuti.
Per i chetoni, il 41% delle misurazioni non era stato riportato e l’8% era stato trascritto in modo errato.
È uno studio retrospettivo ospedaliero, basato su uno specifico sistema e su documentazione precedente all’introduzione della cartella elettronica locale. Non descrive le farmacie italiane e non consente di applicare quelle percentuali a ogni rete POCT.
Dimostra però che il passaggio manuale dal display al documento può alterare valore, presenza e collocazione temporale del risultato. E ricorda un principio spesso trascurato: non basta che lo strumento abbia misurato correttamente; anche il trasferimento deve essere validato.
La connessione automatica può ridurre gli errori di copiatura. Non risolve, da sola, l’identificazione: se il profilo sbagliato è stato associato prima del test, l’automazione trasferirà con grande efficienza il risultato alla cartella sbagliata.
Gli errori che vediamo e quelli che non riconosciamo
Nel febbraio 2026 una revisione sistematica e metanalisi su 2.794.987 casi di anatomia patologica ha stimato 16,71 errori preanalitici ogni mille casi, 40,17 errori ogni mille quando la ricerca era attiva all’interno del laboratorio e 4,94 errori di campione riportati ogni mille casi.
Gli intervalli di confidenza erano ampi e gli studi molto eterogenei. Gli autori hanno sottolineato che definizioni e metodi di rilevazione non standardizzati rendono incerta la prevalenza reale.
Anche questi dati riguardano i tessuti e non sono trasferibili numericamente al POCT. Il loro contributo è metodologico: più un’organizzazione cerca gli errori con strumenti attivi, più ne trova. L’assenza di segnalazioni può indicare sicurezza, ma può anche indicare che nessuno sta misurando i quasi-eventi.
Un risultato associato alla persona sbagliata viene scoperto più facilmente quando è biologicamente implausibile: un valore incompatibile con la storia, un gruppo sanguigno discordante, una variazione impossibile.
È molto più difficile riconoscerlo quando il dato è plausibile per entrambe le persone. Una glicemia moderatamente elevata, un’HbA1c vicina alla soglia o una CRP intermedia possono entrare nella cartella sbagliata senza generare alcun allarme tecnico.
L’errore più pericoloso non è sempre quello evidente. È quello credibile.
Il barcode aiuta. Non sostituisce il processo
Una revisione sostenuta dai Centers for Disease Control and Prevention ha analizzato 17 studi osservazionali sull’identificazione mediante barcode, sette dei quali riguardavano il POCT. Tutti gli studi favorivano l’uso del barcode; per il point of care, l’effetto aggregato indicava una netta riduzione degli errori di identificazione. Il CDC considera il barcode una buona pratica, pur trattandosi di evidenze prevalentemente ospedaliere e non recenti.
Nel 2026 è stato inoltre pubblicato l’aggiornamento scientifico della SAFER Guide sull’identificazione del paziente, sviluppata negli Stati Uniti per l’uso sicuro delle cartelle elettroniche. Le raccomandazioni rafforzano:
visualizzazione della fotografia del paziente;
identificazione elettronica con barcode o radiofrequenza;
valutazione della biometria nella registrazione e al point of care;
controlli dell’identità al momento dell’ordine e dell’erogazione della prestazione.
La guida ufficiale ONC, aggiornata il 6 maggio 2026, non è una norma italiana e alcune soluzioni, soprattutto biometriche, richiedono una valutazione rigorosa di proporzionalità, protezione dei dati e impatto.
Il suo messaggio, però, è applicabile: la sicurezza nasce da più barriere coerenti, non da un unico controllo.
Il barcode può essere stampato per la persona sbagliata, scansionato lontano dal paziente, aggirato quando non viene letto o associato a un profilo generico. Anche una tecnologia efficace fallisce se il flusso reale consente scorciatoie.
La domanda non è quindi «abbiamo lo scanner?». È: il sistema impedisce davvero di procedere quando identità, paziente, campione e richiesta non coincidono?
Due identificatori non sono due domande suggerite
Una procedura robusta dovrebbe chiedere alla persona di dichiarare attivamente almeno due identificatori coerenti con la registrazione, per esempio nome e cognome, data di nascita e, quando appropriato, codice fiscale.
«Lei è il signor Rossi nato il 5 maggio?» è una conferma debole. Una persona distratta, fragile, ipoacusica o convinta che l’operatore abbia già verificato può rispondere sì.
«Mi dice nome, cognome e data di nascita?» obbliga invece a confrontare una risposta non suggerita con il record aperto.
La postazione, l’orario dell’appuntamento, il numero eliminacode o il volto riconosciuto dall’operatore non sono identificatori sufficienti. Neppure la presenza fisica della persona elimina il rischio di selezionare il record sbagliato sullo schermo.
In farmacia esistono inoltre situazioni che richiedono procedure specifiche:
omonimie e omocodie;
cittadini senza codice fiscale disponibile;
minori accompagnati;
persone incapaci di rispondere;
caregiver che gestiscono più familiari;
screening anonimi o pseudonimizzati;
dispositivi utilizzati durante un’interruzione della rete;
riconciliazione di record temporanei;
correzione di dati anagrafici successiva al test.
Non basta scrivere «verificare l’identità». Bisogna stabilire che cosa fare quando l’identificazione ordinaria non è possibile.
La normativa non considera l’identità un dettaglio
La legge 8 marzo 2017, n. 24 definisce la sicurezza delle cure parte costitutiva del diritto alla salute e la collega alla prevenzione e gestione del rischio connesso all’erogazione delle prestazioni sanitarie.
L’associazione tra risultato e persona rientra pienamente in questo perimetro: un dato esatto attribuito al soggetto sbagliato è un rischio clinico, non soltanto informatico.
Il Regolamento generale sulla protezione dei dati, all’articolo 5, richiede che i dati personali siano esatti e, quando necessario, aggiornati; prevede inoltre che siano adottate misure ragionevoli per cancellare o rettificare senza ritardo i dati inesatti rispetto alle finalità del trattamento.
Nel caso sanitario la rettifica non può essere interpretata come cancellazione silenziosa della storia. Servono versioni, motivazione, autore, data, destinatari informati e conservazione dell’audit trail secondo le regole applicabili.
Il Fascicolo sanitario elettronico aumenta la disponibilità del dato, ma può anche estenderne la propagazione. Un risultato associato all’assistito sbagliato può essere consultato da professionisti diversi, entrare nella ricostruzione clinica e influenzare decisioni successive.
Il Garante per la protezione dei dati personali, nel parere del 23 giugno 2025 sul FSE, ha continuato a richiamare l’attenzione sulle garanzie necessarie per il trattamento dei dati sanitari. Per il POCT il punto operativo è semplice: prima dell’interoperabilità viene l’identità. Un documento trasmesso correttamente non è affidabile se è nato nel record sbagliato.
Anche la conformità al Regolamento (UE) 2017/746 non risolve da sola il problema. L’IVDR governa dispositivo, destinazione d’uso, prestazioni e responsabilità degli operatori economici; la corretta associazione del risultato al paziente dipende anche dall’architettura del servizio, dalle interfacce e dal comportamento degli utilizzatori.
Il test dovrebbe bloccarsi prima dell’errore
Una rete POCT sicura non dovrebbe affidare l’identità soltanto alla memoria dell’operatore. Dovrebbe progettare barriere lungo l’intero percorso.
Prima del campione
Il sistema dovrebbe aprire un record univoco, mostrare in modo leggibile più identificatori e richiedere una verifica attiva. In contesti appropriati può essere utile una fotografia, purché gestita con base giuridica, informazione e protezioni adeguate.
Il profilo generico non dovrebbe poter produrre un documento clinico definitivo. Se il servizio prevede uno screening anonimo, deve esistere un percorso separato, coerente e non ambiguamente riconciliabile con una cartella nominativa.
Al momento del test
L’identificatore del paziente dovrebbe essere acquisito vicino alla persona e collegato alla specifica sessione analitica. L’identità dell’operatore deve essere distinta da quella del paziente e associata a competenza, autorizzazione e scadenza formativa.
Il dispositivo o il middleware dovrebbero bloccare combinazioni incoerenti, segnalare duplicati e impedire che risultati di persone differenti rimangano contemporaneamente aperti senza indicazioni visive chiare.
Durante il trasferimento
Il collegamento con LIS, gestionale o cartella dovrebbe essere validato sia con risultati normali sia con valori estremi, caratteri speciali, record duplicati, perdita di connessione e aggiornamenti software.
Non basta verificare che «il numero arrivi». Bisogna dimostrare che arrivino insieme:
paziente corretto;
risultato e unità corretti;
data e ora reali;
dispositivo e sede;
operatore;
lotto e stato dei controlli, quando previsti;
flag e commenti senza alterazioni;
versione del documento.
Dopo la pubblicazione
Una correzione deve attivare un processo: sospensione dell’uso clinico del dato errato, verifica dell’identità di entrambe le persone coinvolte, emissione della versione corretta, avviso ai destinatari che possono aver agito sul risultato e analisi dell’evento.
Eliminare una riga dal gestionale non riporta indietro una decisione già presa.
Le verifiche che una rete dovrebbe simulare
Prima dell’avvio, e poi periodicamente, sarebbe utile simulare scenari realistici:
due persone con stesso nome e anno di nascita;
tessera sanitaria appartenente a un familiare;
scansione impossibile e richiesta di inserimento manuale;
interruzione della rete durante il test;
risultato prodotto con record temporaneo;
profilo corretto anagraficamente dopo la trasmissione;
annullamento di un documento già inviato;
operatore che tenta di usare credenziali non proprie;
due risultati stampati in successione;
valore incompatibile con la storia clinica.
Ogni prova dovrebbe avere un esito atteso e documentabile. Se la soluzione dipende da «l’operatore se ne accorge», il controllo è fragile.
Gli indicatori che rivelano le scorciatoie
Il numero di test eseguiti non racconta la qualità dell’identificazione. Servono indicatori capaci di rendere visibili le deviazioni:
percentuale di inserimenti manuali dell’identità;
profili generici o temporanei ancora aperti;
record duplicati e fusioni anagrafiche;
scansioni aggirate o ripetute;
risultati non trasferiti o trasferiti in ritardo;
discrepanze tra valore strumentale e documento;
correzioni successive alla pubblicazione;
credenziali condivise;
quasi-eventi segnalati dagli operatori;
tempo necessario per bloccare e correggere un risultato attribuito male.
Un’organizzazione che non registra i quasi-eventi può apparire perfetta proprio perché non vede le proprie fragilità.
L’identità è una responsabilità condivisa
L’industria deve progettare dispositivi e software che rendano difficile l’errore: identificazione leggibile, blocchi configurabili, barcode affidabili, audit trail, gestione sicura dell’offline e interfacce validate.
Farmacisti, infermieri e altri operatori POCT devono verificare attivamente la persona davanti a loro e rifiutare le scorciatoie che trasformano la velocità in ambiguità.
Il biologo e il laboratorio di riferimento possono contribuire alla progettazione del processo totale, alla validazione delle interfacce, alla gestione dei record discordanti e all’audit degli errori preanalitici e postanalitici.
Il medico deve poter riconoscere provenienza, metodo e contesto del dato e disporre di un canale rapido quando il risultato appare incompatibile con la storia.
I responsabili informatici e privacy devono evitare duplicazioni, commistioni e accessi impropri senza progettare sistemi tanto rigidi da incentivare gli operatori ad aggirarli.
È questo il ponte tra industria, formazione e territorio: non aggiungere controlli separati, ma costruire una sola catena d’identità verificabile dal dito del paziente fino al documento clinico.
Il primo valore da misurare
La diagnostica di prossimità promette di avvicinare il risultato alla persona. Ma vicinanza fisica e identità certa non sono sinonimi.
Possiamo acquistare un analizzatore accurato, eseguire controlli perfetti, formare l’operatore e trasferire il dato in tempo reale. Se il record aperto non è quello giusto, tutta quella qualità lavorerà per la persona sbagliata.
L’identificazione non è burocrazia prima del test. È il primo valore che il sistema deve misurare, anche se non compare sul referto.
Perché un numero sbagliato può essere riconosciuto e ripetuto. Un numero corretto nella cartella sbagliata può sembrare vero per anni.
Nelle vostre reti POCT sapreste dimostrare, per ogni risultato, non soltanto che è accurato, ma che appartiene alla persona giusta dal momento del campione fino al FSE?
Commenti