Un collegamento Bluetooth, Wi-Fi o via cavo può trasferire un valore senza perdere un decimale. Non dimostra però che quel valore appartenga alla persona giusta, al momento giusto e al percorso giusto. Nel POCT la connettività è una funzione tecnica; l’identità del paziente è una barriera di sicurezza.
Un numero può attraversare perfettamente una rete e arrivare comunque nella cartella sbagliata.
È uno degli errori più difficili da vedere. Il controllo qualità è passato. Il dispositivo non segnala anomalie. L’unità di misura è corretta. Il risultato compare nel sistema informativo. Dal punto di vista analitico, tutto sembra funzionare.
Ma se l’identificativo è stato digitato male, scelto da una lista non aggiornata, riciclato da un accesso precedente o associato dopo l’esecuzione, quel dato affidabile può diventare clinicamente pericoloso.
La diagnostica di prossimità sposta il test vicino al paziente. Proprio per questo deve portare vicino al paziente anche l’identificazione, la verifica e la possibilità di bloccare l’errore prima che il valore venga usato.
Bluetooth non significa interoperabilità. Un’icona verde non significa riconciliazione. “Dato inviato” non significa “dato attribuito correttamente”.
Da 61,5 errori al mese a 3: il blocco avveniva prima del test
Un lavoro pubblicato nel 2011 sul Journal of Pathology Informatics resta istruttivo perché descrive un problema concreto, misura il prima e il dopo e mostra dove collocare la barriera.
In un sistema sanitario con circa 2.400 operatori che eseguivano glicemie point-of-care, l’identità poteva essere acquisita leggendo il braccialetto oppure inserita manualmente. I dispositivi trasferivano poi i risultati a un server e da lì alla cartella corrispondente all’identificativo registrato.
Il codice a barre e la formazione non avevano eliminato gli errori.
Il nuovo modello collegava i glucometri a un gestore di interfaccia alimentato dai dati amministrativi di accettazione, dimissione e trasferimento. L’identificativo veniva controllato prima dell’esecuzione e il test era impedito finché la discrepanza non veniva risolta.
La media mensile degli errori di identificazione scese:
- da 61,5 errori al mese, pari allo 0,319%;
- a 3 errori al mese, pari allo 0,015%.
È una riduzione relativa di circa il 95%. Ma il dato va letto per ciò che è: uno studio osservazionale, condotto in un singolo sistema, su una tecnologia e un’organizzazione di oltre quindici anni fa. Non autorizza a promettere la stessa percentuale in ogni rete POCT.
La lezione è ancora attuale: correggere l’identità dopo il trasferimento è più fragile che non permettere al test di iniziare quando l’identità non è verificata.
Il 2026 riporta il contesto dentro la comunicazione del dispositivo
Il 25 maggio 2026 la Food and Drug Administration statunitense ha riconosciuto una versione aggiornata dello standard IEEE 11073-10207, comprendente il Corrigendum 1 del 2025.
Lo standard riguarda la comunicazione dei dispositivi medicali al point of care. Nel modello non vi sono soltanto misure: compaiono impostazioni, allarmi, informazioni di contesto come dati demografici del paziente e posizione, controllo remoto e archiviazione. Il corrigendum interviene anche sul concetto di versionamento.
Il riconoscimento FDA non rende automaticamente conforme qualunque sistema che usi una rete wireless, né sostituisce la validazione del flusso locale. Mostra però una direzione: una comunicazione sicura non è il semplice passaggio di un numero. Deve conservare il significato e il contesto necessari a usarlo.
La ISO/IEEE 11073-10700:2024 colloca inoltre l’interoperabilità dei dispositivi nel punto di cura dentro requisiti tecnici e di processo destinati a sostenere scambi sicuri, efficaci e protetti nelle reti medicali.
Per la diagnostica molecolare portatile, la ISO/TS 7122:2024 rende ancora più concreto il problema: fra i casi d’uso indica la riconciliazione delle informazioni del paziente, l’annullamento e la ripetizione del test e il controllo qualità sul posto. Specifica anche un limite importante: non tratta la cybersecurity.
Questa separazione conta. Identità, semantica, qualità e sicurezza informatica si toccano, ma non sono la stessa cosa. Una connessione cifrata può trasportare in modo protetto l’identificativo sbagliato. Un sistema perfettamente interoperabile può ricevere un dato associato male all’origine. Un dispositivo offline può essere governato in sicurezza se conserva una coda tracciabile e riconcilia senza ambiguità; uno online può generare errori se accetta identificativi liberi o pazienti non più presenti.
Le cinque domande che Bluetooth non può risolvere
Bluetooth descrive un mezzo di comunicazione a corto raggio. Non risponde da solo a cinque domande cliniche.
1. Chi è la persona?
Il dispositivo deve ricevere o verificare identificativi sufficienti, non una sigla improvvisata. I nomi uguali, le omonimie, gli accessi multipli e le anagrafiche temporanee devono avere regole esplicite.
2. Quale episodio di cura è attivo?
La stessa persona può avere più accessi, reparti o percorsi. Collegare il risultato alla persona senza collegarlo correttamente all’episodio può renderlo invisibile a chi deve agire o visibile nel contesto sbagliato.
3. Che cosa misura davvero quel codice?
Un valore senza analita, matrice, unità, metodo e intervallo appropriato non è interoperabilità clinica. È soltanto trasporto. Le abbreviazioni locali e le conversioni non validate possono alterare il significato anche quando la trasmissione è completa.
4. Il dato è utilizzabile?
Stato del controllo qualità, lotto, operatore, esito valido o invalido, commenti, interferenze e ripetizioni possono cambiare la decisione. Un numero privato di questi attributi può apparire più certo di quanto sia.
5. Chi deve fare cosa dopo?
Il sistema deve sapere come notificare un valore critico, documentare la presa in carico, gestire l’assenza di rete, evitare duplicati e riconciliare un paziente temporaneo. La conferma di consegna tecnica non equivale alla conferma di azione clinica.
Due identificatori non sono due campi compilati
La Joint Commission, nelle indicazioni 2026 per i laboratori, chiede di usare almeno due modalità per identificare il paziente e di comunicare i risultati importanti alla persona corretta in tempo. La sua pagina interpretativa, aggiornata il 21 aprile 2026, ricorda che le tecnologie elettroniche possono incorporare più identificatori.
Non è una norma italiana e non va presentata come un obbligo universale per ogni farmacia o servizio territoriale. È però un principio di sicurezza coerente con le soluzioni dell’Organizzazione mondiale della sanità sull’identificazione del paziente: identificare in modo affidabile la persona e associare a lei la prestazione prevista.
Due campi sullo schermo non bastano se provengono dalla stessa fonte errata. Nome e data di nascita digitati manualmente copiando una tessera non sono equivalenti a un’identità selezionata da un’anagrafica autorevole e verificata davanti alla persona. Il numero della stanza non identifica un paziente. La fotografia può aiutare in certi contesti, ma non sostituisce da sola criteri formalizzati e rispetto della riservatezza.
La progettazione dovrebbe privilegiare l’identificazione positiva:
- acquisire l’identità da una fonte autorevole;
- verificare almeno due elementi pertinenti con la persona o il braccialetto;
- controllare che l’episodio di cura sia attivo e coerente con sede e operatore;
- bloccare o mettere in quarantena il test quando i dati non coincidono;
- registrare ogni correzione senza cancellare la storia.
Il principio è semplice: l’operatore deve risolvere l’ambiguità nel punto in cui può ancora guardare il paziente, non ore dopo davanti a una lista di record.
Farmacia, territorio e domicilio: meno braccialetti, più responsabilità
In ospedale l’anagrafica può arrivare dal sistema di accettazione e il braccialetto offre un supporto fisico. Nel territorio il problema cambia forma.
In farmacia una persona può non avere un episodio ospedaliero attivo. Nel domicilio la connessione può essere intermittente. In un ambulatorio mobile si possono usare liste preparate prima. In una campagna di screening può servire un identificativo temporaneo prima dell’allineamento con i sistemi centrali.
Queste condizioni non giustificano scorciatoie. Richiedono un modello più esplicito.
Il servizio dovrebbe definire:
- quali identificatori sono ammessi e chi può crearli;
- come si gestiscono omonimie, documenti mancanti e dati dichiarati;
- quando è consentito lavorare offline;
- come vengono accodati, cifrati e poi riconciliati i risultati;
- chi risolve i record sospesi e in quale tempo;
- come si prevengono unioni e duplicazioni di anagrafiche;
- come il cittadino può segnalare un errore;
- quando un risultato non riconciliato deve essere escluso dall’uso clinico.
Un semplice invio automatico all’app del cittadino non risolve questi punti. Può anzi accelerare la diffusione di un errore, perché il dato diventa subito visibile, condivisibile e potenzialmente usato per decisioni successive.
IVDR: il dispositivo non esaurisce il servizio
Il Regolamento (UE) 2017/746 costruisce il quadro europeo degli IVD attorno a sicurezza, prestazione, gestione dei rischi e informazioni necessarie all’uso sicuro. Per i sistemi che incorporano software, comunicazione e archiviazione non sono dettagli estranei alla sicurezza.
Ma il marchio CE del dispositivo non certifica l’intera architettura locale formata da anagrafica, rete, middleware, configurazioni, cartella, app, regole organizzative e operatori. Il fabbricante risponde del dispositivo e delle funzioni previste; la struttura che configura e usa il sistema deve governare l’integrazione reale nel proprio processo.
Questa distinzione evita due errori opposti.
Il primo è attribuire al dispositivo una responsabilità che nasce dalla configurazione locale. Il secondo è considerare “solo informatica” un’anomalia capace di far finire un risultato nella cartella sbagliata.
La guida FDA sui sistemi diagnostici multiplex osserva esplicitamente che guasti nel software di gestione dati o nei database possono compromettere l’identificazione del paziente o produrre risultati abbinati in modo errato. È un’affermazione regolatoria riferita a quel contesto statunitense, non una classificazione automatica del rischio in Europa; il meccanismo di danno, però, è generale.
Collaudo: provare l’errore, non soltanto il percorso felice
Molti collaudi dimostrano che un risultato normale passa dal dispositivo alla cartella. È necessario, ma insufficiente.
La verifica dovrebbe includere almeno scenari avversi:
- due pazienti con stesso nome e data di nascita simile;
- identificativo inesistente o scaduto;
- paziente trasferito durante l’esecuzione;
- dispositivo rimasto offline per ore;
- cambio di ora, fuso o sincronizzazione errata;
- risultato ripetuto dopo errore preanalitico;
- unità o codice analita non riconosciuti;
- controllo qualità fallito dopo l’ultima sincronizzazione;
- perdita della rete durante l’invio;
- reinvio dopo riavvio, con rischio di duplicazione;
- correzione dell’anagrafica dopo la misura;
- valore critico ricevuto dal sistema ma non preso in carico.
Per ogni scenario servono un esito atteso, un responsabile, una prova documentale e una regola di rilascio. Se il sistema non può impedire l’errore, deve almeno renderlo visibile e confinato.
Gli indicatori che misurano davvero la connettività
Contare la percentuale di dispositivi “online” misura disponibilità tecnica. Non misura sicurezza del dato.
Una rete POCT matura osserva anche:
- risultati senza identificativo valido per 1.000 test;
- test bloccati per incongruenza anagrafica;
- risultati in quarantena e tempo alla riconciliazione;
- duplicati dopo riallineamento offline;
- correzioni di paziente o episodio;
- trasmissioni prive di unità, metodo o stato QC;
- valori critici consegnati e presi in carico nei tempi definiti;
- modifiche di configurazione tracciate;
- percentuale di operatori che usa l’inserimento manuale;
- incidenti e quasi-eventi discussi con laboratorio, clinici, IT e risk management.
Non tutti i blocchi indicano un sistema inefficiente. Alcuni dimostrano che la barriera sta funzionando. La misura utile è quanti errori vengono fermati prima dell’azione clinica e quanti restano sospesi senza proprietario.
Fatti, interpretazione e opinione
Fatto. Nello studio del 2011, l’introduzione di una verifica in tempo reale dell’identificativo prima del test ha ridotto gli errori mensili osservati dallo 0,319% allo 0,015% nel sistema analizzato.
Fatto. Nel maggio 2026 la FDA ha riconosciuto la versione aggiornata di uno standard IEEE per la comunicazione dei dispositivi al point of care, il cui modello comprende misure, allarmi e informazioni contestuali sul paziente e sulla posizione.
Fatto. La ISO/TS 7122:2024 tratta, fra i casi d’uso della PCR portatile, riconciliazione dell’identità, annullamento e ripetizione, controllo qualità e scambio dei risultati; dichiara di non coprire la cybersecurity.
Interpretazione. Questi riferimenti convergono su un punto: la capacità di trasmettere è necessaria, ma non sufficiente per dimostrare che il dato sia clinicamente interoperabile e attribuito correttamente.
Opinione professionale. Nel capitolato di un servizio POCT, il test di identificazione del paziente dovrebbe avere lo stesso peso della verifica analitica. Un risultato accurato associato alla persona sbagliata non è un piccolo difetto informatico: è una decisione clinica potenzialmente sbagliata.
Il dato non deve soltanto arrivare
Un POCT è un ecosistema perché il risultato nasce dall’incontro fra campione, persona, operatore, dispositivo, software, anagrafica, rete e decisione.
Se uno solo di questi passaggi perde l’identità, il sistema può conservare perfettamente il numero e perdere il paziente.
La connettività migliore non è quella che fa comparire più in fretta una spunta verde. È quella che sa dire “non procedere” quando non può dimostrare a chi appartiene il dato, e che conserva la storia di come l’ambiguità è stata risolta.
Nel vostro servizio POCT, quale prova dimostra che un risultato arrivato correttamente appartiene davvero alla persona giusta?
Fonti principali
- Alreja G, Setia N, Nichols JH, Pantanowitz L. Reducing patient identification errors related to glucose point-of-care testing. Journal of Pathology Informatics. 2011;2:22. DOI: 10.4103/2153-3539.80718.
- U.S. Food and Drug Administration. Recognition of IEEE Std 11073-10207-2017, including Corrigendum 1-2025. Data di riconoscimento: 25 maggio 2026.
- International Organization for Standardization. ISO/IEEE 11073-10700:2024 — Base requirements for Service-oriented Device Connectivity.
- International Organization for Standardization. ISO/TS 7122:2024 — Exchange of data generated by portable PCR devices for POCT.
- World Health Organization. Patient safety solutions: patient identification.
- Joint Commission. 2026 Laboratory National Patient Safety Goals.
- Unione europea. Regolamento (UE) 2017/746 sui dispositivi medico-diagnostici in vitro, versione consolidata vigente.
- U.S. Food and Drug Administration. Instrumentation for Clinical Multiplex Test Systems — Class II Special Controls Guidance.