FSE 2.0: dal 31 marzo 2026 la compliance passa anche dalla corretta alimentazione del Fascicolo
A cura del Comitato Scientifico Evaluationdata.it
1. Premessa.
Strutture private, strutture accreditate e professionisti sanitari autonomi: cosa cambia e quali responsabilità.
Il 31 marzo 2026 segna una tappa fondamentale nel percorso di attuazione del Fascicolo Sanitario Elettronico 2.0.
La data non coincide con la nascita dell’obbligo di alimentazione del Fascicolo, che è già previsto dal D.M. 7 settembre 2023, ma rappresenta il termine fissato per il completamento della III fase di attuazione del FSE 2.0.
Il relativo cronoprogramma è stato aggiornato dal D.M. 11 novembre 2025.
La III fase riguarda, tra l’altro, la completezza dei contenuti del FSE, la sua tempestiva alimentazione entro cinque giorni dall’erogazione della prestazione sanitaria e l’inserimento dei dati e documenti relativi alle prestazioni erogate anche al di fuori del Servizio sanitario nazionale.
È inoltre prevista la piena operatività delle funzionalità che consentono l’accesso al FSE da parte delle strutture private autorizzate e la loro alimentazione del Fascicolo entro cinque giorni.
La novità più importante, tuttavia, è forse un’altra: l’alimentazione del FSE non è un obbligo limitato alle strutture pubbliche o alle strutture private accreditate. Il perimetro soggettivo comprende infatti anche le strutture sanitarie private autorizzate e gli esercenti le professioni sanitarie, anche convenzionati con il SSN, quando operano in autonomia.
Il FSE 2.0 diventa quindi un adempimento che interessa l’intera filiera della produzione della documentazione sanitaria.
2. Chi è tenuto ad alimentare il FSE?
L’art. 12 del D.M. 7 settembre 2023 individua quattro grandi categorie di soggetti che concorrono alla corretta alimentazione e all’aggiornamento del Fascicolo:
– le aziende sanitarie locali e le strutture sanitarie pubbliche;
– le strutture sanitarie accreditate con il SSN;
– le strutture sanitarie autorizzate;
– gli esercenti le professioni sanitarie, anche convenzionati con il SSN, quando operano in autonomia.
Quest’ultimo riferimento è particolarmente significativo. Il FSE 2.0 non riguarda quindi soltanto il documento prodotto dall’ospedale o dal poliambulatorio. Riguarda anche il documento sanitario formato dal professionista che esercita autonomamente la propria attività.
Il professionista sanitario convenzionato con il SSN, inoltre, non è escluso dall’obbligo per il solo fatto di essere convenzionato: la norma guarda alla concreta modalità di esercizio dell’attività e ricomprende espressamente il professionista quando opera in autonomia.
3. Il FSE 2.0 supera la distinzione tra pubblico e privato
La logica del nuovo Fascicolo è diversa da quella di un sistema destinato a raccogliere esclusivamente le prestazioni erogate dal SSN.
La III fase di attuazione prevede espressamente l’alimentazione con dati e documenti relativi alle prestazioni effettuate anche al di fuori del SSN.
Il criterio diventa quindi sostanzialmente quello della produzione del dato sanitario, non quello della sua fonte di finanziamento. Una prestazione privata non diventa irrilevante ai fini FSE semplicemente perché è stata pagata direttamente dal paziente.
Questo ha conseguenze molto concrete per studi medici, studi odontoiatrici, professionisti sanitari libero-professionisti, professionisti convenzionati che svolgono attività autonoma, poliambulatori privati, strutture private autorizzate, strutture private accreditate che svolgono anche attività non a carico del SSN.
4. Il termine dei cinque giorni
Il cuore operativo della disciplina è rappresentato dall’art. 12, comma 3, del D.M. 7 settembre 2023. I soggetti individuati dalla norma devono alimentare il FSE con i contenuti previsti entro cinque giorni dall’erogazione della prestazione sanitaria.
La norma aggiunge un elemento di particolare rilievo: i medesimi soggetti sono responsabili della mancata, intempestiva o inesatta alimentazione del Fascicolo.
Questa previsione cambia profondamente la prospettiva.
Non è sufficiente che la struttura o il professionista dispongano di un collegamento informatico al FSE, ma occorre che il processo sia organizzato in modo tale da garantire:
prestazione sanitaria
↓
formazione della documentazione
↓
validazione/firma
↓
trasmissione
↓
verifica dell’esito
↓
eventuale correzione degli errori
↓
acquisizione nel FSE entro il termine previsto.
La responsabilità, quindi, non si esaurisce nel momento dell’invio.
5. FSE e responsabilità: cosa deve fare concretamente una struttura privata entro 5 giorni
Per una struttura sanitaria privata, il termine di cinque giorni dovrebbe essere trasformato in una vera e propria procedura organizzativa interna.
Giorno 0 – Erogazione della prestazione
La prestazione viene erogata e deve essere correttamente identificato l’assistito.
Il professionista deve formare la documentazione sanitaria prevista per quella prestazione.
Giorno 1 – Chiusura e validazione del documento
Il documento deve essere completato, verificato e validato secondo le procedure della struttura.
È in questa fase che deve essere verificata anche la correttezza dei dati identificativi, clinici e dei metadati necessari al successivo conferimento.
Giorni 1-2 – Preparazione per il FSE
Il sistema informatico deve produrre il documento secondo gli standard richiesti e predisporlo per la trasmissione. La normativa prevede inoltre strumenti destinati al controllo formale e semantico dei documenti e dei dati e alla loro conversione nei formati standard.
Giorni 2-3 – Trasmissione
Il documento deve essere trasmesso attraverso il sistema previsto dalla Regione e dall’architettura FSE.
Giorni 3-4 – Controllo dell’esito
Questo è un passaggio spesso sottovalutato.
Non è sufficiente che il gestionale restituisca un messaggio di “invio effettuato”.
La struttura dovrebbe verificare che il documento sia stato correttamente acquisito e individuare gli eventuali scarti.
Giorno 5 – Chiusura della procedura
Entro il quinto giorno la struttura deve aver completato l’alimentazione prevista.
Gli eventuali errori devono essere individuati e gestiti secondo le procedure tecniche applicabili.
Il vero indicatore di compliance non sarà quindi: “abbiamo inviato il documento”, bensì “il documento corretto è stato correttamente acquisito dal FSE entro il termine previsto”.
6. La responsabilità non è soltanto informatica
Questa è probabilmente la principale conseguenza organizzativa del nuovo sistema. L’alimentazione del FSE non può essere considerata un’attività delegabile genericamente al reparto IT.
Il processo coinvolge almeno un professionista sanitario, il personale amministrativo/documentale, ove coinvolto, la Direzione sanitaria, l’ICT, il fornitore del software, il responsabile della protezione dei dati, per i profili di competenza, la funzione qualità/risk management e la Direzione della struttura.
La struttura deve quindi definire chiaramente:
chi produce il documento;
chi lo valida;
chi lo trasmette;
chi controlla gli scarti;
chi verifica i tempi;
chi produce il report di monitoraggio.
Il FSE diventa così un vero processo interfunzionale.
7. Mancata, intempestiva e inesatta alimentazione: tre rischi diversi
L’art. 12 del D.M. 7 settembre 2023 non parla soltanto di omissione. Individua tre diverse forme di responsabilità: mancata alimentazione, il documento che avrebbe dovuto alimentare il Fascicolo non viene trasmesso; intempestiva alimentazione, il documento viene trasmesso, ma oltre il termine previsto; inesatta alimentazione, il documento viene trasmesso ma contiene dati o informazioni errate o comunque non conformi a quanto richiesto.
Questa terza ipotesi è particolarmente importante.
La compliance FSE non può quindi essere misurata soltanto attraverso il numero dei documenti trasmessi.
Occorre misurare completezza + tempestività + correttezza.
8. Strutture accreditate: il FSE entra nel rapporto contrattuale con il SSN
Per le strutture private accreditate esiste un ulteriore profilo di particolare rilievo. Il legislatore ha infatti inserito la corretta alimentazione del FSE tra gli elementi che possono essere considerati nella selezione dei soggetti privati con i quali stipulare accordi contrattuali. L’art. 8-quinquies del D.Lgs. 502/1992 richiama espressamente l’effettiva alimentazione in maniera continuativa e tempestiva del FSE. Ancora più incisiva è la previsione dell’art. 8-octies, comma 4-bis, secondo cui il mancato adempimento degli obblighi di alimentazione del FSE, nei termini e secondo le modalità previste dalla legge, costituisce grave inadempimento degli obblighi assunti mediante i contratti e gli accordi contrattuali.
Per la struttura accreditata, dunque, il FSE assume la duplice dimensione di compliance sanitaria e documentale e compliance contrattuale nei confronti del SSN.
Questo rende il monitoraggio del FSE una materia che dovrebbe interessare anche la Direzione generale e il risk management, non soltanto l’ICT.
9. Il professionista sanitario autonomo: un soggetto direttamente coinvolto
Il secondo grande protagonista del nuovo sistema è il professionista sanitario che opera autonomamente. La formulazione dell’art. 12 è espressa: gli esercenti le professioni sanitarie, anche convenzionati con il SSN, quando operano in autonomia.
La norma è importante perché evita che l’obbligo venga automaticamente ricondotto alla sola struttura presso cui il professionista eventualmente presta la propria opera.
Quando il professionista opera autonomamente, occorre verificare direttamente quali prestazioni eroga, quali documenti produce, quali documenti devono alimentare il FSE, attraverso quale sistema deve essere effettuato il conferimento, chi effettua materialmente la trasmissione, come vengono gestiti gli eventuali scarti.
Anche per il professionista, dunque, la questione diventa una questione di organizzazione dell’attività professionale.
10. Attenzione: obbligo normativo e concreta disponibilità tecnica non sono la stessa cosa
L’esistenza dell’obbligo normativo non significa necessariamente che, in ogni Regione e per ogni categoria professionale, siano state rese disponibili identiche modalità operative.
La III fase del FSE prevede il completamento delle funzionalità necessarie e le Regioni devono assicurare le modalità tecniche di attuazione previste dalla relativa architettura.
Pertanto, per il singolo professionista autonomo, la verifica della compliance deve comprendere anche quale canale tecnico la Regione competente ha predisposto per quella specifica categoria professionale e per quella tipologia di documento.
L’eventuale difficoltà tecnica di accesso non deve essere confusa con una generale inesistenza dell’obbligo normativo.
Sono due piani distinti obbligo giuridico vs. modalità concreta di adempimento.
11. FSE e protezione dei dati personali
Il FSE 2.0 coinvolge dati sanitari e deve quindi essere integrato nel sistema di protezione dei dati personali.
L’art. 12 del D.M. 7 settembre 2023 stabilisce che i soggetti che hanno in cura l’assistito o gli prestano assistenza sanitaria e presso i quali sono redatti i dati e documenti che alimentano il FSE sono titolari del trattamento per finalità di cura.
La compliance FSE deve quindi essere coordinata con il GDPR, il Codice Privacy, il registro dei trattamenti, le informative, la gestione degli accessi le autorizzazioni, la sicurezza informatica, il logging, la gestione degli incidenti, i rapporti con i fornitori IT, la gestione dell’oscuramento, la gestione dei dati soggetti a particolare tutela.
Lo stesso art. 12 prevede che, al momento dell’alimentazione, siano gestite le informazioni relative ai dati soggetti a particolare tutela e all’eventuale esercizio del diritto di oscuramento.
Il FSE deve quindi essere considerato anche un processo privacy-by-design.
12. Il FSE come nuovo processo di risk management
Il passaggio più interessante, soprattutto per le strutture private, riguarda il rapporto tra FSE e risk management sanitario.
L’alimentazione del Fascicolo attraversa infatti diversi processi aziendali:
prestazione sanitaria
→
documentazione clinica
→
sistema informativo
→
trasmissione
→
FSE
→
accessibilità e continuità informativa
Un errore in uno qualsiasi di questi passaggi può produrre conseguenze differenti: errore documentale, errore informatico, mancata disponibilità dell’informazione sanitaria, problema di sicurezza dei dati, mancata compliance normativa, per le strutture accreditate, criticità nel rapporto contrattuale con il SSN.
La corretta alimentazione del FSE dovrebbe quindi entrare nel risk register aziendale e nei programmi periodici di audit.
CHECKLIST / SEMAFORO FSE 2.0
Una struttura privata o un professionista sanitario autonomo possono utilizzare una semplice verifica a semaforo.
🟢 VERDE — conformità
| Area | Controllo |
|---|---|
| Soggetto | È stata verificata l’appartenenza ai soggetti obbligati? |
| Prestazioni | Sono state individuate le prestazioni che producono documenti FSE? |
| Documenti | È stato definito l’elenco dei documenti da alimentare? |
| Software | Il sistema è tecnicamente integrato con il FSE? |
| Standard | I documenti sono prodotti secondo gli standard richiesti? |
| Tempistica | L’alimentazione avviene entro cinque giorni? |
| Esito | Viene verificata la corretta acquisizione del documento? |
| Scarti | Gli scarti vengono monitorati e recuperati? |
| Privacy | Sono gestiti correttamente oscuramento e dati soggetti a particolare tutela? |
| Monitoraggio | Esiste un report periodico sulla compliance FSE? |
🟡 GIALLO — area di rischio
La situazione deve essere considerata parzialmente conforme quando, ad esempio:
- il collegamento al FSE esiste ma non viene verificata l’effettiva acquisizione;
- non sono monitorati sistematicamente gli scarti;
- i tempi di trasmissione non vengono misurati;
- non è chiaro chi abbia la responsabilità del processo;
- il professionista utilizza un gestionale ma non è stata verificata la conformità delle modalità di conferimento;
- la procedura privacy non è stata aggiornata;
- non esiste un report periodico sulla percentuale di alimentazione.
🔴 ROSSO — non conformità
La situazione dovrebbe essere considerata critica quando:
- il FSE non viene alimentato;
- una parte significativa delle prestazioni non viene conferita;
- il termine dei cinque giorni viene sistematicamente superato;
- gli scarti non vengono controllati;
- non esiste alcuna procedura per correggere gli errori;
- la struttura non è in grado di dimostrare quali documenti siano stati trasmessi;
- il professionista autonomo non ha individuato la modalità tecnica prevista per il conferimento delle proprie prestazioni;
- il processo presenta criticità rilevanti in materia di sicurezza o protezione dei dati.
Un secondo livello di audit: il “test dei cinque giorni”
Per una struttura privata, la verifica più efficace non dovrebbe essere soltanto documentale.
È opportuno effettuare un vero e proprio test a campione.
Si prendano, ad esempio, 20 prestazioni effettuate nel mese precedente e per ciascuna si verifichi:
| Verifica | Esito |
|---|---|
| Prestazione correttamente registrata | 🟢/🔴 |
| Documento sanitario prodotto | 🟢/🔴 |
| Documento correttamente validato | 🟢/🔴 |
| Documento predisposto per FSE | 🟢/🔴 |
| Invio effettuato | 🟢/🔴 |
| Acquisizione FSE verificata | 🟢/🔴 |
| Data di acquisizione | ___ |
| Giorni trascorsi dalla prestazione | ___ |
| Eventuale scarto | Sì/No |
| Correzione effettuata | Sì/No |
Il risultato consente di ottenere un indicatore molto più significativo della semplice dichiarazione di “avvenuta integrazione con il FSE” ossia la percentuale di prestazioni correttamente alimentate entro 5 giorni
È questo, in prospettiva, uno degli indicatori che dovrebbe entrare nel sistema di controllo della struttura.
Dal FSE Compliance Check al FSE Risk Assessment
La verifica può essere ulteriormente evoluta trasformandola in un vero FSE Risk Assessment.
Per ciascun processo si possono individuare:
rischio
→ causa
→ evento
→ conseguenza
→ controllo
→ responsabile
→ azione correttiva.
Ad esempio:
| Rischio | Causa | Conseguenza | Controllo |
|---|---|---|---|
| Mancato invio | errore gestionale | documento assente dal FSE | report giornaliero |
| Invio tardivo | processo manuale | violazione del termine | KPI tempi |
| Scarto | errore metadati | documento non acquisito | controllo scarti |
| Documento errato | errore operatore | informazione clinica inesatta | validazione |
| Oscuramento errato | configurazione software | violazione privacy | audit privacy |
| Interruzione servizio | problema ICT | mancata alimentazione | business continuity |
Questo approccio consente di trasformare il FSE da adempimento informatico a processo strutturato di governo del rischio.
Conclusioni
Il 31 marzo 2026 rappresenta quindi un passaggio significativo nella trasformazione del FSE in una componente ordinaria dell’organizzazione sanitaria.
Il perimetro dei soggetti interessati è ampio: strutture pubbliche, strutture private accreditate, strutture private autorizzate, esercenti le professioni sanitarie che operano in autonomia, anche se convenzionati con il SSN.
L’obbligo non si esaurisce nella trasmissione del documento.
La normativa impone di considerare anche tempestività, correttezza, completezza dell’alimentazione.
E il termine dei cinque giorni assume quindi un valore organizzativo preciso: la struttura o il professionista devono essere in grado di governare l’intero percorso che conduce dalla prestazione sanitaria alla corretta acquisizione del documento nel Fascicolo.
Per le strutture private accreditate, inoltre, il tema assume una dimensione ulteriore, perché la normativa collega l’effettiva alimentazione continuativa e tempestiva del FSE alla selezione degli erogatori e qualifica il mancato adempimento come grave inadempimento degli obblighi contrattuali con il SSN.
La conseguenza è chiara: il FSE 2.0 entra a pieno titolo nel sistema di compliance della struttura sanitaria. E, proprio per questo, dovrebbe essere sottoposto a verifiche periodiche non soltanto da parte dell’ICT, ma anche della Direzione sanitaria, della funzione qualità, del DPO e del risk management.
Per il professionista sanitario autonomo, la stessa logica deve essere adattata alla dimensione dello studio: individuazione delle prestazioni rilevanti, corretta formazione dei documenti, disponibilità del canale tecnico di alimentazione, rispetto dei tempi, controllo degli esiti e gestione delle anomalie.
Il nuovo paradigma può quindi essere sintetizzato nella seguente formula: non basta essere collegati al FSE, ma bisogna essere in grado di dimostrare di alimentarlo correttamente, tempestivamente e integralmente.
Ed è proprio questa la differenza tra una semplice integrazione informatica e una effettiva FSE Compliance.