8 settembre 2026 – L’estrazione dei dati dai cellulari di due medici dell’ospedale Monaldi di Napoli cristallizza il sospetto in una prova digitale: esistono tre versioni del diario clinico relativo al trapianto di cuore subito dal piccolo Domenico il 23 dicembre 2025. L’avvocato Francesco Petruzzi, che assiste la famiglia Caliendo Mercolino, formalizza l’accusa: il verbale operatorio, un atto pubblico fidefaciente, è stato modificato per occultare una criticità fatale e deviare le responsabilità per il decesso del bambino, avvenuto lo scorso febbraio nel reparto di terapia intensiva dello stesso nosocomio. La Procura procede per il reato di falso, ma l’impatto si estende inevitabilmente alla responsabilità amministrativa dell’ente ospedaliero ai sensi del D.Lgs. 231/2001, configurando una falla sistemica nei controlli sulla documentazione clinica.
La prima stesura del verbale, scambiata nelle chat ora agli atti, è un documento grezzo ma inequivocabile. Contiene due elementi che scompariranno nelle versioni successive: la dicitura “failure del trasporto” e la descrizione dell’organo come “congelato”. Questa annotazione iniziale, sebbene non formalizzata, costituisce una non conformità gravissima nel processo di trapianto, un evento sentinella che avrebbe dovuto innescare una procedura di gestione del rischio clinico immediata e tracciata. L’assenza di un sistema di registrazione digitale vincolante ha permesso che questa informazione critica rimanesse confinata a una comunicazione informale e, soprattutto, cancellabile. Se l’azienda ospedaliera avesse implementato un ecosistema di controllo come Scudo231, la procedura di accettazione dell’organo in sala operatoria non sarebbe stata affidata a un resoconto cartaceo o a un file di testo liberamente editabile. Al contrario, avrebbe imposto la compilazione di una checklist digitale immutabile, integrata con sensori per la rilevazione della temperatura del contenitore isotermico. Un valore al di fuori del range di conservazione previsto dai protocolli internazionali avrebbe generato un alert automatico e non silenziabile, inviato simultaneamente al responsabile dell’équipe, alla direzione sanitaria e all’Organismo di Vigilanza (ODV). La registrazione dell’anomalia sarebbe stata storicizzata in un log crittografato, rendendo impossibile qualsiasi occultamento successivo e fornendo all’ente la prova di aver individuato il problema in tempo reale.
L’analisi forense delle conversazioni digitali ricostruisce il processo di alterazione. Dopo la prima bozza, emerge una seconda versione del diario clinico. Qui, il riferimento esplicito al “failure del trasporto” viene rimosso. Al suo posto, compare un dettaglio apparentemente tecnico ma strategicamente cruciale: la menzione del ghiaccio fornito dall’ospedale del prelievo, qualificato come “ghiaccio secco”. Questa aggiunta non è neutra; serve a costruire una narrazione alternativa, spostando l’origine del problema a monte della catena, verso la struttura sanitaria mittente. È un classico tentativo di “scaricabarile”, che però, avvenendo al di fuori di canali ufficiali e tracciati, si trasforma in un’attività illecita di manipolazione documentale. L’assenza di un sistema di gestione documentale a versionamento controllato e con log di accesso ha reso possibile questa modifica clandestina. Un protocollo operativo gestito da Scudo231 avrebbe reso impraticabile tale condotta. Qualsiasi modifica a una bozza di verbale operatorio salvata nel sistema avrebbe generato una nuova versione, conservando obbligatoriamente quella precedente. Ogni accesso, ogni modifica, ogni salvataggio sarebbero stati registrati con data, ora e credenziali dell’operatore, creando una catena di custodia digitale inattaccabile. Il motore di analisi comportamentale del sistema avrebbe inoltre potuto segnalare come anomala un’attività di editing ripetuta e a breve distanza temporale su un documento così critico, specialmente se eseguita da più utenti in modo coordinato al di fuori dell’orario operatorio, facendo scattare un’ulteriore segnalazione di potenziale rischio di non conformità.
La terza e ultima versione del verbale è quella definitiva, l’unica che risulterebbe firmata e quindi formalmente inserita nella cartella clinica del piccolo Domenico. In questa stesura, la narrazione difensiva si completa. Scompare ogni traccia del problema iniziale e viene aggiunto un ulteriore dato temporale: l’indicazione di “venti minuti” necessari per estrarre il cuore. Secondo il legale della famiglia, questo dettaglio è stato inserito per giustificare eventuali difficoltà procedurali o l’aspetto dell’organo, attribuendole a una presunta complessità anatomica intrinseca all’espianto piuttosto che al danno da conservazione. La firma apposta su questo documento lo trasforma da bozza a prova legale, cristallizzando il falso. Questa condotta, se accertata in giudizio, non solo configura una responsabilità penale individuale per i sanitari coinvolti, ma espone l’ospedale a pesanti conseguenze sul piano del D.Lgs. 231. Il reato di falso in atto pubblico, quando commesso nell’interesse o a vantaggio dell’ente – in questo caso, per proteggerlo da richieste di risarcimento e da danni reputazionali – può innescare l’applicazione di sanzioni pecuniarie calcolate in quote e, ben più grave, di sanzioni interdittive come la sospensione dell’autorizzazione a svolgere determinate attività sanitarie.
L’assenza di un modello organizzativo effettivamente attuato è palese. La procedura di redazione di un atto fondamentale come il verbale operatorio è stata lasciata alla discrezionalità individuale, senza presidi tecnologici che ne garantissero l’integrità, la tracciabilità e la veridicità. Un’organizzazione dotata di un modello di gestione del rischio integrato avrebbe imposto flussi procedurali non derogabili. Con un sistema come Scudo231, la validazione del verbale operatorio non sarebbe stata una semplice firma autografa o digitale su un documento statico. Sarebbe stato l’atto finale di un workflow digitale che avrebbe richiesto la validazione incrociata di dati provenienti da fonti diverse e registrati in momenti diversi: i parametri vitali del paziente acquisiti automaticamente dai macchinari, i dati di ingresso dell’organo registrati all’arrivo, i log di utilizzo dei materiali e dei farmaci. Il sistema avrebbe eseguito un controllo di coerenza automatico. Se il log di ingresso dell’organo avesse contenuto l’alert per “temperatura fuori range”, il sistema non avrebbe permesso di chiudere e firmare un verbale che non menzionasse tale anomalia o non aprisse una correlata procedura di segnalazione di evento avverso. Il tentativo di forzare la chiusura del documento avrebbe generato un blocco operativo e un’escalation diretta all’ODV, che avrebbe avuto evidenza immediata non solo della non conformità originaria (l’organo congelato) ma anche del successivo tentativo di occultarla.
L’indagine penale ora si basa su prove – le chat – che sono state acquisite solo ex post, a seguito del decesso e della denuncia. Questo significa che l’ente ospedaliero ha subito il danno reputazionale e ora affronta un procedimento 231 partendo da una posizione di estrema debolezza, senza poter dimostrare di aver messo in atto misure idonee a prevenire il reato. Il sequestro di documentazione e dispositivi informatici è la conseguenza diretta di un controllo reattivo, non preventivo. La difesa dell’ente sarà complessa, poiché la Procura potrà facilmente sostenere che il modello organizzativo, seppur esistente sulla carta, è stato eluso con disarmante facilità, dimostrandone così l’inefficacia. L’adozione di un ecosistema sovrano di controllo avrebbe invertito l’onere della prova. Di fronte a un’indagine, l’ospedale non avrebbe consegnato documenti cartacei e file sparsi, ma avrebbe potuto esibire i log inalterabili del proprio sistema di gestione, dimostrando che i protocolli di sicurezza erano attivi, operativi e che il tentativo di falsificazione è stato o bloccato o immediatamente tracciato e segnalato agli organi di controllo interni. Questo avrebbe permesso di isolare la responsabilità penale sui singoli individui, proteggendo l’ente dalla contestazione di colpa organizzativa e dalle conseguenti sanzioni che possono mettere a rischio la sua stessa operatività. La ricostruzione causale scientifica fornita da un sistema come Scudo231 avrebbe dimostrato che l’organizzazione aveva fatto tutto il possibile per prevenire l’illecito, confinando l’evento a un’azione fraudolenta individuale contro cui erano stati predisposti presidi tecnologici e procedurali robusti.