Bearbeitungsreglement

Transkript

1 Bearbeitungsreglement Umgang mit (Personen)Daten Erstellt durch kmu Krankenversicherung Verantwortlich Daniel Lauper Version 1.1 Gültig ab 12. Juni 2014 Gültig bis (ohne Datum unbeschränkt) Aenderungen 10. Juli 2014 Bereich ZertDAS

2 Änderungs- und Freigabekontrolle (Versionsverlauf): Version Prüfdatum Art der Änderung Freigabestelle Freigabedatum Verteiler: Empfänger Datum Art der Mitteilung/Verteilung Anmerkung zum Dokument Dieses Dokument wird aus bestehenden Dokumenten der kmu Krankenkasse, u.a. aus jenen der Zertifizierung nach zusammengestellt. Die bestehenden Dokumente sind: Bearbeitungsreglement kmu-krankenversicherung vom 1. April 2013 (Version 1.1) Prozessablauf Auskunftsbegehren vom 1. November 2009 (Version 1.0) Zonenkonzept vom 1. April 2013 (Version 1.0) Checkliste Grundschutz vom 15. Dezember 2009 Leistungsbearbeitung von Rechnung für stationäre Behandlungen vom 1. Januar 2013 (Version 1.2) Mögliche spezifische Ergänzungen im Rahmen der ZertDAS werden mittels Fussnote angegeben. Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 2/44

3 Inhaltsverzeichnis Anmerkung zum Dokument Interne Organisation Verantwortlichkeit Kontaktstelle bei datenschutzrechtlichen Fragen Organigramm Datenschutzpolitik der kmu-krankenversicherung Gesetzliche Grundlage Personendaten und Datensammlungen Daten von Versicherten Datenschutzsystem Verhältnismässigkeit Leitsätze zu Datenschutz und Datensicherheit Anmeldung der Datensammlung beim EDÖB Dokumentierte Prozessabläufe Datenfluss IT-Struktur Übersicht Eingesetzte Informatikmittel Zugriffe Zugriffsdifferenzierung Authentisierung durch Passwörter Datensicherheit Organisatorische Massnahmen Technische Massnahmen Interne und externe Kontrollen Massnahmen auf Unternehmensebene Kontrollen durch das Management Kontrollen auf Prozessebene IT-Kontrollen Interne Audits Auskunftsbegehren und Akteneinsicht Form, Inhalt und Anschrift Auskunftsbegehren über die Gesundheit Prozessablauf Art. 8 DSG Art. 9 DSG Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 3/44

4 Art. 1 VDSG Art. 2 VDSG Datenbearbeitung generell und Datenbe-arbeitung durch Dritte Datenbearbeitung nach Art. 42 KVG i.v.m. Art. 84 KVG im Allgemeinen Datenbearbeitung durch Dritte nach Art. 84 KVG (Outsourcing) Umfassendes Outsourcing der Datenannahmestelle (DAS) im Bereich der elektronischen Bearbeitung Bearbeitung von Papierrechnungen in eigener Datenan-nahmestelle Archivierung und Vernichtung Im Allgemeinen Im Bereich der eletronischen Rechnungen Typ DRG Schlussbestimmungen Genehmigung Gültigkeit Inkrafttreten Anhang 1: Konformitätsnachweis Anhang 2: Checkliste Grundschutz Anhang 3: Notfallkonzept Anhang 4: Zonenkonzept Anhang 5: Datenannahmestelle ÖKK Zusammenarbeit mit kmu Anhang 6: Prozess und Aufteilung Papier-Rechnungen TeamDRG Anhang 7: Kolumbus-Zugriff der Mitarbeitenden Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 4/44

5 1. Interne Organisation 1.1. Verantwortlichkeit Die Gesamtverantwortung für den Datenschutz trägt der Stiftungsrat. Diese Verantwo r- tung ist nicht übertragbar. Der Geschäftsführer ist verantwortlich für: die Umsetzung des Datenschutzes im Betrieb IT-Themen wie das Betriebssystem, Anwendungen, die Datenbank, das Netzwerk und die Datensicherheit Der betriebliche Datenschutzverantwortliche kontrolliert die Einhaltung des Datenschu t- zes, berät die Geschäftsleitung und die Mitarbeitenden und unterstützt bei der operat i- ven Umsetzung des Datenschutzes im Betrieb Kontaktstelle bei datenschutzrechtlichen Fragen Fragen in Zusammenhang mit dem Datenschutz sind an folgende Stelle zu richten: Daniel Lauper / Geschäftsführer kmu-krankenversicherung Bachtelstrasse Winterthur Telefon d.lauper@kmu-kv.ch Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 5/44

6 1.3. Organigramm Die kmu-krankenversicherung beschäftigt 13 Mitarbeitende. Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 6/44

7 1.4. Datenschutzpolitik der kmu-krankenversicherung Gesetzliche Grundlage Als Krankenversicherer untersteht die kmu-krankenversicherung den gesetzlich geregelten Anforderungen für Datenschutz der Bundesorgane. Zur Aufgabenerfüllung ist es unumgänglich, dass die kmu-krankenversicherung Personendaten von Versicherten und Mitarbeitenden speichert, bearbeitet und in bestimmten Fällen weitergibt. Die gesetzlichen Bestimmungen werden strikte eingehalten. In verschiedenen Bereichen werden besonders schützenswerte Gesundheitsdaten bearbeitet. Angesichts der Sensibilität dieser Daten und der daraus gewonnen Informationen werden die gesetzlichen Bestimmungen für Krankenversicherer eingehalten Personendaten und Datensammlungen Personendaten sind Angaben über eine bestimmte oder bestimmbare natürliche oder juristische Person. Datensammlungen sind Bestände von Personendaten, die so aufgebaut sind, dass die Daten nach den betroffenen Personen erschliessbar sind Daten von Versicherten Die kmu-krankenversicherung besitzt Gesundheitsdaten von ihren Versicherten. Diese Daten sind besonders schützenswert. Alle Mitarbeitende der kmu-krankenversicherung sind verpflichtet, über sämtliche Kundendaten Stillschweigen zu wahren. Schützenswerte Daten dürfen nicht an Dritte weitergeben oder zu anderen Zwecken als zu den gesetzlichen oder vertraglich vereinbarten Bestimmungen bearbeitet werden. Die kmu-krankenversicherung anonymisiert bei der Weitergabe von Informationen alle Daten, damit keine Rückschlüsse auf Personen möglich sind Datenschutzsystem Zum Schutz der Daten vor missbräuchlicher Bearbeitung erfüllt das Datenschutzsystem die Anforderungen nach sowie nach dem Bundesgesetz über den Datenschutz (DSG 1 ), der Verordnung zum Bundesgesetz über den Datenschutz (VDSG 2 ) und nach der Verordnung über die Datenschutzzertifizierung (VDSZ 3 ). Dies soll gewährleisten, dass die gesetzlichen Vorschriften eingehalten und das Datenschutzsystem kontinuierlich überprüft und verbessert wird. Alle Mitarbeitenden der kmu-krankenversicherung werden geschult und regelmässig weitergebildet Verhältnismässigkeit Grundlage für die Verarbeitung von Daten ist die Verhältnismässigkeit, was bedeutet, dass nur Daten gespeichert und bearbeitet werden, die für die kmu-krankenversicherung tatsächlich notwendig sind. 1 Ergänzung ZertDAS. 2 Ergänzung ZertDAS. 3 Ergänzung ZertDAS. Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 7/44

8 1.5. Leitsätze zu Datenschutz und Datensicherheit Die kmu-krankenversicherung hält sich an folgende Leitsätze im Bereich des Datenschutzes: Bei der kmu-krankenversicherung werden nur Daten verarbeitet, die richtig und erforderlich sind. Alle Daten sind vor dem Zugriff Unbefugter geschützt Die Mitarbeitenden kennen den Wert und die Bedeutung der Daten und Informationen. Die Mitarbeitenden kennen die gesetzlichen Bestimmungen und die internen Richtlinien. Sie handeln danach. Berechtigte Mitarbeitende können jederzeit auf die benötigten Daten zugreifen. Alle Mitarbeitenden gehen verantwortungsvoll mit Daten, Informationen und der IT- Infrastruktur um. Jeder Mitarbeitende ist in seiner Funktion für die Schaffung der notwendigen und angemessenen Rahmenbedingungen für den Datenschutz und die Datensicherheit verantwortlich. Alle Daten werden ordnungsgemäss gesichert und nach Ablauf der gesetzlichen Aufbewahrungsfrist, oder wenn sie nicht mehr benötigt werden, vorschriftsmässig vernichtet Anmeldung der Datensammlung beim EDÖB Da die kmu-krankenversicherung über einen dem EDÖB gemeldeten, betrieblichen Datenschutzverantwortlichen nach Art. 12a und 12b VDSG verfügt, ist sie gemäss Art 11a Abs. 5 Bst. e vom Führen eines öffentlich zugänglichen Registers der Datensammlungen und von der Pflicht zur Anmeldung der Datensammlung befreit. Die Konformität jeder einzelnen Datensammlung die Personendaten erhält, wird vor Implementierung sowie kontinuierlich für alle bestehenden Datensammlungen geprüft und im Konformitätsnachweis dokumentiert. Der Konformitätsnachweis befindet sich im Anhang dieses Bearbeitungsreglements Dokumentierte Prozessabläufe Alle Prozessabläufe inkl. Angaben zu Verantwortlichkeiten sind in einem internen QMS definiert und dokumentiert. Einsichtnahmen in Prozesse können bei folgender Person vereinbart werden: Daniel Lauper / Geschäftsführer kmu-krankenversicherung Bachtelstrasse Winterthur Telefon d.lauper@kmu-kv.ch Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 8/44

9 1.8. Datenfluss Der Datenfluss wird im Konformitätsnachweis (Anhang 1) über die Felder Herkunft und Empfänger dokumentiert. 2. IT-Struktur 2.1. Übersicht Die nachfolgende Grafik zeigt die IT Struktur auf, in welche das automatisierte Datenb e- arbeitungssystem eingegliedert ist. Die Mitarbeitenden können via ihren Computer (Client) auf die Daten auf dem Server zugreifen, die sie für die Erfüllung ihrer Aufgaben brauchen. Alle Daten werden auf e i- nem Back-up-Server sicherheitsgespeichert (dupliziert). Lediglich die IT-Abteilung kann auf die Back-ups zugreifen. Der Vertrauensarzt kann auf die Daten zugreifen, die er für die Erfüllung seiner Aufgabe braucht. Die Mitarbeitenden der Krankenkasse können nicht auf die Daten des Vertrauensarztes zugreifen. Weder die Patienten noch die Ärzte resp. Spitäler können auf die Daten zugreifen. Bearbeitungsregelement Umgang mit (Personen)Daten Version 1.0 9/44

10 2.2. Eingesetzte Informatikmittel Die kmu-krankenversicherung arbeitet mit Microsoft Windows XP, HP (Hardware) und Syrius (Kernapplikation) und Microsoft Office 2007 (Software). 3. Zugriffe 3.1. Zugriffsdifferenzierung Es werden nur die notwendigsten Zugriffsrechte auf Netzwerke, Programme und Daten an Benutzer vergeben. Jeder Mitarbeitende erhält nur Zugriff auf genau diejenigen D a- ten, die er zur Erfüllung seiner Aufgabe unbedingt braucht. Der Geschäftsführer entscheidet über die Vergabe und den Umfang der Zugriffsrechte. Sie entscheidet anhand der in der Weisung bezüglich Vergabe und Umfang der Zugriff s- rechten definierten Regeln. Die Zugriffrechte sind auf die Funktion und Tätigkeitsfelder jeder Person zugeschnitten. Des Weiteren wird für jede Berechtigung entscheiden, ob eine Leseberechtigung genügt, oder Änderungsberechtigungen vergeben werden mü s- sen. Die Zugriffsrechte sind im Detail in der Zugriffsliste pro Mitarbeitenden festgehalten. Die Liste wird regelmässig durch das Management überprüft Authentisierung durch Passwörter Der Mitarbeitende hat eine persönliche Identifikation (Benutzername) und ein Passwort. Die Weitergabe des persönlichen Passworts ist untersagt. Die Weisung bezüglich der Zusammensetzung der Passwörter (Anzahl Stellen, Sonde r- zeichen etc.) liegt schriftlich vor und ist allen Mitarbeitenden bekannt. 4. Datensicherheit Für die Gewährleistung der Datensicherheit d.h. dem Schutz von Daten während der Datenverarbeitung, -speicherung oder transport vor Verlust, Zerstörung, Verfälschung, unbefugter Kenntnisnahme und unberechtigter Verarbeitung, werden organisatorische und technische Massnahmen angewendet Organisatorische Massnahmen Die kmu-krankenversicherung ist nach GoodPriv@cy zertifiziert. Es bestehen Informationsschutz- und Sicherheitsrichtlinien. Die Einhaltung wird durch die Geschäftsleitung jährlich geprüft. Erstellung von Sicherheitskopien auf einem separaten Speichermedium. Getrennte Aufbewahrung der Sicherheitskopien. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

11 Alle Computer sind passwortgeschützt. Mindestens achtstellige Passwörter, die folgende Merkmale aufweisen müssen: mi n- destens ein Sonderzeichen, mindestens eine Zahl und mindestens einen Grossbuc h- staben. Automatische Bildschirmsperrung nach zwei Minuten ohne Aktivität. Clean Desk Policy Alle Mitarbeitenden werden einmal jährlich auf die Themen Datenschutz und Date n- sicherheit geschult Technische Massnahmen Es besteht ein Back-up-Konzept. Ein Firewall ist eingerichtet und wird mindestens monatlich aktualisiert. Virenprüfung: die IT-Abteilung ist verantwortlich, dass alle Computer immer über den aktuellsten Virenschutz verfügen. Plattenspiegelung: Der Datenbestand einer Festplatte wird nach jeder Veränd e- rung auf eine zweite Festplatte kopiert. Vertrauliche Daten werden nur per Post oder verschlüsselter übermittelt. Zutrittskontrollen zum Rechenzentrum und Dokumentation der Zutritte. Das Rechenzentrum befindet sich in einem Sicherungsraum. 5. Interne und externe Kontrollen In Ergänzung zu Kapitel 4 Datensicherheit sind die unten aufgeführten Massnahmen und Kontrollen im Unternehmen implementiert. Die Einhaltung der datenschutzrechtlichen Bestimmungen wird intern sichergestellt und kontrolliert Massnahmen auf Unternehmensebene schriftlich festgehaltene Datenschutzpolitik, die allen Mitarbeitenden bekannte ist Datenschutz- und Datensicherheitsrichtlinien resp. konzept Regelungen von Aufgaben, Verantwortlichkeiten und Kompetenzen bezüglich Datenschutz und Datensicherheit in den Pflichtenheften der Mitarbeitenden. Thematisierung des Datenschutzes und der Datensicherheit in allen Stellenbeschreibungen und Arbeitsverträgen. Die Zugänge zu den Büros sowie zum Archiv sind gesichert. Jährliche Schulung aller Mitarbeitenden bezüglich Datenschutz und Datensicherheit. Weisungen betreffend Umgang mit und Telefon. Das System zeichnet in der Kernapplikation die Zugriffe auf Daten, den Zeitpunkt sowie den Umfang der Zugriffe (lesen, verändern etc.) auf Kontrollen durch das Management Der Stiftungsrat und die Geschäftsleitung nehmen ihre Führungs- und Überwachungsaufgaben durch folgende Kontrollen war: Prüfen der Bereiche der Internen Kontrolle und Ableiten von Massnahmen. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

12 Prüfung der Umsetzung der Datenschutzpolitik. Sorgfältige Auswahl und Instruktion aller externer Dienstleister, die auf Daten zugreifen können oder an denen Daten weitergegeben werden. Verfassen von Datenschutz- und Datensicherheits-Vertragsklauseln mit allen Dienstleistern, die auf Daten zugreifen können oder an denen Daten weitergegeben werden sowie Kontrolle, ob die Dienstleister die Vorschriften bezüglich Datenschutz und Datensicherheit einhalten. Periodisch Prüfung der Zugriffsrechte sowie des Umfangs der Zugriffsrechte jedes Mitarbeitenden anhand der Zugriffsliste. Auswertung der Systemaufzeichnungen bezüglich Zugriffe auf Daten, Zeitpunkt sowie Umfang der Zugriffe und Abgleich mit der Zugriffsliste. Reporting des Geschäftsführers an den Stiftungsrat Des Weiteren lebt das Management seine Vorbildfunktion aktiv und täglich und stellt die notwendigen Mittel für die kontinuierliche Verbesserung des Datenschutzes und der Datensicherheit bereit. Die Auslenkungskennzahlen von Kolumbus, sowie das Verhältnis von Papierrechnungen und elektronischen Rechnungen wird halbjährlich erhoben und in einer Statistik festgehalten Kontrollen auf Prozessebene Prüfung der Konformität vor Einrichtung einer Datensammlung und Dokumentation im Konformitätsnachweis. Jährliche Kontrolle des Konformitätsnachweises (Vollständigkeit, Korrektheit, Zweckmässigkeit) Automatisierte Plausibilitäten bei der Datenerfassung und -bearbeitung 5.4. IT-Kontrollen Der Grossteil der IT-Kontrollen wurde bereits unter Datensicherheit erläutert. Hier sind nur noch die ergänzenden aufgelistet. Protokollierung der Eingaben und Veränderungen Automatisierte Plausibilitäten bei der Datenerfassung und -bearbeitung 5.5. Interne Audits Jährliches internes Prozessaudit durch den betrieblichen Datenschutzbeauftragten. Jährlich erstellter Datenschutz-Review z.hd. des Stiftungsrats Jährliche Kontrolle durch die Interne Revision Diese Kontrollen sind in das umfassende Interne Kontrollsystem des Unternehmens integriert. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

13 6. Auskunftsbegehren und Akteneinsicht 6.1. Form, Inhalt und Anschrift Auskunftsbegehren sind schriftlich zusammen mit einer Kopie der ID oder des Passes an folgende Adresse und Kontaktperson zu senden: Daniel Lauper / Geschäftsführer kmu-krankenversicherung Bachtelstrasse Winterthur Diese Person resp. sein Stellvertreter trägt die Verantwortung für eine termingetreue Bearbeitung des Antrags Auskunftsbegehren über die Gesundheit Daten über die Gesundheit des Gesuchsstellers werden an einen vom Gesuchsteller bestimmten Arzt übermittelt, nicht an den Gesuchssteller persönlich. Die Übermittlung der Daten erfolgt ausschliesslich über den Vertrauensarzt an den bestimmten Arzt Prozessablauf Person verlangt Auskunft Weiterleitung an internen Datenschutzbeauftragten Information externer Datenschutzbeauftragten RVK Bearbeitung Begehren durch Datenschutzbeauftragten Person erhält die Auskunft Review Datenschutz und IKS Das Auskunftsrecht resp. dessen Einschränkungen werden in Art. 8 und 9 DSG (Bundesgesetz über den Datenschutz) sowie im ersten Abschnitt, namentlich in Art. 1 und 2 VDSG (Verordnung zum Bundesgesetz über den Datenschutz) geregelt Art. 8 DSG 1 Jede Person kann vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. 2 Der Inhaber der Datensammlung muss der betroffenen Person mitteilen: a. alle über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten; b. den Zweck und gegebenenfalls die Rechtsgrundlagen des Bearbeitens sowie die Kategorien der bearbeiteten Personendaten, der an der Sammlung Beteiligten und der Datenempfänger. 3 Daten über die Gesundheit kann der Inhaber der Datensammlung der betroffenen Person durch einen von ihr bezeichneten Arzt mitteilen lassen. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

14 4 Lässt der Inhaber der Datensammlung Personendaten durch einen Dritten bearbeiten, so bleibt er auskunftspflichtig. Der Dritte ist auskunftspflichtig, wenn er den Inhaber nicht bekannt gibt oder dieser keinen Wohnsitz in der Schweiz hat. 5 Die Auskunft ist in der Regel schriftlich, in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen. Der Bundesrat regelt die Ausnahmen. 6 Niemand kann im Voraus auf das Auskunftsrecht verzichten Art. 9 DSG 1 Der Inhaber der Datensammlung kann die Auskunft verweigern, einschränken oder aufschieben, soweit: a. ein Gesetz im formellen Sinn dies vorsieht; b. es wegen überwiegender Interessen Dritter erforderlich ist. 2 Ein Bundesorgan kann zudem die Auskunft verweigern, einschränken oder aufschieben, soweit: a. es wegen überwiegender öffentlicher Interessen, insbesondere der inneren oder äusseren Sicherheit der Eidgenossenschaft, erforderlich ist; b. die Auskunft den Zweck einer Strafuntersuchung oder eines andern Untersuchungsverfahrens in Frage stellt. 3 Sobald der Grund für die Verweigerung, Einschränkung oder Aufschiebung einer Auskunft wegfällt, muss das Bundesorgan die Auskunft erteilen, ausser dies ist unmöglich oder nur mit einem unverhältnismässigen Aufwand möglich. 4 Der private Inhaber einer Datensammlung kann zudem die Auskunft verweigern, einschränken oder aufschieben, soweit eigene überwiegende Interessen es erfordern und er die Personendaten nicht Dritten bekannt gibt. 5 Der Inhaber der Datensammlung muss angeben, aus welchem Grund er die Auskunft verweigert, einschränkt oder aufschiebt Art. 1 VDSG 1 Jede Person, die vom Inhaber einer Datensammlung Auskunft darüber verlangt, ob Daten über sie bearbeitet werden (Art. 8 DSG), muss dies in der Regel in schriftlicher Form beantragen und sich über ihre Identität ausweisen. 2 Das Auskunftsbegehren sowie die Auskunftserteilung können auf elektronischem Weg erfolgen, wenn der Inhaber der Datensammlung dies ausdrücklich vorsieht und angemessene Massnahmen trifft, um: a. die Identifizierung der betroffenen Person sicherzustellen; und b. die persönlichen Daten der betroffenen Person bei der Auskunftserteilung vor dem Zugriff unberechtigter Dritter zu schützen. 3 Im Einvernehmen mit dem Inhaber der Datensammlung oder auf dessen Vorschlag hin kann die betroffene Person ihre Daten auch an Ort und Stelle einsehen. Die Auskunft kann auch mündlich erteilt werden, wenn die betroffene Person eingewilligt hat und vom Inhaber identifiziert worden ist. 4 Die Auskunft oder der begründete Entscheid über die Beschränkung des Auskunftsrechts (Art. 9 und 10 DSG) wird innert 30 Tagen seit dem Eingang des Auskunftsbegehrens erteilt. Kann die Auskunft nicht innert 30 Tagen erteilt werden, so muss der Inhaber der Daten- Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

15 sammlung den Gesuchsteller hierüber benachrichtigen und ihm die Frist mitteilen, in der die Auskunft erfolgen wird. 5 Werden eine oder mehrere Datensammlungen von mehreren Inhabern gemeinsam geführt, kann das Auskunftsrecht bei jedem Inhaber geltend gemacht werden, sofern nicht einer von ihnen für die Behandlung aller Auskunftsbegehren verantwortlich ist. Wenn der Inhaber der Datensammlung zur Auskunftserteilung nicht ermächtigt ist, leitet er das Begehren an den Zuständigen weiter. 6 Betrifft das Auskunftsbegehren Daten, die im Auftrag des Inhabers der Datensammlung von einem Dritten bearbeitet werden, so leitet der Auftraggeber das Begehren an den Dritten zur Erledigung weiter, sofern er nicht selbst in der Lage ist, Auskunft zu erteilen. 7 Wird Auskunft über Daten von verstorbenen Personen verlangt, so ist sie zu erteilen, wenn der Gesuchsteller ein Interesse an der Auskunft nachweist und keine überwiegenden Interessen von Angehörigen der verstorbenen Person oder von Dritten entgegenstehen. Nahe Verwandtschaft sowie Ehe mit der verstorbenen Person begründen ein Interesse Art. 2 VDSG 1 Eine angemessene Beteiligung an den Kosten kann ausnahmsweise verlangt werden, wenn: a. der antragstellenden Person in den zwölf Monaten vor dem Gesuch die gewünschten Auskünfte bereits mitgeteilt wurden und kein schutzwürdiges Interesse an einer neuen Auskunftserteilung nachgewiesen werden kann. Ein schutzwürdiges Interesse ist insbesondere gegeben, wenn die Personendaten ohne Mitteilung an die betroffene Person verändert wurden; b. die Auskunftserteilung mit einem besonders grossen Arbeitsaufwand verbunden ist. 2 Die Beteiligung beträgt maximal 300 Franken. Der Gesuchsteller ist über die Höhe der Beteiligung vor der Auskunftserteilung in Kenntnis zu setzen und kann sein Gesuch innert zehn Tagen zurückziehen. 7. Datenbearbeitunggenerell und Datenbearbeitung durch Dritte Datenbearbeitung nach Art. 42 KVG i.v.m. Art. 84 KVG im Allgemeinen Die Datenbearbeitung erfolgt gestützt auf Art. 42 KVG i.v.m. Art. 84 KVG. Die Bearbeitung der Diagnosedaten erfolgt ausschliesslich zur Überprüfung der Rechnungen auf die durch Art. 42 KVG und Art. 56 KVG vorgegebene Pflicht des Krankenversicherers, die Berechnung der Vergütung und die Wirtschaftlichkeit der Leistung zu prüfen. Im Falle der Rechnungsstellung bei einem Vergütungsmodell vom Typus DRG (stationäre Leistungen) werden zusätzlich die Ausführungsbestimmungen nach Art. 59a KVV berücksichtigt. 4 Ergänzung ZertDAS Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

16 7.2. Datenbearbeitung durch Dritte nach Art. 84 KVG (Outsourcing) Gemäss Art. 84 KVG ist kmu als mit der Durchführung der sozialen Krankenversicherung betrautes Organ befugt, Personendaten einschliesslich besonders schützenswerter Daten und Persönlichkeitsprofile durch Dritte bearbeiten zu lassen. Bei der Bearbeitung von Personendaten durch Dritte die sogenannten Outsourcingnehmer sind stets die massgeblichen Anforderungen des DSG, insbesondere Art. 10a DSG zu berücksichtigen. Diese Bestimmung statuiert, dass der Outsourcingnehmer die Daten nur so bearbeiten darf, wie es die kmu selbst tun dürfte und dass diese sich zu vergewissern hat, dass der Outsourcingnehmer die Datensicherheit gewährleistet. Sie bietet die gesetzliche Grundlage für das Outsourcing in den Fällen, in denen die kmu als privater Krankenversicherer nach VVG auftritt Umfassendes Outsourcing der Datenannahmestelle (DAS) im Bereich der elektronischen Bearbeitung 5 Die elektronische Bearbeitung stationärer SwissDRG-Rechnungen (Prüfungsstufe 1) erfolgt durch die zertifizierte DAS der ÖKK Gruppe (vgl. Bearbeitungsreglement ÖKK- Informationssystem Datenannahmestelle und den Outsourcingvertrag [wird erstellt] zwischen der ÖKK und der kmu).die manuelle Prüfung der ausgelenkten SwissDRG-Belege (Prüfungsstufe 2) findet bei der kmu durch eigene Stellen statt. Die Bearbeitung erfolgt auf ausschliesslich abgeschirmten Arbeitsplätzen. Die Benutzung der Arbeitsplätze erfolgt unter berücksichtigung der Organisation und der Witschaftlichkeit einer Kleinkasse (Teilzeitmitarbeiter). Die Benutzung der Arbeitsplätze wird im Anhang 7 geregelt. Der Zugriff auf Kolumbus für kmu (Prüfstufe 2) resp. den Vertrauensarzt RVK (Prüfstufe 3) erfolgt über einen sicheren VPN-Tunnel und dann via Webbrowser mit Citrix-Receiver zu der veröffentlichten Citrix-Anwendung Kolumbus über Citrix-Storefront und Netscaler (Anhang 5; gestrichelte violette Linie). Die Leiterin Rechnungskontrolle, welche bei der kmu die Funktion als Stellvertretendende Geschäftsführung wahr nimmt, ist in diesem Bereich weisungsunabhängig; sollte sie die Funktion ausführen muss sie in den Ausstand treten Bearbeitung von Papierrechnungen in eigener Datenannahmestelle 6 Bei Postsendungen mit/ohne Vermerk werden am Kundendienst (VAD-Hilfspersonen) geöffnet. Alle erhaltenen Papierrechnungen (inkl. MCD) werden vom VAD eingescannt (TDA) und weiter elektronisch via Schnittstelle ins Kolumbus (ÖKK) überführt. Nachfolgende Prüfung der Stufen I und Stufe II (analog elektronische Verarbeitung). Bei gutsagung der Rechnung erfolgt die Abrechnung im Kernsystem (Syrius). Erhält das Team DRG nicht angeforderte MCD s, so werden diese sofort vernichtet, sofern keine entsprechende Rechnung eingegangen ist. 5 Die graphische Darstellung des Prozesses findet sich in Anhang 5 dieses Bearbeitungsreglementes. 6 Die graphische Darstellung des Prozesses sowie der genaue Ablauf findet sich in Anhang 6 dieses Bearbeitungsreglementes. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

17 8. Archivierung und Vernichtung 8.1. Im Allgemeinen Archivierungspflichtige Dokumente werden während der gesetzlich verlangten Dauer archiviert und vor Veränderungen oder unbefugten Zugriffen geschützt. Die Zutritte zum Archiv werden sehr restriktiv vergeben und protokolliert. Die Protokolle werden aufbewahrt. Nach Ablauf der gesetzlichen Archivierungsfrist werden die Dokumente vernichtet, da die rechtliche Grundlage (Zweckmässigkeit) wegfällt. Die Aufbewahrungsdauer für jede Datensammlung ist aus dem Konformitätsnachweis im Anhang dieses Bearbeitungsreglements ersichtlich Im Bereich der eletronischen Rechnungen Typ DRG 7 Die elektronische Bearbeitung stationärer Rechnungen Typ DRG (Prüfstufe 1) erfolgt durch die zertifizierte Datenannahmestelle der ÖKK Gruppe.Nach Abschluss eines Falls, wird die Akte verschlossen und kann nur noch durch die Sachbeabeiterrolle VAD und dem zuständigen Vertrauensarzt eingesehen werden. Vorhandene MCD s werden nach Abschluss pseudonymisiert und grundsätzlich nach den Archivierungsbestimmungen in Kapitel 7 des Bearbeitungsregelement ÖKK-Informationssystem Datenannahmestelle (Datenaufbewahrung und Datenlöschung) archiviert. 7 Ergänzung ZertDAS. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

18 9. Schlussbestimmungen 9.1. Genehmigung Dieses Dokument wird durch den Vorsitzenden der Geschäftsleitung der kmu genehmigt und in Kraft gesetzt. Änderungen des Inhalts dieses Dokumentes ergeben sich im Wesentlichen aus Änderungen der Dokumente, auf die darin verwiesen wird. Solche Änderungen gelten als automatisch in dieses Dokument übernommen, ohne dass dieses Dokument formell erneut genehmigt und freigegeben werden muss Gültigkeit Bis auf Widerruf Inkrafttreten Das vorliegende Dokument ist am genehmigt worden und tritt per in Kraft. Winterthur, 12. Juni 2014 kmu Krankenversicherung Daniel Lauper Vorsitzender der Geschäftsleitung Rita Hess Stv. Geschäftsführerin / Leiterin Rechnungskontrolle Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

19 Anhang 1: Konformitätsnachweis Prozess / Datensammlung Zweckbindung/ Angemessenheit Datenrichtigkeit/ Herkunft Zugriffsberechtigte Aufbewahrungsdauer Outsourcing Weitergabe an Dritte Datentransfer Ausland Information Betroffene Allgemeine Datensammlungen Syrius Nötige Angaben über Kunden-, Vertrags- und Leistungsdaten; Angaben Leistungserbringer Die Datenrichtigkeit wird durch die Mitarbeitenden gewährleistet. Elektronisch Passwort- und usergesteuerter Zugriff. Laufende Aktualisierung. Bestehende Daten werden bis jetzt nicht gelöscht. Support durch SemiNet GmbH. Keine Weitergabe der Daten zur Weiterverarbeitung an Dritte. Bank, Post, RVK, Santésuisse, Medgate, Veka Es werden keine Daten ins Ausland weitergegeben. Zustellung Policen, Prämienund Leistungsabrechnungen an Mitglieder und Leistungserbringer Informatik ECLAIM Mitglieder-Leistungsabrechnungen Nur die für den Zweck erforderlichen Daten werden erhoben. H-Net Elektronisch Passwort- und usergesteuerter Zugriff 5 Jahre Keine Auslagerung der Daten an Dritte zur Weiterverarbeitung. Keine Weitergabe der Daten an Dritte. Es werden keine Daten ins Ausland weitergegeben. Leistungsabrechnung Vertrauensärztlicher Dienst (Die einzelnen Datensammlungen im Bereich VAD enthalten gleiche Daten. Der Konformitätsnachweis erfolgt pauschal.) Vertrauensarzt / Arztberichte Nur die für den Zweck erforderlichen Daten werden erhoben. Die Arztberichte werden von den behandelnden Ärzten erstellt. Elektronisch Passwort- und usergesteuerter Zugriff 10 Jahre nach Abschluss des Falles Vertrauensarzt, MedCasePool Behandelnder Arzt Es werden keine Daten ins Ausland weitergegeben. Kopie an Versicherten Abgeschlossener Schrank VAD CM-Berichte / Stellungnahmen Nur die für den Zweck erforderlichen Daten werden erhoben. Die Berichte werden von den entsprechenden Leistungserbringern erstellt. Abgeschlossener Schrank 10 Jahre nach Abschluss des Falles Case RVK Manager Behandelnder Arzt Es werden keine Daten ins Ausland weitergegeben. Kopie an Versicherten Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

20 Leistungen Kostengutsprachen (ambulant, Physiotherapie, Ergotherapie, Logopädie, Ernährungsberat., stationär) Nur die für den Zweck notwendigen Daten werden erhoben. Meldung erfolgt durch den Leistungserbringer. Schrank LE 10 Jahre Keine Auslagerung der Daten an Dritte zur Weiterverarbeitung. Auslagerung Bei Unklarheiten des Gesundheitszustandes erfolgt eine Abklärung durch den Vertrauensarzt oder MedCasePool. Es werden keine Daten ins Ausland weitergegeben. Teilweise Information durch uns mit Kopie an VN oder durch Leistungserbringer. Manage- Case ment Nur die für den Zweck erforderlichen Daten werden erhoben, damit die Berechnung der Vergütung und die Wirtschaftlichkeit der Leistung überprüft werden kann. Die Berichte werden von den entsprechenden Leistungserbringern erstellt. Schrank LE 10 Jahre nach Abschluss des Falles Case RVK Manager Behandelnder Arzt Es werden keine Daten ins Ausland weitergegeben. Teilweise Information durch uns mit Kopie an VN oder durch Leistungserbringer. Zustellung Leistungsabrechnung oder Ablehnung an Mitarbeitenden Leistungsabrechnungen von MA / Stiftungsrat Nur die für den Zweck erforderlichen Daten werden erhoben, damit die Berechnung der Vergütung und die Wirtschaftlichkeit der Leistung überprüft werden kann. Elektronisch Passwort- und usergesteuerter Zugriff Papier Eingang von Rechnungen von Mitarbeitenden und Leistungserbringern. abgeschlossener Schrank TL- LE 10 Jahre Keine Auslagerung der Daten an Dritte zur Weiterverarbeitung. Auslagerung. Bei Unklarheiten des Gesundheitszustandes erfolgt eine Abklärung durch den Vertrauensarzt. Es werden keine Daten ins Ausland weitergegeben. Teilweise Information durch uns mit Kopie an VN oder durch Leistungserbringer. Kostengutsprachen MA / Stiftungsrat Nur die für den Zweck erforderlichen Daten werden erhoben. Elektronisch Passwort- und usergesteuerter Zugriff Papier Meldung durch Leistungserbringer. abgeschlossener Schrank TL- LE 10 Jahre Keine Auslagerung der Daten an Dritte zur Weiterverarbeitung. Auslagerung. Bei Unklarheiten des Gesundheitszustandes erfolgt eine Abklärung durch den Vertrauensarzt oder MedCasePool. Es werden keine Daten ins Ausland weitergegeben. Teilweise Information durch uns mit Kopie an VN oder durch Leistungserbringer. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

21 Anhang 2: Checkliste Grundschutz Standper: Ausgefülltvon: Visiert: 15.Dezember2009 Urs Gerli / Jürg Allenspach Jürg Allenspach Status R =Realisiert G=Geplant N=Nichtrealisiert?=Abzuklären Nr. Bezeichnung Beschreibung Status Beurteilung/ Kommentar NotwendigeMassnahme 1 Zutrittskontrolle (Zielsetzung:VerhinderungdesZugangeszu Räumen,indenenPersonendatenbearbeitetwerden) 1.1 OrganisatorischeMassnahmen Sicherheitszonen SensitiveRäumlichkeiten(Bsp.Serverräume,RäumemitwichtigenTelekommunikationseinrichtungen,Räume fürback-up-kopien,archive)müssen Sicherheitszonenzugewiesenwerden RegelungderZutrittsberechtigung DerZutrittzuInformatikräumenundmittelnistmittelseinerverbindlichen und nachvollziehbarenzutrittsberechtigungzuregeln.diesesolltesinnvoll abgestuftsein Schliessplan EsisteinSchliessplanzuerarbeiten undzudokumentieren,welcherverantwortlichkeiten,verwaltung,vergabe undrücknahmederzutrittsmittelregelt. 1.2 TechnischeMassnahmen Schliess-und Zutrittssystem DieEingängezudenSicherheitszonen müssenübereinsicheresschliess-und Zutrittssystemverfügen. R AbschliessbarerServerrraum Abgeschl.Serverrack Keine R NurberechtigtePersonen Keine R KABAElostarLegic Zutrittberecht.Elektr. zeitgesteuert Keine R Vorhanden Keine KontrolleSchliess-und Schliess-und Zutrittssystememüssen R ServiceundKontrolleintern Keine Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

22 Nr. Bezeichnung Beschreibung Status Beurteilung/ Kommentar NotwendigeMassnahme Zutrittssystem regelmässigaufihre korrektefunktionsweiseüberprüftwerden. RaumsicherndeMassnahmen DerZutrittdurchandereGebäudeöffnungenistdurchraumsicherndeMassnahmen,wie Fenstervergitterungen, Sicherheitsstorenusw.)zu verhindern. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44 R AlarmanlagemitSicherheitsdienst 2 Zugangskontrolle (Zielsetzung:VerhinderungderNutzungvonIT-Anlagenu.Kommunikationseinrichtungen durchunbefugte) 2.1 OrganisatorischeMassnahmen VergabevonBenutzeraccounts Sperrungbzw.Löschung vonbenutzeraccounts Einsichtaufperiphere Geräte DieVergabevonBenutzeraccounts mussverbindlichgeregelt,dokumentiertundüberwachtwerden. AccountsundZugriffsrechtedienicht mehrbenötigt(z.b.austritt)werden oderüberlängerezeit nichtmehrbenutztwordensindmüssengesperrt odergelöschtwerden. ImUmfeldvonSchaltern,Sekretariaten undanderenpublikumszugänglichen BereichendarfdurchUnberechtigte keineeinsichtaufperipheregeräte möglichsein. 2.2 TechnischeMassnahmen Authentifizierung DieZugangsberechtigungaufSysteme erfolgtmiteinerbenutzeridentifikation undeinemsicherenpasswortentsprechenddenvorgabenimit-zonenplan Ansteuerung peripherer Geräte Es muss gewährleistet sein, dass periphere Geräte (z.b. Drucker) nur von berechtigten Benutzern angesteuert werden können und nur diesen zugänglich sind Keine R DurchSeminet Keine R DurchSeminet Keine R KeineEinsichtmöglich Keine R Geregelt Keine R Geregelt Keine

23 Nr. Bezeichnung Beschreibung Status Beurteilung/ Kommentar NotwendigeMassnahme 3 Zugriffskontrolle (Zielsetzung:VerhinderungvonunbefugtenZugriffenaufDatendurchberechtigteSystembenutzende) 3.1 OrganisatorischeMassnahmen Berechtigungskonzept Benutzer 3.2 TechnischeMassnahmen IdentifizierungundAuthentifizierung ErarbeitenundEinrichteneines zweckmässigenund verbindlichenberechtigungskonzepts auf der Basis definierter Benutzerrollen nach dem Grundsatz des "Need to Know" auf Applikationsebene. BenutzermüssensichmiteinerpersönlichenUser-IDundeinemsicheren PasswortgegenüberdemSystemidentifizierenundauthentifizieren(siehe obenziffer2). Nach3bismaximal5Fehlversuchen mussderzugriffsgesperrtwerden SperrungwegenFehlversuchen Protokollierung FehlgeschlageneZugriffsversuchemüssenprotokolliertunddieProtokolle regelmässigausgewertetwerden. R InSyriusund Netzwerkgeregelt Keine R Geregelt Keine G Für Netzwerk,inSyriusnicht AnpassungNetzwerkanmeldung möglich G Siehe3.2.2 Siehe Weitergabekontrolle (Zielsetzung:VerhinderungdesVerlustesderVertraulichkeit,VerfügbarkeitundIntegritätderDatenübermittlung) 4.1 OrganisatorischeMassnahmen BezeichnungvonDatenträgern Datenträger(Papier,Disketten,CD's usw.)mitklassifiziertendatenmüssen alssolchebezeichnetunderkennbar sein. R KeineVerwendungvon Datenträgernnotwendig Keine VerpackungundAdressierungvonDatenträgern DatenträgermitPersonendatensind fürdenversandentsprechendzu verpackenundzuadressieren. R KeineVerwendungvon Datenträgernnotwendig Keine Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

24 4.1.3 WeisungenfürDatenübertragungsmittel ErlassvonWeisungenfürdieVerwendungvonDatenübertragungsmittel (Fax,Internet,Handyusw.). R Datenschutzrichtlinien Regelm.Schulung Nr. Bezeichnung Beschreibung Status Beurteilung/ Kommentar NotwendigeMassnahme BenutzungvonNetzwerkdiensten 4.2 TechnischeMassnahmen GesicherteÜbertragung vonkritischendaten Protokollierung von/zu Ver- bindungen zu Fremdnetzen Esmussfestgelegtund kontrolliert werden,welchebenutzerundbetreiber welchenetzwerkdienstebeanspruchen dürfen. DieVertraulichkeitundIntegritätvonAu- thentifikationsdaten,schlüsseln oderanderen kritischensystemdatenmussbeider Übertragungder Datenüber Netzwerke geschütztwerden. Übertragungen von/zu Fremdnetzen müssen protokolliert(verbindungsaufbau, Benutzer) werden. R Datenschutzrichtlinien WeiterMöglichkeitenüber Firewall R PGP,Zertifikat Keine R Firewall Keine Regelm.Schulung 5 Eingabekontrolle (Zielsetzung:BeweissicherunginBezugaufdieBenutzeraktivitäten) 5.1 OrganisatorischeMassnahmen RegelungderBenutzerbe- Esmussverbindlichgeregeltwerden, R geregelt Keine rechtigungenundder werwelchedatenbearbeitendarfund Datenschutzverantwortung werdieverantwortungfür dendatenschutzunddiedatenqualitätträgt. 5.2 TechnischeMassnahmen 6 Auftragskontrolle (Zielsetzung:GewährleistungderauftragskonformenBearbeitungderDaten) 6.1 OrganisatorischeMassnahmen AuswahldesOutsourcing- Partners BeiderAuswahlvonOutsourcing- PartnernsindzweckmässigeKriterien festzulegenundanzuwenden. R QS Keine Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

25 6.1.2 Vertragsgestaltung VerträgemitOutsourcing-Partnern müssenpräziseformuliertundderen Umsetzungsorgfältigkontrolliertwerden. R SieheAGBSIK. Keine Nr. Bezeichnung Beschreibung Status Beurteilung/ Kommentar NotwendigeMassnahme 6.2 TechnischeMassnahmen Zugriffsbeschränkung DieZugriffsrechtesindfür denoutsourcing-partnerentsprechendseinen AufgabenaufgenaufestgelegteAnwendungenundDatenzubeschränken Authentifikationsverfahren ZugriffeüberdasNetzvonAussensind durchstarkeauthentifikationsverfahren zuschützen. 7 Verfügbarkeitskontrolle (Zielsetzung:SchutzderDatengegenZerstörungundVerlust) 7.1 OrganisatorischeMassnahmen StellvertretungdesSys- AuthentifikationsdatendesSystemvertemverantwortlichen antwortlichenoderandererprivilegiertersystembetreibermüssenfürnotfallmässigestellvertretungeninsicherer Form hinterlegt sein. R R KeineEinschränkungaufgrundMandat SSHzertifiziert,Applikationen mit128bitschlüssel Keine Keine R MandatSeminet Keine Verfügbarkeitder System- dokumentation 7.2 TechnischeMassnahmen PhysischeSicherheitder Informatikräume Fürdie Sicherheit vonbetrieb, Nutzung undwartung vonsystemen und Anwendungen notwendige Dokumentationen müssen zu jeder Zeitbeiden System- und Anwendungsverantwortlichen Informatikräumeund-systeme(Server verfügbarsein. undwichtigenetzwerkinfrastruktur) sindgegenphysischeeinflüsse(einbruch,brand,wasser,usw.)entsprechendzuschützen. R Intranet Seminet Intranet kmu-kv Keine G Inergen-Feuerlöscher 2010 Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

26 7.2.2 Stromversorgungund Klimatisierung SystememüssendurcheinenÜberspannungsschutz,eineunterbrechungsfreieStromversorgung(USV) sowiedurcheineentsprechendeklimatisierunggeschütztsein. R USV15Min. Keine Nr. Bezeichnung Beschreibung Status Beurteilung / Kommentar Notwendige Massnahme Backup/Restore DiegewähltenDatensicherungsmedien müssenregelmässigüberprüftwerden (Backup/Restore) SchutzmobilerDatenträger MobileDatenträgermitentsprechendenDatenmüssenangeschütztenund räumlichvonderbetriebsumgebung abgegrenztenortengelagertwerden. R RAID1-5,Bandsicherung, NASBackupserver Keine R Bänderexterngelagert Keine 8.2 TechnischeMassnahmen TrennungTest-undProduktionsdaten 8 Trennungskontrolle (Zielsetzung:SicherstellungderEinhaltungdes Zweckbindungsgebotes) 8.1 OrganisatorischeMassnahmen Zweckbindung DieNutzungvonPersonendatenfür unterschiedlichezweckeist datenschutzrechtlichsorgfältigabzuklären, insbesondereinbezugaufdierechtfertigungsgründe(einwilligungder betroffenenpersonen,gesetzlichere- R Goodpriv@cy< Keine gelungen). Test-undProduktionsdatensindgetrennten zu bearbeiten. Eine zuverlässige logische Trennung reicht aus. 9 WeitereKontrollziele (Zielsetzung:GenerelleGewährleistungderInformationssicherheit) 9.1 OrganisatorischeMassnahmen R 2App-Server 2 DB-Server Keine Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

27 9.1.1 SchulungderBenutzer BenutzermüsseninBezugaufden DatenschutzunddieInformationssicherheitangemessenausgebildetwerden AbklärungvonWechselwirkungen VorderEinführungundIntegration neuerinformationssystemeoderteilen davonsinddieseaufihrerwechselwirkungenmitbestehendensystemen sowieihredatenschutzkonformitätzu überprüfen. R Goodpriv@cy< Keine R Testphasen,Testsysteme Keine Nr. Bezeichnung Beschreibung Status Beurteilung / Kommentar Notwendige Massnahme Stör-,Not-undKatastrophenfallvorsorge EssindangemesseneVorkehrungen für Stör-Not-undKatastrophenfällezu treffen Weisungen EssindnachBedarfWeisungenzu erlassenz.b. fürdenpfortendienst,für diedatenträgerentsorgungusw Wartungsverträge ZurSicherstellungderVertraulichkeit sindmitwartungsunternehmenentsprechendevereinbarungenabzuschliessen. 9.2 TechnischeMassnahmen SchutzgegenschadenstiftendeSoftware KontrollevonausführbarenCodesausdemNetzwerk SystemeundAnwendungensinddurch anerkannteproduktegegenschadenstiftendesoftware(antivirensoftware) zuschützen. DasTransferieren,Installierenund AufstartenvonausführbarenCodes, insbesondereübernetzwerke,muss aufdemzielsystemstrengkontrolliert undinjedemfallaufgezeichnetwerden. R Seminet,Adcubum Keine R Goodpriv@cy< Keine R Goodpriv@cy< Keine R R NormanScannerSW SonicFirewallHW NormanScannerSW SonicFirewallHW Keine Keine Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

28 Anhang 3: Notfallkonzept Notfallkonzeptkmu-Krankenversicherung Ziel Ziel dieses Konzeptes ist es, die bestehenden Risiken zu kennen, durch festgelegte, geeignete Massnahmen Notfällenichtentstehen zu lassen oderzubewältigen,um damiteine Krisezu verhindern. Risiken undmassnahmen Mitarbeiter Risiko Verletzung/ Unfall / Notfall Massnahmen 1. Erste HilfeausrüstungimPutzraum 2.Fürmed.NotfälleDr.A.Schüle, rufen. 3. AlternativDr.Fechteroder Dr.Diggelmann plötzlichelangandauernde Abwesenheit durch Unfall/Krankheit Tod 1. Stellvertretungsregelunggemäss Stellenbeschrieb 2. eventuell Überbrückungdurch Externe 3. NeubesetzungderStelle Gebäude Risiko Feuer Massnahmen 1. Installationdergesetzlich vorgeschrie- benen Feuerlöscher(IT-Raum,Garage) 2. AlarmierungFeuerwehr 3. EvakuationPersonen (Einsatzvon Hilfsmitteln prüfen) 4. Versicherungdes Betriebsunterbruches und Zusatzkosten Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

29 Wasser 1. ev.baulichemassnahmen bei Kellerfenster 2. KeineBelegungderuntersten Tablareim Archiv 3. Versicherungsschutzdurch Gebäudever- sicherung Diebstahl 1. AbgeschlosseneZugangstüren auch währendarbeitszeit 2. Vierfach abgeschlossenezugangstüren ausserhalb der Arbeitszeit 3.um Zusatzschädenzuvermeiden,keine abgeschlossenen Büromöbel (Ausnahmesiehe Richtlinien Datenschutz) Fehler oder Ausfall Hausinstallationen 1. vorschriftsgemässeinstallationen 2. stetigerunterhaltundsofortigereparatur Stunden-Servicedes Elektrikers 4. Kontaktaufnahmemitder zuständigen Firma (siehewichtigetelefonnummern) IT-Infrastruktur Risiko kurzfristiger Stromausfall Massnahme 1. Überspannungsschutzinstalliert(z.B. Blitzeinschlag), 2. Server sindalleüberusv für ca.15 MinutenmitStrom versorgt (ermöglicht geordnetes Herunterfahren ) 3. Softwareistauf den Laptopsinstalliert, jedochkein Datenzugriff Langfristiger Stromausfall 1. Softwareistauf den Laptopsinstalliert, jedochkein Datenzugriff 2. Datenzugriff abdatensicherung 3. VersicherungderWiederherstellung Ausfall Hardwareoder Diebstahl Hardware 1. Datenauf gespiegelter Harddisc 2. Datensicherunggemäss Richtilinien 3. Softwareistauf den Laptopsinstalliert, jedochkein Datenzugriff 4. SofortigerErsatzderHardwaredurch SemiNet,resp.HP (24-Stundenservice) 5. Dokumentationder Installationen bei SemiNet 6. MöglichkeitderAktivierungErsatz-Server 7. VersicherungderWiederherstellungund des Betriebsunterbruches Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

30 Ausfall Softwareoder Diebstahl Software 1. Standardsoftware(sofortwiederverfügbar) 2. Datensicherunggemäss Richtlinien 3. Eigenentwicklungensind bei denpartnern hinterlegt(seminet,adcubum) 4. VersicherungderWiederherstellungund des Betriebsunterbruches Ausfall Datenübertragung 1. Getrennte Verbindungen für Mail und Internet(verschiedeneProvider)geplant 2. Mailabfrage überanalogmodem oder Wireless-Lan (Standortunabhängig) DatenschutzundDatensicherheit Peripheriegeräte 1. gemäss denrichtlinien 1. Ausweichmöglichkeitauf andereinterne Drucker/Scanner usw. Zuständigkeiten 1. LogistikIT Urs Gerli, Judith Aberer 2. AllgemeineInfrastruktur undalleübrigen Gewichtigen Ereignisse Daniel LauperGF,Stv. Judith Aberer Ereignis GF,WalterBigler (PräsidentSR) 3. Ext. Datenschutzbeauftragter WichtigeTelefonnummern Partner Zuständig für Telefonnummer SemiNet, IT-Infrastruktur Schultheis Möckli AG Elektroinstalltionen inkl. Tel Ruth Meier Gschwend AM Treuhand,FreyMüller Liegenschaftsverwaltung Bachtelstr. 5 Liegenschaftsverwaltung Schaffhauserstr KoneLiftAG Liftanlage Feuerwehr 118 Polizei 117 Sanitätsnotruf 144 Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

31 Anhang 4: Zonenkonzept Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

32 Anhang 5: Datenannahmestelle ÖKK Zusammenarbeit mit kmu Kolumbus-Zugriff kmu/rvk erfolgt über einen sicheren VPN-Tunnel und dann via Webbrowser mit Citrix-Receiver zu der veröffentlichten Citrix-Anwendung Kolumbus über Citrix-Storefront und Netscaler. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

33 Anhang 6: Prozess und Aufteilung Papier- Rechnungen TeamDRG Kundendienst (= VAD MA verfügen über einen VAD-Hilfspersonen Vertrag mit der RVK) sämtliche Post wird durch den Kundendienst (= VAD) bearbeite t (Post für das DRG-Team mu ss den MA direkt übergeben werden ode r die MA mus s die Post abholen (Keine Weitergabe an andere Mitarbeiter )) Papier-Rechnungen Typ DRG VAD Scanning der Papier Rechnung und MCD Rework durch VAD Erhaltene Papier-MCD ohne dazugehörige Rechnung z.h. VAD werden direkt vernichtet. Keine Weiterverarbeitung. Vernichtung sämtlicher Dokumente Rechnung und MCD 5 Tage VAD Centris Dispatcher Centris SFTP TDA Verarbeitung Trennung von Rechnung /MCD Prüfung durch Sachbearbeiterin Team DRG Stufe 2 Rechnung OK Kolumbus Team DRG OK? Ja Nur Rechnung Weiterleitung an VA (RVK) zur manuellen Prüfung durch VAD kmu Empfehlung an Sachbearbeiterin Team DRG Nein Medizinische Berichte, OP-Berichte, MCD usw. beim Leistungserbringer einverlangen Team DRG verfügt über einen Hilfspersonen VAD Vertrag, welche mit der RVK abgeschlossen ist. RDP Anbindung an Kolumbus OK? nein Sachbearbeiterin TeamDRG / Beanstandung an Leistungserbringer manuell Ja Freigabe Im Syrius (Kernsystem) Die Rechnung wird an den Leistungserbringer retourniert Vertragsdaten Zugriffsregelung innerhalb der Leistungen: Zugriff für Team DRG für 5 MA mit wöchentlichem Tages-Zeitfenster (innerhalb dieses Zeitfenster werden die MA nur die Funktion der Prüfstufe II (Team DRG).) In den restlichen Tagen nur die Funktion der Sachbearbeiterin Leistungen. Es darf keine Durchmischung beider Funktionen stattfinden. Arbeitsplatz: Die Arbeitsplätze für das Team DRG befindet sich an einem nicht einsehbaren Ort. Daten: Die Anzeigedaten im Kolumbus (Name,Vorname) sind anonymisiert. Aufbewahrung: Für das Team DRG stehen abschliessbare Schränke zur Verfügung, in welchen die Pendenten Fälle abgeschlossen werden müssen. Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

34 Bearbeitungsregelement Umgang mit (Personen)Daten Version /44

35 Fortsetzung Prozess und Aufteilung Papier-Rechnungen TeamDRG Leistungen: manuelle Leistungsbearbeitung von Rechnungen für stationäre Behandlungen Zweck: Prozessteam: Definitionen / Abkürzungen Prozessziel: Prozessintervall: Mitgeltende Dokumente extern: Mitgeltende Dokumente intern: Abhängige Prozesse und Beschreibungen: Rückvergütung von Rechnungen für stationäre Behandlungen, bei welchen eine Kostengutsprache erteilt wurde. Leistungen KOGU = Kostengutsprache HA AVB = Hausarzt = Allgemeine Versicherungsbedingungen Rückvergütung innerhalb von 14 Arbeitstagen ab Erhalt aller notwendigen Informationen Jeweils bei Rechnungs-Eingang Krankenversicherungsgesetz (KVG) Versicherungsvertragsgesetz (VVG) Allgemein gültige Tarifverträge Behördliche Bestimmungen (Abgrenzung zu anderen Sozialversicherer wie z.b. IV) Offiziell gültige Medikamentenlisten (SL, IKS usw.) Allgemeine Versicherungsbedingungen (AVB) Speziell definierte Abkommen Handbuch Krankenkassen-Software Richtlinien für die Dokumenten-Ablage Liste "Kostenarten kmu" Liste Kostenarten ÖKK Liste "Interne Texte" Kostengutsprache für stationäre Behandlungen Bearbeitungsregelement Umgang mit (Personen)Daten Version /44