Vorlage zur Kenntnisnahme. Stellungnahme des Senats zum Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit für das Jahr 2009

Transkript

1 7.2.4 Schwache Datenschutzorganisation in Klinikkonzernen Drucksache 16/ Wahlperiode Vorlage zur Kenntnisnahme zum Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit für das Jahr 2009 Die Drucksachen des Abgeordnetenhauses können über die Internetseite (Startseite>Parlament>Plenum>Drucksachen) eingesehen und abgerufen werden.

2 Der Senat von Berlin SenInnSport I AbtL 1 Tel. (927) 2066 An das Abgeordnetenhaus von Berlin über Senatskanzlei G Sen V o r l a g e - zur Kenntnisnahme - über zum Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit für das Jahr Der Senat legt nachstehende Vorlage dem Abgeordnetenhaus zur Besprechung vor: Nach 29 Abs. 2 Berliner Datenschutzgesetz sowie 18 Abs. 3 Berliner Informationsfreiheitsgesetz erstattet der Beauftragte für Datenschutz und Informationsfreiheit dem Abgeordnetenhaus und dem Senat jährlich einen Bericht über das Ergebnis seiner Tätigkeit. Der Senat hat dazu nach 29 Abs. 2 des Berliner Datenschutzgesetzes eine Stellungnahme herbeizuführen und legt diese hiermit dem Abgeordnetenhaus vor. Berlin, den 29. Juni 2010 Der Senat von Berlin Klaus Wowereit Dr. Ehrhart Körting Regierender Bürgermeister Senator für Inneres und Sport

3 zum Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit für das Jahr 2009 (nach 29 Abs.2 Berliner Datenschutzgesetz) 1

4 Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit 2009 Orten ist eine (nicht erforderliche) Kenntnisnahme der Dokumente möglich. Dies steht im Widerspruch zum datenschutzrechtlichen Gebot der Datensparsamkeit und, vor allem, der ärztlichen Schweigepflicht. Wir konnten bewirken, dass eine Verschlüsselung der konzerninternen Datenweitergaben sukzessive eingeführt wird, um die medizinischen Daten auch vor einem Zugriff durch interne und externe IT- Dienstleister zu schützen. Die Möglichkeit der Kenntnisnahme auf den Servern der äußeren Netzgrenze bei der Konzernmutter besteht weiterhin und wird erst mittelfristig beseitigt. Der größte sicherheitstechnische Schwachpunkt des Projekts besteht jedoch nicht auf der Anbieter-, sondern auf der Nutzerseite: Auch bei einer kryptographischen Absicherung der Übertragung vom Krankenhaus zu niedergelassenen Ärztinnen und Ärzten gelangen die medizinischen Dokumente schlussendlich im Klartext auf einen Rechner in der Praxis, welcher für den allgemeinen Zugriff auf das Internet genutzt wird. Die Gefährdung solcher Computer ist hinlänglich bekannt. Millionen von Privatcomputern werden jährlich von Kriminellen unterwandert und in der Folge von diesen gesteuert. Die Praxiscomputer, auf denen die Arztberichte und Befunde aus dem Portal eintreffen, sind (wir haben uns davon vor Ort überzeugt) nicht besser geschützt. Die Kassenärztliche Vereinigung Berlin und die Berliner Ärztekammer empfehlen verbindlich allen niedergelassenen Ärztinnen und Ärzten, Rechner mit Patientendaten vom Internet zu trennen. Nur speziell geschützte Verbindungen etwa zu den Abrechnungszentralen der Kassenärztlichen Vereinigungen sind zulässig. Auf Rechnern, die für den allgemeinen Internetzugriff gedacht sind, dürfen medizinische Daten nicht im Klartext gespeichert oder angezeigt werden. Zuweiserportale dürfen daher lediglich verschlüsselte Dokumente anbieten, welche von der Ärztin oder dem Arzt erst im gesicherten Bereich ihrer Praxisverwaltungssysteme entschlüsselt werden. Die einzige Alternative besteht in der Nutzung sog. virtueller privater Netze (VPN),107 bei denen die beteiligten Rechner nicht am allgemeinen Internetverkehr, sondern nur am Datenaustausch mit im Vorhinein festgelegten Kommunikationspartnern teilnehmen Schwache Datenschutzorganisation in Klinikkonzernen Große Krankenhausunternehmen verarbeiten riesige Mengen sensitiver Gesundheits- und Personaldaten. Einige Häuser statten die interne Datenschutzkontrolle nicht dementsprechend aus. So mussten wir mit Befremden zur Kenntnis nehmen, dass die Vivantes Netzwerk für Gesundheit GmbH in der Jahresmitte die 107 Vgl. dazu

5 Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit 2009 Personalressourcen ihres betrieblichen Datenschutzes drastisch reduzierte. Als größter kommunaler Krankenhauskonzern Deutschlands hat sich Vivantes das Ziel gestellt, Vorreiter einer sich im Wandel befindlichen Branche zu sein. Dazu passt die genannte Entscheidung nicht: Ein modernes Krankenhausunternehmen mit neun Standorten und rund Betten ohne einen funktionierenden Datenschutz ist undenkbar, insbesondere bei der starken Technisierung, welche die medizinische Versorgung heutzutage durchdringt, und den vielfältigen Dokumentationserfordernissen, die zu immer umfangreicheren Datenmengen mit sensiblen Informationen über die Patientinnen und Patienten führen. Der betriebliche Datenschutzbeauftragte ist in alle Planungen von IT-gestützten Verfahren einzubeziehen. Solche Verfahren, die mit besonderen Risiken für die Betroffenen verbunden sind, unterliegen seiner Vorabkontrolle. In seiner Hand liegt das Wissensmanagement auf dem Gebiet des Datenschutzes. Er ist Ansprechpartner für Patientinnen und Patienten wie Beschäftigte. Er berät die Geschäftsführung und holt sich seinerseits in Zweifelsfällen Rat bei uns. Letzteres hat sich insbesondere im Vorfeld von Kontrollen bewährt. Vivantes ist nicht der einzige in Berlin ansässige Krankenhauskonzern mit Defiziten im Datenschutzmanagement. Die Helios Kliniken GmbH ließ uns über Monate im Unklaren über die Person ihres betrieblichen Datenschutzbeauftragten und zog es vor, unsere Anschreiben zu ignorieren. Erst nach direkter Ansprache sah sich die Geschäftsführung des Konzerns in der Lage, einen aktiv tätigen Datenschutzbeauftragten zu bestellen. Dieser begann im Laufe des Jahres, eine Datenschutzkontrollstruktur und ein Netzwerk von Ansprechpartnern in den einzelnen Häusern aufzubauen. Nichtsdestotrotz ist nicht zu übersehen: Hier ist ein Datenschutzbeauftragter für insgesamt rund 70 Betriebsstätten zuständig. FAZIT Krankenhausunternehmen haben für eine rechtskonforme Bestellung und Unterstützung des Datenschutzbeauftragten durch die Bereitstellung von Hilfspersonal, Räumen, Geräten und Mitteln zu sorgen. Dies kommt den behandelten Patientinnen und Patienten sowie dem Personal zugute. Darüber hinaus ist es Voraussetzung für eine positive Wahrnehmung in Politik und Öffentlichkeit. Krankenhausunternehmen haben für eine rechtskonforme Bestellung und Unterstützung des Datenschutzbeauftragten durch die Bereitstellung von Hilfspersonal, Räumen, Geräten und Mitteln zu sorgen. Dies kommt den behandelten Patientinnen und Patienten sowie dem Personal zugute. Darüber hinaus ist es Voraussetzung für eine positive Wahrnehmung in Politik und Öffentlichkeit. 95