Scannen, Archivieren und Entsorgen medizinischer Unterlagen

Transkript

1 Scannen, Archivieren und Entsorgen medizinischer Unterlagen Hamburg, 3. Februar 2015 Thomas Kranig Bayerisches Landesamt für Datenschutzaufsicht Thomas Kranig 1 1

2 Agenda Bedürfnisse der Praxis Rechtsrahmen Praktische Umsetzung der Rechtslage Ausblick Thomas Kranig 2

3 Agenda Bedürfnisse der Praxis Rechtsrahmen Praktische Umsetzung der Rechtslage Ausblick Thomas Kranig 3

4 Bedürfnisse der Praxis Arbeitsaufwand, der im Hinblick auf Patientenunterlagen anfällt: Scannen von Papierunterlagen Papiervernichtung bzw. Vernichtung von Datenträgern Datenarchivierung Möglichst unter Einschaltung externer Dienstleister ohne eigene Beteiligung Thomas Kranig 4

5 Bedürfnisse der Praxis Gründe für Einschaltung externer Dienstleister: wachsende Datenmengen im medizinischen Bereich wirtschaftliche Erwägungen wg. Aufbewahrungskosten wg. technischer Komplexität ist Personal mit Spezialkenntnissen erforderlich (EDV, Arbeitssicherheit, Abfallrecht ) Thomas Kranig 5

6 Bedürfnisse der Praxis Notwendigkeit rechtlicher Absicherung: Strafverfolgung ( 203 StGB) Berufsrechtliche Konsequenzen Datenschutzrechtliche Beanstandungen Wettbewerbsrechtliche Verfügungen Projektabbrüche als Folgewirkungen Sonstige Haftungsproblematiken Thomas Kranig 6

7 Agenda Bedürfnisse der Praxis Rechtsrahmen Praktische Umsetzung der Rechtslage Ausblick Thomas Kranig 7

8 Rechtsrahmen Medizinische Unterlagen ( 3 Abs. 9 BDSG: Besondere Arten personenbezogener Daten sind Angaben über die Gesundheit) Medizinische Unterlagen eines niedergelassenen Arztes Datenschutzaufsicht (in Bayern): BayLDA Medizinische Unterlagen eines Krankenhauses Datenschutzaufsicht (in Bayern) Öffentliche Krankenhäuser: BayLfD Private Krankenhäuser: BayLDA Katholische Krankenhäuser: DSB der Kath. Kirche Evangelische Krankenhäuser: DSB der Ev. Kirche Thomas Kranig 8

9 Eckpunkte des Rechtsrahmens: Rechtsrahmen Ärztliche Schweigepflicht ( 203 StGB) als bundesrechtliche Regelung Vorgaben des Bayerischen Krankenhausgesetzes (Art. 27 Abs.4) als landesrechtliche Regelung BDSG bzw. BayDSG Berufsordnungen für Ärzte Verhältnis der Regelungsebenen zueinander: Prinzipiell parallele Anwendbarkeit von 203 StGB und BDSG bzw. BayDSG (siehe 1 Abs. 3 Satz 2 BDSG bzw. Art. 2 Abs.9 BayDSG) Art. 27 Abs. 4 BayKrG als Befugnis im Sinne des 203 StGB und als lex specialis zu BDSG bzw. BayDSG Thomas Kranig 9

10 Rechtsrahmen Ärztliche Schweigepflicht ( 203 StGB) Wer unbefugt ein fremdes Geheimnis offenbart, das ihm als Arzt oder Angehörigen eines sonstigen Heilberufs anvertraut worden oder sonst bekannt geworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Thomas Kranig 10

11 Rechtsrahmen Tathandlung im Sinn des 203 StGB: Offenbaren Ungehinderte Möglichkeit der Kenntnisnahme ist grundsätzlich ausreichend; tatsächliche Kenntnisnahme ist nicht erforderlich Bei digital gespeicherten Berufsgeheimnissen genügt für Offenbarung die Einräumung der Verfügungsgewalt über die Daten Thomas Kranig 11

12 Unbefugt oder Befugt Keine Definition im StGB selbst Rechtsrahmen Befugnis denkbar aus verschiedenen Formen der Einwilligung Ausdrückliche Einwilligung in die Einschaltung externer Dienstleister in der Praxis wohl nie vorhanden Konkludente Einwilligung nicht ableitbar aus der Sachgerechtigkeit eines Vorgangs Mutmaßliche Einwilligung: nicht, wenn der Betroffene selbst gefragt werden könnte Rechtsnormen, auch Landesrecht, z.b. Art. 27 BayKrG (aber: nicht 11 BDSG!) Güterabwägung (letztlich rechtfertigender Notstand, 34 StGB), wirtschaftliche Erwägungen genügen aber nicht Thomas Kranig 12

13 Rechtsrahmen Zwischenergebnis Der Einsatz externer Dienstleister zum Scannen, Vernichten und Archivieren ist unter dem Gesichtspunkt des 203 StGB unzulässig, sofern nicht ausnahmsweise doch eine Einwilligung vorliegt oder eine gesetzliche Befugnisnorm wie Art. 27 BayKrG anwendbar ist. Thomas Kranig 13

14 Rechtsrahmen Unterscheidung der Datenarten in Art. 27 BayKrG: Patientendaten (Art. 27 Abs. 1 Satz 1 BayKrG): alle Einzelangaben über persönliche oder sachliche Verhältnisse bestimmter oder bestimmbarer Patienten aus dem Bereich der Krankenhäuser. Verwaltungsdaten (Art. 27 Abs. 4 Satz 5 BayKrG): Verarbeitung und Mikroverfilmung durch andere Stellen zulässig. Behandlungsdaten (Art. 27 Abs. 4 Satz 6 BayKrG): Verarbeitung und Mikroverfilmung ausschließlich durch andere Krankenhäuser zulässig Thomas Kranig 14

15 Rechtsrahmen Art. 27 Abs. 4 Satz 6 BayKrG (Kernsatz für Behandlungsdaten): Zur Verarbeitung oder Mikroverfilmung von Patientendaten, die nicht zur verwaltungsmäßigen Abwicklung der Behandlung der Patienten erforderlich sind, darf sich das Krankenhaus jedoch nur anderer Krankenhäuser bedienen. externe Verarbeitung und Mikroverfilmung von Behandlungsdaten nur durch andere Krankenhäuser zulässig, nicht durch sonstige Personen oder Stellen Grund für Differenzierung: besondere Schutzbedürftigkeit von Behandlungsdaten Thomas Kranig 15

16 Agenda Bedürfnisse der Praxis Rechtsrahmen Praktische Umsetzung der Rechtslage Ausblick Thomas Kranig 16

17 Praktische Umsetzung der Rechtslage Scannen bzw. Digitalisierung durch externe Dienstleister unzulässig, dass externer Dienstleister unverschlüsselte Patientendaten erhält, um diese zu digitalisieren bzw. zu scannen (BayLfD, 22. TB 2006/2006, Ziff ) Archivierung durch externe Dienstleister zulässig, sofern Daten im Krankenhaus asymmetrisch verschlüsselt werden, d.h. Dritte keine Kenntnis erhalten können (BayLfD, 21. TB 2003/2004, Ziff i.v.m. 22. TB 2006/2006, Ziff ) Papiervernichtung durch externe Dienstleister Vernichtung im Krankenhaus zulässig, aber i.d.r. unrealistisch Denkbar: strikte Vorgaben an Vernichter unter gleichzeitiger Aufrechterhaltung der Verfügungsgewalt des Krankenhauses Thomas Kranig 17

18 Praktische Umsetzung der Rechtslage Externe Digitalisierung, Archivierung und Vernichtung Notwendigkeit eines Vertrags zur Auftragsdatenverarbeitung auch bei Speicherung verschlüsselter Daten?? (anonym, nicht (mehr) personenbezogen??) Arzt bzw. Krankenhaus muss Verfügungsgewalt über die Daten aufrechterhalten ( Hand auf den Daten haben ), um unbefugtes Offenbaren zu vermeiden! z.b. mittels Überwachung durch Krankenhausmitarbeiter, der Weisungsbefugnisse gegenüber den Mitarbeitern des externen Dienstleisters (Auftragnehmer) hat; Problem: Gesetz zur Regelung der Arbeitnehmerüberlassung (AÜG) Erlaubnispflicht der Arbeitnehmerüberlassung! Thomas Kranig 18

19 Praktische Umsetzung der Rechtslage Ersetzendes Scannen Unsicherheiten bzgl. Zulässigkeit des ersetzenden Scannens wegen uneinheitlich ausgestalteter technisch-organisatorischer Anforderungen sowie wegen sehr unterschiedlicher Regelungen genaue Prüfung für die jeweilige Dokumentenart erforderlich, d.h. Klärung, welche gesetzliche Regelung einschlägig ist!! Technische Richtlinie Rechtssicheres ersetzendes Scannen (TR RESISCAN) des Bundesamtes für Sicherheit in der Informationstechnik (TR Nr vom ) Eine Verletzung der Aufbewahrungspflicht kann sowohl straf- als auch berufsrechtliche Konsequenzen nach sich ziehen. Vgl. Hüsch: Rechtssicheres ersetzendes Scannen, CR 2014,206 Thomas Kranig 19

20 Praktische Umsetzung der Rechtslage Löschen Löschkonzept geht das in der Medizin?? 35 Abs. 2 Nr. 3 bzw. Art. 27 Abs. 2 S. 1 BayKrG ( Löschung, sobald Speicherung der Daten nicht mehr erforderlich ist ) Gemäß 35 Abs. 3 Nr. 1 BDSG Sperrung der Daten statt Löschung, wenn Aufbewahrungsfristen entgegenstehen Aufbewahrungsfristen können sich für Patientenunterlagen aus Vielzahl von Vorschriften ergeben (vgl. z.b. Übersicht der Kassenärztlichen Vereinigung Bayerns im Internet) Aufbewahrung psychiatrischer Patientenunterlagen siehe dazu BayLfD, 25. TB 2011/2012, Ziff Thomas Kranig 20

21 Praktische Umsetzung der Rechtslage Datenträgervernichtung Wenn personenbezogene Daten zu löschen sind, sind sie unkenntlich zu machen ( 3 Nr. 5 BDSG). Seit gibt es ist die neue DIN zur Datenträgervernichtung. DIN empfiehlt, alle im Geschäftsverkehr vorkommenden oder anfallenden Informationen (Daten) zunächst zu klassifizieren 3 Schutzklassen und 7 Sicherheitsstufen bei Einstufung ist zu berücksichtigen, ob es sich um besondere Arten personenbezogener Daten ( 3 Abs. 9 BDSG) bzw. um Daten handelt, die einem Berufs- oder Amtsgeheimnis unterliegen (z.b. 203 StGB) Thomas Kranig 21

22 Praktische Umsetzung der Rechtslage Datenträgervernichtung Orientierungshilfe zur Ermittlung des Schutzbedarfs personenbezogener Daten für den Prozess der Datenträgervernichtung (von Bayern geplant, im Bund z. Zt. gescheitert) Thomas Kranig 22

23 Praktische Umsetzung der Rechtslage Erfahrungen der Datenschutzaufsicht (BayLDA) Kontrolle in Arztpraxen Kontrolle in Krankenhäusern Erfahrungen der Bußgeldstelle (BayLDA) Bußgeldbescheid wegen Entsorgung von Altakten durch Freund im öffentlichen Altpapiercontainer Vom Gericht gehalten, aber heruntergesetzt wegen niedrigerem Bußgeldrahmen bei Fahrlässigkeit Thomas Kranig 23

24 Agenda Bedürfnisse der Praxis Rechtsrahmen Praktische Umsetzung der Rechtslage Ausblick Thomas Kranig 24

25 Ausblick Am 25. Januar 2012 hat die EU-Kommission den Entwurf einer Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) vorgelegt. Diese Verordnung hat die Vollharmonisierung des Datenschutzrechts in Europa zum Ziel (d.h. Wegfall von Bundes- und Landesdatenschutzgesetzen und vieler sonstiger bereichsspezifischer Datenschutzregelungen). Quelle: ec.europa.eu Viviane Reding Vizepräsidentin Kommissarin für Justiz, Grundrechte und Bürgerschaft Was bleibt in welchem Umfang bestehen (BDSG, Landesdatenschutzgesetze, TMG)? Thomas Kranig 25

26 Datenschutz-Grundverordnung (DS-GVO-E) Art. 2 DS-GVO-E: sachlicher Anwendungsbereich eröffnet: automatisierte Verarbeitung personenbezogener Daten Art. 3 DS-GVO-E: räumlicher Anwendungsbereich eröffnet: Marktortprinzip Art. 4 Abs. 12 DS-GVO: Gesundheitsdaten (sind) Informationen, die sich auf den körperlichen oder geistigen Gesundheitszustand einer Person oder auf die Erbringung von Gesundheitsleistungen für die betreffende Person beziehen Art. 9 DS-GVO-E: Rechtmäßigkeit der Verarbeitung besonderer Kategorien von personenbezogenen Daten Ausblick auf Art. 81 DS-GVO-E: Öffnungsklausel für die Verarbeitung personenbezogener Gesundheitsdaten ( in the limits of.. oder in den Grenzen dieser Verordnung ) Was bedeutet das in der Praxis? Thomas Kranig 26

27 Vorschlag EU-Kommission EU-Parlament Gemeinsamer Gesetzgeber EU-Rat Wir sind gespannt, zu welcher Auffassung der Rat - und wenn ja, wann - kommen wird, was das neue EU-Parlament macht und was nach dem Trilog (wann auch immer) herauskommen wird Thomas Kranig 27

28 Vielen Dank für Ihr Interesse Thomas Kranig Bayerisches Landesamt für Datenschutzaufsicht Promenade 27 (Schloss) Ansbach Telefon: (0981) Telefax: (0981) Webseite: Thomas Kranig 28 28