Bearbeitungsreglement: KLuG Krankenversicherung

Transkript

1 Bearbeitungsreglement: KLuG Krankenversicherung Inhalt: 1. Kurzbeschreibung der KLuG Krankenversicherung 2. Rechtliche Grundlagen 3. Interne Organisatin 4. IT-Struktur 5. Zugriffe 6. Datensicherheit 7. Interne und externe Kntrllen 8. Auskunftsbegehren 9. Archivierung und Vernichtung 10. Verbietung der Bearbeitung und Bekanntgabe vn Daten 11. Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Organigramm Datum Versin Ersteller Freigabedatum Freigabe durch Odette Hänsli Yvnne Dempfle N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

2 1. Kurzbeschreibung der KLuG Krankenversicherung Die KLuG Krankenversicherung besteht seit 1918 und betreut rund Versicherte. Dazu zählen Privatpersnen, Familien und auch Mitarbeitende vn weltweit tätigen Unternehmen in der ganzen Schweiz. Die KLuG Krankenversicherung ist dem Verband der Schweizerischen Krankenversicherer (santésuisse) angeschlssen und durch den Rückversicherungsverband (RVK Rück) rückversichert. Zudem bestehen Zusammenarbeitsverträge mit der Helsana Versicherungen AG und anderen Versicherungen für die Zusatzversicherungspalette. 2. Rechtliche Grundlagen Für die autmatisierte Datenbearbeitung im Rahmen der Durchführung der Krankenversicherung nach KVG, bei der besnders schützenswerte Persnendaten betrffen sind, hat die KLuG Krankenversicherung, gestützt auf Art. 21 VDSG i.v.m. Art. 84b KVG, das vrliegende Bearbeitungsreglement erstellt. Die nachflgenden Bestimmungen gelten sinngemäss auch für den Bereich der Zusatzversicherungen nach VAG. 3. Das System Die nachflgende, grafische Übersicht zeigt die vn der Datenbearbeitung betrffenen Umsysteme auf: N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

3 4. Interne Organisatin Verantwrtlichkeiten Die Gesamtverantwrtung für den Datenschutz trägt der Vrstand der KLuG Krankenversicherung. Diese Verantwrtung ist nicht übertragbar. Alle weiteren Aufgaben, Kmpetenzen und Verantwrtlichkeiten betreffend Datenschutz sind in den entsprechenden Arbeitsverträgen/Stellenbeschreibungen und dem Reglement Datenschutz festgehalten. Für IT-Themen wie das Betriebssystem, Anwendungen, die Datenbank, das Netzwerk und die Datensicherheit ist die Infrmatikabteilung verantwrtlich. Der externe Datenschutzbeauftragte berät die KLuG Krankenversicherung in der Umsetzung und Einhaltung des Datenschutzes und nimmt die entsprechenden Kntrllen vr. Er trägt jedch nicht die Verantwrtung für die Einhaltung der Bestimmungen des Datenschutzes, diese liegt in jedem Fall beim Inhaber der Datensammlung. Verantwrtliche Stelle: Geschäftsführerin, Yvnne Dempfle N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

4 Organigramm Die KLuG Krankenversicherung beschäftigt 15 Mitarbeitende Anmeldung der Datensammlungen beim EDÖB Da die KLuG Krankenversicherung über einen dem EDÖB gemeldeten, betrieblichen Datenschutzverantwrtlichen nach Art. 12a und 12b VDSG verfügt, ist sie gemäss Art 11a Abs. 5 lit. e DSG vm Führen eines öffentlich zugänglichen Registers der Datensammlungen und vn der Pflicht zur Anmeldung der Datensammlung befreit. Die Knfrmität der einzelnen Datensammlung, die Persnendaten erhält, wird vr Implementierung swie kntinuierlich für alle bestehenden Datensammlungen geprüft und im Knfrmitätsnachweis dkumentiert. Verantwrtliche Stelle: Geschäftsführerin, Yvnne Dempfle Przessabläufe Alle Przessabläufe inkl. Angaben zu Verantwrtlichkeiten sind in den Handbüchern definiert und dkumentiert. Przess Verantwrtung Auskunftsbegehren Datenschutz und -sicherheit (Reglement) Knfrmitätsnachweis der Datensammlung Geschäftsführerin Geschäftsführerin / externer Datenschutzbeauftragter Geschäftsführerin / externer Datenschutzbeauftragter N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

5 Alle Przesse, in welchen besnders schützenswerte Persnendaten bearbeitet werden sind identifiziert und entsprechend in den Knfrmitätsnachweis aufgenmmen. Verantwrtliche Stelle: Leiter Leistungen, Peter Odermatt 4. IT-Struktur Die nachflgende Grafik zeigt die IT Struktur auf, in welche das autmatisierte Datenbearbeitungssystem eingegliedert ist. Client Mbile Geräte (MO) Aussenstellen (SECON AG, CENT, BYTE LINK, DWA, SSS, CANON) Patienten Ärzte / Spitäler Vertrauensarzt Drucker Server Client IT-Abteilung Back-up Die Mitarbeitenden können via ihren Cmputer (Client) auf die Daten auf dem Server zugreifen, die sie für die Erfüllung ihrer Aufgaben brauchen. Alle Daten werden auf einem Back-up-Server sicherheitsgespeichert (dupliziert). Der Vertrauensarzt kann auf die Daten zugreifen, die er für die Erfüllung seiner Aufgabe braucht. Weder die Patienten nch die Ärzte resp. Spitäler können auf die Daten zugreifen. Eingesetzte Infrmatikmittel KLuG benutzt die Systemsftware Siddhartha zur Verwaltung der Versichertendaten, Versichertenbetreuung und Leistungsabwicklung. Zusätzlich wird das System Therefre zur elektrnischen Dkumentenarchivierung eingesetzt. Bei beiden Systemen sind Berechtigungsregeln hinterlegt, welche garantieren, dass jeder Mitarbeiter nur auf diejenigen Daten zugreift, die für die Erfüllung der Aufgaben ntwendig sind. Schnittstellen: Die Schnittstellen bei der Datenbearbeitung sind im Knfrmitätsnachweis enthalten. Der aktuelle Knfrmitätsnachweis kann bei der Geschäftsführerin eingesehen werden. N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

6 Verantwrtliche Stelle: Geschäftsführerin, Yvnne Dempfle 5. ZUGRIFFE Es werden nur die ntwendigsten Zugriffsrechte auf Netzwerke, Prgramme und Daten an Benutzer vergeben. Jeder Mitarbeitende erhält nur Zugriff auf genau diejenigen Daten, die er zur Erfüllung seiner Aufgabe unbedingt braucht. Die Geschäftsführerin entscheidet über die Vergabe und den Umfang der Zugriffsrechte. Sie entscheidet anhand der in der Weisung bezüglich Vergabe und Umfang der Zugriffsrechten definierten Regeln. Die Zugriffrechte sind auf die Funktin und Tätigkeitsfelder jeder Persn zugeschnitten. Des Weiteren wird für jede Berechtigung entscheiden, b eine Leseberechtigung genügt, der Änderungsberechtigungen vergeben werden müssen. Die Zugriffsrechte sind im Detail in der Zugriffsliste pr Mitarbeitenden festgehalten. Die Liste wird regelmässig durch das Management überprüft. 6. DATENSICHERHEIT Für die Gewährleistung der Datensicherheit d.h. dem Schutz vn Daten während der Datenverarbeitung, -speicherung der transprt vr Verlust, Zerstörung, Verfälschung, unbefugter Kenntnisnahme und unberechtigter Verarbeitung, werden verschiedene Massnahmen angewendet, welche in der Weisung Technische und rganisatrische Vrkehrungen zur Gewährleistung des Datenschutzes geregelt sind. 7. INTERNE UND EXTERNE KONTROLLEN Massnahmen auf Unternehmungsebene schriftlich festgehaltene Datenschutzplitik, die allen Mitarbeitenden bekannt ist Datenschutz- und Datensicherheitsrichtlinien resp. -knzept Regelungen vn Aufgaben, Verantwrtlichkeiten und Kmpetenzen bezüglich Datenschutz und Datensicherheit in den Pflichtenheften der Mitarbeitenden. Thematisierung des Datenschutzes und der Datensicherheit in allen Stellenbeschreibungen und Arbeitsverträgen. Die Zugänge zu den Bürs swie zum Archiv sind gesichert. Jährliche Schulung aller Mitarbeitenden bezüglich Datenschutz und Datensicherheit. Weisungen betreffend Umgang mit und Telefn. Das System zeichnet die Zugriffe auf Daten, den Zeitpunkt swie den Umfang der Zugriffe (lesen, verändern etc.) auf. Kntrllen durch das Management Das Leitungsrgan und die Geschäftsleitung nehmen ihre Führungs- und Überwachungsaufgaben durch flgende Kntrllen wahr: Prüfen der Bereiche der Internen Kntrlle und Ableiten vn Massnahmen. Prüfung der Umsetzung der Datenschutzplitik. N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

7 Srgfältige Auswahl und Instruktin aller externer Dienstleister, die auf Daten zugreifen können der an denen Daten weitergegeben werden. Verfassen vn Datenschutz- und Datensicherheits-Vertragsklauseln mit allen Dienstleistern, die auf Daten zugreifen können der an denen Daten weitergegeben werden swie Kntrlle, b die Dienstleister die Vrschriften bezüglich Datenschutz und Datensicherheit einhalten. Peridische Prüfung der Zugriffsrechte swie des Umfangs der Zugriffsrechte jedes Mitarbeitenden anhand der Zugriffsliste. Auswertung der Systemaufzeichnungen bezüglich Zugriffe auf Daten, Zeitpunkt swie Umfang der Zugriffe und Abgleich mit der Zugriffsliste. Des Weiteren lebt das Management seine Vrbildfunktin aktiv und täglich und stellt die ntwendigen Mittel für die kntinuierliche Verbesserung des Datenschutzes und der Datensicherheit bereit. Kntrllen auf Przessebene Prüfung der Knfrmität vr Einrichtung einer Datensammlung und Dkumentatin im Knfrmitätsnachweis. Jährliche Kntrlle des Knfrmitätsnachweises (Vllständigkeit, Krrektheit, ist die Datenbearbeitung immer nch zweckmässig? Ist der Empfänger der Daten nch krrekt etc.). Interne Audits. Jährliche Kntrlle durch die Interne Revisin und den betrieblichen Datenschutzverantwrtlichen Diese Kntrllen sind in das umfassende Interne Kntrllsystem des Unternehmens integriert. 8. AUSKUNFTSBEGEHREN Geregelt in: Art. 8ff DSG und Art. 1 ff VDSG Auskunftsbegehren sind schriftlich zusammen mit einer Kpie der ID der des Passes zu senden. Die verantwrtliche Stelle resp. seine Stellvertretung trägt die Verantwrtung für eine termingetreue Bearbeitung des Antrags. Verantwrtliche Stelle: Leiter Leistungen, Peter Odermatt Auskunftsbegehren über die Gesundheit Daten über die Gesundheit des Gesuchstellers werden an einen vm Gesuchsteller bestimmten Arzt übermittelt, nicht an den Gesuchsteller persönlich. Der Przess kann bei der Geschäftsführerin eingesehen werden. N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015

8 9. ARCHIVIERUNG UND VERNICHTUNG Archivierungspflichtige Dkumente werden während der gesetzlich verlangten Dauer archiviert und vr Veränderungen der unbefugten Zugriffen geschützt. Die Zutritte zum Archiv werden sehr restriktiv vergeben und prtklliert. Die Prtklle werden aufbewahrt. Nach Ablauf der gesetzlichen Archivierungsfrist werden die Dkumente vernichtet, da die rechtliche Grundlage (Zweckmässigkeit) wegfällt. Der Ablauf der Aufbewahrung, Archivierung und Vernichtung ist in einem Datenaufbewahrungs- und Archivierungsknzept festgehalten. Die Aufbewahrungsdauer für jede Datensammlung ist aus dem Knfrmitätsnachweis im Anhang dieses Bearbeitungsreglements ersichtlich. 10. VERBIETUNG DER BEARBEITUNG UND BEKANNTGABE VON DATEN Eine betrffene Persn kann die Bekanntgabe der die Bearbeitung ihrer Daten verbieten. Beide Begehren sind an die verantwrtliche Stelle zu stellen. Die verantwrtliche Stelle resp. seine Stellvertretung trägt die Verantwrtung für eine termingetreue Bearbeitung des Antrags. Der Przess kann bei der Geschäftsführerin eingesehen werden. Verantwrtliche Stelle: Leiter Leistungen, Peter Odermatt 11. EIDGENÖSSISCHER DATENSCHUTZ- UND ÖFFENTLICHKEITSBEAUFTRAGTER (EDÖB) Das Bearbeitungsreglement wird dem EDÖB zur Beurteilung vrgelegt. Bei Änderungen des Reglements wird der EDÖB mit dem überarbeiteten Bearbeitungsreglement dkumentiert. N:\Datenschutz\Bearbeitungreglement\Bearbeitungsreglement_Kurzversin_1.0_Rhdatei_ dcx Mittwch, 8. April 2015