Mehr Sicherheit im Krankenhaus Arbeitnehmervertretung, Datenschutz und Technikeinsatz

Transkript

1 Mehr Sicherheit im Krankenhaus Arbeitnehmervertretung, Datenschutz und Technikeinsatz Warum, wann und wie die Arbeitnehmervertreter und Datenschützer ins Boot genommen werden sollen Verband für Sicherheitstechnik (VfS) Fachtagung am Mittwoch, , Handelskammer Hamburg Dr. Thilo Weichert Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD) 1

2 Übersicht - Mitbestimmung des Betriebsrates - Anwendungsfelder der Mitbestimmung - Instrumente der Betriebsratsbeteiligung - Interner Datenschutz - Technischer Datenschutz - Ansätze für die Datenschutzaufsicht - andere mögliche Aufsichtstätigkeiten - unternehmerische Datenschutzstrategien - Besonderheiten im Krankenhaus - Aktion Datenschutz in meiner Arztpraxis - Schlussfolgerungen 2

3 Mitbestimmung des Betriebsrates Persönlichkeitsschutz im Betrieb ( 75 Abs. 2 BetrVG) Arbeitgeber und Betriebsrat haben die freie Entfaltung der Persönlichkeit der im Betrieb beschäftigten Arbeitnehmer zu schützen und zu fördern Mitbestimmungspflicht ( 87 Abs. 1 Nr. 6 BetrVG) Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen dient dem präventiven Persönlichkeitsschutz der Arbeitnehmer ähnlich: Personalvertretungsrecht öffentl. Dienst 3

4 Anwendungsfelder der Mitbestimmung Bundesarbeitsgericht: Überwachungsgeeignetheit genügt sowohl ob als auch wie, Neueinführung und Änderung Zugangsberechtigungssystem Videoüberwachung TK-Standort- und Verbindungsdatenspeicherung -Dienste Protokollierung Internet-Nutzung Protokollierung Firewall, Intrusion Detection nicht: Systeme mit reiner Patientendatenverarbeitung Sonderproblem: Arbeitgeber als TK-Provider Wahrung des TK-Geheimnisses 4

5 Instrumente der Betriebsratsbeteiligung rechtlich Zustimmungserfordernis sinnvoll: Betriebsvereinbarung Anspruch auf externe Begutachtung Einigungsstellenverfahren Beteiligung bei Bestellung des betrieblichen DSB informell Einbeziehung und Einbindung der Belegschaft und des Betriebsrates fördert Identifikation mit Betrieb und Betriebsleitung - Info auf Betriebsversammlung, Aushang, - Verteiler - regelmäßiger Jour-fix 5

6 Interner Datenschutz Pflicht zur Bestellung eines betrieblichen DSB 4f, 4g BDSG - Beratung, Kontrolle - Vorabkontrolle, Verfahrensverzeichnis - Mitarbeiterschulung, evtl. Verpflichtung Datengeheimnis Etablierung eines Datenschutzmanagements - unter Einbeziehung von Unternehmensleitung, IT-Abteilung, Betriebsrat und Mitarbeiterschaft - Workflow-Optimierung - Verfahren bei Betroffenenbeschwerden - technischer Datenschutz 6

7 Technischer Datenschutz Verantwortlichkeit der Stellenleitung Direktionspflicht gegenüber IT-Leitung Technische und organisatorische Maßnahmen 9 BDSG mit Anlage - konkreter LDSG (z.b. 5, 6 SH, 10 NRW): Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit, Transparenz - noch konkreter DSVO SH: Verfahrensbeschreibung, Sicherheitskonzept, Test, Freigabe Besonderheiten bei Datenverarbeitung im Auftrag 11 BDSG 7

8 Ansätze für die Datenschutzaufsicht Prüfen und Kontrollieren - mit od. ohne Anlass 38 I-IV BDSG Beanstandung v. Mängeln u. Rechtsverstößen 38 I 5 BDSG Abberufung des betriebl. DS-Beauftragten 38 V 3 BDSG Anordnung technischer u. org. Maßnahmen 38 V 1, 2 BDSG Strafanzeige und -antrag 44 II BDSG Erlass von Bußgeldern 43 BDSG Genehmigung von Auslands-Datentransfers 4c II BDSG evtl. Entgegennahme von Meldungen 4d I BDSG evtl. Vorabkontrolle 4d V BDSG evtl. Registerführung vgl. 4g II BDSG 8

9 andere mögliche Aufsichtstätigkeiten - Beratung - Schulung und Ausbildung - Begutachtung - Standardisierung, Bewertung v. Codes of Conduct 38a BDSG - Mediation bis zu Einigungsstellenverfahren - Zertifizierung von Produkten (vgl. 4 II LDSG SH) - Auditierung von Verfahren (vgl. 43 II LDSG SH) - Entwicklung von Privacy Enhancing Technologies (PET) = klassische Marktaktivitäten ULD: Ersatzvornahme mangels Markt evtl. gegen Kostenersatz 9

10 unternehmerische Datenschutzstrategien Kostenminimierung durch Untätigkeit - Gefahren: Bußgelder, Haftung, öffentlicher Verruf u. kritische Berichterstattung Kostenoptimierung durch Datenschutz-Management -Chancen: Erhöhung der Datensicherheit Verbesserung des Work-Flow Unterstützung des Controlling Werbung um Vertrauen Kundenbindung nach außen Corporate Identity nach innen 1 0

11 Besonderheiten im Krankenhaus Beachtung des Patientengeheimnisses (MBO ÄK, 203 StGB) neben dem Datenschutzrecht > Abbildung des Patientengeheimnisses durch Technik (Trennung Verwaltung-Arzt, Behandlungsteams, GV-Plan) - durch differenzierte Zugriffskonzepte - durch Anonymisierung u. pseudonyme Datenverarbeitung (z.b. im Bereich der Auftragsdatenverarbeitung) Nutzung der Telematik-Diskussion bei egk-einführung > Aufbau einer sicheren internen IT-Struktur mit definierten geprüften Schnittstellen nach außen Einsatz von Produkten mit Gütesiegel 1 1

12 Aktion Datenschutz in meiner Arztpraxis Seit 2000 Aktion in Kooperation mit ÄK und ZÄK Schles.-Holst. Seit 2003 Ausweitung vom ambulanten auf stationären Bereich Kooperation mit KG SH - rechtliche Informationen (z.b. Krhs.-Archivordnung) - Hinweise für betriebliche Datenschutzbeauftragte - Hilfen für PatientInnen - Hilfe für Systemadministratoren und IT-Verantwortliche - Checkliste Datenschutz im Krankenhaus Was noch fehlt: Audit Was bald kommt: Broschüre Datenschutz im Krhs. 1 2

13 Schlussfolgerungen Ohne Einbindung von Arbeitnehmern und Datenschutz misslingt die Einführung und der Betrieb einer sicheren und akzeptierten Krankenhaus-IT Arbeitnehmervertetung und Datenschutz können natürliche Verbündete der Krankenhaussicherheit sein Mit Datenschutz können neue Ressourcen für Krankenhäuser mobilisiert werden bzgl. - Verfahrens- und Organisationsoptimierung - Datensicherheit - Kundenbindung und Mitarbeiterzufriedenheit 1 3

14 Arbeitnehmervertretung, Datenschutz und Technikeinsatz Dr. Thilo Weichert Wo? Unabhängiges Landeszentrum für Datenschutz Kiel, Holstenstraße 98 Telefon? 0431/ Telefax? 0431/ ? Internet? (ULD) m Aktion Datenschutz in meiner Arztpraxis 1 4