Datensammlung. Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG

Transkript

1 Kolping Krankenkasse AG Bearbeitungsreglement Datensammlung Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG

2 Versionskontrolle Datum Version Name Beschreibung Ibrahim At Erstellung Ibrahim At Ergänzung Art Wolfgang Schwarz Unabhängigkeit der DAS und VA/VAD Freigabe Datum Version Name Funktion Philippe Signer CEO Brikenda Kadlubsky Leiterin Leistungen / Mitglied der GL Philippe Signer CEO Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 2

3 Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 1. Allgemeine Bestimmungen 1.1 Rechtliche Grundlage Gestützt auf Art. 11 & 21 der Verordnung zum Bundesgesetz über den Datenschutz (VDSG) und in Verbindung mit Art. 84 des Bundesgesetzes über die Krankenversicherung (KVG) hat die Kolping für die Datensammlungen, welche besonders schützenswerte Daten oder Persönlichkeitsprofile beinhalten, das vorliegende Bearbeitungsreglement erstellt. 1.2 Ziel des Bearbeitungsreglements Das Bearbeitungsreglement umschreibt insbesondere die Datenbearbeitungs- und Kontrollverfahren und den Betrieb der elektronischen Datenbearbeitung. Es enthält Angaben über das für den Datenschutz und die Datensicherheit verantwortliche Organ, die Herkunft der Daten, die Zwecke, für welche sie regelmässig bekannt gegeben werden und beschreibt das Verfahren für die Erteilung der Zugriffsberechtigungen auf die entsprechenden Informationssysteme. 1.3 Zweck der Datenbearbeitung Der Zweck der Datensammlung ist im Bundesgesetz über die Krankenversicherung (KVG) geregelt. Die mit der Durchführung der Kontrolle oder der Beaufsichtigung der Durchführung des Gesetzes beauftragten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Daten und Persönlichkeitsprofile, zu bearbeiten um die ihnen nach dem Gesetz übertragenen Aufgaben zu erfüllen. 1.4 Verantwortliche Stelle Die Kolping ist verantwortlich für die Abwicklung der Krankenversicherung und somit Inhaberin der Datensammlungen. 1.5 Richtlinien Datenschutz und Datensicherheit Die Richtlinien Datenschutz und Datensicherheit bzw. die entsprechende Datenschutz- und Datensicherheitsverpflichtung werden bei Stelleantritt durch die Mitarbeitenden unterzeichnet. Anlässlich von periodischen Schulungen werden die Mitarbeitenden über die Entwicklung im Datenschutzbereich informiert und sensibilisiert. Intern sind die Zugriffsberechtigungen klar geregelt. Die Mitarbeitenden sind in ihrer Funktion für die Schaffung der notwendigen und angemessenen Rahmenbedingungen für den Datenschutz und die Datensicherheit verantwortlich. 1.6 Schweigepflicht nach Art. 33 ATSG & Art. 35 DSG Sämtliche Mitarbeitende unterstehen während und über die das Arbeitsverhältnis hinaus der Schweigepflicht nach Art. 33 des Bundesgesetzes über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG) und Art. 35 des Bundesgesetzes über den Datenschutz (DSG). Die Schweigepflicht bildet Bestandteil der unter Ziffer 1.5 erwähnten Richtlinien. 2. Struktur und Abgrenzung der EDV 2.1 Übersicht Kolping arbeitet auf dem System Siddhartha, welches vom externen Dienstleister, Secon AG, betreut wird. Es werden die versicherungsrelevanten Daten bearbeitet: - Vertragsdaten (Vorname, Name, Adresse, Geburtsdatum, Versicherten-Nr. Versichertendeckung und Versichertenkarte Prämien und Prämienverbilligung) - Leistungsverarbeitung (Leistungsdaten, welche für die Abrechnung notwendig sind) Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 3

4 - Spezialfälle Leistungsverarbeitung (Taggeld, Auslandrechnungen, Regress) - Inkasso (Mahn- und Betreibungsdaten) - Statistiken (interne Auswertungen) 2.2 Schnittstellen Verschiedene Schnittstellen ergeben sich aufgrund vorhandenerer Subsysteme, welche zum Datenaustausch mit Behörden(gesetzlichen Vorgaben) notwendig sind. Elektronische ambulante und stationäre Rechnungen werden im XML-Format vom Leistungserbringer übermittelt. Die Datenübermittlung erfolgt verschlüsselt. Ambulante Rechnungen werden elektronisch über die Firma Cent verarbeitet. Der gesamte vertrauensärztliche Dienst wird intern separat geführt. Eine Zusammenarbeit mit SASIS AG findet im Bereich der Kartenproduktion, von statistischen Auswertungen und zur elektronischen Abwicklung des Ein- und Austrittsverfahrens statt. Mittels starker Authentifizierung, Verschlüsselungs- und moderner Übertragungstechnologien werden in Bezug auf diese allfälligen Schnittstellen der Datenschutz und die Datensicherheit gewährleistet. 2.3 Outsourcing Zwischen allen externen Dienstleistungsunternehmen und Kolping bestehen Zusammenarbeitsverträge. Diese Partner bestätigen mit der Vertragsunterzeichnung die Einhaltung der Datenschutzbestimmungen für sich und deren Hilfspersonen. Für die Rechnungsstellung vom Typus SwissDRG (Art. 59a KVV) hat die Kolping die Secon AG als Dienstleister für die Prüfung der MCD s beauftragt. Die Secon AG ist für diese Dienstleistung nach VDSZ zertifiziert. Die Prüfung der anonymisierten MCD-Daten geschieht bei der SUVA. 2.4 Datenannahmestelle gemäss Art. 59a KVV Kolping besitzt eine zertifizierte Datenannahmestelle für die Bearbeitung von elektronischen SwissDRG Rechnungen nach Art. 59a KVV, sowie für die Bearbeitung von SwissDRG Rechnungen in Papierform. Die Geschäftsleitung der Kolping versichert, dass die Datenannahmestelle und der VA/VAD weisungsunabhängig handeln und nur die für eine weitere Prüfung notwendigen Daten an den Versicherer (Kolping) weitergeben. Die MCD-Prüfung geschieht bei der Secon AG, wobei die anonymisierten MCD-Daten mit der SUMEX-Dienstleistung der SUVA bei der SUVA durchgeführt wird. Die MCD-Daten (welche bei Überprüfung der Suva Dunkelbox als unauffällig befunden wurden) werden bei der Secon AG verschlüsselt gespeichert. Bei den MCD Nur der VA/VAD der Kolping kann auf diese Daten zugreifen, wenn dieser das verlangt (Art. 59a KVV). Die versicherungstechnischen Prüfungen geschehen im System Siddhartha der Kolping. Das Regelwerk für die versicherungstechnischen Prüfungen wird nach einem vorgegebenen Prozess definiert, eingeführt, überprüft und angepasst. Die Regeländerung wird vor ihrer Umsetzung mit der Datenschutzbeauftragten der Secon AG auf Konformität und Machbarkeit überprüft. SwissDRG Rechnungen bei denen sowohl die MCD-Prüfung (Secon AG/Suva) und der Prüfung auf der Basis des Kolping Regelwerks (im Siddhartha) keine weiteren Prüfungen notwendig sind, werden automatisch zur Zahlung freigegeben. Die MCD-Daten, die nicht ausgelenkt werden, sind nicht im Zugriff der Mitarbeitenden der Kolping. Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 4

5 Sollte ein Leistungserbringer SwissDRG Rechnungen in Papierform an die Kolping senden, dann werden diese durch die Mitarbeitende der Datenannahmestelle zurückgewiesen und nicht bearbeitet. Die Leistungserbringer werden schriftlich gebeten die Rechnungsstellung in elektronischer Form vorzunehmen und die Papierrechnung wird retourniert. Im Normalfall erfolgt die Umstellung auf elektronische Übermittlung. Sollte der Leistungserbringer noch nicht in der Lage sein die Leistungsabrechnung elektronisch zu übermitteln was sehr selten bis gar nicht vorkommt - dann wird diese SwissDRG Rechnungen zur Prüfung ausgelenkt. Die Mitarbeitende der Datenannahmestelle ist unabhängig von der Leistungsabrechnung und dem VA/VAD. 3. Organisation 3.1 Hauptsitz, Servicecenter, Geschäftsstellen Die Abwicklung der Krankenversicherung nach KVG wird durch die Mitarbeitenden des Hauptsitzes, Servicecenter und deren Geschäftsstellen vorgenommen. Nur die Organisationseinheiten am Hauptsitz und Servicecenter haben Zugriff auf das EDV-System Siddhartha. Sie bearbeiten Personendaten, teilweise auch besonders schützenswerte, im EDV-System bzw. in den Subsystemen. Die Geschäftsstellen sind nicht zuständig für die Vergütung von Behandlungsrechnungen. 4. Benutzer und Datenzugriff 4.1 Benutzer Zugriffsberechtigt auf das EDV System sowie auf die Subsysteme sind die Mitarbeitenden der Kolping am Hauptsitz und Servicecenter, Mitarbeitende von externen Dienstleistungsunternehmen soweit sie dies zur Ausübung ihrer Tätigkeit benötigen. 4.2 Benutzerverwaltung Die Benutzerverwaltung erfolgt zentral durch den internen IT-Koordinator bzw. deren Stellvertreter. Dieser koordiniert zusammen mit dem Abteilungsleiter, dass die Mitarbeitenden für die Ausübung ihrer Tätigkeit notwendigen Zugriffsrechte erhalten. Es wird für jeden Mitarbeitenden ein Formular mit den Zugriffsberechtigungen ausgefüllt. Die Zugriffsberechtigung wird regelmässig überprüft und das Formular entsprechend aktualisiert. 4.3 Aufhebung der Zugriffsberechtigung Die Benutzer sind nur so lange und im Umfang zugriffsberechtigt, als sie die Daten für die Ausübung ihrer Funktion benötigen. Bei Austritt wird die Zugriffsberechtigung gelöscht. 4.4 Ausbildung der Benutzer Die Benutzer werden auf dem EDV-System Siddhartha und deren Subsysteme bereichsintern geschult. 4.5 Prozessabläufe, interne Richtlinien Die Arbeitsprozesse werden im internen QM System abgebildet und umschrieben. Ebenso ist ein aktualisiertes elektronisches Handbuch des EDV Systems Siddhartha vorhanden. 5. Bearbeiten von Daten 5.1 Datenbeschaffung Die Daten stammen einerseits von den Versicherten selbst oder von den ihnen ermächtigten Personen (Amtsstellen, Versicherungen) oder von den Leistungserbringer gemäss Art 42 Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 5

6 Abs. 2 KVG. Es können auch Daten im Rahmen der Amts- und Verwaltungshilfe nach Art. 32 ATSG erhoben werden. 5.2 Datenkategorien Es werden folgende wesentliche Datenkategorien im System aufgeführt und klassifiziert: - Name, Vorname - Geburtsdatum - Geschlecht - Adresse - Nationalität - Sprache - Sozialversicherungsnummer - Versicherten-Nummer - Zahladresse - Vertragsdaten - Leistungsdaten - Prämiendaten - Mahn- und Betreibungsdaten 5.3 Datenweitergabe nach Art. 84a KVG in Verbindung mit Art. 84 KVG Daten werden bekannt gegeben zur: - Sicherstellung der Versicherungspflicht (Art. 7 Abs. 5 KVG) - Abwicklung der Prämienverbilligung - Beurteilung von Leistungsansprüchen - Abwicklung der sozialen Krankenversicherung (Managed Care) - Koordination mit Leistungen anderer Sozialversicherungen (IV-Stellen) - Verhinderung von unberechtigten Forderungen - Zuweisung und Verifikation der Sozialversicherungsnummer - Erstellung der Versichertenkarte und deren online-abfragesystem - Geltendmachung von Rückgriffrechten gegenüber haftpflichtigen Dritten - Sicherstellung von Assistance-Leistungen - Führung von Statistiken Datenempfänger sind: - Versicherte und von ihnen bevollmächtigte Dritte - Leistungserbringer (Versichertenkarte, Online-Verfahren Ein- und Austritt) - Behörden, Amtsstellen, Versicherungen (BAG, Kantone, Sozialversicherungen) - Gemeinsame Einrichtung KVG - Vertrauensarzt/Vertrauenszahnarzt - Sozialdienste - Rechtsdienst - Aktuariat 5.4 Weitere Datenweitergabe nach Art. 84a KVG Die weitere Datenbekanntgabe ist abschliessend in Art. 84a KVG geregelt. So können im Einzelfall und auf schriftlich begründetes Gesuch hin Daten gemäss den spezifischen Anforderungen an die Sozialbehörden, Zivilgerichte, Strafgerichte und Strafuntersuchungsbehörden, Betreibungsämter, sowie mit schriftlicher Einwilligung der betroffenen Person an Dritte weitergegeben werden. 5.5 Anmeldung der Datensammlung beim EDÖB Kolping verfügt über einen betrieblichen Datenschutzbeauftragten, der die Einhaltung des Datenschutzes kontrolliert, den Verwaltungsrat und CEO berät und sie bei der operativen Umsetzung des Datenschutzes im Betrieb unterstützt. Die Datensammlungen von Kolping sind beim EDÖB gemeldet. Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 6

7 Die Datenannahmestelle der Kolping ist nach VDSZ zertifiziert muss darum ihre Datensammlungen nicht dem EDÖB melden. 6. Aufbewahrungsdauer, Archivierung und Löschung der Daten 6.1 Aufbewahrungsdauer Die minimale Aufbewahrungsdauer richtet sich nach der gesetzlich verlangten Dauer. 6.2 Archivierung und Löschung der Daten Wenn die gesetzliche Archivierungsfrist abgelaufen ist, werden die Dokumente in Papierform ordnungsgemäss durch einen externen Partner vernichtet bzw. die elektronischen Angaben gelöscht. 7. Technische und organisatorische Massnahmen 7.1 Zutrittskontrolle und organisatorische Massnahmen Die Büroräumlichkeiten sind vor dem Zutritt unbefugter Dritter geschützt. Besonders schützenswerte Daten werden in abgeschlossenen Bereichen aufbewahrt. Die elektronischen Datenträger resp. Backups werden in einem speziell geschützten Tresor ausserhalb der Büroräumlichkeiten aufbewahrt und sind nur für autorisierte Personen zugänglich. 7.2 Datenträgerkontrolle und deren Transport Es finden sich alle Daten am Hauptsitz in Dübendorf. Der Zugang zum EDV-Raum ist nur den Mitarbeitenden der IT erlaubt. Diese sorgen für die Datenträgerkontrolle und deren Transport. 7.2 Authentifizierung der Benutzer Der Zugriff auf das EDV System Siddhartha resp. auf die Subsysteme ist durch die User-ID kombiniert mit einem zeitlich befristeten Passwort geschützt. Die Benutzenden erhalten spezifische Berechtigungen, die sie für die Erfüllung der von ihnen übertragenen Arbeiten benötigen. 7.3 Massnahmen zum Schutz der Daten im Bereich der Endgeräte Die Datenendgeräte (PC) sind in geschützten Zonen platziert und können nur mittels Passwort benutzt werden. Notebooks werden nur restriktiv vergeben und sind nur mittels Passwort bedienbar. 7.4 Physische Dokumente Nicht mehr benötigte Papierrechnungen, Arztberichte, Rückforderungsbelege, Anträge, Versicherten Korrespondenz oder andere datenschutzrelevante Dokumente werden in verschlossene Behälter gelegt und anschliessend durch eine Spezialfirma entsorgt. 7.5 Zusammenarbeit mit Partner Der Austausch von besonders schützenswerten Daten mit unseren externen Partnern erfolgt in einem geschützten Bereich (HIN und Inca Mail) 8. Rechte der Betroffenen 8.1 Informationspflicht beim Beschaffen von Personaldaten nach Art 14 & 18a DSG Die betroffene Person muss informiert werden, wenn besonders schützenswerte Personendaten oder Perönlichkeitsprofile beschafft werden. Aufgrund des gesetzlichen Auftrags nach KVG zur Bearbeitung von Gesundheitsdaten gilt die Ausnahmeregelung Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 7

8 wonach die Informationspflicht des Inhabers entfällt, wenn die Speicherung oder die Bekanntgabe ausdrücklich durch das Gesetz vorgesehen ist. 8.2 Auskunftsrecht nach Art 8 &9 DSG Jede Person kann von Kolping schriftlich Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Das Auskunftsrecht sichtet sich nach DSG sowie Art 1 und 2 VDSG. Die Auskunftsgesuche sind unter Beilage der Kopie eines amtlichen Ausweises an die Kolping, Hauptsitz, an den Datenschutzverantwortlichen, zu richten. 8.3 Berichtigungs- und Löschungsrechte Die Berichtigungs- und Löschungsrechte betroffener Personen richten sich nach Art. 5 Abs. 2 und Art. 25 DSG. Die Person kann verlangen, dass ihre Daten berichtigt, vernichtet oder die Bekanntgabe an Dritte gesperrt werden. Ein entsprechendes Gesuch ist an die Kolping, Hauptsitz, an den Datenschutzverantwortlichen, zu richten. 9. Abschliessende Bestimmungen 9.1. Zuständigkeit Das Bearbeitungsreglement wird vom betrieblichen Datenschutzverantwortlichen verwaltet. 9.2 Änderung des Reglements Das Bearbeitungsreglement wird gemäss Art 11 VDSG regelmässig vom Inhaber der Datensammlung aktualisiert. Dieses Reglement kann jederzeit geändert werden. Änderungen bedürfen der Schriftform und der Zustimmung der Geschäftsleitung. 9.3 Inkrafttreten Dieses Reglement tritt per sofort in Kraft. Es ersetzt das bisherige Reglement. Kolping Krankenkasse AG gez. Philippe Signer, CEO gez. Wolfgang Schwarz, Datenschutzbeauftragter Bearbeitungsreglement für die Datensammlung nach KVG der Kolping Krankenkasse AG 8