Datenschutzfokussiertes Sicherheitsmanagement einer elektronischen FallAkte (EFA) im Universitätsklinikum Aachen

Transkript

1 Datenschutzfokussiertes Sicherheitsmanagement einer elektronischen FallAkte (EFA) im Universitätsklinikum Aachen Focussing on Data Protection Security Management of an Electronic Case Record (EFA) at the University Hospital Aachen Dr. med. S. Haferkamp Bereichsleitung Klinische und kaufmännische IT-Systeme Universitätsklinikum Aachen

2 Inhalt Warum EFA? Kernaspekte Ziele Welche rechtlichen Anforderungen sind einzuhalten? Warum ein TÜV-Zertifikat? Der Weg zum Datenschutz-Zertifikat Ergebnisse der Zertifizierung Maßnahmen Wie geht es weiter? Nächste Schritte 2

3 Warum EFA? Kernaspekte: Datenschutzorientiertes Konzept für eine arztgeführte zweckgebundene Kommunikation Spezifikation einer kompletten Daten- und Sicherheitsarchitektur, mit der sich unterschiedliche Aktenkonstrukte umsetzen lassen EFA EPA Umsetzung bleibt den Herstellern überlassen Fokus medizinischer Nutzwert auf eingeschränkter Datenbasis Ziele: Dezentral organisierte deutschlandweite Kommunikationsplattform Vermeidung von proprietären Portalstrukturen als regionale Inseln Vereinheitlichung von Schnittstellen für den intersektoralen Datenaustausch Vermeidung von proprietären Schnittstellen vs. Doppeldokumentation für jedes einzelne Kooperationsprojekt 3

4 Welche rechtlichen Anforderungen sind einzuhalten? Rechtliche Anforderungen ergeben sich primär aus dem Bundesdatenschutzgesetz HealthcareIT-Solutions GmbH ist nicht-öffentliche Einrichtung und muss sich u.a. an folgende Anforderungen halten: Datenvermeidung und Datensparsamkeit ( 3a BDSG) Einwilligung (des Betroffenen) ( 4a BDSG) Meldepflicht ( 4d und 4e BDSG) Bestellung eines Beauftragten für den Datenschutz ( 4f BDSG) Datengeheimnis ( 5 BDSG) Wahrung der Rechte des Betroffenen ( 6 BDSG) Technische und organisatorische Maßnahmen ( 9 BDSG) Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag ( 11 BDSG) 4

5 Warum ein TÜV-Zertifikat? Medizinische Daten (Gesundheitsdaten) zählen zu den besonderen personenbezogenen Daten ( 3 Abs. 9 BDSG) Wahrung des Rechts auf informationelle Selbstbestimmung Ein Missbrauch (fehlerhafter Umgang) kann u.u. schwerwiegende Folgen für den Betroffenen haben, z.b. Falsche Behandlung aufgrund fehlerhafter Zuordnung von Daten Soziale Isolation oder wirtschaftlicher Ruin (Problem einer Anstellung ) des Betroffenen durch Bekanntwerden bestimmter Diagnosen Ein TÜV-Zertifikat bestätigt den ordnungsgemäßen Umgang mit personenbezogenen Daten bzw. die Erfüllung der gesetzlich geforderten Schutzmaßnahmen Steigert die Akzeptanz des Portals bei Kunden (Ärzten, Krankenhäuser) Stärkt das Vertrauen der Patienten im Umgang mit ihren sensiblen Daten 5

6 Grundlagen Basis: Sicherheits- und Datenschutzkonzept EFA Vorhandene Dokumentation aus Zertifizierung für KV-SafeNet Fokus auf pragmatische Vorgehensweise Beispiel Verfügbarkeit: Eine EFA ist eine Kommunikationsplattform KeinePrimärdokumenta on Dokumente müssen immer in anderen Systemen verfügbar bleiben Pa enten können den Einsatz einer EFA ablehnen Alterna ve Kommunikationswege müssen erhalten bleiben Eine hohe Verfügbarkeit reicht aus Beispiel Prozesse: Nicht alle Prozesse müssen / dürfen digital ablaufen 6

7 Der Weg zum Datenschutz-Zertifikat (1) Kooperation UKA und AuthentiDate Aufgaben AuthentiDate Durchführung einer Bestandsanalyse Abgleich mit Datenschutzanforderungskatalog des TÜV Identifizierung erforderlicher Maßnahmen Erstellung des Datenschutzhandbuchs Unterstützung bei der Erstellung des ADV-Vertrags Vermittlung zwischen TÜV und UKA Unterstützung bei der Vorbereitung des Audits 7

8 Der Weg zum Datenschutz-Zertifikat (2) Aufgaben Universitätsklinikum Aachen / HITS Entwicklung einer datenschutzkonformen Anwendung für das Portal (elektronische FallAkte Plus) Bestellung Datenschutzbeauftragter HITS Durchführung von Schulungen Erstellung der erforderlichen Dokumentation (Betriebshandbücher, Richtlinien, etc.) Anpassung der Betriebsorganisation Integration von Prozessen für die Wartung und Systembetreuung, für das Change Management, die Datensicherung, Archivierung und Vernichtung sowie für das Notfallmanagement Bereitstellung und Absicherung des IT-Verbunds Umsetzung identifizierter technischer Maßnahmen (siehe Folie Ergebnisse) 8

9 Ergebnisse des TÜV-Zertifikats (1) Dokumentation der Umsetzung rechtlicher Anforderungen Verpflichtung der relevanten Mitarbeiter auf Verschwiegenheit Patienteneinwilligung Gewährleistung der Betroffenenrechte Realisierung rechtlicher Anforderungen Schulung der Mitarbeiter Bestellung eines Datenschutzbeauftragten Prozessoptimierung zur Datenvermeidung 9

10 Ergebnisse des TÜV-Zertifikats (2) Dokumentation der Umsetzung technischer und organisatorischer Anforderungen nach 9 BDSG (bzw. 11 BDSG) Zutrittskontrolle Zutrittskontrollanlage (Ausweis + PIN), Einbruchmeldeanlage Zugangskontrolle Zuordnung eines Benutzerkontos zu genau einer Person, Login nur durch Passwort, Passwortrichtlinie Zugriffskontrolle Granulares Rollen-und Zugriffsrechtekonzept innerhalb der zentralen Komponente (Soarian Integrated Care) 10

11 Ergebnisse des TÜV-Zertifikats (3) Dokumentation der Umsetzung technischer und organisatorischer Anforderungen nach 9 BDSG (bzw. 11 BDSG) Eingabekontrolle Log-Files aller Aktionen inkl. Sichten innerhalb der EFA Weitergabekontrolle Verschlüsselung aller über das Internet hergestellten Kommunikationsverbindungen Auftragskontrolle Konkrete vertragliche Weisungen gegenüber dem Auftragnehmer, regelmäßige Auditierung des Auftragnehmers Trennungsgebot Zugriffsrechtekonzept von Soarian Integrated Care verhindert die Zusammenführung von zu verschiedenen Zwecken erhobener Daten (Zweckbindung der EFA) 11

12 Ergebnisse des TÜV-Zertifikats (4) Realisierung technischer und organisatorischer Anforderungen nach 9 BDSG (bzw. 11 BDSG) durch Umsetzung von Maßnahmen zur: Zutrittskontrolle Zugriffskontrolle Verfügbarkeitskontrolle stopfen von Schlupflöchern erweiterte Administrator-Rollen Defini on der Anforderungen aus Schutzbedarfsanalyse Trennungsgebot Migra on der Systeme in eine private Cloud 12

13 Wie geht es weiter? Aufbau eines Informationssicherheits- Managementsystems (ISMS) Integration der Datenschutzmaßnahmen in das ISMS Kontinuierliche Überwachung, Steuerung und Optimierung des Datenschutzes und der Datensicherheit Implementierung eines qualifizierten Zeitstempels bei Dokumenteneingang 3. Quartal 2012 Zertifizierung nach ISO Quartal

14 Vielen Dank für Ihre Aufmerksamkeit! Quellen: Bundesdatenschutzgesetz

15 Erläuterung Maßnahmen (1) Realisierung technischer und organisatorischer Maßnahmen nach 9 BDSG (bzw. 11 BDSG) Zutrittskontrolle: Unbefugten ist der Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Zutrittskontrollanlage (Ausweis + PIN), Einbruchmeldeanlage Zugangskontrolle: Es ist zu verhindern, dass Unbefugte Datenverarbeitungssysteme nutzen können. Zuordnung eines Benutzerkontos zu genau einer Person, Login nur durch Passwort, Passwortrichtlinie 15

16 Erläuterung Maßnahmen (2) Realisierung technischer und organisatorischer Maßnahmen nach 9 BDSG (bzw. 11 BDSG) Zugriffskontrolle: Es ist zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Granulares Rollen-und Zugriffsrechtekonzept innerhalb der zentralen Komponente (Soarian Integrated Care) Eingabekontrolle: Es ist zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Protokollierung der Einwilligungserklärung eines Patienten, Zugriffsberechtigungen/Berechtigungsmanagement, konkrete EFA-Zugriffe, Protokolle zur Rekonstruktion von EFA-Zuständen (Versionen) 16

17 Erläuterung Maßnahmen (3) Realisierung technischer und organisatorischer Maßnahmen nach 9 BDSG (bzw. 11 BDSG) Weitergabekontrolle: Es ist zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung von personenbezogenen Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Verschlüsselung aller über das Internet hergestellten Kommunikationsverbindungen Auftragskontrolle: Es ist zu gewährleisten, dass personenbezogene Daten, die im Auftrag erhoben, verarbeitet oder genutzt werden, nur entsprechend den Weisungen des Auftraggebers erhoben, verarbeitet oder genutzt werden können. Konkrete vertragliche Weisungen gegenüber dem Auftragnehmer, regelmäßige Auditierung des Auftragnehmers 17

18 Erläuterung Maßnahmen (4) Realisierung technischer und organisatorischer Maßnahmen nach 9 BDSG (bzw. 11 BDSG) Verfügbarkeitskontrolle: Es ist zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Redundante Auslegung kritischer Systeme (Internetanbindung, Stromversorgung), USV, Gefahrenmeldeanlage, Datensicherung, Notfallprozesse, etc. Trennungsgebot: Es ist zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können. Zugriffsrechtekonzept von Soarian Integrated Care verhindert die Zusammenführung von zu verschiedenen Zwecken erhobener Daten 18