Reglement über die Bearbeitung von personenbezogenen Daten. Datum des in-kraft-tretens :

Transkript

1 Reglement über die Bearbeitung von personenbezogenen Daten Datum des in-kraft-tretens :

2 Inhaltsverzeichnis INHALTSVERZEICHNIS 2 PRÄAMBEL 4 1. RECHTSGRUNDLAGEN, GELTUNGSBEREICH UND DEFINITIONEN 4 2. ZUSTÄNDIGKEITEN Kundendienst / Portefeuille (POR) Leistungen (SIN) Informatik (INF) Finanzen und Inkasso (FIN und CTX) Human Ressources (RH) Archivierung (ARC) Technischer Dienst (INT) Vertrauensarzt Marketing 5 3. UMSETZUNG UND EINHALTUNG DES REGLEMENTS Mitarbeitende Kader Datenschutzverantwortlicher 6 4. BEARBEITUNGSGRUNDSÄTZE Gesetzliche Grundlagen und Einwilligung Zweck der Bearbeitung Verhältnismässigkeitsprinzip Zugriffsberechtigungen Interne Weitergabe von Daten Externe Weitergabe von Daten Akteneinsicht 7 2/12

3 5. MASSNAHMEN ZUR SICHERSTELLUNG DES DATENSCHUTZES Information der Mitarbeitenden, insbesondere bei Stellenantritt Informatik Vertrauensärztlicher Dienst Datenbeschaffung und -bearbeitung Organisation Aufbewahrung und Entsorgung von Personendaten Zugangs- und Zutrittsregelung 9 6. DATENBEARBEITUNG IN DER PRAXIS Telefonische Auskünfte Auskünfte über den Gesprächspartner (versicherte Person) selber Auskünfte an Eltern über minder- und volljährige Kinder Leistungserbringer Dritte Schriftliche Auskünfte Grundsatz Versicherte Person Verwaltungshilfe und Auskünfte an bevollmächtigte Dritte Elektronische Auskünfte Online-Verkehr (Assura.net) SANKTIONEN Strafrechtliche Sanktionen Arbeitsrechtliche Sanktionen INKRAFTTRETEN 12 3/12

4 PRÄAMBEL Bei der SUPRA-1846 SA (nachfolgend Supra genannt) handelt es sich um eine Versicherungsgesellschaft, welche die obligatorische Krankenpflegeversicherung gemäss dem Bundesgesetz über die obligatorische Krankenversicherung (KVG) betreibt. Das vorliegende Reglement regelt die Handhabung des Datenschutzes im Bereich der Sozialversicherungen. 1. Rechtsgrundlagen, Geltungsbereich und Definitionen Dieses Reglement stützt sich auf das Bundesgesetz über den Datenschutz (DSG) und dessen Verordnungen, namentlich auf Art. 21 VDSG. Es gilt für alle Organe und Mitarbeitenden der Supra, für mit der Supra verbundene Gesellschaften sowie für Hilfspersonen, Geschäftspartner oder Dritte, die im Auftrag der Supra elektronisch oder physisch Zugang zu Personendaten haben. Die folgenden Ausdrücke bedeuten: a) Personendaten (Daten): alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen; b) betroffene Personen: natürliche oder juristische Personen, über die Daten bearbeitet werden; c) besonders schützenswerte Personendaten: Insbesondere Daten über die Gesundheit, Massnahmen der sozialen Hilfe, administrative oder strafrechtliche Verfolgungen und Sanktionen; d) Bearbeitung: jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten; e) Bekanntgeben: das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen; 2. Zuständigkeiten Zuständig für die Einhaltung der Datenschutzbestimmungen sind namentlich folgende Dienste: 2.1 Kundendienst / Portefeuille (POR) Stellt den Datenschutz im Zusammenhang mit den Stammdaten sicher (z. B. Versicherungsanträge, Policen, Mutationen). 4/12

5 2.2 Leistungen (SIN) Stellt den Datenschutz im Zusammenhang mit den Leistungsdaten sicher (z. B. Leistungsabrechnungen, Datenaustausch mit Leistungserbringern). Der Umgang mit medizinischen Daten wird separat geregelt. 2.3 Informatik (INF) Stellt die Datensicherheit auf der Stufe der elektronischen Datenbearbeitung, insbesondere die Zugriffsberechtigungen (auch von Mitarbeiter-Policen), sicher. Darunter fallen auch das Internet, der -Verkehr sowie der Datenaustausch mit oder zu externen Partnern oder Dritten. 2.4 Finanzen und Inkasso (FIN und CTX) Stellt den Datenschutz im Zusammenhang mit dem Inkasso sicher (z. B. Kundenkonti, Zahlungen, Korrespondenz und Auskünfte im Rahmen von Betreibungsverfahren). 2.5 Human Ressources (RH) Stellt den Datenschutz im Zusammenhang mit Daten des Personals sicher. 2.6 Archivierung (ARC) Stellt den Datenschutz im Zusammenhang mit der physischen und elektronischen Aufbewahrung und Vernichtung der Daten sicher. 2.7 Technischer Dienst (INT) Stellt den Datenschutz im Zusammenhang mit dem Zutritt zu den Firmengebäuden sicher. 2.8 Vertrauensarzt Er führt den vertrauensärztlichen Dienst mit dem Sekretariat und den Hilfspersonen (VAD) im Bereich der obligatorischen Krankenpflegeversicherung und stellt den Datenschutz im Zusammenhang mit der Bearbeitung von medizinischen Daten sicher. 2.9 Marketing Stellt den Datenschutz im Zusammenhang mit Werbeaktionen sicher. 3. Umsetzung und Einhaltung des Reglements 3.1 Mitarbeitende Alle Mitarbeitenden haben in ihrem Tätigkeitsbereich für die Umsetzung und Einhaltung des Datenschutzes bzw. dieses Reglements zu sorgen und ihre gesetzliche und arbeitsvertragliche Schweigepflicht jederzeit wahrzunehmen. 5/12

6 3.2 Kader Alle Führungskräfte sind in ihrem Verantwortungs- und Zuständigkeitsbereich verantwortlich, dass sie und ihre Mitarbeitenden die Anforderungen des Datenschutzes verstehen, umsetzen und einhalten. Insbesondere stellen sie sicher, dass a) die Zugriffsberechtigungen ihrer Mitarbeitenden den Aufgaben entsprechend richtig definiert sind; b) ihre Mitarbeitenden Inhalt und Bedeutung des Datenschutzes kennen; c) die Einhaltung des Datenschutzes in ihrem Verantwortungsbereich periodisch überprüft wird. 3.3 Datenschutzverantwortlicher Der Datenschutzverantwortliche überwacht unabhängig die betriebsinterne Einhaltung der Datenschutzvorschriften und erfüllt namentlich folgende Aufgaben: a) Er prüft, ob sämtliche Verträge und Projekte, die die Bearbeitung von Daten beinhalten, datenschutzkonform sind; b) Er führt ein Verzeichnis der Datensammlungen; c) Er sorgt dafür, dass das vorliegende Reglement regelmässig aktualisiert und betriebsintern befolgt wird; d) Er stellt sicher, dass die Gesuche um Datenauskunft im Sinne von Art. 8 DSG fristgerecht und inhaltlich korrekt beantwortet werden; e) Er amtet als Verbindungsstelle zum eidgenössischen Datenschutzbeauftragten; f) Er unterstützt die operativen Dienste bei der Planung und Umsetzung von Massnahmen im Bereich des Datenschutzes und der Datensicherheit; g) Er informiert die Geschäftsleitung über seine Tätigkeit, empfiehlt wo nötig Korrekturmassnahmen und koordiniert deren Umsetzung. 4. Bearbeitungsgrundsätze 4.1 Gesetzliche Grundlagen und Einwilligung Im Bereich der Sozialversicherungen werden die Personendaten im Einklang mit den Bestimmungen des KVG, namentlich Art. 42 Abs. 3 und 4, Art. 84 und Art. 84a KVG, bearbeitet. Darüber hinaus bedarf die Bearbeitung der Einwilligung der betroffenen Person. 4.2 Zweck der Bearbeitung Die Supra bearbeitet Personendaten ihrer Kunden ausschliesslich zwecks Durchführung und Abwicklung der obligatorischen Krankenpflege-, Unfallversi- 6/12

7 cherung und Zusatzversicherung. Jede andere Nutzung der Daten bedarf der Einwilligung der betroffenen Person. Die Bearbeitung erfolgt sowohl in physischer wie elektronischer Form und geschützt vor unbefugtem Zugriff durch Dritte. 4.3 Verhältnismässigkeitsprinzip Bei der Bearbeitung von Personendaten ist das Verhältnismässigkeitsprinzip einzuhalten. Dieses verlangt insbesondere im Bereich der Leistungserbringung, dass nur diejenigen Personendaten beschafft werden, die für die Aufgabenerfüllung oder Erledigung der Arbeit notwendig sind. Dies gilt insbesondere bei der internen Weitergabe von Daten. 4.4 Zugriffsberechtigungen Die Mitarbeitenden haben auf diejenigen Personendaten Zugriff, welche für die Erfüllung der Aufgaben oder Erledigung der Arbeit nötig sind. Die Zugriffberechtigungen werden anhand der Funktion vergeben und laufend überprüft (vgl. Ziff. 3.2 lit. a). Die Informatik führt eine Liste der Zugriffsberechtigungen, um die Zugriffe entsprechend der erteilten Zugriffsberechtigung umzusetzen. Der Zugriff auf Policen für Mitarbeiter und deren Angehörige ist speziell zu sichern. Nur ein restriktiv definierter Kreis von Mitarbeitenden, der sich insbesondere auch schriftlich zur Verschwiegenheit gegenüber anderen Mitarbeitenden verpflichtet, ist der Zugriff zu gewähren. Allen anderen Personen ist der Zugriff zu verweigern. 4.5 Interne Weitergabe von Daten Akten sind intern ausschliesslich verschlossen in den dafür vorgesehenen Couverts zu übermitteln. Das Verhältnismässigkeitsprinzip ist auch in diesen Fällen einzuhalten. Die Supra kann Dritte mit der der Durchführung und Abwicklung des Versicherungsgeschäftes oder Teilen davon betrauen. Hierbei sind die Bedingungen von Art. 10a DSG einzuhalten. Namentlich haben die Dritten den Datenschutz mindestens im selben Umfang wie die Supra zu gewährleisten. 4.6 Externe Weitergabe von Daten Die externe Weitergabe von Daten erfolgt grundsätzlich nur soweit, als hierfür eine gesetzliche Grundlage besteht (namentlich: Art. 30 und 32 Abs. 2 ATSG, Art. 82 und Art. 84a KVG). Darüber hinaus bedarf es der Einwilligung der betroffenen Person oder einer behördlichen Anordnung. 4.7 Akteneinsicht Umfang und Form der Akteneinsicht richten sich in erster Linie nach Art. 47 ATSG und Art. 8 ff ATSV. Die berechtigte Person hat grundsätzlich un- 7/12

8 eingeschränktes Akteneinsichtsrecht. Sie kann eine Drittperson mit der Akteneinsicht bevollmächtigen. Gesuche um Akteneinsicht im Sinne von Art. 8 DSG werden vom Datenschutzverantwortlichen geprüft. Falls medizinische Akten (mit-) betroffen sind, leitet er eine Kopie des Gesuchs an den Vertrauensarzt weiter. Der Vertrauensarzt stellt sicher, dass Dokumente, die der ärztlichen Schweigepflicht unterliegen, direkt der Gesuch stellenden Person oder einer von ihr explizit bezeichneten Stelle zugestellt werden. 5. Massnahmen zur Sicherstellung des Datenschutzes 5.1 Information der Mitarbeitenden, insbesondere bei Stellenantritt Allen Mitarbeitenden werden bei Stellenantritt die Grundsätze des Datenschutzes vermittelt. Die Mitarbeitenden verpflichten sich unterschriftlich zur strikten Respektierung der gesetzlichen und arbeitsvertraglichen Schweigepflicht. Hilfspersonen des vertrauensärztlichen Dienstes haben zudem eine spezielle Vereinbarung zu unterzeichnen, welche die besonderen Rechte und Pflichten im Zusammenhang mit dem vertrauensärztlichen Dienst regelt. Die Grundsätze des Datenschutzes stehen jedem Mitarbeitenden auf dem Intranet zur Verfügung. Der Geschäftsleitung stellt je nach Bedarf weitere angemessene und notwendige Instrumente zur Schulung und Information der Mitarbeitenden zur Verfügung. Sie informiert insbesondere über Neuerungen / Änderungen im Datenschutz. 5.2 Informatik Die Informatik stellt folgende Punkte im Umgang mit dem Informatiksystem sicher: a) Einrichten und Sicherstellen der erteilten Zugriffsrechte; b) Zugriffkontrolle sowie die Überwachung der Zugriffberechtigungen der Mitarbeitenden auf die Informatiksysteme bzw. auf Versichertendaten; c) Datensicherung (Backup und Archivierung); d) Sicherstellen des Datenschutzes bei Benutzung des Internets als Transaktionskanal; e) Netzwerksicherheit (vertrauenswürdige Netze, Verschlüsselung, Passwortschutz, Anschluss von Fremdunternehmen, Internetzugang); f) Werden besonders schützenswerte Personendaten über externe Kommunikationsnetze weitergeleitet, müssen die Personendaten verschlüsselt werden. Insbesondere sind alle s und alle Anhänge von s, die besonders schützenswerte Personendaten enthalten, verschlüsselt. 8/12

9 g) Sicherstellen der fach- und sachgerechten Entsorgung von elektronischen Datenträgern jeglicher Art. 5.3 Vertrauensärztlicher Dienst Datenbeschaffung und -bearbeitung Fehlen entscheidrelevante medizinische Daten, werden die tangierten Leistungserbringer eingeladen, diese dem Vertrauensarzt zu übermitteln. Hierfür stellt die Supra dem Leistungserbringer ein an den Vertrauensarzt adressiertes Antwortcouvert zur Verfügung. Die Supra stellt sicher, dass die an den Vertrauensarzt respektive gerichtete Post ausschliesslich durch den Vertrauensarzt oder dessen Hilfspersonen geöffnet und bearbeitet werden. Der Vertrauensarzt beachtet bei der Weitergabe von medizinischen Daten an die Mitarbeitenden der Supra das Verhältnismässigkeitsprinzip. Er gibt nur jene Daten weiter, die für die Bearbeitung des Versicherungsfalles notwendig sind Organisation Der Vertrauensarzt trägt die Verantwortung für die Durchführung der vertrauensärztlichen Tätigkeit. Er ist befugt, bei der Erledigung seiner Arbeit Hilfspersonen beizuziehen. Der Vertrauensarzt trägt die Verantwortung für die Auswahl, die Instruktion und Überwachung der Hilfspersonen in Bezug auf die vertrauensärztliche Tätigkeit. Der Vertrauensarzt sorgt dafür, dass die vertrauensärztlichen Daten in schriftlicher oder elektronischer Form so aufbewahrt werden, dass nur er und seine Hilfspersonen Zugang zu diesen Daten haben. Die Supra stellt dem Vertrauensarzt alle Mittel zur Verfügung, die für die datenschutzkonforme Bearbeitung und Aufbewahrung der vertrauensärztlichen Daten notwendig sind. Hierzu gehören namentlich auch bauliche Massnahmen wie ein elektronisches Zutrittskontrollsystem (Badge), welches Unbefugten den Zugang zu Räumlichkeiten des vertrauensärztlichen Dienstes verunmöglicht, und abschliessbare Ablagen. 5.4 Aufbewahrung und Entsorgung von Personendaten Soweit möglich, sind Personendaten unter Verschluss aufzubewahren. Auf dem Schreibtisch sind nur diejenigen Unterlagen zu platzieren, welche zum Arbeiten notwendig sind. Personendaten in Papierform dürfen weder dem gewöhnlichen Kehricht noch der Papiersammlung zugeführt werden. Zur Vernichtung der Akten stehen in jedem Büro Behälter zur Verfügung, deren Inhalt regelmässig geleert und vernichtet wird. 5.5 Zugangs- und Zutrittsregelung Die Supra stellt sicher, dass keine Dritte sich unbefugt Zugang zu Räumlichkeiten verschaffen kann, in denen Daten aufbewahrt und/oder bearbeitet werden. 9/12

10 Die Ein- und Ausgangstüren sämtlicher Gebäude sind zu diesem Zweck mit einem elektronischen Zutrittskontrollsystem (Badge) zu sichern. Kunden und Besuchern ist während der Bürozeiten der Zugang zur Récéption bzw. zum Schalter zu gewähren. Externe Personen dürfen nur am Schalter bzw. den dafür vorgesehenen Räumlichkeiten bedient werden. In keinem Fall dürfen externe Personen sich unbeaufsichtigt in Räumlichkeiten aufhalten, in denen Daten aufbewahrt und/oder bearbeitet werden. 6. Datenbearbeitung in der Praxis 6.1 Telefonische Auskünfte Auskünfte über den Gesprächspartner (versicherte Person) selber Der versicherten Person gegenüber, die sich namentlich über die Policennummer und Geburtsdatum identifizieren kann, dürfen Informationen genereller Natur, die im System zugänglich sind, kommuniziert werden. Verlangt sie Auskunft über Gesundheitsdaten, bedarf es eines schriftlichen Gesuchs. Bei einer solchen Anfrage ist ihr im Weiteren mitzuteilen, dass bei Gesundheitsdaten, deren Bekanntgabe sich für sie gesundheitlich nachteilig auswirken könnte, von ihr verlangt werden kann, dass sie einen Arzt oder eine Ärztin bezeichnet (Art. 47 Abs. 2 ATSG) Auskünfte an Eltern über minder- und volljährige Kinder Bei telefonischen Auskünften an Eltern über im gleichen Haushalt lebenden Kindern unter 18 Jahren findet Ziff analog Anwendung. Betrifft der Anruf ein volljähriges Kind, ist die Auskunft gegenüber dem anrufenden Elternteil auf Adresse, Versicherungsdeckung, Prämienhöhe und Verfall zu beschränken. Weitergehende Auskünfte werden nicht erteilt, es sei denn, es liege eine vorgängige schriftliche Einwilligung des betroffenen Kindes vor. Liegt keine solche Einwilligung vor, ist dem anrufenden Elternteil mitzuteilen, dass die Auskunft schriftlich und direkt der betroffenen Person erteilt wird oder die betroffene Person selber telefonisch um Auskunft ersuchen muss Leistungserbringer Dritte Dem Leistungserbringer dürfen Auskünfte über die Versicherungsdeckung erteilt werden, sofern dies im Interesse der versicherten Person liegt, namentlich bei notfallmässigen Spitaleintritten. Es werden hingegen keine mündlichen Kostengutsprachen erteilt. Die Anfrage ist vom Leistungserbringer schriftlich einzureichen und wird schriftlich beantwortet. Dritten gegenüber sind mit Verweis auf die Schweigepflicht überhaupt keine Auskünfte zu erteilen. Dies gilt auch für Angaben wie Adresse, Telefonnummern und Bestand oder Nichtbestand eines Versicherungsverhältnisses. 10/12

11 6.2 Schriftliche Auskünfte Grundsatz Versicherten Personen gegenüber ist umfassend Auskunft zu erteilen. Die Auskunftserteilung an befugte Dritte (Verwaltungshilfe) erfolgt auf ein begründetes schriftliches Gesuch hin im Rahmen der gesetzlichen Vorgaben (Art. 32 ATSG, Art. 84a KVG) und bedarf keiner Einwilligung der betroffenen Person. Davon abgesehen werden Dritten ohne Einwilligung der betroffenen Person keine schriftlichen Auskünfte erteilt Versicherte Person Der Umfang der schriftlichen Auskunft richtet sich nach dem Willen der versicherten Person. Betrifft die Auskunft auch Daten des vertrauensärztlichen Dienstes, hat dieser in einem separaten Schreiben Auskunft zu erteilen. Bei Gesundheitsdaten, deren Bekanntgabe sich für die versicherte Person gesundheitlich nachteilig auswirken könnte (besonders sensible Daten, z.b. im Zusammenhang mit einer schweren physischen oder psychischen Krankheit), kann von ihr verlangt werden, dass sie einen Arzt oder eine Ärztin bezeichnet (Art. 47 Abs. 2 ATSG) Verwaltungshilfe und Auskünfte an bevollmächtigte Dritte Die Verwaltungshilfe erfolgt nach Massgabe der gesetzlichen Bestimmungen (Art. 32 ATSG, Art. 84a KVG). Das Verhältnismässigkeitsprinzip ist in jedem Fall zu beachten. Das Gesuch um Verwaltungshilfe ist zu begründen. Der Umfang der Auskunft an bevollmächtigte Dritte ergibt sich aus der Vollmacht der betroffenen Person. Besonders schützenswerte Daten, namentlich Gesundheitsdaten, werden nur weitergeleitet, wenn die Vollmacht diese explizit nennt. 6.3 Elektronische Auskünfte Online-Verkehr (Assura.net) Im Rahmen der Plattform Assura.net erfolgt die Auskunftserteilung gemäss den Bedingungen des Onlinevertrages assura.net. Die Daten werden im elektronischen Briefkasten hinterlegt, welcher nummern- und passwortgeschützt ist und auf welchen nur Berechtigte Zugriff haben. Bei der Beantwortung von -Anfragen von versicherten Personen sind Daten wo immer möglich zu anonymisieren (z. B. keine Namen und Vornamen im Betreff, sondern nur die Policennummer), damit die Identität des Empfängers nicht ermittelt werden kann. Besonders schützenswerte Daten sind ausschliesslich auf dem Postweg zu übermitteln. 11/12

12 7. Sanktionen 7.1 Strafrechtliche Sanktionen Die strafrechtlichen Sanktionen im Falle einer Datenschutzverletzung richten sich nach den gesetzlichen Bestimmungen (Art. 35 DSG, Art. 92 und 93 KVG). Die Supra meldet strafrechtlich relevante Verstösse der zuständigen Strafbehörde. 7.2 Arbeitsrechtliche Sanktionen Verstösse gegen den Datenschutz bzw. gegen die Schweigepflicht werden je nach Schwere mit einem Verweis, mit einer ordentlichen Kündigung oder einer fristlosen Kündigung sanktioniert. Zivilrechtliche Forderungen wie auch die strafrechtliche Verfolgung werden vorbehalten. 8. Inkrafttreten Dieses Bearbeitungsreglement tritt am 1. September 2014 in Kraft. 12/12