ipopba - stock.adobe.com
E-Health: Gesundheitsdaten und der Datenschutz
Datenpannen im Gesundheitswesen zeigen, dass Gesundheitsdaten mehr Schutz brauchen. E-Health als Digitalisierung des Gesundheitswesens ist ohne besseren Datenschutz nicht möglich.
Patientinnen und Patienten sollen digitale Angebote wie die elektronische Patientenakte möglichst bald flächendeckend nutzen können, so will es das Digitale-Versorgung-Gesetz (DVG). Apps auf Rezept, Videosprechstunden und der Ausbau des Datennetzes im Gesundheitswesen stehen auf dem Programm des Bundesgesundheitsministeriums.
Die IT-Sicherheit bei den niedergelassenen Ärztinnen, Ärzten, Zahnärztinnen und Zahnärzten soll gestärkt werden. Hierzu erhält die Selbstverwaltung den Auftrag, IT-Sicherheitsstandards verbindlich festzuschreiben. Zertifizierte Dienstleister können die Praxen bei der Umsetzung unterstützen. Die geplanten Maßnahmen für die Stärkung der IT-Sicherheit sind dringend erforderlich, insbesondere wenn die Digitalisierung im Gesundheitswesen (E-Health) fortschreiten soll.
Die Bürgerinnen und Bürger wollen E-Health: Jeder zweite Deutsche ist sich sicher, eine Zukunft der Medizin ohne E-Health wird es nicht geben – und die Mehrheit der Bundesbürger sieht darin auch große Chancen, so eine repräsentative Studie des Digitalverbands Bitkom. So meint rund jeder Zweite (46 Prozent), dass zumindest Teile der medizinischen Versorgung in Zukunft ausschließlich digital stattfinden werden, um die steigenden Kosten des deutschen Gesundheitssystems aufzufangen. Gleichzeitig sind die Deutschen offen für diese Neuerungen und nutzen existierende digitale Angebote schon heute rege. Zwei von drei Smartphone-Besitzern (65 Prozent) verwenden etwa bereits Gesundheits-Apps.
E-Health geht nicht ohne Datenschutz
Doch die Bitkom-Studie zeigt noch etwas: Die potenziellen Nutzer von E-Health fordern vor allem Datenhoheit. 61 Prozent wollen, dass sie beim Patienten liegt, weitere 59 Prozent verlangen ein Höchstmaß an Datenschutz und Datensicherheit.
Der Wunsch nach mehr Datenschutz hat seine Gründe. Die Aufsichtsbehörden für den Datenschutz berichten häufig von Datenschutzproblemen im Gesundheitswesen. Der Falschversand von patientenbezogenen Unterlagen ist bundesweit weit verbreitet, bestätigte zum Beispiel der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) hatte zudem im Dezember 2019 gegenüber einem Krankenhaus in Rheinland-Pfalz eine Geldbuße in Höhe von 105.000 Euro verhängt. Die Geldbuße beruhte auf mehreren Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) im Zusammenhang mit einer Patientenverwechslung bei der Aufnahme des Patienten. Diese hatte eine falsche Rechnungsstellung zur Folge und offenbarte strukturelle technische und organisatorische Defizite des Krankenhauses beim Patientenmanagement.
Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Dr. Lutz Hasse, rät allen Ärzten, Krankenhäusern und sonstigen Versorgungseinrichtungen (PDF): „Vergegenwärtigen Sie sich, dass die personenbezogenen Daten, die Sie vorhalten, einem hohen Schutzniveau unterliegen. Sie müssen als Verantwortliche durch geeignete technische und organisatorische Maßnahmen sicherstellen, dass ein Zugriff durch Unberechtigte nicht möglich ist. Der Zugang zu medizinischen Daten über das Internet hat ausschließlich über gesicherte Kanäle, beispielsweise eine VPN-Verbindung (Virtual Private Network), zu erfolgen.“
Folgende Hinweise für Sicherheit bei der Übertragung und Speicherung medizinischer Daten sollten befolgt werden, so die Aufsichtsbehörde:
- Es ist sicherzustellen, das nur berechtigte Personen auf die für sie bestimmten medizinischen Daten zugreifen können.
- Medizinische Daten sind verschlüsselt zu übertragen.
- Netzwerke mit Speichern, in denen Patientendaten übertragen werden, sind durch technische Maßnahmen (zum Beispiel Firewalls) abzusichern.
- Die eingesetzten Systeme sollten nur durch entsprechend qualifiziertes Personal eingerichtet und regelmäßig gewartet werden.
Betrachtet man diese Hinweise, stellt man schnell fest: Offensichtlich werden selbst Basismaßnahmen für IT-Sicherheit und Datenschutz im Gesundheitswesen nicht durchgehend umgesetzt. Das muss sich dringend ändern.
Forderungen der Aufsichtsbehörden für den Datenschutz
Die Datenschutzkonferenz, das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, weist nachdrücklich darauf hin, dass die Sicherheit von Patientendaten in der medizinischen Behandlung nach der Datenschutz-Grundverordnung flächendeckend gewährleistet sein muss. Der effektive Schutz von Gesundheitsdaten darf nicht von der Größe der Versorgungseinrichtung abhängen.
In der jüngeren Vergangenheit häuften sich Vorfälle, in denen der Schutz von Patientendaten in der stationären Versorgung gefährdet war. So wurden im Juli 2019 eine Reihe von Einrichtungen eines Trägers in Rheinland-Pfalz und dem Saarland Opfer eines Befalls mit Schadsoftware. Die durch diese erfolgte Verschlüsselung von Daten im IT-Verbund der Trägergesellschaft hatte zu weitreichenden Beeinträchtigungen des Krankenhausbetriebs geführt.
Im September 2019 wurde bekannt, dass weltweit mehr als 16 Millionen Datensätze, darunter 13.000 von in deutschen Gesundheitseinrichtungen behandelten Patienten, offen im Internet zugänglich waren. Ursache hierfür waren insbesondere unzureichende technische und organisatorische Vorkehrungen zum Schutz dieser Daten.
Die Datenschutzkonferenz fordert vor dem Hintergrund einer zunehmenden Digitalisierung der Gesundheitsversorgung und angesichts der damit einhergehenden Gefährdungen ausdrücklich dazu auf, auch in finanzieller Hinsicht sicherzustellen, dass alle Einrichtungen des Gesundheitswesens die zum Schutz der Patientendaten nach dem Stand der Technik gesetzlich gebotenen Vorkehrungen ergreifen können.
Vorsicht bei der Weitergabe von Gesundheitsdaten
Ein weiteres Datenschutzproblem, das mit der fortschreitenden Digitalisierung zunehmen wird, besteht darin, dass Betreiber von Gesundheitswebseiten und Gesundheits-Apps auch sensible personenbezogene Daten der Nutzerinnen und Nutzer ohne erkennbare Verarbeitungsgrundlage an Dritte weiterleiten. Unter anderem geschieht dies durch Tracking- und Analyse-Tools, von deren Einsatz die betroffenen Personen keine Kenntnis haben, so die Aufsichtsbehörden.
Zu den Datenempfängern gehören häufig neben sonstigen Tracking-Dienstleistern große Unternehmen wie Facebook, Google und Amazon, die vorrangig eigene Geschäftsinteressen verfolgen. Die Verknüpfung der weitergeleiteten Daten mit anderen Informationen begründet das Risiko, dass für jede Nutzerin und jeden Nutzer ein personenbezogenes Gesundheitsprofil entsteht, von dessen Existenz und Umfang die betroffenen Personen nichts wissen.
Die Datenschutzkonferenz fordert die Betreiber von Gesundheitswebseiten und Gesundheits-Apps auf, die berechtigten Vertraulichkeitserwartungen ihrer Nutzerinnen und Nutzer zu respektieren. Unabhängig von den allgemeinen datenschutzrechtlichen Anforderungen an die Weitergabe personenbezogener Gesundheitsdaten sind dabei insbesondere folgende Anforderungen zu beachten:
- Leiten Betreiber von Gesundheitswebseiten und Gesundheits-Apps personenbezogene Nutzungsdaten an andere Stellen weiter, sind sie für diese Datenweitergabe verantwortlich, selbst wenn sie wie etwa bei der Einbindung von Social Plug-ins – keinen eigenen Zugriff auf die weitergeleiteten Daten haben.
- Als Verantwortliche sind Betreiber insoweit verpflichtet, die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen zu beachten. Die beschriebene Weiterleitung von Gesundheitsdaten kann nur auf Grundlage einer vor der Datenverarbeitung eingeholten ausdrücklichen Einwilligung zulässig sein, die auch den übrigen Wirksamkeitsvoraussetzungen einer datenschutzrechtlichen Einwilligung genügen muss.
- Insbesondere unterliegt die Einwilligung in die Verarbeitung von Gesundheitsdaten strengen Transparenzanforderungen: Unter anderem muss sie konkret benennen, wer für die Verarbeitung verantwortlich ist und welche Kategorien personenbezogener Daten, wie beispielsweise Gesundheitsdaten, Informationen über die sexuelle Orientierung oder zum Sexualleben verarbeitet werden. Auch die Zwecke der Datenverarbeitung und die Empfänger von weitergeleiteten Daten sind konkret zu benennen. Diese Informationen müssen die Nutzerinnen und Nutzer in die Lage versetzen, sich über die Konsequenzen ihrer erteilten Einwilligung bewusst zu werden.
Datenpannen nicht nur bei Apps und Webseiten im Gesundheitswesen
Es sollte aber nicht vergessen werden, dass der Datenschutz im Gesundheitswesen auch ohne E-Health-Anwendungen lückenhaft sein kann und vielfach ist. So berichtet zum Beispiel der Landesdatenschutzbeauftragte von Baden-Württemberg (PDF):
Eine Vielzahl der 2019 an die Datenschutzaufsicht gesandten Datenpannenmeldungen betraf Arztpraxen aus Baden-Württemberg. Eine Auswertung der Aufsicht ergab, dass in einer Top 7-Liste der häufigsten Ursachen gemeldeter Pannen der Postfehlversand auf Platz 1 rangierte, der E-Mail-Fehlversand auf Platz 3, die Versendung einer E-Mail mit offenem Adressverteiler auf Platz 5 und der Faxfehlversand auf Platz 7.
Der Umstand, dass durch Fehlversand von Arztbriefen, Rezepten oder Röntgenbildern oft auch besonders sensible und schützenswerte Gesundheitsdaten der Patienten in die falschen Hände geraten, gab besonderen Anlass zur gründlichen Befassung mit diesem Thema durch die Aufsichtsbehörden. Nun ist es an der Zeit, dass sich alle Beteiligten im Gesundheitswesen besonders mit dem Schutz der Patientendaten befassen, auch im Hinblick auf E-Health und das Digitale-Versorgung-Gesetz.
Helfen können dabei unter anderem die neuen „Procurement Guidelines for Cybersecurity in Hospitals“, die die EU-Agentur für Cybersicherheit ENISA kürzlich veröffentlicht hat.
