ELEKTRONISCHE DATENVERARBEITUNG
Leitfaden für die Praxis
Die dritte Fassung der „Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis“ trägt neuen Anforderungen durch das Patientenrechtegesetz Rechnung.
Z
uletzt hatten die Bundesärzte- kammer (BÄK) und die Kas- senärztliche Bundesvereinigung (KBV) eine überarbeitete Fassung der „Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpra- xis“ im Mai 2008 veröffentlicht (www.aerzteblatt.de/plus1908). Der Hintergrund damals: Im Zuge der zunehmenden elektronischen Kom- munikation und Vernetzung von Arztpraxen sollten die Ärzte dafür sensibilisiert werden, dass sie beim beruflichen EDV-Einsatz unter an- derem aus strafrechtlichen und haf- tungsrechtlichen Gründen beson - dere Schutzvorkehrungen beachten müssen, um die Sicherheit der sen- siblen Patientendaten jederzeit zu gewährleisten. Hinzu kam, dass die geplante sichere Telema tik infra - struktur, die ein hohes Maß an Da- tensicherheit gewährleisten sollte, noch nicht verfügbar war.Keine Übergangsphase
Sechs Jahre später hat sich an dieser Situation nichts Wesentliches geän- dert, auch wenn der elektronische Datenaustausch im Gesundheitswe- sen rasant weiter wächst und zum Beispiel immer mehr telemedizini- sche Verfahren Einzug in die medizi- nische Versorgung halten.
Der Grund für die neuerliche Ak- tualisierung der Empfehlungen (sie- he die Bekanntgabe in diesem Heft) ist daher nicht in erster Linie der technischen Weiterentwicklung ge- schuldet, sondern: „Anlass für die Überarbeitung, die eine Arbeitsgrup- pe aus Vertretern von BÄK, KBV und Landesärztekammern ge- meinsam erarbeitet und mit den jeweiligen Rechtsabtei- lungen abgestimmt hat, war vor allem das Patientenrechte- gesetz“, erläutert Dr. jur. Marlis
Hübner, Leiterin der Rechtsabteilung bei der Bundesärztekammer.
Mit dem seit Februar 2013 gel- tenden Gesetz wird nämlich erst- mals auch die elektronische Doku- mentation der ärztlichen Behand- lung gesetzlich geregelt. Nach
§ 630 f Abs. 1 Bürgerliches Ge- setzbuch kann der Arzt die Patien- tenakte auch elektronisch führen, muss dann aber die Manipulati- onsfreiheit der Akte sicherstellen, indem er eine Software verwen- det, die nachträgliche Änderungen automatisch kenntlich macht.
Als das Gesetz in Kraft trat, wa- ren nur einzelne Praxisverwaltungs- systeme (PVS) mit dieser Funktio- nalität ausgestattet. Doch einen Übergangszeitraum oder eine alter- native Lösung hierfür sieht das Ge- setz nicht vor. Verwendet eine Pra- xis daher ein nicht gesetzeskonfor- mes PVS, etwa weil der PVS-Her- steller diese Funktionalität noch nicht integriert hat, trägt der Arzt das Risiko, dass er in einem Haf- tungsprozess in Beweisnot geraten kann, wenn der Kläger seine Do - kumentation aus nachvollziehbaren Gründen anzweifelt. „Aus Sicht des Arztes ist es daher dringend ge- boten, so schnell wie mög- lich ein PVS einzusetzen, das über die zuvor be- schriebene Funktio-
nalität verfügt“, lautet daher die Empfehlung.
Das dürfte für betroffene Ärzte jedoch keine leicht zu nehmende Hürde sein. Denn für die meisten Ärzte kommt ein Systemwechsel zunächst nicht in Betracht, weil die Datenmigration von einem auf ein anderes PVS schwierig ist. Hinzu kommt, dass die Nachrüstung eines bestehenden Produktes program- miertechnisch aufwendig ist. Daher ist nicht ausgeschlossen, dass man- cher PVS-Hersteller diese Situation ausnutzen könnte.
Technische Maßnahmen Mit dem Aspekt der elektronischen Dokumentation befasst sich auch das von der Arbeitsgruppe erstellte Addendum zur Technischen Anlage aus dem Jahr 2008. Darin beschreibt sie organisatorische und technische Maßnahmen zur IT-Sicherheit, deren Umsetzung in der Übergangsphase dazu beitragen könnte, die Position des Arztes in einer gerichtlichen Aus- einandersetzung zu verbessern. Aller- dings „mit dem deutlichen Hinweis, dass dies keine 100-prozentig rechts- sichere Lösung ist und wir keine Ga- rantie geben können, dass ein Richter das genauso sehen wird“, betont Dr.
jur. Bert-Sebastian Dörfer, Referent aus der Rechtsabteilung der BÄK.
Die technischen Maßnahmen, die in diesem Kontext empfohlen wer- den, darunter ein häufiges, am bes- ten tägliches Backup und die Ver- wendung nicht veränderbarer Spei- chermedien wie CD- oder DVD- ROM, erfordern keine Mitarbeit des Herstellers. Das gilt auch für die qualifizierte elektronische Signatur:
„Diese kann ein Dienstleister im- plementieren, der den Praxisbe- trieb unterstützt. Er kann zum Beispiel scriptbasiert einmal am Tag eine Signatur oder ei- nen Zeitstempel anfordern und auf das Back up aufbringen“, er- läutert Dr. med. Georgios Raptis, Experte aus dem Telematikdezer-
nat der BÄK. „Die Granularität dieser Maßnahmen ist allerdings nicht so fein, wie der Gesetzgeber das möchte, sondern das Problem der fehlenden Lückenlosigkeit zwi- schen den einzelnen Sicherungen bleibt dabei weiterhin bestehen.“ Foto: Fotolia/Maksim Kabakou
A 930 Deutsches Ärzteblatt
|
Jg. 111|
Heft 21|
23. Mai 2014P O L I T I K
►
A 932 Deutsches Ärzteblatt
|
Jg. 111|
Heft 21|
23. Mai 2014 Ein weiterer Knackpunkt ist dieÜbernahme externer Dokumente in eine elektronisch geführte Patien- tenakte. Beispiele sind etwa Arzt- briefe in Papierform. Der Empfän- ger kann diese zwar einscannen und in die eigene elektronische Do - kumentation übernehmen. Juristen mahnen jedoch zur Zurückhaltung beim ersetzenden Scannen, denn:
„Umstritten ist weiterhin, ob Arzt- briefe in Papierform nach dem Scannen vernichtet werden können oder in Papierform aufbewahrt wer- den müssen“, heißt es in den Emp- fehlungen. Der Grund: Neben der unsicheren Rechtslage hinsichtlich der Vernichtung von Originaldoku- menten kommt einem eingescann- ten Arztbrief vor Gericht ein gerin- gerer Beweiswert zu als dem unter- zeichneten Originaldokument.
Ersetzendes Scannen
Wer trotz der unsicheren Rechtsla- ge ohne Aufbewahrung der Origi- naldokumente ausschließlich digi- tal dokumentiert und archiviert, sollte zumindest bestimmte Siche- rungsmaßnahmen durchführen. Die Basis dafür ist eine technische Richtlinie des Bundesamtes für Si- cherheit in der Informationstechnik (BSI, siehe Addendum, Kapitel 2).
Wird ein sehr hoher Beweiswert der eingescannten Dokumente ange- strebt, müssen nach der BSI-Richt- linie zusätzliche Anforderungen wie beispielsweise das Vieraugenprinzip oder der Einsatz qualifizierter elek- tronischer Signaturen und Zeit- stempel beachtet werden. Dennoch gilt: „Die Unsicherheit im Hinblick auf das ersetzende Scannen kön- nen wir den Ärzten nicht nehmen“, so die Rechtsabteilung der Bun - desärztekammer. Gegebenenfalls sollte der Arzt, der eine papierfreie Praxis führen will, sich hierzu bera- ten lassen.
Ein neuer Abschnitt der Empfeh- lungen widmet sich den besonde- ren Anforderungen hinsichtlich Schweigepflicht und Datenschutz, die sich ergeben können, wenn Ärz- te in mehreren Bereichen ärztlich tätig sind. Hier muss unter anderem zwischen Zusammenschlüssen zur gemeinsamen Berufsausübung wie einer Gemeinschaftspraxis einer-
seits und Organisationsgemein- schaften wie etwa einer Praxis- oder Laborgemeinschaft andererseits un- terschieden werden. Anders als im erstgenannten Fall gilt für letztere die ärztliche Schweigepflicht unter den Partnern der Gemeinschaft un- eingeschränkt, weil es sich nicht um eine gemeinsame Berufsausübung handelt. Daher dürfen die EDV- Systeme keinen Zugriff auf die Da- ten des jeweils anderen Gemein- schaftspartners ermöglichen.
Zu den technischen Aspekten, die das Addendum neu aufgreift, zählt der Umgang mit externen Speicher- medien. So ist die Nutzung fremder Speichermedien wie USB-Sticks in Verbindung mit dem Praxiscomputer nicht erlaubt. „Von außen kann der Arzt nicht erkennen, ob sich auf dem USB-Stick Schadsoftware befindet“, erläutert Raptis. Bereits durch bloßes Stecken könne diese den Rechner des Arztes infizieren, wie das Beispiel
„Stuxnet“ im Jahr 2010 gezeigt habe.
Die interne Vernetzung der Pra- xis über das Stromnetz (Powerline) wird, ebenso wie die Nutzung von WLAN, nur mit besonderen Sicher- heitsvorkehrungen empfohlen. Si- cherer ist es, ein kabelgebundenes Netzwerk zu verwenden.
Während in der Technischen An- lage aus dem Jahr 2008 „Voice over
IP“ noch als unsicher galt, stellen in den letzten Jahren immer mehr Tele- fongesellschaften ihre Kommunika- tionsnetze auf IP-Technologie um.
„Voice over IP ist inzwischen Stan- dard“, meint Raptis. Letztlich müsse sich der Arzt darauf verlassen kön- nen, dass die bei der Bundesnetz- agentur registrierten Anbieter die Vertraulichkeit der Kommunikation nach dem Stand der Technik ge- währleisteten.
Problematisch für den Austausch sensibler Patientendaten können da- gegen Produkte von nichtregistrier- ten Anbietern wie etwa Skype sein.
„Die Nutzung wäre nur dann zuläs- sig, wenn der Arzt selbst für eine Verschlüsselung sorgt beziehungs- weise ein Anbieter darlegen kann, dass er mit einer Verschlüsselung ar- beitet und eine sichere Vernetzung garantiert“, erläutert Raptis.
Sicherheit in der Cloud
Kritisch sehen BÄK und KBV auch die Zunahme von Cloud-Lösungen im medizinischen Bereich. So ist die externe Sicherung von Patien- tendaten nur unter strengen Vorga- ben zulässig, da der Dienstleister keinen Zugriff auf die Klartextda- ten haben darf. Eine Auslagerung der Datenverarbeitung ist vor die- sem Hintergrund nicht zulässig, denn: „Es gibt kein Verfahren, in dem ein Computerprogramm auf verschlüsselten Daten operieren kann. Das heißt per definitionem:
Dort, wo die Datenverarbeitung er- folgt, liegen die Daten im Klar- text. Wenn das Computerprogramm beim Anbieter läuft, hat dieser also technisch Zugriff auf die Klartext- daten“, betont Raptis.
Die externe Datenspeicherung verschlüsselter Daten ist dagegen zu- lässig. Sie wird inzwischen häufig etwa von Radiologen genutzt. Auch die Archivierung von älteren Daten- beständen in der Cloud ist möglich, vor ausgesetzt, der Arzt hat entspre- chende vertragliche Vereinbarungen mit dem Dienstleister getroffen, dass mittels Verschlüsselung und anderer vom BSI gelisteten Anfor- derungen ein unbefugter Zugriff des Dienstleisters auf die Daten ausge-
schlossen ist.
▄
Heike E. Krüger-Brand Die Aktualisierung der Empfehlungen betrifft vor allem
folgende Punkte:
●
Anforderungen an die elektronische Dokumentation nach dem Patientenrechtegesetz●
Vernichtung von Originaldokumenten nach der Digitali- sierung●
Dokumentation und Schweigepflicht bei kooperativer Praxisausübung und ärztlicher Nebentätigkeit●
Umfang des Einsichtnahmerechts des Patienten●
Datenschutz bei der Übermittlung von Patientendaten.Das Addendum ergänzt die Technische Anlage aus dem Jahr 2008 unter anderem um folgende Punkte:
