A 274 Deutsches Ärzteblatt
|
Jg. 107|
Heft 7|
19. Februar 2010DATENSCHUTZ
Unbefugte Zugriffe verhindern
W
as haben George Clooney, Britney Spears und Monika Lierhaus gemeinsam? Sie wurden Opfer von Datenmissbrauch durch unberechtigte Zugriffe auf ihre elek- tronisch gespeicherten Patientenda- ten. In allen drei Fällen gelangten Details der medizinischen Behand- lung aus dem Krankenhausinforma- tionssystem (KIS) an die Öffentlich- keit. Auf Datenschutzprobleme im Krankenhaus verwies Dr. Rita Well- brock, Mitarbeiterin beim Hessi- schen Datenschutzbeauftragten, bei einer Veranstaltung zum Europä - ischen Datenschutztag in Wiesbaden.Das KIS ermöglicht den zeit- und ortsungebundenen Abruf der darin gespeicherten Patientendaten und unterstützt effiziente Therapieent- scheidungen. Diesen Vorteilen ste- hen allerdings auch Risiken gegen- über. In den genannten Beispielen wurden als Folge des Datenmiss- brauchs zwar Sanktionen verhängt, dies sei jedoch längst nicht die Re- gel, berichtete Wellbrock, denn nicht immer könne im Nachhinein festge- stellt werden, ob jemand und wer unbefugt zugegriffen habe.
Sicherheitskonzept nötig Ursachen für Datenschutzprobleme im Krankenhaus sind oftmals zu pauschale Zugriffsberechtigungen und unzureichende Zugriffskontrol- len. Diese seien nicht nur zum Schutz von Prominenten erforder- lich, sondern auch „von Lehrern, Nachbarn, Exehefrauen, Arbeits- kollegen et cetera“, betonte Well- brock. „Der Patient rechnet nicht damit, dass eine Vielzahl von Mit-
arbeitern im Krankenhaus seine persönlichen Daten zur Kenntnis nehmen kann, und das muss er auch nicht.“ Das Krankenhaus sei keine Einheit, in der personenbezogene Daten belie- big ausgetauscht werden dürften.
Die Anforderung einer differen- zierten Zugriffsgestaltung und eines technischen Konzepts hierfür ist in der Praxis nicht immer befriedigend gewährleistet. Dies betrifft sowohl die KIS-Anbieter, deren Systeme Datenschutzmaßnahmen technisch unterstützen müssen, als auch die Krankenhäuser, die ihre internen Abläufe sicher gestalten und daten- schutzkonforme KIS einsetzen müs- sen. „Da gibt es viel zu tun“, meinte Wellbrock. Die Konferenz der Da- tenschutzbeauftragten des Bundes und der Länder hat daher im Okto- ber 2009 eine Entschließung zum Thema „Krankenhausinformations- systeme datenschutzgerecht gestal- ten“ veröffentlicht. Darüber hinaus soll eine Arbeitsgruppe sich in die- sem Jahr mit dem Thema befassen und Empfehlungen ausarbeiten.
Klärungsbedarf besteht aus Sicht der Datenschützer auch beim Thema elektronische Gesundheitsakte. In dieser „persönlichen“ Akte kann der Patient Kopien der Behandlungsdo- kumentation sowie eigene Gesund- heitsdaten speichern. Inzwischen gibt es einige kommerzielle Produk- te, meist als Online-Akten, aber auch in dezentraler Form auf USB- Sticks. Krankenkassen dürfen ihren Versicherten solche Akten finanzie- ren, wenn es die Qualität und Wirt- schaftlichkeit der Behandlung ver- bessert. Diese Lösungen erfüllen aber nicht die strengen Datenschutz- anforderungen, die der Gesetzgeber an eine elektronische Patientenakte auf Basis der geplanten Telema tik - infra struk tur nach § 291 a Sozialge-
setzbuch V gestellt hat. Deren Reali- sierung innerhalb einer eigenen Netz infrastruktur ist derzeit jedoch nicht absehbar, so dass Unterneh- men Internetanwendungen auf den Markt bringen. Bekannte Beispiele sind „Google Health“ oder „Health Vault“, eine Lösung, die Microsoft seit diesem Jahr gemeinsam mit Sie- mens in Deutschland vermarktet.
USB-Stick oder Internet?
„Die eigenen Krankheitsdaten in der Hosentasche oder im Internet?“, fragte Rüdiger Wehrmann, Mitar- beiter beim Hessischen Daten- schutzbeauftragten. Behaftet mit Risiken ist beides. Wer sich für ei- nen USB-Stick entscheidet, muss darauf vertrauen, dass der konsul- tierte Arzt bereit ist, diesen ihm un- bekannten Stick auf einem Rechner in seiner Praxis einzulesen. Auch im Notfall kann der Nutzer nicht davon ausgehen, dass der Helfer zuerst nach einem möglicherweise vorhandenen USB-Stick sucht, von dem er noch nicht einmal weiß, wie dieser aussieht – so gibt es den Stick auch als Schmuckstück. Bei einer webbasierten Gesundheitsak- te hingegen bestehen die allgemei- nen Sicherheitsproblematiken des Internets. Zudem variieren die Zu- gangs- und Sicherheitsoptionen je Anbieter, auch ist nicht immer klar, wo die Daten gespeichert werden.
Der Nutzer sollte laut Wehrmann vor der Entscheidung für ein Produkt daher klären, welche Einflussmög- lichkeiten er auf die Gestaltung der Akte hat, etwa hinsichtlich der Ver- gabe von Zugriffs- und Löschrech- ten, und welche Sicherungs- und Authentisierungsverfahren eingesetzt werden. Wichtig sei auch die Frage, was mit den gespeicherten Daten bei einer Kündigung passiert. ■ Heike E. Krüger-Brand
Die Menge elektronisch gespeicherter Daten im Gesundheitswesen wächst. Der Umgang damit erfordert ein Risikobewusstsein der Nutzer.
Foto: Fotolia
