Elektronische Patientenakte: Souveränität der Versicherten über Gesundheitsdaten bewahren

Professor Dieter Kugelmann appelliert an Krankenkassen und Gesetzgeber, Gesundheitsdaten konsequent zu schützen

[datensicherheit.de, 07.12.2020] Die Digitalisierung des Gesundheitswesens schreitet offenkundig immer schneller voran. Laut einer aktuellen Stellungnahme des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) forciert die Bundesregierung „den zuvor jahrelang nur schleppend vorangekommenen Prozess der Digitalen Transformation des deutschen Gesundheitswesens durch zahlreiche Gesetzgebungsvorhaben“. Nachdem erst im Oktober 2020 das Patienten-Datenschutzgesetz (PDSG) in Kraft getreten sei, habe das Bundesgesundheitsministerium Mitte November 2020 bereits den nächsten Entwurf vorgelegt, diesmal für ein Gesetz zur digitalen Modernisierung von Versorgung und Pflege, kurz DVPMG genannt. „Aus der Perspektive des Datenschutzes ist der digitale Umbau des Gesundheitssystems in Deutschland zu begrüßen, sofern auch in der digitalen Versorgung die Souveränität der Versicherten hinsichtlich der Verarbeitung ihrer Daten bewahrt und deren Schutz konsequent sichergestellt wird“, so der LfDI RLP. Doch daran hapere es immer wieder…

Patienten-Datenschutzgesetz etabliert elektronische Patientenakte zum Jahresanfang 2021

Bei der mit dem Patienten-Datenschutzgesetz zum Jahresanfang 2021 etablierten elektronischen Patientenakte werde den Versicherten ohne geeignetes Endgerät die Wahrnehmung der ihnen zustehenden Rechte „in unzumutbarer Weise erschwert“. Im Jahr 2021 bestehe gar keine Möglichkeit, ohne eigenen PC, Handy oder Tablet in die Inhalte der eigenen Akte Einblick zu nehmen und Zugriffsrechte darauf zu steuern. Ab 2022 könne ein Vertreter benannt werden, „über den dies dann möglich sein soll“. Eine unmittelbare Rechteausübung sei zu keinem Zeitpunkt vorgesehen.
„Damit werden Versicherten ihnen unmittelbar zustehende elementare Datenschutzrechte genommen. Mit der Aufstellung eigener Terminals bei den Krankenkassen oder anderen geeigneten Maßnahmen hätte man dies vermeiden können und müssen“, bilanziert der LfDI RLP, Prof. Dieter Kugelmann. Die gesetzlichen Vorgaben missachteten in grober Weise die den Versicherten zustehende Wahrnehmung ihres Grundrechts. „Sollten sich Betroffene an mich wenden und Defizite bei der Ausübung ihrer Rechte geltend machen, werde ich von den meiner Aufsicht unterliegenden Krankenkassen verlangen, dass die Versicherten ihre Datenschutzrechte unmittelbar ausüben können.“

Neuester Gesetzentwurf aus dem Bundesgesundheitsministerium hat Verbesserungsbedarf

Auch in Bezug auf den neuesten Gesetzentwurf aus dem Bundesgesundheitsministerium sieht Professor Kugelmann nach eigenen Angaben „Verbesserungsbedarf“. Mit dem Entwurf des DVPMG werde die Digitalisierung im Gesundheitswesen vertieft und auf den Bereich der Pflegeversicherung ausgeweitet. Doch es gebe deutliche Defizite: „So sollen digitale Gesundheits- und Pflegeanwendungen unter anderem noch bis zum Jahr 2023 erstattungsfähig sein, wenn deren Datenschutz- und Sicherheitstauglichkeit allein von den Herstellern selbst erklärt wird. Erst danach bedarf es im Hinblick auf die Sicherheit der Anwendungen der Vorlage von Zertifikaten; bezüglich des Datenschutzes ist das auch danach nicht vorgesehen.“
Dem Schutz der Gesundheitsdaten, welche in den digitalen Anwendungen sowohl in der Krankenversorgung als auch der Pflege verarbeitet werden, müsse höchste Priorität beigemessen werden. Allein den eigenen Erklärungen der Hersteller zu vertrauen, dürfe als Nachweis für die Einhaltung der Anforderungen an den Datenschutz und die Datensicherheit nicht ausreichen. „Schon die Zulassung der ersten digitalen Gesundheitsanwendungen hat dies eindrucksvoll gezeigt“, berichtet Professor Kugelmann und appelliert deshalb an den Gesetzgeber, „ausschließlich den Einsatz von sicheren und datenschutzgerechten Anwendungen sicherzustellen und dabei die in dem Datenschutzrecht vorhandenen Möglichkeiten der Zertifizierung im besonders sensiblen Gesundheitswesen zu nutzen und dies nicht erst im Jahr 2023, sondern sofort“. Datenschutz und IT-Sicherheit dürften nicht auf die lange Bank geschoben werden.

Bei Einrichtung eines zentralen Kommunikationsdienstes für das Gesundheitswesen Vorgaben des Datenschutzes beachten

In seiner gegenüber der Landesregierung Rheinland-Pfalz zu diesem Gesetzentwurf abgegebenen Stellungnahme fordert Professor Kugelmann weiter, „bei der im Gesetz vorgesehenen Einrichtung eines zentralen Kommunikationsdienstes für das Gesundheitswesen die Vorgaben des Datenschutzes für die Nutzung von E-Mail- und Messaging-Diensten zu beachten und insbesondere die Nutzung privater Endgeräte zur Kommunikation im beruflichen Kontext zu verbieten.“
Die Einrichtung einer Schweigepflicht für Hersteller von digitalen Gesundheits- und Pflegeanwendungen sei zu begrüßen, „wobei sich diese auf alle an der Herstellung und den Betrieb mitwirkenden Personen erstrecken sollte“. Den Bundesländern sei vom Bund die Möglichkeit eingeräumt worden, bis zum 7. Dezember 2020 zum neuen Gesetzentwurf Stellung zu nehmen.

Weitere Informationen zum Thema:

datensicherheit.de, 05.05.2020
Gesundheitswesen: Kontrolle über Patientendaten in Kliniken und Praxen / Die 6 größten Schwachstellen im Blick

datensicherheit.de, 03.11.2019
Patientendaten: Bundesregierung plant Weiterleitung / Anja Hirschel warnt vor „gläsernem Patienten“ und Ausverkauf an zentrales Forschungszentrum

datensicherheit.de, 18.09.2019
Patientendaten: Sicherheitsexperte fordert Ende-zu-Ende-Verschlüsselung /Detlef Schmuck stellt hochsicheren Ausweg angesichts des jüngsten Vorfalls vor