Berliner Datenschutzbericht 2014: Hohe Anforderungen an Schweigepflichten in Praxisgemeinschaften, hier: IT Sicherheit im Praxisverwaltungssystem

Das Büro des Berliner Beauftragten für Datenschutz und Informationsfreiheit, erstellt jährlich einen sehr umfangreichen Bericht. Ich habe mir den kürzlich veröffentlichen Bericht für das Jahr 2014 durchgelesen. Nachfolgend ein Fall, welcher auch für Zahnarztpraxen von Interesse sein kann, sofern diese als Praxisgemeinschaft zusammengeschlossen sind, oder wo eine räumliche bzw. organisatorische Verbundenheit zu anderen Leistungsanbietern besteht.

Die IT-Systeme von Praxisgemeinschaften sind so einzurichten, dass die ärztliche Schweigepflicht gewahrt werden kann. Die Wahl, welchen Ärztinnen und Ärzten Patientendaten offengelegt werden, muss bei den Patienten verbleiben.

 

Der Fall:

5.4 Schweigepflichten in Praxisgemeinschaften

Wir haben die Einhaltung der ärztlichen Schweigepflicht in einer Praxisgemeinschaft geprüft, der ein rechtlich selbständiges Studienzentrum angeschlossen ist.

In Praxisgemeinschaften (PG) schließen sich verschiedene rechtlich selbständige Praxen zusammen, um gemeinsam Ressourcen wie Räume und Computertechnik, aber auch Personal zu nutzen. Die Behandlung der Patienten übernimmt nach wie vor eine einzelne Praxis. Allerdings kann sich ein Patient dafür entscheiden, bei Abwesenheit der Ärztinnen und Ärzte einer Praxis das ärztliche Personal einer anderen Praxis zu konsultieren.

Zwischen dem Personal der beteiligten Praxen ist die Schweigepflicht zu wahren. Nur im Vertretungsfall dürfen die Daten offenbart werden. Gemeinsames Personal kann dabei durchaus für mehrere Praxen tätig werden und Daten einsehen. Es untersteht dabei dem Direktionsrecht der jeweils im Einzelfall behandelnden Ärzte.

Dies muss sich auch technisch im Praxisverwaltungssystem (PVS) widerspiegeln, soweit dies gemeinsam genutzt wird. Ist dies der Fall, müssen im PVS Zugriffsberechtigungen eingerichtet werden, welche die Schranken der Schweigepflicht abbilden. Darüber hinaus muss es möglich sein, die Zugriffe nachzuvollziehen, um Offenbarungen auf ihre Zulässigkeit überprüfen zu können.

In der von uns geprüften PG wurde eine derartige Trennung nicht vollzogen. Passwörter wurden gemeinsam genutzt. Es war stets ein Zugriff auf die Daten aller Patienten möglich. Wir haben die Gesellschafter der PG aufgefordert, für alle Beschäftigten individuelle Benutzerkonten mit eigenem Passwort und abgestimmten Zugriffsrechten einzurichten.

Ein allgemeiner Zugriff auf alle Patientendaten stand auch dem Personal des Studienzentrums offen. Erschwerend kam hinzu, dass nur ein Teil der Gesellschafter der PG auch Gesellschafter des Studienzentrums waren, so dass den unbeteiligten Ärztinnen und Ärzten gegenüber dem Personal des Studienzentrums keine Weisungsbefugnis zustand. Weiterhin mussten wir feststellen, dass auch Unterlagen der Praxisgemeinschaft im Studienzentrum gelagert wurden, die mit den dort durchgeführten Studien nichts zu tun hatten.

Wir haben Praxisgemeinschaft und Studienzentrum aufgefordert, eine Trennung der Daten und Systeme vorzunehmen. Übermittlungen zwischen Praxisgemeinschaft und Studienzentrum müssen nachvollziehbar sein, insbesondere für die am Studienzentrum unbeteiligten Ärztinnen und Ärzte, soweit deren Patienten betroffen sind. Auf unsere Aufforderung hin wurden die vorgefundenen PG-Unterlagen aus dem Studienzentrum zurück in die PG gebracht.

Die IT-Systeme von Praxisgemeinschaften sind so einzurichten, dass die ärztliche Schweigepflicht gewahrt werden kann. Die Wahl, welchen Ärztinnen und Ärzten Patientendaten offengelegt werden, muss bei den Patienten verbleiben.

.

Ansonsten

Ansonsten sind im Bericht noch folgende Fälle lesenswert:

• 5.5 Übergabe von Patientendaten an die Labor GmbH ohne Rechtsgrundlage (Seite 78)
  

  Werden im Gesundheitssektor neue, kostensparende Strukturen geschaffen und dabei Altsysteme übernommen, muss mit den Altdaten gesetzeskonform umgegangen werden. Es ist nicht zulässig, sie einfach als „Anhang“ der Technik weiterzugeben

• 5.6 Mangelhafte IT-Verfahren in Gesundheitsämtern (Seite 79/80)
  

  Die öffentliche Verwaltung ist bei der Erfüllung ihrer Aufgaben an die Einhaltung der gesetzlichen Normen gebunden. Wo sie dieser Verpflichtung nicht gerecht wird und der Berliner Beauftragte für Datenschutz und Informationsfreiheit schwerwiegende Verstöße gegen Datenschutzvorschriften feststellen muss, beanstandet er dies und fordert zur Beseitigung der Mängel auf.

• 5.7 Internetbasierte Nachsorge (Seite 80/82)
  

  Der elektronischen Kommunikation und Erfassung von Gesundheitsdaten steht das Datenschutzrecht nicht grundsätzlich entgegen. Sie bedürfen jedoch sorgfältiger Schutzmaßnahmen und einer Einschränkung der Daten auf das nötige Minimum.

.

.