Orientierungshilfe Krankenhausinformationssysteme

Mai 2011

Zur Kenntnisnahme der Orientierungshilfe Krankenhausinformationssysteme durch die Datenschutzaufsicht im öffentlichen Bereich, die Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich, die Datenschutzbeauftragten der EKD und die Datenschutzbeauftragten im Bereich der katholischen Kirche Deutschlands:

Die Entscheidung des Europäischen Gerichtshofs für Menschenrechte hinsichtlich des Zugriffs auf elektronische Patientendaten im Krankenhaus sowie Prüfungen der Datenschutzaufsichtsbehörden und bekannt gewordene Missbrauchsfälle zeigen regelmäßig Mängel beim Umgang mit elektronischen Patientendaten im Krankenhaus auf. Mit zunehmender Digitalisierung der Behandlungsdaten sowie Vernetzung der einzelnen Systeme zu einer zentralen elektronischen Patientenakte (ePA) nimmt auch die Anzahl der Vorfälle, wie beispielsweise der unerlaubte Zugriff auf Behandlungsdaten von Bekannten, Kolleginnen und Kollegen oder Prominenten, zu. Je besser elektronisch gespeicherte Patientendaten jederzeit, ortsungebunden und sekundenschnell abrufbar sind, desto besser werden einerseits die Behandlungsprozesse unterstützt, desto detailliert ist jedoch auch der Datengewinn bei unerlaubtem Zugriff und damit der potenzielle Schaden andererseits.

Für die Aufsichts- und Kontrollbehörden ist daher das Thema verstärkt in den Fokus gerückt.

Datenschutzregelungen finden sich in vielfältigen Gesetzen und Verordnungen des Bundes und der Länder, wobei je nach Krankenhausträger unterschiedliche Regelungen Anwendung finden. Um zu einem länder- und trägerübergreifend einheitlichen Verständnis der datenschutzrechtlichen Anforderungen zu gelangen, wurde von den Datenschutzbeauftragten der Länder unter Mitarbeit von Datenschutzbeauftragten der Evangelischen und der Katholischen Kirchen in Deutschland die Orientierungshilfe Krankenhausinformationssysteme erarbeitet.

Die Orientierungshilfe konkretisiert in ihrem ersten Teil die Anforderungen, die sich aus den datenschutzrechtlichen Regelungen sowie den Vorgaben zur ärztlichen Schweigepflicht für den Krankenhausbetrieb und den Einsatz von Informationssystemen in Krankenhäusern ergeben. Im zweiten Teil werden Maßnahmen zu deren technischer Umsetzung beschrieben. Für die Hersteller und Betreiber von Krankenhausinformationssystemen liegt damit ein die verschiedenen Gesetze und Verordnungen zusammenfassender Orientierungsrahmen für Gestaltung und Betrieb entsprechender Verfahren vor.

Die Aufsichts- und Kontrollbehörden werden sich an der Orientierungshilfe als Leitlinie bei der Bewertung konkreter Verfahren im Rahmen ihrer Kontrolltätigkeit orientieren. Dabei wird bereits im Dokument vorweggenommen, dass Stand heute die Systeme nicht alle erhobenen Anforderungen erfüllen bzw. die genannten technischen Maßnahmen umsetzen können. Damit wird aber nicht die Anwendbarkeit als Prüfgrundlage eingeschränkt, sondern es werden Übergangsfristen für erforderliche Anpassungen vereinbart werden müssen

Stellen die Aufsichtsbehörden im Zuge ihrer Kontrolltätigkeit Defizite im Vergleich zu den dargelegten Maßstäben fest, so werden die Krankenhäuser Wege zur Behebung der Defizite aufzeigen müssen. Einzig der Nachweis einer Gefährdung der Patientensicherheit als Folge der Umsetzung der Maßnahmen ist geeignet, den Forderungen der Aufsichtsbehörden zu begegnen.

Im März 2011 haben die Datenschutzbeauftragten des Bundes und der Länder (Datenschutzaufsicht im öffentlichen Bereich), im Mai 2011 die Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich, im Mai 2011 die Datenschutzbeauftragten der EKD und im Mai 2011 die Datenschutzbeauftragten im Bereich der katholischen Kirche Deutschlands die Orientierungshilfe Krankenhausinformationssysteme zustimmend zur Kenntnis genommen.

Mit Publikation und Zurkenntnisnahme der Orientierungshilfe Krankenhausinformationssysteme ist das Thema Datenschutz in den Fokus der zuständigen Aufsichts- und Kontrollbehörden gerückt worden. Sie ist mit dem Anspruch formuliert worden, als Prüfgrundlage eingesetzt werden zu können. In Deutschland existiert diesbezüglich keine vergleichbare Interpretation der bestehenden Gesetze und Verordnungen, aufgrund der Expertise der an der Erstellung der Orientierungshilfe beteiligten Organisationen sowie dem bei der Erstellung verwendeten Konsensverfahren muss den Anforderungen und technischen Maßnahmen erhebliche Bedeutung beigemessen werden. Dabei ist es auch unerheblich, dass die verwendeten Begrifflichkeiten sich in Teilen erheblich von den in der Praxis etablierten Begriffen unterscheiden.

Hierbei ist insbesondere der Begriff „Krankenhausinformationssystem“ zu nennen. In der Orientierungshilfe wird unter einem Krankenhausinformationssystem „die Gesamtheit aller in einem Krankenhaus eingesetzten informationstechnischen Systeme zur Verwaltung und Dokumentation elektronischer Patientendaten verstanden. Und weiter:

Dabei handelt es sich in aller Regel um einen Verbund selbständiger Systeme meist unterschiedlicher Hersteller. Auf einzelne Fachbereiche beschränkte Verfahren wie z.B. Labor-, Radiologie- oder Diagnosesysteme gehören als Subsysteme ebenfalls zum Krankenhausinformationssystem.

Damit ist die Orientierungshilfe anzuwenden auf alle Systeme im Krankenhaus, welche Patientendaten erheben, speichern oder weiterverarbeiten. Mitunter also auch Medizinprodukte.

Bei Herstellern und Krankenhäusern hat die Orientierungshilfe viele Fragen aufgeworfen. Nicht nur fehlen die technischen Werkzeuge für die Umsetzung, auch die Auswirkungen auf die Behandlungs- und Verwaltungsprozesse zeichnen sich erst in Ansätzen ab. Dabei finden sich zunächst nur die Krankenhäuser in der Verantwortung, denn die Aufsichts- und Kontrollbehörden haben keinen Aufsichts- oder Kontrollauftrag bezüglich der Produkte der Hersteller.

Es liegt also in der Verantwortung der Krankenhäuser, die Hersteller in die Pflicht zu nehmen. Sie müssen einen Zeitplan für die Umsetzung der Anforderungen und technischen Maßnahmen einfordern. Dabei wird es aber insbesondere hinsichtlich des geforderten Zugriffsberechtigungskonzepts auf Objektebene zu Schwierigkeiten bei der Umsetzung kommen, da dies nicht durch eine Eigenentwicklung der Hersteller gelöst werden kann, sondern die Spezifikationen in den Schnittstellen herstellerübergreifend erarbeitet werden müssen. Die dafür notwendigen Tätigkeiten der internationalen Normung sind jedoch noch nicht aufgenommen worden.

Auch wenn einzelne Maßnahmen und Anforderungen der Orientierungshilfe Krankenhausinformationssysteme Stand heute nicht umsetzbar sind, so spannt sie dennoch einen Handlungsrahmen auf. Es gilt daher, die einzelnen Anforderungen und Maßnahmen auf Erfüllungsgrad hin zu prüfen und Zeitpläne zu deren Umsetzung festzulegen, gegebenenfalls mit den Herstellern. Dies schafft auch eine Diskussionsgrundlage für die Weiterentwicklung des Systems mit dem Hersteller. ... mehr