Datenschutzaudit im Zusammenhang mit der Einführung einer Elektronischen Patientenakte Treffen der Justitiare der Universitätskliniken am Universitätsklinikum.

Präsentation zum Thema: "Datenschutzaudit im Zusammenhang mit der Einführung einer Elektronischen Patientenakte Treffen der Justitiare der Universitätskliniken am Universitätsklinikum."—  Präsentation transkript:

1 Datenschutzaudit im Zusammenhang mit der Einführung einer Elektronischen Patientenakte
Treffen der Justitiare der Universitätskliniken am Universitätsklinikum Eppendorf 14. April bis 15. April 2011 Bild einfügen (Cover Small) Jörg Wimmers / Dr. Carsten Schulz

2 Bild einfügen (Right Hand Banner Small)
Agenda Bild einfügen (Right Hand Banner Small) 01 > Einführung: Die elektronische Patientenakte 02 > Betroffene Daten (Überblick) 03 > Patientendaten 04 > Mitarbeiterdaten 05 > Datenschutzkonforme Organisation 06 > Die elektronische Patientenakte im Gesundheitskonzern 07 > Projektplanung 08 > Ausblick © 2011 Taylor Wessing Deutschland

3 01 > Einführung: Die elektronische Patientenakte (1/3)
Die elektronische Patientenakte stellt eine zentrale elektronische Sammlung und Verwaltung aller den Krankheits- und Behandlungsverlauf eines Patienten betreffenden Daten (Befunddaten, Diagnosen, Behandlungsverlauf, Behandlungsergebnis, zugehörige Korrespondenz) dar. Es werden dabei die Informationen aller beteiligten medizinischen Bereiche mit deren jeweiligen geeigneten Formaten bzw. Medien (Text, Grafik, Bild, Film, Ton) für die problem-, fall- oder prozessorientierte Dokumentation zusammengefasst und verfügbar gemacht. © 2011 Taylor Wessing Deutschland

4 01 > Einführung: Die elektronische Patientenakte (2/3)
Patientengeführte Patientenakte Arztgeführte Patientenakte, z.B. Krankenhausinformationssysteme Einrichtungsübergreifende elektronische Patientenakten © 2011 Taylor Wessing Deutschland

5 01 > Einführung: Die elektronische Patientenakte (3/3)
Hochsensible Daten Interessenabwägung: Effektive medizinische Versorgung Effektiver Daten- und Persönlichkeitsschutz Selbstbestimmung Großes Interesse der Datenschutzbehörden, z.B. Beschluss der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./17. März 2011 in Würzburg: Datenschutzkonforme Gestaltung und Nutzung von Krankenhausinformationssystemen © 2011 Taylor Wessing Deutschland

6 02 > Betroffene Daten (Überblick)
Patientendaten Informationen zur Person Informationen zum Befund und zur Krankengeschichte Abrechnungsinformationen Mitarbeiterdaten Behandlungsdokumentation (Was, wann, wie, …) Abrechnungsdaten Informationen für Krankenkassen, … © 2011 Taylor Wessing Deutschland

7 03 > Patientendaten (1/2)
Was ist zu berücksichtigen? Welche Daten dürfen überhaupt erhoben, gespeichert, verarbeitet werden? Wer hat Zugang zu welchen Patientendaten (Berechtigungskonzepte, Berechtigungsvergabe)? Welche Daten dürfen an Dritte (z.B. Hausarzt) weitergegeben werden? Wie ist Speicherung und Archivierung von Patientendaten geregelt? Können Patientendaten für Forschung und Lehre zur Verfügung gestellt werden? Relevante gesetzliche Bestimmungen Landeskrankenhausgesetze (z.B. §§ 7 ff. HmbKHG) Landesdatenschutzgesetze / Bundesdatenschutzgesetz § 203 StGB (ärztliche Schweigepflicht) © 2011 Taylor Wessing Deutschland

8 03 > Patientendaten (2/2)
Beispiel: § 8 HmbKHG (1) Patientendaten darf das Krankenhaus erheben und speichern, soweit dies 1. im Zusammenhang mit der Behandlung der Patientin bzw. des Patienten einschließlich der Erfüllung der ärztlichen Dokumentationspflicht, 2. zur sozialen Betreuung und Beratung der Patientin bzw. des Patienten nach § 6 durch den krankenhausinternen Sozialdienst, oder 3. zur Abwicklung von Ansprüchen, die mit der Behandlung im Zusammenhang stehen, erforderlich ist. Außerdem können mit Einverständnis der Patientin bzw. des Patienten Daten für ihre bzw. seine seelsorgerische Betreuung erhoben und gespeichert werden. (2) Patientendaten sind so zu speichern, dass nur solche Mitarbeiterinnen und Mitarbeiter Kenntnis nehmen können, die die Patientendaten zur rechtmäßigen Erfüllung der ihnen obliegenden Aufgaben benötigen. © 2011 Taylor Wessing Deutschland

9 04 > Mitarbeiterdaten
Nur eine lückenlose Dokumentation der durchgeführten Maßnahmen ermöglicht eine optimale und lückenlose Versorgung der Patienten => mit den Patientendaten werden stets auch Mitarbeiterdaten erhoben, z.B.: Wer hat wann welche Maßnahmen angeordnet / durchgeführt? Wer hat wann was verschrieben? Je nach Funktionalität des jeweiligen KIS können Auswertungen der Maßnahmen / Verschreibungen durchgeführt werden. Relevante gesetzliche Bestimmungen: Landesdatenschutzgesetze / Bundesdatenschutzgesetz Gesetzliche Regelungen zur Mitbestimmung © 2011 Taylor Wessing Deutschland

10 05 > Datenschutzkonforme Organisation
Die Landesdatenschutzgesetze / das Bundesdatenschutzgesetz stellen eine Reihe unterschiedlicher Vorgaben für eine datenschutzkonforme Organisation und Durchführung auf, u.a.: Vorabkontrolle Erstellung eines Verfahrensverzeichnisses Kooperation mit dem Landesdatenschutzbeauftragten Einführung / Durchführung technisch-organisatorischer Maßnahmen © 2011 Taylor Wessing Deutschland

11 06 > Die elektronische Patientenakte im Gesundheitskonzern
Zahlreiche Kliniken sind inzwischen nach Art eines Konzerns organisiert, also z.B. Muttergesellschaft / zentrale Körperschaft Privatrechtliche Tochtergesellschaften (Kliniken, Fachbereiche) Servicegesellschaften Das Datenschutzrecht kennt kein Konzernprivileg! Gestaltungsmöglichkeiten im Falle zentraler Einführung / Verwaltung: Auftragsdatenverarbeitung Funktionsübertragung © 2011 Taylor Wessing Deutschland

12 07 > Projektplanung Bei Einführung / Nutzung einer (arztgeführten) elektronischen Patientenakte sind insbesondere folgende datenschutzrelevante Punkte zu berücksichtigen: Funktionsanalyse / Funktionsplanung / Vorabkontrolle Datenfluss- und Schnittstellenanalyse (technische Systeme; Drittübermittlung) Entwicklung sachgerechter Berechtigungskonzepte für die Einführungsphase für den Betrieb für Sondersituationen / Notfallzugriffe für besondere Patientengruppen (VIPs; Mitarbeiter) Zugriffsprotokollierung Planung und Einführung technisch organisatorischer Maßnahmen Verfahrensverzeichnis [Berücksichtigung von Mitbestimmungsrechten] Wartungsplanung / Fernwartung durch Dritte © 2011 Taylor Wessing Deutschland

13 08 > Ausblick Aktuelle und angekündigte Entwicklungen im Krankenhausdatenschutz Insb. Ergebnisse der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./17. März 2011 in Würzburg Öffentliche Relevanz des Krankenhausdatenschutzes © 2011 Taylor Wessing Deutschland

14 Ihr Taylor Wessing Team
Jörg Wimmers, LL.M. (NYU) Partner, Hamburg Kontaktdetails T: +49 (0) E: Dr. Carsten Schulz Partner, Hamburg Kontaktdetails T: +49 (0) E: © 2011 Taylor Wessing Deutschland

15 Unsere Standorte Representative offices Associated office
Berlin Ebertstraße Berlin T. +49 (0) F. +49 (0) Brüssel Trône House 4 Rue du Trône 1000 Brüssel T. +32 (0) F. +32 (0) Cambridge 24 Hills Road Cambridge, CB2 1JP T. +44 (0) F. +44 (0) Dubai 26th Floor, Rolex Tower, Sheikh Zayed Road, P.O. Box 33675 Dubai, United Arab Emirates T (0) F (0) Düsseldorf Benrather Straße 15 40213 Düsseldorf T. +49 (0) F. +49 (0) Frankfurt Senckenberganlage 20-22 60325 Frankfurt a.M. T. +49 (0) F. +49 (0) Hamburg Hanseatic Trade Center Am Sandtorkai 41 20457 Hamburg T. +49 (0) F. +49 (0) London 5 New Street Square London EC4A 3TW T. +44 (0) F. +44 (0) München Isartorplatz München T. +49 (0) F. +49 (0) Paris 42 avenue Montaigne 75008 Paris T. +33 (0) F. +33 (0) Representative offices Associated office Beijing Unit 1503, Tower 2, Prosper Center No. 5, Guanghua Road Chaoyang District Beijing T F Shanghai Unit 1509, United Plaza No. 1468, Nanjing West Road Shanghai T F Warschau BSJP Legal Al Armii Ludowej 26 PL Warsaw T. +48 (0) F. +48 (0) © Taylor Wessing 2011 This publication is intended for general public guidance and to highlight issues. It is not intended to apply to specific circumstances or to constitute legal advice. Taylor Wessing’s international offices operate as one firm but are established as distinct legal entities. For further information about our offices and the regulatory regimes that apply to them, please refer to © 2011 Taylor Wessing Deutschland