GZ: DSB-D210.783/0004-DSB/2016 vom 23.5.2016
[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
EMPFEHLUNG
Die Datenschutzbehörde spricht aus Anlass der Eingabe der Erika A*** (Einschreiterin) vom 10. August 2015 betreffend Datenverwendung im Bezirkskrankenhaus X** folgende Empfehlung aus:
1. Der Gemeindeverband Bezirkskrankenhaus X** (als Krankenanstaltenträger des Bezirkskrankenhauses X**) möge geeignete Maßnahmen ergreifen, damit Nutzerprofile ehemaliger Bediensteter nicht zeitlich unbefristet in Datenverarbeitungssystemen gespeichert bleiben.
2. Der Gemeindeverband Bezirkskrankenhaus X** möge geeignete Maßnahmen ergreifen, um eine effektive Zugriffskontrolle auf Patientendaten sicherzustellen. Die Bediensteten des Bezirkskrankenhauses X** mögen darüber nachweislich in Kenntnis gesetzt werden.
3. Für die Umsetzung dieser Empfehlung wird eine Frist von sechs Monaten gesetzt.
Rechtsgrundlagen: §§ 1, 6 und 30 des Datenschutzgesetzes 2000 – DSG 2000, BGBl. I Nr. 165/1999 idgF.
Gründe für diese Empfehlung
A. Vorbringen der Beteiligten und Verfahrensgang
1. Die Einschreiterin bringt in ihrer Eingabe vom 10. August 2015 näher begründet vor, dass der Gemeindeverband Bezirkskrankenhaus X** die Empfehlung der Datenschutzkommission vom 9. Oktober 2013, GZ K213.220/0009-DSK/2013, mangelhaft umgesetzt habe.
2. Der Gemeindeverband Bezirkskrankenhaus X** repliziert darauf in der Stellungnahme vom 15. September 2015, dass der Empfehlung der Datenschutzkommission folgend Rollen ausgebildet worden seien und bestimmte Dokumente nur für Personen mit bestimmter Rollenzugehörigkeit zur Verfügung stünden. Auf Patientendaten könne nur während des Spitalsaufenthaltes zugegriffen werden. Nach der Entlassung des Patienten trete ab dem dritten Folgetag eine technische Sperre ein, sodass ein Zugriff auf dessen Daten grundsätzlich nicht mehr möglich sei. Bestimmte Berufsgruppen, wie bspw. behandelnde Ärzte oder Pflegepersonal, könnten jedoch weiterhin auf Patientendaten zugreifen, etwa um die Krankengeschichte zu vervollständigen oder um nach Überstellung des Patienten in ein Altenwohnheim pflegerische Fragen zu beantworten. Ärztliches Personal könne darüber hinaus auch nach 30 Tagen noch Zugriff nehmen, wobei jedoch eine schriftliche Begründung anzugeben sei. Das System sei dem Patientenverwaltungssystem Infokom***, welches vom KH V*** verwendet werde und von der Datenschutzkommission in ihrer Empfehlung als Vorbild genannt worden sei, nunmehr sehr ähnlich. Es sei jedoch zu ergänzen, dass ein IT-System über keine eigene Intelligenz verfüge und daher Zugriffe auf Patientendaten nicht auf dienstliche Notwendigkeit prüfen könne. Die Bindung von Mitarbeitern an entsprechende Weisungen und die Kontrolle, ob diese auch befolgt würden, blieben unverzichtbar. Darüber hinaus sei eine Sicherheitslücke im Programmteil Patientenexplorer im Frühjahr 2015 entdeckt und deaktiviert worden. Das derzeitige Patientenverwaltungssystem P***Dok solle durch das neu einzuführende System xC*** abgelöst werden.
3. In ihrer Stellungnahme vom 29. September 2015 entgegnet die Einschreiterin dazu, dass das Patientenverwaltungssystem insofern unzulänglich sei, als während eines Spitalsaufenthaltes Patientendaten ungeschützt seien und von ca. 1.000 P***Dok-Anwendern aufgerufen werden könnten, unabhängig davon, ob ein Anwender auftragsgebunden oder aus persönlicher Neugier in diesen Daten herumsurfe. Auch seien nachweislich individuelle Zugangsdaten zu P***Dok weitergegeben worden. Es sei in der Vergangenheit auch mehrfach zu unberechtigten Zugriffe auf die Gesundheitsdaten des verstorbenen Sohnes der Einschreiterin gekommen. Der Verwaltungsdirektor des Bezirkskrankenhaus X** habe darüber hinaus auch Zugriff auf Gesundheitsdaten der Bediensteten des Bezirkskrankenhauses X**. Es fänden keine Zugriffskontrollen statt.
4. Die Datenschutzbehörde führte zur Klärung des maßgebenden Sachverhaltes am 24. November 2015 eine Einschau im Bezirkskrankenhaus X** durch, im Zuge derer die Datenschutzbehörde Fragen zur Rollenausbildung in P***Dok, zum Umsetzungsstand von xC***, zum Anlegen von P***Dok-Nutzern, zur Auswertung von P***Dok-Zugriffen, zum Patientenexplorer und zur Weitergabe von individuellen Zugangsdaten stellte. Auch wurden von der EDV-Abteilung die Protokollierung von Zugriffen auf P***Dok, die Auswertung dieser Zugriffe sowie die nach 30 Tagen eintretende Zugriffssperre auf Patientendaten dargestellt.
5. Der Einschreiterin wurden die Ergebnisse der Einschau zu Gehör gebracht, sie nahm dazu mit Schreiben vom 18. Jänner und 18. Februar 2016 Stellung. Darin führt sie u.a. aus, dass die Zugriffskontrolle nicht als ausreichend beurteilt werden könne.
6. Der Gemeindeverband Bezirkskrankenhaus X** führt in seiner abschließenden Stellungnahme vom 19. Mai 2016 aus, dass bestätigt werde, dass der Verwaltungsdirektor über einen Zugriff auf P***Dok verfüge. P***Dok diene nicht nur der medizinischen Dokumentation, sondern vor allem auch der Verrechnung der medizinischen Leistungen, die an Patienten erbracht werden. Zum Zweck der Abrechnungskontrolle müssten auch die klinischen Dokumente inhaltlich geprüft und mit der Primärerfassung abgeglichen werden. Diese Tätigkeiten würden von Bediensteten des Verwaltungsdienstes vorgenommen, jedoch sei letztlich der Verwaltungsdirektor dem Krankenhausträger für die korrekte und vollständige Leistungsabrechnung verantwortlich. Der Zugriff sei auch aus Gründen des Schadensmanagements und des Beschwerdewesens erforderlich. Beides falle letztlich in die Zuständigkeit des Verwaltungsdirektors. Es sei daher richtig, dass der Verwaltungsdirektor und Teile der ihm unterstellten Mitarbeiter Zugang zu P***Dok und auch zur Krankenakte in P***Dok hätten und im Bedarfsfall davon Gebrauch machten. Scheide ein Bediensteter des Bezirkskrankenhauses X** aus dem Dienst, werde sein Zugang zu P***Dok deaktiviert. Eine Löschung des Nutzers erfolge jedoch nicht.
B. Sachverhaltsfeststellungen
1. Der Gemeindeverband Bezirkskrankenhaus X** ist Anstaltsträger des Bezirkskrankenhauses X** und verwendet das elektronische Patientendokumentationssystem P***Dok zur Führung von Krankengeschichten der Patienten. Die Einschreiterin versieht im Bezirkskrankenhaus X** ihren Dienst als diplomierte Gesundheits- und Krankenschwester. Die Einschreiterin hat sich am 8. Oktober 2012 einem operativen Eingriff im Bezirkskrankenhaus X** unterzogen, anlässlich dessen Gesundheitsdaten der Einschreiterin in P***Dok gespeichert wurden.
2. Aufgrund einer am 16. Juli 2013 bei der (damaligen) Datenschutzkommission eingelangten Eingabe der Einschreiterin, wonach der Gemeindeverband Bezirkskrankenhaus X** unzulässiger Weise Einsicht in ihre in P***Dok gespeicherten Patientendaten genommen habe, leitete die Datenschutzkommission zur Grundzahl K213.220 amtswegig ein Verfahren nach § 30 DSG 2000 ein. Gleichzeitig wurde die Eingabe der Beschwerdeführerin als Beschwerde nach § 31 DSG 2000 gewertet und zur Grundzahl K121.990 protokolliert.
3. Mit Beschluss der Datenschutzkommission vom 9. Oktober 2013, GZ K213.220/0009-DSK/2013, wurde gegenüber dem Gemeindeverband Bezirkskrankenhaus X** zur Herstellung des rechtmäßigen Zustandes die Empfehlung ausgesprochen, der Gemeindeverband Bezirkskrankenhaus X** möge die Zugriffsberechtigung auf die in der EDV-gestützten Patientendokumentation P***Dok verarbeiteten Patientendaten so gestalten, dass die zugreifende Person nur Einblick in jene Daten erhält, die für die Erfüllung ihrer Aufgaben berufsgruppenspezifisch erforderlich sind. Für die Umsetzung dieser Empfehlung wurde eine Frist von zwölf Monaten gesetzt.
Beweiswürdigung: Dies ergibt aus den im Zuge der angeführten Verfahren in Vorlage gebrachten Unterlagen sowie der zitierten Empfehlung der Datenschutzkommission.
4. Bedienstete des Bezirkskrankenhauses X** erhalten anlässlich ihres Dienstantrittes von der EDV-Abteilung einen Benutzernamen und ein Initialpasswort für den Zugang zu P***Dok. Weiters wird jedem Bediensteten eine berufsspezifische Rolle in P***Dok zugewiesen. Derzeit sind folgende Qualifikationen (=Rollen) ausgebildet:
Ärzte (1-9)
ULP/Sozialarbeit (10)
Sekretariat (11)
Aufnahme (12)
Hygiene (13)
Sturzbeauftragte (14)
Direktion, Verwaltung (50)
Pflege/Sonstige (99)
Ärztliches Personal und Pflegepersonal können während des Aufenthaltes eines Patienten auf sämtliche Patientendaten zugreifen. Stationsübergreifende Zugriffe werden im Rahmen der Protokollierung mit „!“ gekennzeichnet. Drei Tage nach der Entlassung des Patienten tritt eine grundsätzliche Zugriffssperre auf Dokumente ein. Dabei erscheint bei Aufruf des Patienten folgender Hinweis:
„Patient ist seit 3 Tagen nicht mehr in Behandlung! Aus Datenschutzgründen darf das Dokument nicht mehr geöffnet werden. Nehmen Sie den Patienten aktuell auf oder wenden Sie sich an die entsprechende Direktion.“
Ärztliches Personal kann jedoch auch bis zu 30 Tagen nach der Entlassung auf Patientendaten zugreifen, danach ist ein Zugriff nur mit schriftlicher Begründung, die im Rahmen der Protokollierung auch angezeigt wird, möglich.
Dabei erscheint folgender Hinweis:
„Patient ist seit 30 Tagen nicht mehr in Behandlung! Aus Datenschutzgründen darf das Dokument nur mit entsprechender Begründung geöffnet werden. Bitte begründen Sie Ihren Dokumentzugriff“
In einem darunterliegenden Freitextfeld kann die Begründung eingegeben werden, wobei darauf hingewiesen wird, dass es eine aussagekräftige Begründung mit mindestens 10 Zeichen zu sein hat.
Die Zugriffe nach der Entlassung dienen vor allem der allfälligen Beantwortung auftretender Fragen (bspw. nach Überstellung in ein Pflegeheim) oder der Vervollständigung der Krankengeschichte. Andere Berufsgruppen wie Schreibkräfte oder Dokumentationsbeauftragte müssen bei einem Zugriff nach drei Tagen ab Entlassung eine schriftliche Begründung angeben, die protokolliert wird.
Beweiswürdigung: Dies ergibt sich aus den Ausführungen des Gemeindeverbandes Bezirkskrankenhaus X** in seinen schriftlichen Stellungnahmen sowie den Ausführungen bzw. den im Rahmen der Einschau vorgelegten Dokumenten.
Zugriffe auf Patientendaten werden protokolliert. Aus der Logfile-Auswertung ergeben sich Datum und Uhrzeit eines Zugriffes, Benutzername, Kostenstelle, Qualifikation sowie das Dokument, auf welches zugegriffen wurde.
Die EDV-Abteilung führt 1-2 Mal pro Monat eine Zugriffskontrolle durch. Dabei wird vom System per Zufallsprinzip ein Patient ausgewählt, der vor mehr als 90 Tagen entlassen wurde. Alle Zugriffe auf die Krankengeschichte dieses Patienten werden dann kontrolliert. Das System zeigt mit einen „!“ an, wenn ein Zugriff unplausibel erscheint (bspw. Zugriff durch eine Pflegekraft einer anderen Station). Es wird auch die allfällige Begründung eines Zugriffes (sofern sie angegeben werden muss) kontrolliert. Die Kontrolle erfolgt patientenbezogen. Eine gezielte mitarbeiterbezogene Zugriffskontrolle (welcher Mitarbeiter hat wann auf welche Patientendaten zugegriffen) erfolgt nicht, weil es dafür die Zustimmung des Betriebsrates bräuchte. Besteht der begründete Verdacht, dass ein Mitarbeiter unzulässigerweise auf Daten zugegriffen hat, wird er ersucht, seine Zustimmung zur Kontrolle seiner Zugriffe zu geben.
Beweiswürdigung: Dies ergibt sich aus den Ausführungen bzw. den im Rahmen der Einschau vorgelegten Dokumenten.
Es liegt ein dokumentierter Fall vor, in welchem es zur hausinternen Weitergabe der individuellen Zugangsdaten zu P***Dok kam, sodass eine andere Person mit der Nutzerkennung der berechtigten Person Zugang zu P***Dok hatte.
Beweiswürdigung: Dies ergibt sich aus den Ausführungen der Einschreiterin, welche vom Gemeindeverband Bezirkskrankenhaus X** bestätigt wurden. Der Gemeindeverband Bezirkskrankenhaus X** gab dazu im Zuge der Einschau an, mit den betreffenden Mitarbeiterinnen des Sekretariats gesprochen und sie auf die Unzulässigkeit der Weitergabe aufmerksam gemacht zu haben.
Es kam in der Vergangenheit zu unberechtigten Zugriffen auf Gesundheitsdaten der Einschreiterin sowie auf jene ihres verstorbenen Sohnes.
Beweiswürdigung: Dies ergibt sich aus den unbestrittenen Ausführungen der Einschreiterin sowie dem Bescheid der Datenschutzkommission vom 25. Oktober 2013, GZ K121.990/0016-DSK/2013.
Die Datenanwendung „Patientenexplorer“, mit welcher es möglich ist, die Rollenverteilung zu umgehen, wurde deaktiviert.
Beweiswürdigung: Dies ergibt sich aus den unbestrittenen Ausführungen des Gemeindeverbandes Bezirkskrankenhaus X**.
Der Verwaltungsdirektor und Teile der ihm unterstellten Mitarbeiter haben zum Zweck der Abrechnungs- und Leistungskontrolle bzw. zur Behandlung von Schadens- und Beschwerdefällen Zugriff auf Patientendaten in P***Dok.
Beweiswürdigung: Dies ergibt sich aus den unbestrittenen Ausführungen des Gemeindeverbandes Bezirkskrankenhaus X**.
Sofern Bedienstete aus dem Dienst ausscheiden, wird ihr Zugang zu P***Dok deaktiviert, eine Löschung dieses Nutzers im System erfolgt jedoch nicht.
Beweiswürdigung: Dies ergibt sich aus den Ausführungen des Gemeindeverbandes Bezirkskrankenhaus X**.
C. In rechtlicher Hinsicht folgt daraus:
1. Zur Umsetzung der Empfehlung vom 9. Oktober 2013
Mit dieser Empfehlung wurde dem Gemeindeverband Bezirkskrankenhaus X** folgendes aufgetragen:
„Das Bezirkskrankenhaus X** möge die Zugriffsberechtigung auf die in der EDV-gestützten Patientendokumentation „P***dok“ verarbeiteten Patientendaten so gestalten, dass die zugreifende Person nur Einblick in jene Daten erhält, die für die Erfüllung ihrer Aufgaben berufsgruppenspezifisch erforderlich sind.“
Das Ermittlungsverfahren ergab, dass der Gemeindeverband Bezirkskrankenhaus X** diese Empfehlung umgesetzt hat.
So wurden entsprechende Rollen – wie oben dargelegt – ausgebildet und es ist somit sichergestellt, dass die Zugriffsberechtigung nur berufsgruppenspezifisch möglich ist.
Wenn die Einschreiterin moniert, dass ärztliches Personal und Pflegepersonal weitgehend idente Zugriffsrechte haben und während eines stationären Krankenhausaufenthaltes de facto alle Angehörigen dieser oder auch anderer Berufsgruppen auf Patientendaten zugreifen könnten, so übersieht sie, dass – wie der Gemeindeverband Bezirkskrankenhaus X** richtig ausführt – nach derzeitigem technischen Stand ein IT-System nicht unterscheiden kann, ob ein Zugriff aus dienstlicher Notwendigkeit erfolgt und somit berechtigt ist oder aus anderen Gründen, etwa Neugier. Dienstliche Weisungen, wonach ein Zugriff ausschließlich im Fall einer dienstlichen Notwendigkeit zu erfolgen hat, und die Kontrolle derartiger Weisungen bleiben somit unverzichtbar.
Soweit es die Zugriffsberechtigung des Verwaltungsdirektors bzw. von Teilen des Verwaltungspersonals betrifft, so konnte der Gemeindeverband Bezirkskrankenhaus X** nachvollziehbar darlegten, weshalb auch diesen Personen eine Zugriffsberechtigung zukommt.
Zwar ist der Einschreiterin zuzugestehen, dass der Dienstgeber somit auch Zugriff auf Gesundheitsdaten der Bediensteten hat, sofern sich diese einer Behandlung im Bezirkskrankenhaus X** unterziehen.
Dies begegnet aber keinen Bedenken, solange ein Zugriff zur Erfüllung spezifischer, dem Verwaltungsdirektor und dessen Mitarbeitern obliegender Aufgaben und somit zweckgebunden erfolgt.
Umso mehr Bedeutung kommt deshalb einer nachprüfenden Zugriffskontrolle zu.
2. Zu Punkt 2 der gegenständlichen Empfehlung
2.1. Es entspricht dem Amtswissen der Datenschutzbehörde bzw. es wurde im vorliegenden Verfahren festgestellt, dass es in Krankenanstalten immer wieder zu unberechtigten Zugriffen auf Patientendaten durch eigene Mitarbeiter kommt oder Zugangsberechtigungen weitergegeben werden. Ein unberechtigter Zugriff wird regelmäßig dann vorliegen, wenn ohne dienstliche Notwendigkeit (etwa aus Interesse) auf Patientendaten zugegriffen wird. Derartige Zugriffe treten insbesondere – wie vorliegend – dann auf, wenn bspw. eigene Mitarbeiter, deren Angehörige oder öffentlich bekannte Personen sich einer Behandlung in der Krankenanstalt unterziehen (vgl. dazu die Empfehlung vom 18. Mai 2016, GZ DSB D213.399/0003-DSB/2016, demnächst abrufbar im RIS).
2.2. Gemäß § 6 Abs. 1 Z 1 DSG 2000 dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden.
Gemäß § 6 Abs. 1 Z 2 DSG 2000 dürfen Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden.
Gemäß § 6 Abs. 1 Z 3 DSG 2000 dürfen Daten nur soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen.
Gemäß § 6 Abs. 2 DSG 2000 trägt der Auftraggeber bei jeder seiner Datenanwendungen die Verantwortung für die Einhaltung der in Abs. 1 genannten Grundsätze; dies gilt auch dann, wenn er für die Datenanwendung Dienstleister heranzieht.
2.3. Aufgrund des oben angeführten Sachverhaltes steht fest, dass der Gemeindeverband Bezirkskrankenhaus X** zwar Zugriffe ordnungsgemäß protokolliert und diese auch aussagekräftig sind. Jedoch kann eine lediglich ein- bis zweimal pro Monat durchgeführte Zugriffskontrolle hinsichtlich der Zugriffe auf lediglich einen per Zufall ausgewählten Patienten nicht aus ausreichend angesehen werden.
Durch diese Kontrolle wird auch nicht sichergestellt, dass besonders schützenswerte Personengruppen (wie eigene Bedienstet oder deren Angehörige bzw. öffentlich bekannte Personen), die sich einer Behandlung unterziehen (müssen), vor unberechtigten Zugriffen geschützt sind.
Überprüfungen in anderen Krankenanstalten durch die Datenschutzbehörde haben ergeben, dass effektive die Zugriffskontrollen auf verschiedene Arten ausgeführt werden können (vgl. dazu bspw. die Empfehlungen vom 17. Mai 2016 [Anmerkung Bearbeiter: im Original in Folge eines offenkundigen Versehens „2015“], GZ DSB-D213.397/0005-DSB/2016, GZ DSB-D213.395/0003-DSB/2016 sowie jene vom 18. Mai 2016, GZ DSB-D213.398/0003-DSB/2016, demnächst abrufbar im RIS).
Zur Hintanhaltung unberechtigter Zugriffe empfiehlt es sich, die Bediensteten des Bezirkskrankenhauses X*** auf die Durchführung nachprüfender Zugriffskontrollen nachweislich aufmerksam zu machen.
3. Zu Punkt 1 der gegenständlichen Empfehlung
In Bezug auf die Nichtlöschung ehemaliger Nutzer ist folgendes festzuhalten:
3.1. Die Datenschutzbehörde anerkennt, dass dies insofern erforderlich sein könnte, um auch nach dem Austritt eines Mitarbeiters nachvollziehen zu können, welche Handlungen der Nutzer im System gesetzt hat. Auch erscheint dies erforderlich, um Behandlungen von Patienten, die von einem Nutzer in das Patientenverwaltungssystem einzutragen sind, lückenlos zu dokumentieren und den Behandlungsverlauf somit nachweisbar darlegen zu können.
3.2. Jedoch widerspricht eine zeitlich nicht befristete Speicherung personenbezogener Daten dem Grundsatz des § 6 Abs. 1 Z 5 DSG 2000.
Auch der EGMR hat in seiner Rechtsprechung ausgesprochen, dass die unbegrenzte bzw. zeitlich nicht näher eingeschränkte Speicherung personenbezogener Daten eine Verletzung von Art. 8 EMRK darstellt (vgl. dazu bspw. das Urteil vom 18. April 2013, M.K. gg. Frankreich, Nr. 19522/09, Rz 35 f mwN). Auch wenn sich die zitierte Rechtsprechung auf strafrechtlich relevante Daten bezieht, so sind die darin dargelegten Grundsätze nach Ansicht der Datenschutzbehörde allgemein auf die Verwendung personenbezogener Daten anzuwenden.
3.3. Es ist somit Sache eines Auftraggebers eine Frist vorzusehen, die einerseits das Bedürfnis der Dokumentation der Handlungen ehemaliger Nutzer aber auch die Vorgabe der zeitlich begrenzten Speicherung personenbezogener Daten berücksichtigt, und nach deren Ablauf personenbezogene Daten ehemaliger Nutzer gelöscht werden (vgl. dazu nochmals die Empfehlung vom 17. Mai 2016, GZ DSB D213.395/0003-DSB/2016).
4. Zu Punkt 3 der gegenständlichen Empfehlung
Es war folglich gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustandes die obige Empfehlung auszusprechen. Eine Frist von sechs Monaten scheint zur Umsetzung dieser Empfehlung angemessen.
Rückverweise
