Nachgefragt: Digitalisierung und Patientenrechte
Wo bleibt der Datenschutz in Arztpraxis und Krankenhaus?
In der Medizin stehen die Zeichen auf Digitalisierung. Kontrovers diskutiert wird in diesem Zusammenhang immer wieder das Thema Datenschutz, etwa bei der elektronischen Patientenakte. Und Medienberichten zufolge gibt es mögliche Schwachstellen in den geplanten Strukturen. Lassen sich Digitalisierung und Datenschutz überhaupt miteinander vereinbaren? Und wie gut sind Patientendaten nach den derzeitigen Planungen geschützt? Dazu haben wir Ulrich Kelber befragt. Er ist Bundesbeauftragter für den Datenschutz und die Informationsfreiheit.
GPSP: Ab 2021 sollen Patientendaten über eine sichere „Datenautobahn“ übermittelt werden, die Praxen und Krankenhäuser vernetzt. Doch in den letzten Wochen gab es immer wieder Medienberichte über mögliche Schwachstellen in diesem System. Woran liegt’s?
Die sogenannte Telematik-Infrastruktur gewährleistet im Prinzip IT-Sicherheit auf einem hohen Niveau. Mit den Konnektoren, also den Anschlussstellen in der Arztpraxis, ist die Übermittlung von Daten in einem hochsicheren Netz möglich. Das setzt aber natürlich voraus, dass die angeschlossene Hard- und Software sicher ist, zum Beispiel in Praxen.
Und wie wird sichergestellt, dass sich nicht die falschen Personen anmelden? Es gab Berichte, dass Ausweise verschickt wurden, ohne zu prüfen, ob sie an die Adresse eines Arztes gingen. Ein Arztausweis landete so in einem Käsegeschäft.
Die Sicherheit bei der Ausgabe der Berechtigungsausweise muss hergestellt werden, um Missbrauch auszuschließen.
Wie kann das konkret aussehen?
Zum Beispiel muss für die Antragstellung eine sichere Identifizierung auf Basis eines gültigen Lichtbildausweises vorliegen. Außerdem dürfen die Berechtigungsausweise nur mit Empfangsbestätigung und ausschließlich an die bestätigte Adresse der Gesundheitsinstitution versendet werden.
Wie groß schätzen Sie die Gefahr ein, dass Gesundheitsdaten in die falschen Hände gelangen können?
Nur wenn alle Beteiligten die Sicherheitsvorgaben einhalten, besteht ein hohes Maß an Sicherheit. Für die Überprüfung der Gesundheitsdienstleister sind die jeweiligen Landesbeauftragten für den Datenschutz und die Informationsfreiheit zuständig. Grundsätzlich haben beispielsweise Praxen meistens professionelle Dienstleister für ihre IT. Es soll aber auch noch verbindliche Vorgaben für die IT-Infrastruktur geben. Ich gehe davon aus, dass dadurch die Qualität der IT-Systeme steigt und der Datenschutz gewährleistet wird.
Ab 2021 sollen Krankheits- und Behandlungsdaten in der elektronischen Patientenakte (ePA) gespeichert werden. Derzeit sieht es danach aus, dass Patienten zunächst nur entscheiden können, ob eine bestimmte Ärztin oder ein bestimmter Therapeut auf die Daten zugreifen kann. Eigentlich war es angedacht, dass Patienten gezielt einzelne Daten nur für bestimmte Berufs- und Ärztegruppen freigeben. Das soll sich erst später ändern. Wie bewerten Sie das im Hinblick auf den Datenschutz und die ärztliche Schweigepflicht?
Das unzureichende Zugriffs- und Berechtigungsmanagement zum Start der ePA halte ich aus datenschutzrechtlicher Sicht für bedenklich. Und es gibt auch einen Konflikt mit der ärztlichen Schweigepflicht. Das besondere Vertrauensverhältnis zwischen Patientinnen und Patienten und ihren Ärzten wird ohne ein entsprechendes Zugriffs- und Berechtigungsmanagement verletzt. Denn bei der aktuellen Lösung hätten unter bestimmten Umständen weitere Personen Zugriff auf sensible Behandlungsdaten.
Warum ist das problematisch?
Die Physiotherapeutin muss zum Beispiel nicht wissen, dass ich wegen Depression eine Psychotherapie mache. Das Problem besteht insbesondere für diejenigen, die kein geeignetes Endgerät, also zum Beispiel ein Smartphone haben, um die entsprechende App nutzen zu können. Ohne die App können die Berechtigungen zur Einsicht in die Daten nur grob eingestellt werden. Und das auch nur bei Gesundheitsdienstleistern, die an die Telematik-Infrastruktur angebunden sind. Ich werde mich deshalb im Rahmen des Gesetzgebungsverfahrens zum Patientendaten-Schutzgesetz (PDSG) für eine Änderung der bisherigen Planungen einsetzen.
Würden Sie selbst eine ePA nutzen?
Zum Start würde ich sie höchstens als „Sammelordner“ für meine Dokumente nutzen. Zugriffsberechtigungen für Dritte würde ich erst dann erteilen, wenn es ein datenschutzkonformes Zugriffs- und Berechtigungsmanagement gibt, dann aber sehr gerne.
An welchen Stellen sehen Sie beim Datenschutz für digitale Anwendungen noch Nachbesserungsbedarf?
Die Regelungen über die Telematik-Infrastruktur müssen nachgebessert werden. Zum Beispiel die Zugriffsregelungen, aber eben auch die Rolle des Bundesamts für Sicherheit in der Informationstechnik und die Prozesse zum Erhalt der Berechtigungsausweise. Gleiches gilt für die Nutzung der Daten für die wissenschaftliche Forschung. Das Bundesministerium für Gesundheit darf jetzt nicht die, durch den Gesundheitssektor verschleppte Digitalisierung durch Verzicht auf notwendige Datenschutzregelungen beschleunigen. Die Modernisierung im Gesundheitswesen darf nicht zulasten der Rechte der Patientinnen und Patienten gehen.
Im PDSG wird die Nutzung der Daten für die wissenschaftliche Forschung als freiwillige „Datenspende“ bezeichnet. Was halten Sie davon?
Schon die Bezeichnung Datenspende ist unpassend. Statt einer einmaligen „Spende“ können Daten weiter kopiert werden. Die Folgen einer unbegrenzten Weitergabe sind unklar. Ein späterer Widerruf könnte unmöglich werden. Die Datenethikkommission, die die Bundesregierung zu ethischen Fragen der Digitalisierung beraten hat, hat sich entsprechend ablehnend gegenüber der „Datenspende“ geäußert und diesen Begriff zu Recht als „irreführend“ bezeichnet und Alternativen vorgeschlagen.
Zu diesen Alternativen gehören die „dynamische Einwilligung“ und die „Daten-Treuhänderschaft“. Was ist damit genau gemeint?
Eine „dynamische Einwilligung“ bedeutet, dass die Einwilligung für die Datenverarbeitung immer wieder angepasst, erweitert, eingeschränkt oder widerrufen werden kann. Bei vielen Studien ist vielleicht zu Beginn noch nicht klar, in welche Richtung später geforscht wird. Die „dynamische Einwilligung“ macht es möglich, auf solche Änderungen zu reagieren.
Eine „trusted third party“, die im Deutschen meistens als „Datentreuhänder“ übersetzt wird, wäre eine unabhängige Stelle, die die Daten verwaltet und deren Verwendung koordiniert. So eine Stelle dürfte selbst aber kein Interesse an der Datennutzung haben, um Interessenkonflikte zu vermeiden.
Über den Datenschutz wurde sehr viel diskutiert. Sorgt das dafür, dass sich Patientinnen und Patienten auf die Digitalisierung im Gesundheitswesen einlassen – oder ist eher das Gegenteil der Fall?
Wenn die Rechte von Behandelten und Versicherten nicht beachtet werden, führt das zu Verunsicherung und sinkender Akzeptanz der Digitalisierung im Gesundheitswesen. Viele Bürgerinnen und Bürger stellen mir Fragen in diesem Zusammenhang, weil sie Angst vor dem Missbrauch ihrer Daten haben.
Um es deutlich zu sagen: Ich halte die Nutzung von Gesundheitsdaten für die wissenschaftliche Forschung und damit für den medizinischen Fortschritt für unumgänglich. Aber die Selbstbestimmungsrechte der Behandelten und Versicherten müssen vollständig gewahrt werden. Nach meiner Erfahrung war umfassender Datenschutz für die Akzeptanz von Projekten immer förderlich.
Welche Maßnahmen stehen Ihnen zur Verfügung, wenn Sie zu der Auffassung kommen, dass der Datenschutz nicht ausreichend berücksichtigt wird?
Meine Behörde hat Befugnisse, die bis zu einer Untersagung einer bestimmten Datenverarbeitung reichen. Sie arbeitet vertrauensvoll mit dem Bundesministerium für Gesundheit, der gematik und anderen Institutionen zusammen. Mir ist es lieber, frühzeitig zu beraten als später die Datenverarbeitung zu verbieten, auch wenn ich dafür über eine gesetzliche Handhabe verfüge.
Wie kann es grundsätzlich gelingen, Fortschritt in der Digitalisierung mit dem Datenschutz in Einklang zu bringen?
Datenschutz steht dem Fortschritt nicht im Wege. Im Gegenteil: Die Datenschutz-Grundverordnung ist sehr forschungsfreundlich. Der Datenschutz soll vor allem die Selbstbestimmungsrechte der Menschen sichern. Das gelingt am besten, wenn der Datenschutz bei der Forschung und der Entwicklung möglichst frühzeitig berücksichtigt wird. Das ist am einfachsten, wenn alle Beteiligten mit den Datenschutzaufsichtsbehörden im Gespräch bleiben.
Das ist nicht immer einfach, aber sowohl die Medizin als auch der Datenschutz haben das gleiche Ziel: das Wohl der Erkrankten. Und deshalb muss es möglich sein, gemeinsam Lösungen zu entwickeln.
Die Digitalisierung des Gesundheitswesens ist nur dort ein Problem, wo die Rechte der Patientinnen und Patienten auf den selbstbestimmten Umgang mit ihren Gesundheitsdaten nicht beachtet werden. Ansonsten gibt es keine unlösbaren datenschutzrechtlichen Probleme bei der Digitalisierung in der Medizin.
Vielen Dank für das Gespräch!
Elektronische Patientenakte
GPSP 3/2019, S. 24
Datenschutz bei der ePA
GPSP 6/2019, S. 7
Stand: 29. April 2020 – Gute Pillen – Schlechte Pillen 03/2020 / S.19