17. Tätigkeitsbericht (1995)
4.8 |
Gesundheitswesen |
4.8.1 |
Chipkarten im Gesundheitswesen |
|
Die neuen Krankenversicherungschips sind keineswegs fälschungssicher. Sollen auf Chipkarten auch medizinische Daten gespeichert werden, sind Sicherheitsvorkehrungen neuer Qualität notwendig.
Nimmt man die Häufigkeit, mit der in den vergangenen Monaten das Begriffspaar "Chipkarte" und "Gesundheit" in der Presse und in öffentlichen Diskussionen gemeinsam benutzt worden ist als Maßstab, könnte man glauben, Chipkarten seien die neue Heilmethode und aus medizinischer Sicht vergleichbar mit der Erfindung des Penicillin. Industrie und Krankenkassen wollen uns glauben machen, ohne Chipkarte gehe im Gesundheitswesen gar nichts mehr, mit Chipkarte gehe alles besser.
Andere wiederum rücken diese kleinen Kärtchen mit dem goldfarbenen Prozessorchip in die Nähe eines hochtoxischen Stoffes, der genau das Gegenteil von dem bewirke, was als sein Nutzen dargestellt werde.
Bei all dieser Euphorie auf der einen und Skepsis auf der anderen Seite waren es einmal mehr die Datenschutzbeauftragten, die für eine Versachlichung der Diskussion sorgen mußten. Sie hatten also wie z. B. bei der Volkszählung, der Einführung der maschinenlesbaren Personalausweise, der gesetzlichen Regelung der Rasterfahndung oder der Diskussion um den großen Lauschangriff eine Aufgabe zu übernehmen, die eigentlich denjenigen obliegt, die neue technische Systeme "in die Welt setzen". Im Grunde geht es nämlich um drei einfache Fragen, auf die überzeugende und ehrliche Antworten gegeben werden müssen:
Frage 1: Was wird von wem mit dem Ersatz des papierenen Krankenscheins durch die Krankenversicherungschipkarte bezweckt?
Da die Krankenversicherungskarte durch das Gesundheitsreformgesetz von 1988 eingeführt worden ist, dürfte man vermuten, daß wichtige öffentliche Belange die Umstellung gebieten und daß die Zweckbestimmung entsprechend den Vorgaben des Volkszählungsurteils von 1983 normenklar dem Gesetz zu entnehmen wäre. Ein Blick in den entsprechenden Teil des Sozialgesetzbuches ist allerdings ernüchternd. Im wesentlichen wird nur festgestellt:
Kein Wort also zur Benutzungspflicht und zu den konkreten Auswirkungen für die Betroffenen. Die Regelung enthält auch keinen Hinweis darauf, daß es sich bei der Krankenversicherungskarte um eine Prozessorchipkarte handeln sollte. Das Gesetz bleibt diese Antworten schuldig. Und was sagten die Protagonisten? Bis heute gibt es in den Publikationen der Krankenkassen zwei ganz unterschiedliche Hinweise auf den Zweck der Maßnahme: a) Es werden Kosteneinsparungen angestrebt. Wo, in welcher Höhe und wann sich aber die Einführungskosten von ca. 500 Millionen DM für die 72 Millionen Karten und die 130.000 Lesegeräte amortisieren sollen, bleibt bislang im dunkeln. b) Es handelt sich um die Vorstufe zu einem ganz neuen Abrechnungsverfahren in dem Dreieck "Patient - Arzt - Krankenkasse". Wie aber das "Verfahren" aussehen soll, erweist sich als ein streng gehütetes Geheimnis.
Frage 2: Wie funktioniert die Chipkarte, was passiert bei ihrer Benutzung?
Die Entscheidung für Mikroprozessortechnologie als Datenspeicher ist ganz allein von den Krankenkassen getroffen worden. Fragen wie: "Warum so und nicht anders?" und "Wie funktioniert der Chip?" hätten also von ihnen beantwortet werden müssen. Es ist zwar viel geschrieben worden über zertifizierte Lesegeräte, Prüfziffern und dergleichen, aber man blieb recht allgemein. Auf die Frage, warum z. B. der Datenspeicher größer ist als für die zulässigen Daten erforderlich, gab es keine überzeugende Antwort.
Eine weitere Ungereimtheit: In einer Publikation wird erläutert, daß Änderungen der Anschrift nur durch die betreffende Krankenkasse in dem Chip vorgenommen werden könnten, bei anderen Änderungen würde eine neue Krankenversicherungskarte erstellt. Hieraus wurde allgemein geschlossen, die anderen in dem Chip gespeicherten Daten seien unveränderbar. Um so größer war das Erstaunen, als einige Wochen nach Einführung der Karten Geräte frei käuflich waren, mit denen alle Speicherungen verändert werden konnten. Wir haben uns in unserem PC-Labor von der "Machbarkeit" selbst überzeugt. Auch das zur Plausibilitätsprüfung benutzte Prüfziffernverfahren erwies sich nicht als "geheim". Der hochgelobte Prozessorchip ist also in dieser Form genauso manipulierbar wie der Magnetstreifen auf den Scheckkarten.
Frage 3: Wie werden welche "schädlichen Nebenwirkungen" verhindert?
Von den Krankenkassen wurden die Krankenversicherungskarten zunächst als "nebenwirkungsfrei" deklariert. Erst kritisches Hinterfragen brachte Risiken zutage wie z. B.: Möglichkeit des "Ärzteshopping", widerrechtliche Benutzung über lange Zeiträume, fehlende Identitätsprüfungen und dergleichen. Die Krankenkassen reagierten gelassen. All dies führe zwar zu finanziellen Schäden für die Kassen, diese seien aber einkalkuliert, die Versicherten hätten keine Nachteile zu befürchten.
Alles in allem also eine wenig überzeugende Verfahrensweise. Gleichwohl haben die Datenschutzbeauftragten keine wirklichen Gründe für Beanstandungen gefunden und "gute Miene zum bösen Spiel" gemacht. Der Grund lag darin, daß nach datenschutzrechtlichen Maßstäben in der Tat keine Beeinträchtigungen schutzwürdiger Belange der Versicherten zu erwarten sind. Das gespeicherte Datenprofil ist einfach zu trivial, als daß ein wie auch immer gearteter Schaden für die Betroffenen entstehen könnte.
Um so größer muß aber die Wachsamkeit der Datenschutzbeauftragten sein, wenn die Krankenkassen beginnen, die Krankenversicherungskarte zu einer Gesundheitschipkarte "aufzubohren". Ansätze hierzu gibt es in Hülle und Fülle. In dem Moment nämlich, in dem neben den Grunddaten auch medizinische Informationen gespeichert werden sollen, erhält die Chipkarte eine völlig neue Qualität. Neben vielen ungelösten Problemen in bezug auf die Gewährleistung der Richtigkeit und der richtigen Interpretation der medizinischen Daten steigen die sicherheitstechnischen Anforderungen in einer Größenordnung von Quantensprüngen.
Selbst bei einer ausschließlich freiwilligen Benutzung der Karten durch die Patienten bzw. Versicherten sind nach Auffassung der Datenschutzbeauftragten des Bundes und der Länder folgende Bedingungen zu erfüllen:
Zu den allgemeinen technischen Aspekten von Prozessorchipkarten vgl. Tz. 7.2.
|
|
4.8.2 |
Prüfung in einer psychiatrischen Klinik |
|
Die Kontrolle in einer psychiatrischen Klinik hat ergeben, daß dort Datenschutzrecht in erheblichem Maße verletzt worden ist. Es waren z.B. noch Behandlungsakten aus dem letzten Jahrhundert vorhanden. Im Berichtsjahr konnte die Überprüfung der Verarbeitung personenbezogener Daten in einer psychiatrischen Klinik abgeschlossen werden. Die Patienten der Klinik halten sich dort entweder freiwillig aufgrund eines Behandlungsvertrages auf oder sind zwangsweise aufgrund der entsprechenden gesetzlichen Vorschriften (etwa nach dem Strafgesetzbuch oder dem Gesetz über psychisch Kranke) untergebracht. Letzteres beinhaltet gleichzeitig die zwangsweise Behandlung der Betroffenen.
Alle in einer solchen Fachklinik verarbeiteten Daten der Patienten unterliegen der ärztlichen Schweigepflicht. Die unbefugte Weitergabe dieser Daten - und dies gilt auch bezüglich der zwangsweise untergebrachten Patienten - ist nach dem Strafgesetzbuch strafbar. Datenübermittlungen sind also nur aufgrund von Rechtsvorschriften oder mit dem Einverständnis der Betroffenen zulässig.
Die ärztliche Schweigepflicht ist jedoch nicht nur bei Übermittlungen nach "draußen" zu beachten, sondern auch innerhalb der Klinik. Dies kann bei neuen Methoden wie der Arbeit "im Team" zu Problemen führen. Die Arbeit im Team, also der Ärzte, der Psychologen, der Therapeuten, des Pflegepersonals, des für die Station zuständigen Sozialarbeiters sowie der Stationshilfen, sei Voraussetzung für eine sinnvolle Arbeit im psychiatrischen Bereich, so wurde seitens der Klinik betont. Vorgetragen wurde in diesem Zusammenhang auch die Ansicht, Teamarbeit bedinge, wenn sie denn effektiv sein solle, daß auch alle nichtärztlichen Mitarbeiter Zugriff auf alle Informationen der Krankengeschichte haben.
Im einzelnen haben wir folgende Feststellungen und Wertungen getroffen:
Löschung von Krankenakten
Bisher ist keine Löschung oder Sperrung von Patientendaten erfolgt. Die Klinik bewahrt Krankengeschichten seit 1820 auf, allerdings fehlen dazwischen Jahrgänge, so z.B. aus der NS-Zeit. Konkrete Überlegungen zur Löschung von Daten wurden bisher nicht angestellt. Vernichtet wurden nur wenige für den kurzfristigen Gebrauch bestimmte Unterlagen.
Spezielle Rechtsvorschriften über die Löschung von Patientendaten gibt es in Schleswig-Holstein nicht. Die ärztliche Berufsordnung trifft lediglich eine Regelung über die Mindestaufbewahrungszeit von zehn Jahren. Die Röntgenverordnung sieht vor, daß Aufzeichnungen über die Untersuchung zehn Jahre, über die Behandlung 30 Jahre nach Abschluß der letzten Untersuchung oder Behandlung mit Röntgenstrahlen aufzubewahren sind.
Im übrigen sind also die allgemeinen Vorschriften des Landesdatenschutzgesetzes anzuwenden. Die Daten sind demnach zu löschen, wenn ihre Kenntnis für die datenverarbeitende Stelle zur Aufgabenerfüllung nicht mehr erforderlich ist und kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Belange des Betroffenen beeinträchtigt werden. Die Speicherungsdauer ärztlicher Daten hat sich also danach zu richten, wie lange sie für Behandlungszwecke benötigt werden. Nach Abrechnung der Behandlung sind die Unterlagen zunächst zehn Jahre entsprechend den Regelungen der ärztlichen Berufsordnung aufzubewahren. Über diese zehn Jahre hinaus muß weiter aufbewahrt werden, wenn es nach ärztlicher Erfahrung im Einzelfall geboten ist. Dabei ist nach unserer Auffassung zu berücksichtigen, daß gerade Daten über eine psychiatrische Behandlung in besonderem Maße sensibel sind. In einigen Bundesländern hat der Gesetzgeber weitgehend die Regelungen der Berufsordnung übernommen. Aus alledem ergibt sich, daß die Krankengeschichten im Regelfall nach 10 Jahren zu vernichten sind, sofern nicht im Einzelfall eine besondere Entscheidung mit besonderer Begründung getroffen wird.
Tritt an die Stelle der Löschung die Sperrung, etwa weil schutzwürdige Interessen der Betroffenen der Löschung entgegenstehen, dann müssen die Unterlagen aber gesondert aufbewahrt oder besonders gekennzeichnet werden. Sie dürfen dann ohne Einwilligung der Betroffenen nur noch verwendet werden, wenn eine Rechtsvorschrift dies ausdrücklich zuläßt oder wenn die Verarbeitung zur Behebung einer bestehenden Beweisnot oder aus sonstigen im überwiegenden Interesse der datenverarbeitenden Stelle oder von Dritten liegenden Gründen unerläßlich ist. Die Gründe für die ausnahmsweise Nutzung sind zu dokumentieren.
Diese Bedingungen waren in der Klinik nicht eingehalten, so daß wir die unterschiedslose Speicherung der Behandlungsakten über die Dauer von mehr als 10 Jahren beanstandet haben.
Bei einer zwangsweisen Unterbringung wird die Klinik nicht aufgrund eines Vertrages tätig, sondern aufgrund gesetzlicher Vorschriften. Spezielle Aufbewahrungsregelungen kennen aber auch die Spezialgesetze nicht. Die Aufbewahrung der Akten dort auch in diesen Fällen nur solange zu erfolgen, wie sie zur Aufgabenerfüllung der Fachklinik notwendig ist.
Datenschutz auf den Stationen
Die Prüfung auf den Stationen hat ergeben, daß dort vielfach Sammlungen von Duplikaten von Arztbriefen bestehen. Dieses ist aus datenschutzrechtlicher Sicht nur zu akzeptieren, wenn es sich um eine Aufbewahrung für einen vorübergehenden Zeitraum nach Abschluß der Behandlung handelt.
Es hat sich überdies gezeigt, daß auf den Stationen teilweise Unklarheit über die Vernichtung von Unterlagen herrscht. Es mußte beanstandet werden, daß Schriftstücke mit Daten, die dem Patientengeheimnis unterliegen wie Entwürfe, Notizen usw. nicht ordnungsgemäß vernichtet werden.
Sozialdienst
Die Klinik hat einen umfangreichen Sozialdienst aufgebaut, der in vielfältiger Form tätig wird. Die Mitarbeiter nehmen an den Abteilungsvisiten und Teamgesprächen teil und werden entweder von den Patienten selbst um Regelung ihrer Angelegenheiten gebeten oder von den Ärzten bzw. dem Pflegepersonal auf Probleme aufmerksam gemacht. So stellt der Sozialdienst z.B. Rentenanträge und Kostenübernahmeanträge an das Sozialamt und führt sonstigen Schriftwechsel für den Patienten mit Stellen von "außen".
So positiv diese Tätigkeit des Sozialdienstes auch sein mag, so ist gleichwohl die Frage nach der Rechtsgrundlage zu stellen, aufgrund derer ihm Patientendaten übermittelt werden und er selbst Informationen über die Betroffenen nach "außen" weitergibt. Eine spezielle gesetzliche Grundlage für seine Tätigkeit existiert nicht. Nach dem Selbstverständnis des Sozialdienstes ist seine Tätigkeit "Behandlung". Dies wird auch vom Ärztlichen Direktor so gesehen, weil dem Patienten nicht nur Sorgen abgenommen würden, die den medizinischen Erfolg beeinträchtigen könnten, sondern weil für einen weiteren positiven Verlauf des Heilungsprozesses auch bestimmte Startvoraussetzungen nach der Entlassung gegeben sein müßten, um in vielen Fällen einen sofortigen Rückfall zu verhindern.
Unproblematisch ist das Handeln des Sozialdienstes, wenn es mit dem Einverständnis des geschäftsfähigen, voll unterrichteten Patienten oder dessen Betreuer geschieht. Liegt dieses vor, so sollte es auch dokumentiert werden. Eine Besonderheit der Fachklinik besteht jedoch gerade darin, daß viele der dort versorgten Menschen zu einer rechtswirksamen Einwilligung nicht in der Lage sind. Entgegen der Auffassung der Klinik läßt sich die Tätigkeit des Sozialdienstes nicht zwanglos unter den herkömmlichen Behandlungsbegriff subsumieren, weil darunter zunächst nur die rein ärztliche Versorgung verstanden wird. Selbst die Einbeziehung der ärztlichen Mitarbeiter hat immer unter direkter Verantwortung und Leitung des Arztes zu erfolgen. Davon kann jedoch bei dem selbständig organisierten und handelnden Sozialdienst nicht ausgegangen werden.
Es bleibt also festzustellen, daß dem Sozialdienst personenbezogene Informationen in erheblichem Umfang ohne Rechtsgrundlage offenbart worden sind. Dies mußten wir förmlich beanstanden. Der Gesetzgeber ist hier aufgefordert, auf Landesebene eine gesetzliche Grundlage zu schaffen.
Automatisierte Verarbeitung von Patientendaten
Die Überprüfung der automatisierten Datenverarbeitung der Fachklinik führte zur Feststellung von Mängeln und entsprechend zu folgenden Vorschlägen zur Verbesserung des Datenschutzes:
|
|
4.8.3 |
Prüfung einer Suchtberatungsstelle |
|
Wenn Bürger freiwillig das Beratungsangebot einer staatlichen Stelle annehmen, so dürfen die im Laufe der Beratung von ihnen offenbarten Daten nicht ohne ihr ausdrückliches Einverständnis zu anderen Zwecken genutzt, gespeichert oder gar an Dritte weitergegeben werden.
Bei der Prüfung der Suchtberatungsstelle in einem Kreisgesundheitsamt stellten wir eine unzureichende Abschottung der Vorgänge des Suchtberaters gegenüber anderen Akten fest:
Nach dem Strafgesetzbuch darf der Suchtberater als staatlich anerkannter Sozialpädagoge Privatgeheimnisse, die ihm im Laufe einer Beratung bekannt werden, nicht unbefugt offenbaren. Als "offenbart" gilt ein Geheimnis bereits dann, wenn es auf irgendeine dem Verpflichteten zurechenbare Weise einem anderen zur Kenntnis gelangt. Bei Schriftstücken genügt bereits das Schaffen der tatsächlichen Möglichkeit der Kenntnisnahme durch andere. So hat die Rechtsprechung es z.B. für unzulässig erklärt, daß der Berufspsychologe einer kommunalen Suchtberatungsstelle für Telefonate mit Betreuten die dienstliche Telefonanlage benutzte, weil diese über eine automatische Erfassung der angerufenen Telefonnummer verfügte und so nachvollziehbar war, mit wem er telefoniert hatte.
Als entscheidend haben wir hier angesehen, daß der Suchtberater seinen Probanden absolute Vertraulichkeit zusichert. Dies bedeutet, den Betreuten wird versprochen, daß tatsächlich nur er und sonst niemand von der Beratung an sich oder gar von Gesprächsinhalten erfährt. Diese Zusicherung der Vertraulichkeit in der hier gesteigerten Form ist für die Betroffenen gewissermaßen Geschäftsgrundlage für die Annahme des Beratungsangebotes. Soweit also andere Personen auch nur die faktische Möglichkeit eines Zugriffs auf die Akten des Suchtberaters haben, ist die Wahrung dieser Verschwiegenheitspflicht nicht gewährleistet.
Als Konsequenzen haben wir gefordert.
Das Kreisgesundheitsamt hat erklärt, diese Maßnahmen durchführen zu wollen.
|
