Datenschutz: einfach Massnahmen definieren und umsetzen

In der Schweiz regelt das Datenschutzgesetz (DSG) den Schutz von personenbezogenen Daten. Das DSG dient dazu, die Persönlichkeit und die Grundrechte und -freiheiten von natürlichen Personen im Zusammenhang mit der Verarbeitung ihrer Daten zu schützen.

In Arzt- und Zahnarztpraxen werden sensiblen Daten, wie Gesundheitsdaten oder Krankheitsgeschichte, verarbeitet. Diese Daten sind besonders schützenswert und erfordern eine besondere Sorgfalt im Umgang und Schutz. Es geht bei diesem Gesetz um Personendaten. Man unterscheidet zwischen Personendaten und besonders schützenswerten Personendaten. Die gesamte Krankengeschichte (KG) ist besonders schützenswert und unterliegt allen strengen Massnahmen. Die Daten der Mitarbeitenden (Name, Email, HR Dokumente, Berufszertifikate, Arbeitszeugnisse) sind ‚einfache‘ Personendaten.

Nein. Im medizinischen Bereich muss man die Personen nicht explizit darauf hinweisen, dass hier gesundheitsrelevante Daten erhoben werden – es wird angenommen, dass sich dem alle bewusst sind, wenn sie einen Arzt aufsuchen. Allerdings gilt die Verhältnismässigkeit. Es sollten nur Daten erhoben werden, die der vorliegenden Behandlung dienen. Wenn der Patient Angaben zum Beispiel auf einem  Anamneseblatt verweigert, die nichts mit der Behandlung zu tun haben, ist das sein Recht. Formulare und Blätter sollten entsprechend angepasst oder gekennzeichnet werden (welche Angaben sind zur Behandlung notwendig, welche sind fakultativ, und zu welchem Zweck werden sie erhoben).

Ja. Es werden aber grundsätzlich nur Kopien (elektronisch oder analog) der explizit angefragten Daten ausgehändigt. Die Originaldaten bleiben bei der Gesundheitsinstitution. Dies muss innerhalb von spätestens 30 Tagen erfolgen, ausser es bestehen sehr gute Gründe, weshalb eine Einsicht nicht gewährt wird (in dem Fall muss die Begründung innerhalb von 30 Tagen vorliegen). Alternativ zur Aushändigung der Daten kann man auch einen Termin anbieten, wo die Daten der Person gezeigt werden – bei medizinischen Daten ist häufig eine Erklärung notwendig.

Nein für die KG. Hier gilt nach wie vor die Aufbewahrungspflicht (je nach Kanton ist dies verschieden lang, in der Regel 10 Jahre). Dies trumpft das Recht auf Löschung. Ausserdem dürfen Daten so lange aufbewahrt werden, bis allfällig mögliche Klagen wegen einer Behandlung verjähren. In der Regel sollte man deshalb die entsprechenden Daten 20 Jahre lang aufbewahren, bei laufenden Gerichtsverfahren so lange nötig. Bei nicht-KG Daten, die eventuell vorhanden sind (namentliche Nennung bei Mitwirkung in Studien), müssen die entsprechenden Daten gelöscht werden.

Ist kein Datenschutz-Beauftragten in der Praxis bestimmt, übernimmt automatisch der Praxis-Inhaber / die Geschäftsleitung diese Rolle und ist verantwortlich für die Datensicherheit und den Schutz der Daten. Es kann eine Person ernannt werden, welche die Aufgaben in diesem Bereich übernimmt, als Datenschutz-Beauftragter für die Praxis. Verantwortlich bleibt die Geschäftsleitung. Der Datenschutz-Beauftragte kann eine interne Person sein, oder es kann eine externe Firma beauftragt werden.

Anders als in der EU wird in der Schweiz nicht die Firma selbst, sondern die verantwortliche Person(en), also in der Regel die Inhaber, mit bis zu 250’000 CHF gebüsst, wenn Daten wegen Fahrlässigkeit oder Nichterfüllen der Auflagen öffentlich gemacht worden sind, oder abhanden gekommen sind. Halten Sie deshalb ihre Systeme auf dem neuesten Stand, stellen Sie sicher, dass Ihr Netzwerk geschützt ist, dass Ihre PCs mit Virenschutz immer aktuell sind, dass der Zugang Ihrer Mitarbeiter zu den Daten geregelt und sicher ist, und dass sie regelmässig geschult werden, wie sie die Daten handhaben müssen. Beachten Sie, dass Sie auch in der Verantwortung stehen, Software zu verwenden, die den Sicherheitsstandards genügt. Fordern Sie die entsprechenden Unterlagen bei ihren Software-Zulieferern ein und prüfen Sie diese. Wenn Sie Daten auf Papier oder sonst wie analog aufbewahren, müssen Sie auch sicherstellen, dass der Zugang zu den Akten gesichert ist (abschliessbarer Schrank oder Archiv), und dass nur diejenigen Personen Zugang haben, die ihn benötigen.

Ja – medmonitor.swiss. Wir bilden alle wichtigen Massnahmen in unserer Software ab und schulen Sie und Ihr Personal. Zudem bietet die App Zugriff auf Schulungsunterlagen.

Ja. Die Aufbewahrungspflicht von 20 Jahren (Verjährungsfrist Personenschäden) gilt auch nach dem Ableben eines Patienten.