Keine Datenschutzfolgenabschätzung für die Telematikinfrastruktur: Gilt die DSGVO nicht für Bundesgesundheitsminister Spahn?
Am 19.11.2019 stellte die FDP-Bundestagsfraktion unter der Überschrift „Datenschutz und IT-Sicherheit im Gesundheitswesen“ eine Anfrage an die Bundesregierung.
Die Antwort der Bundesregierung auf diese Anfrage hat es in sich. In der „Vorbemerkung der Bundesregierung“ spiegelt sich das Prinzip Hoffnung wider: „Die Telematikinfrastruktur ist das sichere digitale Netz des Gesundheitswesens, in dem sensible Gesundheitsdaten sicher, verschlüsselt, einrichtungs- und sektorenübergreifend in Anwendungen der Telematikinfrastruktur gespeichert sowie zwischen bekannten Kommunikationspartnern ausgetauscht werden können. Wesentliche Kernanwendung der Telematikinfrastruktur zur Unterstützung der medizinischen Versorgung der Versicherten ist die elektronische Patientenakte.Datenschutz und Datensicherheit waren und sind zentrale Anforderungen an die Telematikinfrastruktur und die elektronische Patientenakte; der höchstmögliche Schutz der Gesundheitsdaten steht dabei im Mittelpunkt. Die dafür notwendigen technischen und organisatorischen Maßnahmen werden dabei dem Stand der Technik, aktuellen Bedrohungen sowie unter Berücksichtigung der Ergebnisse der Sicherheitsüberprüfungen angepasst.“
Ein Mantra, das schon wenige Tage später beim CCC-Kongress in Leipzig deutlich angekratzt wurde. Zeigte es sich doch, dass es nicht so weit her ist mit den „technischen und organisatorischen Maßnahmen“ zur Sicherung der TI vor unberechtigten Zugriffen.
Vor diesem Hintergrund hat Dr. Silke Lüder, stv. Vorsitzende der Freien Ärzteschaft e. V. und Sprecherin der Aktion: Stoppt die e-Card! am 13.01.2020 Stellung genommen zu den aktuellen Problemen in der Telematik-Infrastruktur. Diese Stellungnahme ist nachstehend in Auszügen veröffentlicht:
“In der Antwort auf eine aktuelle Anfrage der FDP-Bundestagsfraktion teilt das Bundesgesundheitsministerium mit: Für die Telematikinfrastruktur (TI) gebe es bisher keine Datenschutzfolgenabschätzung. Die Freie Ärzteschaft fordert aus diesem Anlass erneut und entschieden, die Einführung der TI zu stoppen und die Pflicht der Ärzte sowie Psychotherapeuten zum Anschluss an die TI zurückzunehmen. ‚Jede Verarbeitung von sensiblen persönlichen Daten erfordert vorab eine Datenschutzfolgenabschätzung, und das verpflichtend‘ … Das gelte vor allem, wenn ‚bei der Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen‘ bestehe… ‚Das ist bei der Telematikinfrastruktur sicher der Fall. Immerhin sollen in dem Netz medizinische Daten von 70 Millionen gesetzlich versicherten Bundesbürger gespeichert werden.‘ Diese Datenschutzfolgenabschätzung hätte vor Einführung der TI und vor der gesetzlichen Verpflichtung der Arzt- und Psychotherapiepraxen zum Anschluss an die TI durchgeführt werden müssen…“ Diese Gemengelage bringe Arztpraxen in eine derzeit unlösbare Situation… Die einzige Antwort darauf kann nur sein: Stopp der TI und des Anschlusszwangs.“
Für Interessierte zum Nachlesen:
- Frage 12 aus der Anfrage der FDP-Bundestagsfraktion lautet: „Wurde eine nach Artikel 35 DSGVO Datenschutzfolgenabschätzung (DSFA) für die TI und ihre Anwendungen durchgeführt, und wenn ja, wo ist diese einsehbar? Wenn nein, wird eine DSFA zu einem späteren Zeitpunkt durchgeführt, und wird diese veröffentlicht werden?“ Die Antwort der Bundesregierung: „… Nach Kenntnis der Bundesregierung wurde bisher keine Datenschutzfolgenabschätzung für die Telematikinfrastruktur durchgeführt…“
- Die Europäische Datenschutz-Grundverordnung (DSGVO) fordert in Art. 35 zwingend eine Datenschutzfolgeabschätzung, wenn „eine Form der Verarbeitung [personenbezogener Daten], insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge“ hat., Dies „ist insbesondere in folgenden Fällen erforderlich: … 2. umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1…“
- Art. 9 DSGVO definiert als „besondere Kategorien von personenbezogenen Daten“ Daten „aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“ hervorgehen.
