Öffnung der Spitalumgebung führt zu hohen Risiken
Der Alltag im Spital ist für das Personal geprägt von Zeitknappheit und hoher Verantwortung. Oft müssen lebensentscheidende Massnahmen innerhalb von wenigen Sekunden getroffen werden. Spitäler gelangten im Jahr 2023 an die Datenschutzbeauftragte mit Fragen zur datenschutzkonformen Einführung von M365. Jedoch sind im Gesundheitsbereich auch Produkte anderer Anbieter begehrt.
Die Spitalinfrastruktur wird durch den Einsatz der Cloud schlanker. Anstatt ein spitaleigenes System von zahlreichen Mitarbeitenden programmieren und unterhalten zu lassen, werden diese Unterstützungsprozesse an den Cloud-Anbieter ausgelagert. Das Spital kann sich dann auf den Betrieb des Klinikinformationssystems (KIS) konzentrieren. Mit Cloud-Software können Dienstleistungen patientenfreundlicher gestaltet werden. Konsultationen können per Videokonferenzen angeboten werden oder über Apps können Patientinnen und Patienten direkt Unterlagen hochladen oder Termine vereinbaren. Für die Wartung und die Pflege solcher Clouds müssen ihre Betreiber Zugriff auf die Anwendung haben und bekommen dadurch Einblick in die vorhandenen Personendaten. Diese Öffnung der Spitalumgebung für Dritte führt zu hohen datenschutzrechtlichen Risiken.
Viele besondere Personendaten, viele Daten unter Geheimnispflichten
Gesundheitsdaten sind immer besondere Personendaten. Personendaten von Patientinnen und Patienten verlangen nach einem hohen Schutz. Das ergibt sich aus der besonderen Natur des Behandlungsverhältnisses. Allerdings kann auch ein Röntgenbild ohne Namensanschrift aufgrund der Einzigartigkeit eindeutig einer Person zugeordnet werden. Die Adresse auf einem Brief mit dem Generalsekretariat des Spitals als Absender mag noch nicht als besonderes Personendatum gelten. Geht aus dem Absender hervor, dass eine Person von einer Ärztin aus der Onkologie angeschrieben wurde, dann handelt es sich hier aber um besondere Personendaten. Aus dem Absender können Rückschlüsse auf den Gesundheitszustand der Person gemacht werden. Zusätzlich unterstehen Ärztinnen und Ärzte sowie ihre Hilfspersonen der beruflichen Schweigepflicht (Art. 321 Schweizerisches Strafgesetzbuch, StGB, SR 311.0 und § 15 Abs. 1 Kantonales Gesundheitsgesetz, GesG, LS 810.1). Bereits der Umstand, dass ein Behandlungsverhältnis zwischen einem Patienten und einer Ärztin besteht, fällt unter die Geheimnispflicht.
Bei Informationen, die der gesetzlichen Schweigepflicht unterstehen, und besonderen Personendaten ist die Auslagerung in eine Cloud eines US-Unternehmens ohne zusätzliche Massnahmen nicht datenschutzkonform.
Gesundheitsversorgung kann nicht von Einwilligung abhängig gemacht werden
Das Spital bleibt in jedem Fall verantwortlich für seine Daten. Die datenschutzkonforme Auslagerung in die Cloud gestaltet sich deshalb schwierig. Informationen, die der gesetzlichen Schweigepflicht unterstehen, und besondere Personendaten können ohne zusätzliche Massnahmen nicht datenschutzkonform in eine Cloud eines US-Unternehmens ausgelagert werden. Selbst in die Cloud eines europäischen Unternehmens können Informationen, die der beruflichen Schweigepflicht unterstehen, nicht einfach so ausgelagert werden. Das Offenbaren der Informationen an Dritte stellt eine Straftat dar. Von der Schweigepflicht kann eine Person nur im Einzelfall durch die vorgesetzte Stelle oder die betroffene Person entbunden werden. Spitälern und anderen Gesundheitsinstitutionen wie Spitex- und Pflegeheime, die einen öffentlichen Leistungsauftrag erfüllen, können die Auslagerung nicht mit einer Einwilligung der Patientinnen und Patienten rechtfertigen. Sie müssen die Gesundheitsversorgung der Zürcher Bevölkerung gewährleisten. Die Gesundheitsversorgung kann nicht von der Einwilligung einer Person zur Bearbeitung von Personendaten in der Cloud abhängig gemacht werden.