… veröffentlicht Lilith Wittmann, die Krawallinfluencerin, der Schwarze Block der Verwaltungsdigitalisierung – so ihre Selbstbeschreibung – in acht Tweets auf Twitter:
Wichtige Fragen und Feststellungen zum Thema opt-out-Patientenakte… weiterlesen
Schlagwort-Archive: Patientendaten
Medatixx, ein Anbieter von Praxissoftware, eröffnet Ärzt*innen und Psychotherapeut*innen die Möglichkeit, gegen Cash anonymisierte (?) Gesundheits- und Behandlungsdaten ihrer Patient*innen zu verkaufen
Medatixx, ein in Eltville/Hessen ansässiges Unternehmen, das Anbieter von Praxissoftware für Praxen von Ärzt*innen und Psychotherapeut*innen ist, eröffnet derzeit den Inhaber*innen der genannten Praxen die Möglichkeit, gegen eine monatliche Aufwandsentschädigung von – je nach Anzahl der beteiligten Behandler*innen – 30,00 bis 40,00 € anonymisierte Gesundheits- und Behandlungsdaten ihrer jeweiligen Patient*innen zu verkaufen. Medatixx, ein Anbieter von Praxissoftware, eröffnet Ärzt*innen und Psychotherapeut*innen die Möglichkeit, gegen Cash anonymisierte (?) Gesundheits- und Behandlungsdaten ihrer Patient*innen zu verkaufen weiterlesen
Australien: Hacker dringen in die Datenbank einer großen Krankenversicherung ein und veröffentlichen sensible Gesundheits- und andere Daten von Millionen Versicherten im Darknet
Neben medizinischen Befunden und Behandlungen der Versicherten gelangten unter anderem ihre Geburtsdaten, Telefonnummern und E-Mail-Adressen in die Hände der Kriminellen. Das betroffene Versicherungsunternehmen Medibank Private Limited teilt auf seiner Homepage am 09.11.2022 mit:
„Wir haben erfahren, dass ein Krimineller in einem Dark-Web-Forum Dateien mit Kundendaten veröffentlicht hat, die vermutlich aus den Systemen von Medibank gestohlen wurden. Zu diesen Daten gehören personenbezogene Daten wie Namen, Adressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen, Medicare-Nummern für ahm-Kunden (ohne Verfallsdatum), in einigen Fällen Passnummern für unsere internationalen Studenten (ohne Verfallsdatum) und einige Daten zu Gesundheitsansprüchen. Australien: Hacker dringen in die Datenbank einer großen Krankenversicherung ein und veröffentlichen sensible Gesundheits- und andere Daten von Millionen Versicherten im Darknet weiterlesen
Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein: Codes des E-Rezept-Verfahrens sind zu schützen!
Am 22.08.2022 wurde anlässlich einer Pressemitteilung der Kassenärztlichen Vereinigung Schleswig-Holstein (KVSH) berichtet, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) habe das „E-Rezept“ in Schleswig-Holstein untersagt.
Stimmt das? Verhindert der Datenschutz sogar gute Lösungen im Medizinbereich? Nein!
In einer Pressemitteilung vom 23.08.2022 hat das ULD dazu und zu den Gerüchten bzw. Falschmeldungen aus dem Kreis der Lobbyisten der IT-Gesundheiutsindustrie wie folgt Stellung genommen: Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein: Codes des E-Rezept-Verfahrens sind zu schützen! weiterlesen
Auch dezentral lassen sich gut Patient*innen-Daten verlieren
Unter diesem Titel informiert „Zerforschung“, eine Gruppe von IT-Sicherheitsforscher*innen, über ihre Erfahrungen bei der Untersuchung der in Arztpraxen eingesetzten Software “InSuite” von DocCirrus.
Die Software “inSuite” soll Ärztinnen und Ärzten ihren Praxisalltag erleichtern: Durch ein Terminbuchungstool, digitalisierte Patientenakten oder die Möglichkeit, Dokumente wie etwa Laborbefunde direkt mit Patienten oder anderen behandelnden Ärzten zu teilen. Wer auf die Homepage der Berliner Firma Doc Cirrus geht, wird mit Werbeversprechen überhäuft: Die Software sei wartungs- und sorgenfrei, eine maßgeschneiderte und zukunftsorientierte Lösung für jede Arztpraxis. Und natürlich – so schreibt der Hersteller – seien die Patientendaten absolut sicher: Er verspricht ein 360°-IT-Sicherheitskonzept und den Schutz vor unbefugten Zugriffen.
Schon im ersten Absatz des Erfahrungsberichts der Gruppe „Zerforschung“ wird deutlich, was von diesem Heilsversprechen zu halten ist: „Unfassbar, aber wahr: Auch in Deutschland kommt die Digitalisierung an. Mittlerweile sogar in Arztpraxen. Termine buchen, Akten durchsuchen, Krankschreibungen und Abrechnungen ausstellen – das alles kann mit einer Software erledigt werden. Die kennt dann Praxen und Patient*innen sehr gut – sehr, sehr gut sogar. Genauso unfassbar, aber leider auch wahr: Als wir uns eine dieser Softwarelösungen für Arztpraxen mal genauer angeschaut haben, hat sie sehr viele Daten verloren. Sehr, sehr viele: Von mehr als einer Million Patient*innen.“ Auch dezentral lassen sich gut Patient*innen-Daten verlieren weiterlesen
Stiftung Datenschutz: Nützliche Hinweise zum Thema besonders schützenswerte Daten i. S.d. Art. 9 DSGVO – dazu zählen auch Gesundheitsdaten
Art. 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) normiert in Abs. 1, welche Kategorien von Daten grundsätzlich untersagt ist:
- Rassische und ethnische Herkunft,
- politische Meinungen,
- religiöse oder weltanschauliche Überzeugungen,
- Gewerkschaftszugehörigkeit,
- genetische Daten,
- biometrische Daten,
- Gesundheitsdaten,
- Daten zum Sexualleben oder der sexuellen Orientierung.
Dieses grundsätzliche Verbot der Verarbeitung der genannten Datenkategorien wird in Art. 9 Abs. 2 ergänzt um Fallkonstellationen, in denen die Verarbeitung der genannten Daten zulässig sein kann und welche Voraussetzungen dafür vorliegen müssen.Die Stiftung Datenschutz hat dieser Thematik zwei gut verständliche Beiträge gewidmet:
- Praxisratgeber Umgang mit besonderen Datenkategorien,
- Praxisratgeber Gesundheitsdaten.
Großbritannien: Ehemaliger Gesundheitsberater wegen illegalen Zugriffs auf Patientendaten schuldig gesprochen
Das teilte das Information Commissioner’s Office (ICO), die unabhängige britische Aufsichtsbehörde für das Datenschutz- und Informationsrecht, am 05.08.2022 mit.
Ein ehemaliger Gesundheitsberater wurde für schuldig befunden, ohne triftigen Grund auf die Krankenakten von Patienten zugegriffen zu haben. Er arbeitete beim National Health Service (NHS),dem nationalen staatlichen Gesundheitsdienst in Großbritannien. Zwischen Juni und Dezember 2019 griff er unrechtmäßig auf die Akten von 14 Patient*innen zu, die ihm persönlich bekannt waren. Er wurde zur Zahlung einer Entschädigung in Höhe von 250 £ an 12 Patienten verurteilt, insgesamt also 3.000 £ (= ca. 3.550 €). Großbritannien: Ehemaliger Gesundheitsberater wegen illegalen Zugriffs auf Patientendaten schuldig gesprochen weiterlesen
Folge des Klimawandels: Chaos nach Computerausfall durch Hitze in führenden Londoner Krankenhäusern – Patientensicherheit durch IT-Ausfall gefährdet
Das meldet die britische Zeitung The Guardian am 07.08.2022. In dem Bericht wird u. a. mitgeteilt:
„Zwei der führenden Krankenhäuser Großbritanniens mussten in den letzten drei Wochen Operationen absagen, Termine verschieben und schwerkranke Patienten in andere Zentren verlegen, nachdem ihre Computer auf dem Höhepunkt der Hitzewelle im letzten Monat abgestürzt waren. Folge des Klimawandels: Chaos nach Computerausfall durch Hitze in führenden Londoner Krankenhäusern – Patientensicherheit durch IT-Ausfall gefährdet weiterlesen
Oberlandesgericht Düsseldorf: Gesundheitsdaten unverschlüsselt an falsche E-Mail-Adresse versandt – 2.000 € Schadenersatz
Was war passiert? Eine Frau (gesetzlich versichert) will zu einer privaten Krankenversicherung wechseln. Dazu benötigt sie Unterlagen, die ihre bisherige Krankenkasse über sie hat. Sie bittet diese, ihr alle vorhandenen Daten an ihre private E-Mailadresse zu senden. Dies tut die bisherige Krankenkasse – aber erstens unverschlüsselt und zweitens an eine falsche Mailadresse. Als die Krankenkasse nach diversen Anrufen und anderen Kontakten ihren Fehler feststellte, sandte sie die gesammelten Daten per Post an ihr (Noch)-Mitglied. Als Ausgleich für die „seelische Belastung angesichts des unsicheren Verbleibs seiner Daten“ forderte die Versicherte 15.000 € Schadensersatz Die Kasse wies diese Forderung zurück. Sie bot – ohne Anerkennung einer Rechtspflicht – als Ausgleich 500 € an. Der Versicherte reichte auf der Grundlage des Art. 82 DSGVO Klage ein.
In zweiter Instanz, vor dem Oberlandesgericht Düsseldorf (Aktenzeichen: 16 U 275/20) erzielte die Klägerin einen Teilerfolg:
- Das Gericht bestätigte zunächst, dass die Kasse durch den Versand der Akte an die falsche Adresse einen Datenschutzverstoß begangen habe und daher Schadensersatz zahlen müsse.
- Unbeanstandet ließ das Gericht aber den unverschlüsselten Versand der Daten. Denn durch ihre Anfrage habe sie der Kasse signalisiert, dass sie die Übersendung ihrer Daten in E-Mail-Form wünsche. Da sie keine besonderen Sicherheitsvorkehrungen angemahnt habe, habe sie damit rechnen müssen, dass die Kasse ihrem Wunsch entsprechend agiere. Damit habe sie faktisch eine Einwilligung in die unverschlüsselte Übersendung der Krankenakte erteilt.
- Für ihre seelischen Belastungen infolge der Ungewissheit gestand ihr das Gericht einen Schadenersatzanspruch von 2.000 € zu.
Krankenkassen haben mehr kritische Daten über ihre Versicherten als jede andere Institution: Krankheiten, Behandlungen, Einkommen, Arbeitsplätze, Anschriften.
Sie können Ihre Krankenkasse fragen, welche Daten sie über Sie gespeichert hat. Die Krankenkasse ist verpflichtet, Ihre Anfrage innerhalb von vier Wochen kostenlos zu beantworten. Der Anfrage-Generator des Vereins Patientenrechte und Datenschutz e. V. hilft Ihnen dabei, eine entsprechende Anfrage zu erstellen. Nahezu 1.400 Menschen haben bisher davon Gebrauch gemacht.
Die EU-Kommission möchte ab 2025 den Handel mit Gesundheitsdaten für mehr Wirtschaftswachstum nutzen
Das stellt der Kölner Arzt Dr. Stefan Streit in einer Stellungnahme zu der Mitteilung der EU-Kommission an das Europaparlament und den Rat der EU fest, die unter dem Titel „Ein europäischer Raum für Gesundheitsdaten: Das Potenzial von Gesundheitsdaten für die Allgemeinheit, für Patientinnen und Patienten und für Innovation erschließen“ am 03.05.2022 veröffentlicht wurde (Langfassung = 141 Seiten / Kurzfassung = 24 Seiten).
Dr. Streit macht in seiner Stellungnahme auf zwei wesentliche Ziele dieser Initiative der EU-Kommission aufmerksam:
„Der Gesundheitsdatenraum soll aus zwei getrennten Infrastruktruren bestehen.
- Primardatennutzung = Krankenbehandlung Die derzeitige Telematikinfrastruktur entspricht in etwa dem, was sich die EU-Kommission, unter MyHealth@eu, für die Primärdatennutzung von Gesundheitsdaten ausgedacht hat. Das betrifft die Datennutzung von Gesundheitsdaten zur Krankenbehandlung in Krankenhaus und Arztpraxis, die natürlich nicht anonym vorliegen. Personenbezogene Daten in der primären Arztakte sind von der DSGVO geschützt. Es wird davon ausgegangen, dass eine Vielzahl von (kommerziellen und institutionellen) Anbietern von Elektronic Health Records (EHR), also elektronische Patientenakten, die der Patient selbst verwaltet, entstehen werden. Bemerkenswerterweise reicht für kommerziellen EHR-Betreiber eine Selbstzertifizierung und das aus dem Konsumerbereich bekannte CE-Zeichen als Qualitätsmerkmal. Wollte man EHR-Daten für die Patientenversorgung nutzbar machen, dann bedarf es Instrumente zum Umgang mit der Unvollständigkeit der EHR einerseits und Strategien um die gesuchten Daten in den vielen verschiedenen EHR zu finden und nutzbar zu machen.
- Sekundardatennutzung = Datenhandel Die Pläne für die zweite Infrastrukur HealthData@eu betreffen die Sekundärdatennutzung im Gesundheitsdatenraum zum Handel mit Gesundheitsdaten.
Die Datenökonomie im Gesundheitsdatenraum beruht auf folgenden Annahmen:
Nach der Entfernung des Namens unterliegt die – nun als anonymisiert geltende Patientenakte – nicht mehr dem Schutz der DSGVO. Den politischen Akteuren dürfte seit der Plagiatsaffären bekannt geworden sein, mit wie wenig Textmaterial man nicht gekennzeichnete Textstellen automatisiert reidentifizieren kann. Krankenakten enthalten viele hundert bis tausend Datenpunkte, die mit der aktuellen Rechnerkraft problemlos einer Person zugeordnet werden können.
Obwohl der Kryptograph Prof. Dominique Schröder das Problem der Anonymisierung laienverständlich und fundiert dargestellt hat, basiert die Legitimation von HealthData@eu allein auf der Anonymisierung…“
Dr. Streit macht auf den vier Seiten seiner Stellungname auf die großen Probleme aufmerksam, die für die sensiblen Gesundheits- und Behandlungsdaten aller Menschen in den 27 EU-Staaten drohen, wenn die Pläne der EU-Kommission wie von ihr geplant nahtlos und ohne Widerstand umgesetzt würden. Lesenswert!
Am Ende seiner Stellungnahme schließt Dr. Streit mit: „Ich lade Sie ein darüber nachzudenken, wie wir als Deutsche und als Europäer die anstehenden sozialen Entwicklungsaufgaben bewältigen können und freue mich über jede Rückmeldung.“