21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Unnötiger Zugriff auf frühere Behandlungsorte
Auch im täglichen Routinebetrieb traten Datenschutz-Defizite und -Probleme
auf, die wir in enger Kooperation mit der Datenschutzbeauftragten des UKE zu
bearbeiten hatten:
So beschwerte sich eine Patientin darüber, dass der behandelnde Arzt in der
Medizinischen Notaufnahme ohne ihre Einwilligung aus dem elektronischen
Informationssystem erfuhr, dass sie vor Jahren Patientin im Suizid-Gefährdeten-Zentrums
des UKE war. In der Tat: Wollte ein Arzt im System ORDIS –
nach der Behandlung – einen Arztbrief schreiben, zeigte ihm das System beim
Aufruf des Patientennamens automatisch Datum und Einrichtung früherer Patientenaufenthalte
im UKE an. Dies war nicht erforderlich und widersprach der
informationellen Selbstbestimmung der Patienten. Auf unser Einschreiten hin
wurde diese automatische Anzeige in ORDIS geändert und dieses nun ebenso
konfiguriert wie die anderen Großsysteme SAP und IXServ.
Verschwinden von Teilen der Behandlungsdokumentation
Nicht zu beheben war das Verschwinden von Behandlungsdokumentationen
im UKE. Soweit es dabei nur um Papierunterlagen geht, ist dies eher ein arztrechtliches
Problem der Einhaltung der Berufsordnung (10-jährige Dokumentationspflicht)
als eines des Datenschutzrechts. Für elektronische Daten gilt
aber § 9 Bundesdatenschutzgesetz, der technische und organisatorische Maßnahmen
z.B. zur Gewährleistung der Zugriffs- und Verfügbarkeitskontrolle fordert.
In einem Falle musste das UKE derselben Patientin zu zwei voneinander
unabhängigen Krankenhausaufenthalten mitteilen, dass Teile der gewünschten
Behandlungsunterlagen nicht mehr aufzufinden sind. Strittig ist, ob die
Dokumente (auch) auf elektronischen Datenträgern gespeichert waren. Da
dies nicht die einzige Beschwerde über verloren gegangene Behandlungsunterlagen
war, muss das UKE die Organisation und Umsetzung der Dokumentationspflicht
– gerade vor dem Hintergrund zunehmender Digitalisierung
– auf ihre langfristige Zuverlässigkeit überprüfen.
Anzeige von Biobanken
Seit der Änderung des Hamburgischen Krankenhausgesetzes im Oktober
2006 muss das UKE die Errichtung von Proben- und Datensammlungen (die
sog. „Biobanken“) beim Hamburgischen Datenschutzbeauftragten anzeigen,
§ 12 a HmbKHG. Diese Sammlungen sind wegen ihrer eingeschränkten
Zweckbindung, der langen Speicherdauer und der Nutzung für fremde Forschungsprojekte
von besonderer datenschutzrechtlicher Sensibilität. Unser
Versuch, das Forschungsdekanat im UKE zu motivieren, diese Meldungen von
Biobanken schon im eigenen Interesse zu überwachen, zu systematisieren
und zu koordinieren, blieb weitgehend erfolglos. Anfang November 2007 lagen
uns erst fünf Anzeigen von einzelnen Klinik(teil)en vor – zum Teil unvollständig,
zum Teil handelte es sich gar nicht um eine Biobank. Wir halten es nach wie vor
84
21. Tätigkeitsbericht 2006/2007 HmbDSB