18. TB - Bayern - Datenschutzbeauftragter

Der Bayerische Landesbeauftragte für den Datenschutz
18. Tätigkeitsbericht, 1998; Stand: 16.12.1998
_____________________________________________________________________________
19.3.4 Sicherheitsmaßnahmen bei automatisierten Krankenhausverwaltungssystemen
Die Automatisierung im Krankenhaus schreitet stetig voran. Zwar ist man von einer elektronischen
Krankenakte noch weit entfernt, in Teilbereichen ist sie allerdings schon Realität geworden,
wenngleich wegen der Vollständigkeit und Beweissicherheit auf die Papierdokumentation
nicht verzichtet werden kann. Vor Jahren beschränkte man sich bei der Datenverarbeitung im
Krankenhaus auf die Patientenabrechnung, die damals noch ohne medizinische Daten auskam.
Die auf dem Markt befindlichen Patientenverwaltungssysteme sehen heute stets die Speicherung
medizinischer Patientendaten vor. Diese Daten unterliegen der ärztlichen Schweigepflicht, so
daß auf sie nur zugreifen kann, wer mit der Behandlung des Patienten betraut ist. Das bedingt
wiederum, daß die zum Einsatz kommenden DV-Systeme das im Krankenhaus übliche Zugriffs-
schutzkonzept abbilden können.
Die Vielfalt der auf dem Markt angebotenen Patientenverwaltungssysteme ist derzeit noch recht
groß, so daß uns die unterschiedlichsten Systeme begegnen, deren Sicherheitsfunktionen häufig
unterschiedlicher Qualität sind. Je nach Leistungsfähigkeit und Komplexität des Systems wird
meist ein hohes Maß an DV-Wissen an Anwender, Betreiber und Prüfinstanz gestellt. Die Prüfungen
haben deshalb auch gezeigt, daß der Betreiber eine Reihe qualifizierter Mitarbeiter be-
reitstellen muß, wenn er einen ordnungsgemäßen Betrieb des Systems sicherstellen will. Zwar
kann der Betreiber auch die Hilfe des Herstellers in Anspruch nehmen, das kostet aber in der
Regel viel Geld und trägt obendrein noch dazu bei, daß die Anwender oft im Unklaren über
Stärken und Schwächen des jeweiligen Systems gelassen werden. Ein sicherer Betrieb setzt gediegene
Kenntnisse des eingesetzten Systems voraus, auch die Prüfung der Einhaltung der gebotenen
Sicherheitsmaßnahmen ist nur mit entsprechenden Systemkenntnissen möglich. Daraus
folgt, daß der Betreiber eine Reihe qualifizierter, gut geschulter Mitarbeiter für die Einhaltung
eines ordnungsgemäßen Betriebs abstellen muß. Tut er das nicht, können Sicherheitsdefizite entstehen,
die letztlich auch dazu führen können, daß Unbefugte unbemerkt Zugriff auf Patientendaten
erhalten. Mächtige DV-Systeme können einerseits bei mangelhafter Generierung nicht
vorgesehene Aktionen zulassen, die Qualität der Verarbeitung nachhaltig verändern, andererseits
aber auch nicht gewünschte Veränderungen der Organisationsform initiieren. Solche Begleiterscheinungen
gilt es möglichst frühzeitig zu untersuchen und datenschutzrechtlich zu bewerten.