Unternehmensbeitrag

Rechtliche Vorgaben und praktische Umsetzung klaffen oft weit auseinander. So gibt es auch beim Datenschutz in Kliniken einige Probleme, die zuletzt auf Kosten der Patienten gehen können, wenn man an traditionellen und umständlichen Verfahren festhält. Doch es gibt Lösungen, die juristische Vorgaben erfüllen und dabei den Arbeitsablauf einer Klinik zu verbessern.

Die Grundproblematik

Umfassende und vollständige Informationen sind für eine effektive medizinische Versorgung essentiell. Für jeden Mitarbeiter, der mit den Patienten zu tun hat, müssen die Informationen verständlich, ausreichend und vor allem leicht zugänglich sein – bei gleichzeitig vollem Schutz der persönlichen Daten. Durch die Dringlichkeit medizinischer Erkrankungen müssen diese Informationen auch ohne Zeitverzögerung zugänglich sein.
Um all dies zu ermöglichen haben mehrere Anbieter von IT-Lösungen Krankenhausinformations-systeme entwickelt, die viele relevante Daten speichern können. Ihre Weiterentwicklung sorgt für die Interoperabilität zwischen verschiedenen Quellen medizinischer Daten. An dieser Stelle tritt bereits das Problem auf, dass auf die Patientendaten schneller und einfacher Zugriff möglich sein muss, bei gleichzeitiger vollständiger Datensicherheit. Wird beispielsweise ein Passwort von mehreren Personen benutzt, ist möglicherweise ein erweiterter Zugriff auf Daten durch Unbefugte möglich, was zu schwerwiegenden Compliance-Problemen führt. Deutsche Datenschutzbehörden berichten immer wieder von unzureichendem Schutz durch offen einsehbare oder primitive Passwörter.

Gesetzliche Vorgaben

Mediziner müssen über alles, was ihnen in ihrer Eigenschaft als Arzt anvertraut wurde, schweigen. Das ist in §9 der Berufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte festgelegt. Auch §203 StGB festigt das ärztliche Berufsgeheimnis und weitet es auch auf deren Gehilfen aus. Somit ist auch indirekt die Arbeit von Krankenhäusern betroffen, da diese als Arbeitgeber für die Arbeitnehmer verantwortlich sind.
Hinzukommt der Datenschutz, der sich auf alle personenbezogenen Daten bezieht. Das Bundesdatenschutzgesetz hält fest, dass persönliche Daten nur mit Einwilligung des Betroffenen erhoben werden dürfen. Bei Gesundheitsdaten greifen zusätzlich Sonderregelungen. So müssen Einrichtungen, die auf die Erhebung solcher Daten angewiesen sind, wie zum Beispiel Kliniken, besondere Maßnahmen ergreifen, um Zugriffs-, Zugangs-, Eingabe- und weitere Kontrollen zu gewährleisten.
Für Kliniken heißt das aber auch, dass die Zugriffsrechte auf Patientendaten eingeschränkt sein müssen und von der spezifischen Rolle im Krankenhaus abhängen. Eine Krankenschwester beispielsweise braucht weniger Einsicht als der behandelnde Arzt, der sich einen umfassenden Eindruck des gesundheitlichen Zustands verschaffen können muss.

Traditionelle Lösungen

Die Verwendung multipler Anmeldeprozeduren ist die traditionelle Methode, potentiell alle Anforderungen zu erfüllen. In manchen Fällen ist an den einzelnen Arbeitsplätzen das Anmeldeverfahren verschieden. Für das Personal einer Klinik bedeutet dies einen immensen Zeitaufwand, da man sich an jeder Workstation erneut im Programm anmelden muss. Die dadurch verlorene Zeit fehlt meist für eine ausführliche Dokumentation oder bei der Patientenversorgung.
Als eine scheinbar einfachere Lösung verwenden manche Kliniken Passwörter, die einem bestimmten Benutzernamen zugeordnet sind. Diese stehen oft in Verbindung mit Tokens oder Smartcards.
Aus datenschutzrechtlicher Sicht sollten damit alle Voraussetzungen erfüllt sein. Hier ergeben sich jedoch andere, praktische Nachteile: Das häufige An- und Abmelden unterbricht den Arbeitsprozess im Krankenhaus und kostet wertvolle Zeit. So geht die Konzentration verloren, Fehler oder Nachlässigkeiten schleichen sich ein. Noch schlimmer wird es, wenn das Abmelden mit dem Herunterfahren der Programme verbunden ist.
Das führt oft dazu, dass man sich entweder gar nicht abmeldet, oder der Einfachheit halber für eine komplette Abteilung ein Passwort verwendet und keine individuellen. Meist hängen diese sichtbar am PC oder liegen auf dem für alle zugänglichen Schreibtisch, so dass die Sicherheit nicht mehr gewährleistet ist.
Diese Sicherheitslücken können für Kliniken im Zweifelsfall teuer werden. Doch es gibt Lösungen, die Compliance und Usability vereinen.

Datenschutz und Benutzerfreundlichkeit vereint

Single Sign-On-Lösungen verbinden beides und vereinfachen dabei den Zugriff auf die Patientendaten, ohne den Datenschutz zu vernachlässigen. Die Zeitersparnis entsteht durch einen einmaligen Anmeldeprozess pro Tag oder so oft wie die Klinik festlegt, dass es den rechtlichen Anforderungen entspricht. Nach dem Login in eine Session kann diese jederzeit wieder aufgerufen werden, wenn sie von dem betreffenden User benötigt wird, wird aber auch automatisch beendet, wenn der Anwender den Arbeitsplatz verlässt. Dennoch ist er nicht an eine Workstation gebunden, sondern kann von jedem angeschlossenen Arbeitsplatz aus auf die Session zugreifen. Noch anwenderfreundlicher ist diese Lösung, wenn sie mit Erkennungsgeräten verbunden ist, wie beispielsweise einer Chipkarte, einem Fingerabdrucklesegerät oder Gesichtserkennungsprogramm.

Anbieter wie Imprivata bieten eine Vielzahl solcher Lösungen, die den Datenschutz gewährleisten und gleichzeitig die Usability erheblich erhöhen. Mit dem Authentifizierungsmanagement muss sich jeder Benutzer nur einmal am Tag anmelden und hat sofortigen Zugriff auf den zuvor verwendeten Desktop. Zudem stellt Imprivatas Single Sign-On gewährt einen schnellen und einfachen Zugang zu Schlüsselapplikationen.
Eine virtuelle Desktop Infrastruktur (VDI) ermöglicht einen Zugang zu einem sogenannten „Follow-me Desktop“. Per Chipkarte wird dem Kliniker sofort Zugriff auf die Informationen gewährt, die er benötigt. Verlässt man den Arbeitsplatz, wird die Session automatisch beendet, denn nicht immer hat man Zeit, sich richtig abzumelden, bei Notfällen in einem Krankenhaus ist dies auch gar nicht möglich. Imprivatas Lösung reagiert auf Gesichtserkennung. Entzieht sich das Gesicht der implementierten 3D-Kamera, wird die Session beendet. So entziehen sich wichtige private Daten dem Einblick Unbefugter. Viel Zeit wird letzten Endes nicht nur beim Pflegepersonal gespart, wenn Single Sign-On-Lösungen verwendet werden, sondern auch in der IT-Abteilung, die sich wichtigeren Aufgaben widmen kann. Durch Imprivata ist der Anruf in der IT-Abteilung mit Bitte um ein neues, überflüssig geworden. Das Passwort kann sicher und einfach vom Benutzer selbst zurückgesetzt werden.

Fazit

In Zeiten, in denen Datenschutz immer mehr Priorität erlangt, muss man nicht nur selbst auf seine Daten achten, auch andere müssen dies tun. Der Schutz von personenbezogenen Daten ist umfassend und genau festgelegt. Eine Klinik ist dazu verpflichtet, auch wenn dies Arbeitsaufwand bedeutet. Mit modernen Softwarelösungen kann man auch den Arbeitsaufwand verringern und Daten dennoch besser schützen als zuvor.