Datenschutzkonzept – Augenzentrum LuzernNord

Augenzentrum LuzernNord
Dr. med. Mustafa Ghanem
Gerliswilstrasse 15
6020 Emmenbrücke

T 041 260 15 20
E-Mail: augenemmen(at)hin.ch
gültig ab 1.10.2024

Inhaltsverzeichnis
1. Allgemeines
1.1 Ziel und Zweck des Datenschutzkonzepts
1.2 Weitere Dokumente

2. Grundlagen
2.1 Begriffe
2.1.1 Informationen
2.1.2 Personendaten
2.1.3 Betroffene Personen
2.1.4 Bearbeiten
2.1.5 Bekanntgeben
2.1.6 Datenschutz
2.1.7 Datensicherheit (Informationssicherheit)

3. Verantwortlichkeiten
3.1 Geheimhaltungspflichten

4. Grundsätze der Datenbearbeitung
4.1 Bearbeiten von Personendaten
4.1.1 Rechtmässigkeit
4.1.2 Verhältnismässigkeit
4.1.3 Zweckbindung
4.1.4 Transparenz
4.1.5 Informationssicherheit
4.2 Weitergabe von Personendaten an Dritte
4.2.1 Grundsatz

5. Rechte betroffener Personen
5.1 Auskunftsrecht
5.2 Weitere Rechte

6. Informationssicherheit
6.1 Technische und organisatorische Massnahmen (TOM)
6.1.1 Organisatorische Massnahmen
6.1.2 Technische Massnahmen
6.1.3 Benutzerverwaltung und -berechtigungen
6.1.4 Protokollierung
6.1.5 Meldung von Datenschutzverletzungen

7. Beauftragte Dritte («Outsourcing»)

8. Sensibilisierung der Mitarbeitenden

9. Aufbewahrungsfristen, Archivierung und Löschung

1 Allgemeines
1.1 Ziel und Zweck des Datenschutzkonzepts

Das Ziel des Datenschutzkonzepts ist es, die internen Rahmenbedingungen für die Datenbearbeitungen festzulegen. Sie sollen die korrekte und einheitliche Umsetzung der datenschutzrechtlichen Vorgaben erlauben und die Risiken für die Sicherheit der Datenbearbeitungen minimieren.

Das Datenschutzkonzept bezweckt dabei

• Transparenz über die Datenbearbeitungen zu schaffen,

• Rahmenbedingungen und konkrete Handlungsanleitungen festzulegen,

• einen sicheren Einsatz der Informations- und Kommunikationstechnologie (IKT) zu gewährleisten.

Gleichzeitig wird mit dem Datenschutzkonzept der Nachweis für das Einhalten der Datenschutzvorvorgaben erbracht.

1.2 Weitere Dokumente

Integrierter Bestandteil des Datenschutzkonzepts sind die folgenden Dokumente:

• Leitfaden Verzeichnis der Bearbeitungstätigkeiten

• Datenschutzerklärung

• Einwilligungserklärung

• Geheimhaltungsvereinbarung

2 Grundlagen

2.1 Begriffe

Die Definitionen der Begriffe sind der aktuellen Gesetzgebung (Datenschutzgesetz, DSG) entnommen oder angelehnt. Sie dienen im vorliegenden Zusammenhang dem gemeinsamen Verständnis für alle Beteiligten.

2.1.1 Informationen

Informationen sind alle Aufzeichnungen, unabhängig von ihrer Darstellungsform und ihrem Informationsträger.

2.1.2 Personendaten


Personendaten sind Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen (Identifizierbarkeit). Besonders schützenswerte Personendaten sind eine Teilmenge von Personendaten. Dabei handelt es sich um «sensitive» Daten wie Gesundheitsdaten, genetische oder biometrische Daten. 

2.1.3 Betroffene Personen


Betroffene Personen sind natürliche Personen, über die Daten (Personendaten) bearbeitet werden.

2.1.4 Bearbeiten


Bearbeiten ist jeder Umgang mit Personendaten wie das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben oder Vernichten. 

2.1.5 Bekanntgeben


Bekanntgeben ist das Zugänglichmachen von Personendaten wie das Einsicht gewähren, Weitergeben oder Veröffentlichen.

2.1.6 Datenschutz

Der Datenschutz umfasst den Umgang mit Personendaten. Das Ziel des Datenschutzes ist der Schutz der Persönlichkeitsrechte und der Grundrechte von Personen, über die Daten bearbeitet werden.

2.1.7 Datensicherheit (Informationssicherheit)

Die Datensicherheit oder Informationssicherheit umfasst alle Massnahmen zum Schutz der Informationen und Daten durch organisatorische und technische Massnahmen. Das Ziel der Datensicherheit ist es, die Risiken der Datenbearbeitung zu minimieren (Verlust, unbefugte Veränderung oder Kenntnisnahme, etc.). 

3 Verantwortlichkeiten

Alle Mitarbeitenden der Arztpraxis sowie alle beauftragte Personen sind persönlich verantwortlich für die Datenbearbeitungen in ihren Aufgabenbereichen. Sie werden zur Einhaltung der Datenschutz- und Informationssicherheitsvorgaben entsprechend verpflichtet (Anstellungsvertrag, Mandatsverhältnis und/oder Dienstleistungsvertrag).   

3.1 Geheimhaltungspflichten

Alle Mitarbeitenden und beauftragte Personen sind zur Verschwiegenheit über alle Angelegenheiten verpflichtet. Als Arzt oder Ärztin und als Hilfspersonen unterstehen sie dem Berufsgeheimnis (Art. 321 StGB). Eine Verletzung des Berufsgeheimnisses ist strafbar.

Die Geheimhaltungspflicht wird in die vertraglichen Vereinbarungen der Arbeits- oder Mandatsverhältnisse sowie Dienstleistungsverträge aufgenommen. Die Geheimhaltungspflicht gilt nach Beendigung des Arbeits- oder Mandatsverhältnisses weiter.

4 Grundsätze der Datenbearbeitung

4.1 Bearbeiten von Personendaten

Die nachfolgenden gesetzlichen Grundsätze sind für das Bearbeiten von Personendaten zu beachten.

4.1.1 Rechtmässigkeit

Das Bearbeiten von Personendaten ist rechtmässig, wenn die Rahmenbedingungen des Datenschutzgesetzes (DSG) eingehalten werden (siehe Ziff. 4.1.2 – 4.1.5 nachfolgend) oder ein Rechtfertigungsgrund vorliegt (z.B. Einwilligung der betroffenen Personen).

4.1.2 Verhältnismässigkeit

Einzelne Personendaten dürfen bearbeitet werden, soweit sie für die Aufgabenerfüllung geeignet und erforderlich sind.

4.1.3 Zweckbindung

Die Personendaten dürfen nur für den ursprünglich festgelegten Zweck verwendet werden. Eine andere Verwendung braucht die Einwilligung der betroffenen Person oder eine Rechtsgrundlage.

4.1.4 Transparenz

Die Datenbearbeitungsprozesse müssen transparent und nachvollziehbar sein. Dies betrifft insbesondere die Datenbeschaffung, die in der Regel bei der betroffenen Person zu erfolgen hat. Die betroffene Person hat ein Auskunftsrecht über ihre Daten (siehe Ziff. 5.1 nachfolgend).  

4.1.5 Informationssicherheit

Mit geeigneten technischen und organisatorischen Massnahmen ist eine der Sensitivität der bearbeiteten Informationen und Personendaten angemessene Datensicherheit zu gewährleisten.

4.2 Weitergabe von Personendaten an Dritte

4.2.1 Grundsatz

Personendaten dürfen an Dritte weitergeben, soweit eine gesetzliche Grundlage hierzu ermächtigt (z.B. KVG) oder die betroffene Person eingewilligt hat.

5 Rechte betroffener Personen

5.1  Auskunftsrecht

Alle Personen, deren Daten durch die Arztpraxis bearbeitet werden, haben einen Anspruch auf Auskunft über ihre Daten (Art. 25 DSG). Diese Auskunft erfolgt auf schriftliches Gesuch hin schriftlich (z.B. Kopien), sie kann aber auch mündlich erfolgen. In beiden Fällen ist die Identität der betroffenen Person festzustellen. 

Die Auskunft über Gesundheitsdaten können der betroffenen Person über eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden.

Bei überwiegenden privaten oder öffentlichen Interessen kann die Auskunft eingeschränkt oder aufgeschoben werden.

Die Auskunft oder der begründete Entscheid über die Beschränkung des Auskunftsrechts wird innert 30 Tagen seit dem Eingang des Auskunftsbegehrens erteilt.

Vergleiche im Einzelnen das Dokument «Anleitung Auskunft- und Herausgabegesuche über Personendaten»[1]

5.2 Weitere Rechte

Den betroffenen Personen stehen weitere Rechte zu wie das Recht auf Berichtigung unrichtiger Daten oder das Recht auf Löschung von Daten, die unrechtmässig bearbeitet werden.

6 Informationssicherheit

6.1 Technische und organisatorische Massnahmen (TOM)

Die Massnahmenplanung im Bereich Datenschutz und Informationssicherheit erfolgt unter Berücksichtigung anerkannter Standards und Best Practices.

6.1.1 Organisatorische Massnahmen

Die für die Mitarbeitenden zu beachtenden Einzelheiten im Umgang mit IKT-Mitteln sind in den IKT Dokumenten geregelt.

6.1.2 Technische Massnahmen

Technische Massnahmen werden nach dem Stand der Technik umgesetzt (siehe Empfehlungen der FMH «Minimalanforderungen IT-Grundschutz für Praxisärztinnen und Praxisärzte»[2]).

6.1.3 Benutzerverwaltung und -berechtigungen

Die Benutzerverwaltung und die Benutzerberechtigungen sowie die entsprechenden Prozesse und Verantwortlichkeiten werden in einem Berechtigungs- und Rollenkonzept festgehalten.

6.1.4 Protokollierung

Die Ausübung der Zugriffsberechtigungen als auch die Bearbeitung der Daten in den Systemen der Arztpraxis wird bezüglich der Einhaltung der Datenschutzvorgaben sowie aus Sicherheitsgründen protokolliert.

6.1.5 Meldung von Datenschutzverletzungen

Datenschutzverletzungen sind umgehend dem Verantwortlichen der Arztpraxis zu melden. Er entscheidet über die zu treffenden Massnahmen (z.B. Beizug einer externen Unterstützung). Er beurteilt, ob eine Information der betroffenen Personen und/oder der zuständigen Datenschutzbehörde (EDÖB) notwendig ist (bei hohem Risiko für die Persönlichkeitsrechte der betroffenen Personen) (Art. 24 DSG).

Vergleich im Einzelnen das Dokument «Checkliste und Prozessablauf bei Datenschutzverletzungen»[3].

7  Beauftragte Dritte («Outsourcing»)

Wird die Bearbeitung von Information und Personendaten an einen Dritten übertragen (z.B. Mandatsnehmer, IT-Dienstleister, usw.), ist sicherzustellen, dass die folgenden Voraussetzungen erfüllt sind:

• die Daten werden nur so bearbeitet, wie die Arztpraxis selbst es tun dürfte; und

• der Übertragung an den Dritten steht keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegen.

Insbesondere müssen bei externen Dienstleistern im IT-Bereich und deren Mitarbeitenden (z.B. Datenbank- oder Netzwerkadministratoren) mindestens folgende Massnahmen ergriffen werden:

• vertragliche Vereinbarung, welche die Geheimhaltungsverpflichtungen sowie die Weisungs- und Kontrollrechte der Arztpraxis gegenüber dem Dienstleister und seinen Mitarbeitenden festhält;

• gültig unterzeichnete Geheimhaltungserklärungen der Mitarbeitenden des externen Dienstleisters;

• klare Regelung des Umfangs der Zugriffsberechtigungen auf die Systeme und Daten;

• die Nachvollziehbarkeit der Aktivitäten der externen Mitarbeitenden auf den Systemen muss mittels angemessener organisatorischer und technischer Massnahmen sichergestellt werden (z.B. Vier-Augen-Prinzip, Protokollierungen, u.a.).
  

8 Sensibilisierung der Mitarbeitenden

Das Datenschutzkonzept sowie der Umgang mit den sensitiven Daten und dem Berufsgeheimnis wird im Rahmen der Einarbeitung von neuen Mitarbeitenden stufengerecht und angemessen erläutert.

Mit der Unterzeichnung des Anstellungsvertrags bestätigen die Mitarbeitenden, diese Bestimmungen gelesen und verstanden zu haben sowie diese zu befolgen.

Eine Sensibilisierung der Mitarbeitenden für den Datenschutz und die Sicherheit findet regelmässig statt.   

9 Aufbewahrungsfristen, Archivierung und Löschung

Grundlagen der Aufbewahrungsdauer, Archivierung und Löschung bzw. Vernichtung von Personendaten und Informationen bilden die relevanten gesetzlichen Bestimmungen.  

Vergleiche im Einzelnen das Dokument «Leitfaden für die Aufbewahrung und Archivierung»[4].

[1] https://www.fmh.ch/files/pdf29/anleitung-auskunft-und-herausgabegesuche.pdf

[2] https://www.fmh.ch/dienstleistungen/e-health/it-grundschutz.cfm

[3] https://www.fmh.ch/files/pdf28/checkliste-und-prozessablauf-bei-datenschutzverletzungen.pdf

[4] https://www.fmh.ch/files/pdf28/leitfaden-fuer-die-aufbewahrung-und-archivierung.pdf