Best Practices für Fernwartung in der Gesundheitsversorgung

Die Arbeitsgruppe Datenschutz & IT-Sicherheit des Bundesverband Gesundheits-IT e. V. hat ihre Best Practices für Fernwartung in der Gesundheitsversorgung veröffentlicht.
Unter Fernwartung werden im Folgenden Tätigkeiten zur Inspektion, Wartung, Pflege und Fehlerbehebung der in diesen Sektoren eingesetzten IT-Systeme verstanden. Diese Tätigkeiten finden in der Regel über eine Rechnerverbindung (Internet) statt.

Diese Best Practices beschreiben, wie der Schutz personenbezogener Daten gegen unrechtmäßige Verarbeitung im Rahmen der Fernwartung sowohl für den ambulanten als auch stationären Sektor gesichert werden sollten. Dabei bezieht sich die Ausarbeitung sowohl auf Patientendaten als auch auf Beschäftigtendaten.

Die Autoren gehen von der Prämisse aus, dass nicht bei jedem Fernwartungsvorgang Patientendaten verarbeitet werden müssen. Im Rahmen des Einspielens von Sicherheitsupdates zum genutzten Betriebssystem sei beispielsweise i. d. R. ein Zugriff auf Patientendaten nicht erforderlich und dürfe deshalb auch nicht erfolgen. Bei der Wartung der Anwendungsapplikation sei der Zugriff auf Patientendaten im Rahmen von Unterstützungsleistungen jedoch die Regel. Beispielsweise könnten Unstimmigkeiten in den Abrechnungsdaten bei einem konkreten Fall nur mit Überprüfung der in diesem Fall vorliegenden konkreten Daten beseitigt werden, die Beseitigung von Ungereimtheiten bei der Weitergabe von Patientendaten z. B. im Rahmen der gesetzlichen Qualitätssicherung oder einer Krebsregistermeldung erfordern den Zugriff auf die betroffenen Patientendaten.

Die Autoren adressieren mit den aufgestellten Best Practices die Sicherheit der Verarbeitung und betrachten daneben auch Regelungen zu anderen Tatbeständen wie beispielsweise Erlaubnistatbeständen oder dem Vorhandensein eines ggf. benötigten Vertrages zur Auftragsverarbeitung.

Die Autoren stellen eine Vielzahl von Anforderungen auf, die sie den jeweiligen Rollen zuordnen, die sie ermittelt haben. Es wird differenziert zwischen Anforderungen, die seitens des Verantwortlichen erfüllt werden müssen, Anforderungen, die seitens des Auftragsverarbeiters erfüllt werden müssen sowie Anforderungen, die sowohl Verantwortlicher als auch Auftragsverarbeiter adressieren.

Bundesverband Gesundheits-IT e. V.
Arbeitsgruppe Datenschutz & IT-Sicherheit

(Foto: bearsky23 – stock.adobe.com)