Nachlese: Ist das medizinische Berufsgeheimnis am Ende?

Donnerstag, 15. Juni 2017

Immer mehr Ärzte und Spitäler lagern die elektronische Verwaltung, Archivierung und Bearbeitung ihrer Patientendaten an Dritte aus. Seit Jahren stellt sich die Frage, ob dieses Outsourcing von patientenbezogenen Gesundheitsdaten mit dem Datenschutz überhaupt vereinbar ist. An einem Kolloquium im Rahmen seines Frühjahrplenums in Schaffhausen hat privatim nach Antworten gesucht. In unserem Dossier finden Sie eine Zusammenfassung der Referate und der Podiumsdiskussion, die Pressemitteilung sowie einen Meinungsartikel in den Schaffhauser Nachrichten zum Thema.

Vier Referate und eine Podiumsdiskussion

Viele Ärzte und Spitäler lagern heute die elektronische Verwaltung, Archivierung und Bearbeitung ihrer Patientendaten an Dritte aus. Mit der Einführung des elektronischen Patientendossiers, dem automatischen Austausch von Patientendaten und der zunehmenden Integration unterschiedlicher Systeme von Kliniken, Labors, Krankenkassen werden dabei zunehmend Cloud-Lösungen eingesetzt. Bleibt das medizinische Berufsgeheimnis dabei auf der Strecke? Darf der Arzt den Kreis der «Hilfspersonen» (Arzthelfer/-innen, Pfleger-/innen usw.) ohne weiteres auch auf das technische Assistenzpersonal ausdehnen? Solche Fragen standen im Zentrum des Frühjahrsplenums von privatim. Strafrecht, Gesundheitsrechts, Datenschutz, ökonomische und privatrechtliche Interessen – vier Referate und eine kontroverse Podiumsdiskussion zeigten, dass hier Welten aufeinander prallen.

Der Strafrechtsprofessor

Den Auftakt machte Wolfgang Wohlers, Professor für Strafrecht an der Uni Basel, mit Ausführungen zu einem Gutachten, das er im Auftrag von privatim zur Frage erstellt hat. Dieses Gutachten prüft, ob das Outsourcing von Datenbearbeitungen mit dem medizinischen Berufsgeheimnis aus rechtlicher Sicht vereinbar sei. Wohlers kommt zum Schluss, dass dies streng genommen nicht der Fall sein könne: «Wird der Geheimnisschutz ernstgenommen, so ist Outsourcing, das heisst das Offenlegen von Daten an Dritte, nicht möglich», sagte Wohlers in Schaffhausen. Den mit dem technischen Outsourcing betrauten IT-Dienstleister als Hilfsperson zu definieren, um den Geheimnisschutz zu umgehen, sieht er deshalb als unzulässige Lösung an.

Im Zentrum der Frage stehe ein Irrtum, erklärte Wohlers zu Beginn seines Referats. Denn was allgemein als Arztgeheimnis bekannt sei, existiere im Grunde genau so wenig wie das Bankgeheimnis oder das Anwaltsgeheimnis: Art. 321 schützt die Persönlichkeitsrechte der Patientin oder des Patienten, die Rede ist hier somit eigentlich von einem «Patientengeheimnis». Die Hoheit über seine Daten liege immer beim Patienten, der Arzt hingegen ist der Geheimnisträger. Ohne Zustimmung des Patienten, darf er dieses Geheimnis nicht weitergeben.

Nicht mehr zeitgemäss

Als strafrechtliche Bestimmung aus dem späten 19. Jahrhundert beruhe das Patientengeheimnis allerdings auf der Annahme, dass das Verhältnis zwischen Arzt und Patient eine Zweierbeziehung sei, sagte Wohlers. Geltendes Recht sei also, dass der Arzt, das Geheimnis, das er zu wahren hat, höchstens noch auf die Hilfspersonen ausdehnen darf, deren «Handlangerdienste» er in Anspruch nimmt. Diese «traute» und höchstens auf ein paar wenige, den Weisungen des Arztes unterstehende Personen ausgeweitete Zweierbeziehung, entspricht der heutigen Realität der Datenverarbeitung aber nicht mehr.

Den Kreis der Hilfspersonen auch auf externe Dienstleister auszudehnen, wäre für Wohlers nur unter strengen Auflagen zulässig und er verweist darauf, dass eine solche Ausweitung immer auch einer Strafbarkeitserweiterung gleichkommt. Auf keinen Fall kann es im reinen Ermessen des Geheimnisträgers liegen, wer alles Zugang zu Patientendaten hat. Sobald der Arzt weitere Personen einbezieht, benötigt er dafür die Einwilligung des Patienten und zwar auch dann, wenn das Outsourcing in dessen Interesse geschieht. Ohne Zustimmung des Geheimnisträgers dürfen Dritte grundsätzlich keinen Einblick in die Daten haben. Zudem muss diese Einwilligung «vor der Tat» und auf keinen Fall unter Druck erfolgen und der Patient muss genau darüber aufgeklärt sein, was mit seinen Daten passiert. Eine rückwirkende Einwilligung einzuholen, ist nicht möglich.

Ein «strafrechtskonformes Outsourcing», bei dem all diese Voraussetzungen eingehalten würden, wäre für Neukunden relativ problemlos machbar, Altkunden müssten ihre Zustimmung in jedem Fall separat geben. Und die Daten aller jener, die mit dem Outsourcing nicht einverstanden wären, müssten von allen übrigen klar getrennt verwaltet werden, was mit grossem technischen Aufwand verbunden wäre.

Wohlers zog ein provokatives Fazit: Heilige Kühe könne man auch schlachten, sagte er, das habe sich auch beim Schweizer Bankkundengeheimnis gezeigt. Klar scheine ihm hingegen, dass man nicht beides haben, das Patientengeheimnis nicht nach Lust und Laune hochhalten (zum Beispiel zu Werbezwecken) und dann (zum Beispiel aus ökonomischen Interessen)wieder übergehen könne. Letztlich sei der Fortbestand des Patientengeheimnisses eine politische Frage, schloss Wohlers sein Referat: «Eine gutschweizerische Kompromisslösung kann es hier nicht geben.»

Der Ärztevertreter

Für Hans-Peter Kuhn, seit längere Zeit Leiter Rechtsdienst FMH, bedeutet das Arztgeheimnis grundsätzlich, dass der Arzt schweigen und das Geheimnis seines Patienten wahren müsse. Kuhn zeigte in seinem Referat auf, wie die Entwicklungen in der Medizin und die sich verändernden Patientenbedürfnisse auf unterschiedlichste Weise mit diesem Prinzip kollidieren.

Für Krankenversicherungen beispielsweise kann es «abrechnungsrelevant» sein, «über den tatsächlichen Zustand des Patienten und damit über seinen Pflegebedarf» Bescheid zu wissen. Mit dieser Argumentation erachtet das Bundesgericht die Herausgabe von Pflegeberichten an Krankenversicherer «ohne eine persönliche Einwilligung des Patienten» für zulässig (BGE 133 V 359 Helsana – Heime Stadt Zürich, 21.3.2007).

Auch das Bundesamt für Statistik stellt Krankenversicherungen verschiedene gesundheitsrelevante Daten in anonymisierter Form zur Verfügung, ebenso dem Bundesamt für Gesundheit (BAG). Zugang zu weiteren Gesundheitsdaten erhält dieses im Rahmen des Epidemiegesetzes, des Krebsregistrierungsgesetzes oder des Off-Label-Uses von Medikamenten. Dazu kommen Entwicklungen in der Medizin selber, so der Trend zur personalisierten Medizin, zur Telemedizin, zu Gruppenpraxen und zum elektronischen Patientendossier (EPD), zu dessen Führung – selbst wenn sie für ambulante Leistungserbringer freiwillig ist – Patienten, Spitäler und andere Pflegeeinrichtungen die Ärzte mehr und mehr drängten. Und schliesslich der Umstand, dass ein vom Berufsgeheimnis entbundener Arzt vor Gericht zur Zeugenaussage verpflichtet ist, während ein Anwalt ohne Begründung schweigen darf.

Alles in allem, meint Hans-Peter Kuhn, «wird hier Big Data produziert, ohne den gesamthaften Zusammenhang anzuschauen». Er ortet einen «von der Politik gewollten Digitalisierungsschub» geprägt von Vernetzung und einem immer anspruchsvolleren Datenmanagement, das viele Praxen nur noch durch das Outsourcing gewisser Dienste (Buchhaltung, Rechnungstellung usw.) gewährleisten könnten, auch wenn es ein paar «gallische Dörfer» gebe, die möglichst wenig Daten erheben, Dritten keine offenen Daten herausgeben und den Vertraulichkeitsschutz als Alleinstellungsmerkmal einsetzen würden.

Im Interesse der Patienten

Weil die Medizin gemäss Krankenversicherungsgesetz (KVG) wirksam, zweckmässig und wirtschaftlich arbeiten soll, muss das Outsourcing von Nicht-Kernaufgaben laut Kuhn möglich sein und zwar nicht allein im Interesse eines effizienteren Einsatzes der Ressourcen oder der Gewinnmaximierung, sondern auch im Interesse des Patienten, dessen Daten somit von äusseren Einflüssen (Verlust, Feuer, Hochwasser) geschützt sind. Für Kuh setzt das aber hohe Anforderungen an die Serverbetreiber voraus, insbesondere müssten Server in der Schweiz stehen und auch rechtlich in der Schweiz belangbar sein. Zudem sollten die Daten dezentral verwaltet werden. In diesem Zusammenhang erscheint es Kuhn hochproblematisch, dass zurzeit nur noch zwei grosse Player als Hoster des EPD in Diskussion ständen und diese gleichzeitig auch als Betreiber von Praxissoftware und von Back-up-Servern für Spitäler und Praxen auftreten würden.

Die Spitalbetreiberin

Magdalena Külling, im Rechtsdienst der Spitäler Schaffhausen tätig, sprach aus der Sicht eines Spitalbetriebs, dessen Aufgabe es ist, eine überregionale medizinische Versorgung sicherzustellen und dabei strukturbedingt gewisse Dienstleistungen auslagert. Das betrifft, neben dem IT-Bereich insbesondere das Rechnungswesen. Die Spitäler Schaffhausen sind seit 2006 als selbständige öffentlich-rechtliche Anstalt organisiert. Unternehmerisch sind sie aber frei und finanziell eigenverantwortlich – sie sind also darauf angewiesen, dass die von ihnen erbrachten Dienstleistungen auch tatsächlich bezahlt werden. Aber darf ein Spital ein Inkassobüro damit beauftragen, offen gebliebene Rechnungen einzutreiben, wenn bereits die Information, dass jemand im Spital war, unter das Berufsgeheimnis fällt und ohne Einwilligung des Patienten nicht an Dritte weitergegeben werden darf? Im Mai 2013 wurde das Gesundheitsgesetz im Kanton Schaffhausen so abgeändert, dass der Inkasso von Forderungen aus dem Behandlungsverhältnis ohne vorherige Entbindung vom Arztgeheimnis möglich ist. Eine solche Bestimmung kennen nur wenige Kantone, darunter beispielsweise Luzern.

Outsourcing unumgänglich

Eine ähnliche gesetzliche Lösung fände Magdalena Küllig auch im Bereich des Outsourcings von IT-Dienstleistungen und Infrastrukturen sinnvoll. Denn für eine moderne, professionell aufgebaute und den heutigen Ansprüchen entsprechende Patientenversorgung sei eine teilweise Auslagerung von internen Prozessen, bzw. das Einbeziehen von externem Know-how für Spitäler unumgänglich geworden – gleichzeitig sei es imklinischen Alltag kaum umsetzbar, bei jeder Datenweitergabe die Zustimmung der betroffenen Patienten einzuholen. Külling geht davon aus, dass die Tendenz zum Outsourcing im Gesundheitsbereich weiter zunehmen dürfte, insbesondere angesichts der eHealth-Strategie des Bundes, deren Kernstück – das einheitliches Patientendossier – eine verbesserte Zusammenarbeit verschiedener Systeme, Techniken und Organisationen voraussetzt.

Die Spitälern Schaffhausen setzen laut Külling zur Wahrung des Arztgeheimnisses beim Outsourcing auf verbindliche organisatorische, technische und personelle Massnahmen. So bleibt beispielsweise der Zugriff externer Mitarbeiter auf bestimmte Bereiche beschränkt. Und weil es sich bei Gesundheitsdaten um besonders heikle Daten handle, deren datenschutzkonforme Bearbeitung und langfristige Sicherheit gewährleistet sein müsse, verzichten die Spitäler Schaffhausen zurzeit auf eine Cloudlösung.

Der Datenschützer

Für Bruno Baeriswyl, Datenschutzbeauftragter des Kantons Zürich und Mitglied des Büros von privatim, ist Outsourcing im medizinischen Bereich besonders problematisch, weil es zusätzliche Risiken in Bezug auf sensitive Personendaten beinhaltet: Dazu gehört der Verlust der Kontrolle über die Daten, die Problematik der Durchsetzbarkeit von Löschungen oder Berichtigungen, die Gewährleistung eines gleichwertigen Datenschutzes, die Umsetzung der notwendigen technischen Massnahmen oder die Kontrolle der Prozesse und Abläufe allgemein. Und solange Fragen des Datenverlustes, des Datenmissbrauches, aber auch der Verfügbarkeit der Systeme und Dienste nicht geklärt seien, sei zudem auch die Nachvollziehbarkeit solcher externer Datenbearbeitungen nicht gegeben.

Bruno Baeriswyl ging im Folgenden auf die rechtlichen Massnahmen ein, die es erlauben würden, diese Risiken zu minimieren. Outsourcing ist nach geltendem Recht nur dann möglich, wenn der Dritte, der Kenntnis von Patientendaten erhält, eine Hilfsperson ist oder wenn die vorgängige Einwilligung der betroffenen Person vorliegt. Ein Drittunternehmen kann aus Sicht von privatim keine solche Hilfsperson sein. Dazu kommt, dass eine vorgängige Einwilligung nur dann erfolgen kann, wenn für die betroffene Person auch wirklich nachvollziehbar ist, was mit ihren Daten geschieht. Für ein Outsourcing in einer Cloud sei das vermutlich nicht rechtsgültig möglich. privatim ist deshalb der Ansicht, dass die bisherige Praxis, alle Outsourcingnehmer im In- und Ausland als einfach als Hilfspersonen zu bezeichnen und das Problem des Patientengeheimnisses solcherart zu umgehen, rechtlich nicht mehr tragbar sei.

Vier Ausnahmen

Trotzdem ist Outsourcing für privatim unter gewissen Umständen möglich. So etwa im Fall von ausgelagerten Dienstleistungen, die unmittelbar in Zusammenhang mit der Behandlung stehen, wie etwa die Wartung eines medizinischen Gerätes, ohne welches die Behandlung gar nicht stattfinden könnte. Oder dort, wo der Arzt eine direkte Weisungsbefugnis gegenüber bestimmten Mitarbeitenden des Outsourcingunternehmers habe und diese eine Geheimhaltungsverpflichtung unterzeichneten, so dass trotzdem von einer Art Hilfspersonen ausgegangen werden könne. Ein dritter Ausnahmefall wäre der, wo Daten verschlüsselt vorliegen und gleichzeitig eine vertragliche Absicherung dafür sorgt, dass der Outsourcingnehmer den Schlüssel nur mit der ausdrücklichen Zustimmung des Arztes oder auf dessen Verlangen verwenden darf. Und schliesslich wäre denkbar, dass der Dritte gar keine Kenntnis der ausgelagerten Daten erhält, weil das Schlüsselmanagement beim Spital oder beim Arzt bleibt.

Als das «vielleicht pragmatischste Modell, das alle Probleme lösen würde» sieht Bruno Baeriswyl schliesslich die Aufhebung des Berufsgeheimnis. Dann würde der Arzt dem Patienten seine Daten aushändigen, dieser könnte sie in der Cloud deponieren und Ärzten und Spitälern je nach Bedarf Zugriff darauf erteilen. Das Elektronische Patientendossier geht für Baeriswyl bereits etwas in diese Richtung. privatim lehnt die faktische Aufhebung des Geheimnisschutzes aber klar ab.

So weit de lege lata. Und wo müsste man ansetzen, wenn man die Rechtslage der neuen digitalen Realität im Gesundheitswesen anpassen möchte? Müsste die Definition der Hilfspersonen ausgeweitet oder die Gewichtung von Art. 321 StGB (Verletzung des Berufsgeheimnisses) überdacht werden? Am zweckdienlichsten erscheine es privatim hier, so Baeriswyl, wenn Outsourcingnehmer zur Gewährleistung des Geheimnisschutzes im medizinischen Bereich reguliert und vielleicht auch zu zertifiziert würden.

Die Podiumsdiskussion

Ist das Berufsgeheimnis – einst verstanden als Garant für das Vertrauensverhältnis zwischen Arzt und Patient – dazu verdammt, «vor der Digitalisierung unserer Welt einzuknicken»? Unter der Leitung von Claudia Mund, Datenschutzbeauftragte des Kantons Zug, diskutierten Franziska Sprecher (Professorin für öffentliches Recht an der Universität Bern und Stiftungsrätin der Stiftung Patientenschutz), Thomas Meier (Juristischer Berater beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)), Julian Mausbach (Oberassistent für Strafrecht und Strafprozessrecht an der Universität Zürich) und Hans-Peter Kuhn (Leiter Rechtsdienste FMH). Im Zentrum stand die Frage, was technisch und rechtlich nötig und möglich wäre, um beim Outsourcing im Gesundheitsbereich gewisse Sicherheitsstandards gewährleisten zu können.

Während die Vertreterin des Patientenschutzes das allgemein fehlende Bewusstsein und Interesse für die Problematik des Outsourcings auf Seite der Patienten beklagte und der Vertreter der Ärzteschaft forderte, Ärzte müssten ihren Patienten immer möglichst transparent offenlegen, wer warum Zugang zu ihren Daten erhalten solle, plädierte der Strafrechtler Mausbach dafür, die Digitalisierung und ihre Vorteile (Effizienzsteigerung, Patientensicherheit) auch als Chance für eine zeitgemässe Weiterentwicklung des Berufsgeheimnisses zu sehen. Thomas Meier sieht den Einsatz digitaler Hilfsmittel ebenfalls nicht nur negativ: Zwar setzten sie Outsourcing und Cloud voraus, sie entlasteten die Mediziner aber auch von administrativen Pflichten und ermöglichten vielfältige neue Therapien.

So viel Fiktion

Ist es nun am Gesetzesgeber, die Entwicklung in die richtigen Bahnen zu lenken? Und, dieser Punkt war der Runde besonders wichtig, mit welchen Rahmenbedingungen und Standardvorgaben liesse sich die Datensicherheit beim Cloudbetreiber gewährleisten? Müssen vertrauenswürdige Clouds gezwungenermassen im Inland stehen und könnte sich die Schweiz in diesem Bereich vielleicht sogar international als sicherer Hort des Gesundheitsgeheimnisses etablieren? Verschiedene Pisten wurden diskutiert und zumindest ein Schluss gezogen: Zertifizierungen, so der Tenor, seien zu aufwendig und daher nicht zielführend.

Kontrovers aufgenommen wurde hingegen die Idee, den Umgang mit Daten «neu zu denken» und je nach der «Sensibilität» von Gesundheitsdaten andere Arten der Einwilligung und des Schutzes vorauszusetzen. Franziska Sprecher sprach sich dafür aus, hier «unter Berücksichtigung der neuen technischen Realität noch einmal über die Bücher zu gehen». Thomas Meier hingegen störte sich daran, wenn Patientinnen und Patienten vorgespiegelt werde, dass eine Anonymisierung von Gesundheitsdaten – und damit ihr Schutz – überhaupt möglich sei. Als Fiktion wurde auch die Einwilligung seitens des Patienten bezeichnet – meist kann dieser nicht wirklich überschauen, in was er einwilligt. Und im Notfall erteilt er die Einwilligung nicht wirklich freiwillig, bzw. hat andere Sorgen als seine Persönlichkeitsrechte zu bewahren.

Einig war man sich dafür in Bezug auf die Notwendigkeit, die Bevölkerung über die Problematik der Datensicherheit aufzuklären, insbesondere in Bezug auf die vielfältigen Datenspuren, die jeder und jede Einzelne in einer immer stärker digitalisierten Welt hinterlässt – mit dem Trend zu Wearables auch und gerade im Gesundheitsbereich. Hier seien nicht nur die Ärzte gefragt, sondern auch die Schulen und im Bereich des Datenschutzes kämen Privacy Impact Assessments und damit einer klaren Zuordnung von Verantwortung eine immer grössere Bedeutung zu.

Und wie steht es mit technischen Lösungen, beispielsweise dem von Bruno Baeriswyl vorgeschlagenen Ansatz, dass der Schlüssel beim Geheimnisträger liegt? Das funktioniere, erklärte der Vertreter des EDÖB, nur bei der reinen Datenspeicherung und werde dort auch bereits eingesetzt, nicht aber für Apps oder Software-as-a-Service in der Cloud. Und auch hier stehe der Auftraggeber weiterhin in der Pflicht, sicherzustellen, dass der Cloudbetreiber nicht doch über eine Möglichkeit der Entschlüsselung verfügt.

Ein gesellschaftliches Anliegen

Wollte man das letzte Votum von Hans-Peter Kuhn als zusammenfassendes Schlusswort nehmen, so wäre das Podium auf einer doch eher negativen Note ausgeklungen. Gute Lösungen seien häufig nicht gratis, meinte er, doch fehle in der Schweiz zurzeit der politische Wille, die dafür nötigen Mittel freizumachen: «Seit zehn Jahren bringt man im Parlament jede Gesetzesvorlage zur Einschränkung des Arztgeheimnisses durch, wenn man behauptet, es spare Geld – was wollen wir da denn noch?», klagte er.

Die Antwort darauf ergab sich aus der Publikumsdiskussion. Auf dem Vertrauensverhältnis zwischen dem Arzt und seinem Patienten baue eben auch das Vertrauen auf, das die Bevölkerung dem Gesundheitssystem, der Forschung und der Medizin insgesamt – und dem elektronischen Patientendossier im Besonderen – entgegenbringe. Den Geheimnisschutz zu gewährleisten, sei deshalb ein gesellschaftliches und nicht ein individuelles Anliegen und bedürfe dementsprechend glaubwürdiger institutioneller Lösungsansätze, dürfe also weder den Patienten noch den Ärzten allein aufgebürdet werden.

Mit dieser abschliessenden Feststellung schloss die Veranstaltung von privatim in Schaffhausen: Das medizinische Berufsgeheimnis ist nicht nur nicht tot – die Diskussion über seine Zukunft wird im Interesse der gesamten Gesundheitssystems auf politischer Ebene weitergeführt werden müssen.

Präsentationen:

Wolfgang Wohlers: Medizinisches Berufsgeheimnis und Outsourcing

Hanspeter Kuhn: Das Arztgeheimnis aus Sicht der Praxis

Magdalena Külling: Berufsgeheimnis und Outsourcing aus einer betrieblichen Sicht

Bruno Baeriswyl: Berufsgeheimnis und Outsourcing aus datenschutzpolitischer Sicht

Medienmitteilung

Das Internet muss nicht das Ende der ärztlichen Schweigepflicht sein, Gastkommentar privatim, von Bruno Baeriswyl, Schaffhauser Nachrichten, 29. Mai 2017