Source: https://www.datenschutz-bayern.de/print/technik/orient/oh_protokollierung_gkv.html
Timestamp: 2017-11-18 00:54:38+00:00

Document:
BayLfD: Empfehlungen zur Protokollierung in zentralen IT-Verfahren der gesetzlichen Krankenversicherung
Arbeitskreis Gesundheit und Soziales / Arbeitskreis Technik der Datenschutzbeauftragten des Bundes und der Länder;
Von der Konferenz der Datenschutzbeauftragten des Bundes und der Länder auf der Sitzung am 17./18.3.2010 zustimmend zur Kentnis genommen.
Allgemeine Empfehlungen der Datenschutzbeauftragten zur Protokollierung in informationstechnischen Systemen ergeben sich aus der Orientierungshilfe "Protokollierung" des Arbeitskreises Technik vom 2.11.2009 auf diese wird insoweit verwiesen. Die im Folgenden dargestellten Anforderungen orientieren sich in erster Linie an den Gegebenheiten bei zentralen Branchenanwendungen der Gesetzlichen Krankenversicherung. Sie behandeln lediglich die aus Datenschutzsicht relevanten Aspekte; Protokollierungen, die im Rahmen des rein technischen Verfahrensbetriebs erfolgen, werden nicht betrachtet.
Soweit nicht bereichspezifische Rechtsgrundlagen im Bereich der GKV Vorgaben hinsichtlich der Nachvollziehbarkeit formulieren (z.B. § 276 Abs. 2, § 291a Abs. 5 und 6 SGB V, § 79 Abs. 4 SGB X) gründen die entsprechenden Anforderungen auf § 78a SGB X. Danach sind die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften des Sozialgesetzbuchs zu gewährleisten. Die Notwendigkeit einer Protokollierung ergibt sich dabei aus Nr. 4 und 5 der Anlage zu § 78 a SGB X sowie - als vorbeugende Maßnahme der Zugangs- und Zugriffskontrolle - aus Nr. 2 und 3.
Auch für die Gestaltung von Protokollierungsverfahren gilt der Grundsatz der Erforderlichkeit. Art, Umfang und Dauer der Protokollierung sind demnach auf das zur Erfüllung des Protokollierungszwecks erforderliche Maß zu beschränken (siehe hierzu Tz. 3.1 bis 3.3).
Aufgrund bestehender Revisionsanforderungen bzw. des Unternehmensinteresses an einer integren und konsistenten Datenbasis ist in IT-Verfahren häufig bereits eine Protokollierung schreibender bzw. ändernder Zugriffe vorgesehen. Dies entspricht der Eingabekontrolle nach Nr. 5 der Anlage zu § 78a SGB X. Da die datenschutzrechtliche Bewertung nach § 78a SGB X insbesondere auch die Frage der zulässigen Kenntnisnahme personenbezogener Daten betrifft, bedarf es darüber hinaus einer Protokollierung auch lesender Zugriffe. Erkenntnisse aus der Kontrollpraxis der Datenschutzbeauftragten zeigen, dass trotz entgegenstehender Regelungen in Informationssystemen bestehende Recherche- und Auswertungsmöglichkeiten auch für Abfragen genutzt werden, bei denen das Vorliegen eines sachlichen Grundes zweifelhaft ist. Neben einem stringenten Berechtigungskonzept kann dem nur mit einer Protokollierung lesender Zugriffe begegnet werden. Einem oftmals nur geringen Entdeckungsrisiko missbräuchlicher Zugriffe müssen geeignete Aufklärungsmöglichkeiten - auch mit Blick auf deren präventive Wirkung - gegenüberstehen.
Angesichts der Nutzungsszenarien bei GKV-Verfahren besteht eine angemessene Nachvollziehbarkeit nur auf der Grundlage einer vollständigen Erfassung der nach Tz. 3.1 und 3.2 als protokollrelevant deklarierten Zugriffe. Eine stichprobenweise Protokollierung oder die Protokollierung lediglich eines bestimmten Anteils von Zugriffen hat sich für eine effektive Datenschutzkontrolle als untauglich erwiesen, da bei anlassbezogenen Auswertungen relevante Zugriffe im Zweifelsfall nicht oder nur unvollständig erfasst sind.
Entsprechend der Zweckbindung der Datenbestände müssen wirksame Zugriffsbeschränkungen realisiert werden (vgl. Tz. 3.1).
Auswertungen dürfen entsprechend der unter Tz. 4 genannten Zweckbindung grundsätzlich nur zur Datenschutzkontrolle erfolgen. Hierunter fällt in erster Linie die Klärung sich im Einzelfall ergebender Fragen, denen ein konkreter Anlass wie z.B. eine Eingabe oder ein Auskunftsersuchen eines Betroffenen, der Verdacht auf einen missbräuchlichen Datenzugriff oder eine Kontrollmaßnahme der Datenschutzaufsichtsbehörde zugrunde liegt. Der jeweilige Anlass ist nachvollziehbar zu dokumentieren. Daneben können, fallweise oder regelmäßig, zur Überwachung der ordnungsgemäßen Anwendung der Datenverarbeitungsprogramme anlassunabhängige Auswertungen vorgenommen werden (vgl. § 81 Abs. 4 SGB X i.V.m. § 4g Abs. 1 Nr. 1 BDSG). Im Rahmen einer vorbeugenden Datenschutzkontrolle kommt es weiterhin in Betracht, die Protokolle turnusmäßig auf bestimmte Auffälligkeiten hin, wie auffällige Häufungen von Abfragen bestimmter Benutzerkennungen, eine Häufung von Abfragen außerhalb der Bürozeiten, unübliche Suchkriterien oder kritische Transaktionen hin auszuwerten. Der mit der Auswertung verfolgte Zweck und deren Ergebnis sind zu dokumentieren.
Es müssen geeignete Mechanismen zur Verfügung stehen, um die Protokolldaten entsprechend der unter Tz. 3 dargestellten Gesichtspunkte auswerten zu können. Dies erfordert eine Auswertbarkeit z.B. nach Benutzerkennungen, Arbeitsstationen, Funktionen / Transaktionen, Versichertennummern/Fallnummern, Zeiträumen oder Suchkriterien. Hierzu sollten bereits im Verfahren selbst Auswertungsmöglichkeiten vorgesehen werden, die eine schnelle Selektion prüfungsrelevanter Datensätze erlauben.

References: § 276
 § 291
 § 79
 § 78
 § 78
 § 78
 § 78
 § 81
 § 4