Source: https://www.datenschutz-recht-medizin.de/bussgeld-krankenhaus-dsgvo/
Timestamp: 2019-01-22 00:22:55+00:00

Document:
400.000 Euro Bußgeld gegen Krankenhaus wegen Datenschutzverstoß | Datenschutzrecht Seiler
Das erste mir bekannt gewordene erhebliche Bußgeld nach der EU-Datenschutzgrundverordnung (DSGVO) wurde in Portugal gegen ein Krankenhaus verhängt, das erhebliche Defizite in der Steuerung der Zugriffsberechtigungen aufwies. Wie die Datenschutzaufsichtsbehörde in Portugal CNPD am Montag 22.10.18 bekannt gegeben hat, soll das Krankenhaus Barreiro Montijo insgesamt eine Geldbuße in Höhe von 400.000 Euro bezahlen. Neben einem anderen Datenschutzverstoß, der mit einem Bußgeld in Höhe von 100.000 Euro geahndet wird, wurde der überwiegende Teil des Bußgeldes nach DSGVO deshalb festgesetzt, weil viel zu viele Personen Zugriff auf Patientendaten hatten.
So soll es z.B. möglich gewesen sein, mit einem Profil “Techniker”, welches sich wohl recht leicht anlegen lies, Zugriff auf Patientendaten zu erhalten, die nur Ärzten hätten zugänglich sein dürfen. Dies sei bei einem Test der Aufsichtsbehörde im Juli (also schon einige Zeit nach Wirksamwerden der DSGVO am 25.05.2018) vor Ort im Krankenhaus aufgefallen. Mit dem Profil habe man unbegrenzten Zugriff auf alle Daten gehabt. – Bei einem Admin-Account, wenn es das gewesen sein sollte – wundert mich das auch nicht. Was hingegen sehr auffällig ist, ist dass es insgesamt 985 Benutzer mit dem Profil “Arzt” gegeben haben soll, obwohl nur 296 Ärzte an dem Krankenhaus tätig waren.
Ergänzend gilt in Deutschland § 22 BDSG, der spezifische Schutzmaßnahmen bei der Verarbeitung von sensiblen Daten vorsieht. Hierzu gehört nach § 22 Abs. 2 Nr. 5 BDSG auch die “Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb der verantwortlichen Stelle und von Auftragsverarbeitern”. Dies lässt sich vereinfacht durch das Need-to-Know-Prinzip ausdrücken. Personen, die keinen Zugang zu den Daten haben müssen, um ihrer Arbeit nachzukommen, dürfen auch keinen Zugang zu den Daten haben. Dies sicherzustellen ist Aufgabe eines Berechtigungskonzeptes. Ein Berechtigungskonzept kann wiederum Teil der nach Art. 32 DSGVO zu dokumentierenden technischen und organisatorischen Datenschutzmaßnahmen sein. Art. 32 Abs. 1b) DSGVO sieht u.a. die Gewährleistung der Vertraulichkeit des Zugangs zu personenbezogenen Daten vor. Die “unbeabsichtigt oder unrechtmäßig, oder unbefugte Offenlegung von beziehungsweise (der) unbefugten Zugang zu personenbezogenen Daten” ist nach Art. 32 Abs. 2 DSGVO ein mit entsprechenden Maßnahmen zu adressierendes Risiko für die zu schützenden Daten bzw. die betroffenen Personen. Die Sicherheit der Daten vor unbefugter Verarbeitung ist einer der Datenschutzgrundsätze in Art. 5 Abs. 1f DSGVO, für die nach Art. 5 Abs. 2 DSGVO im vorliegenden Fall der Krankenhausbetreiber verantwortlich ist.
Eine persönliche Bemerkung noch dazu: ich hoffe, dass die Datenschutzaufsicht in so einem Fall auch bedenkt, dass das Krankenhaus den Euro nur einmal ausgeben kann und das Geld dann in der Patientenversorgung fehlt. Vielleicht soll hier nur ein Exempel statuiert werden, um die Bedeutung des Datenschutzes gerade auch im Gesundheitswesen zu verdeutlichen. Mir erscheint da der Ansatz der deutschen Aufsichtsbehörden, primär zu beraten, ggf. mit entsprechendem Nachdruck, Sanktionen aber nur als letztes Mittel zu verhängen, insbesondere wenn jemand vorsätzlich handelt oder beratungsresistent ist, auf lange Sicht dem Datenschutz dienlicher.

References: § 22
 § 22
 Art. 32
 Art. 32
 Art. 32
 Art. 5
 Art. 5