Source: http://docplayer.org/5931969-Schweigepflicht-und-datenschutz-in-der-physiotherapie.html
Timestamp: 2018-08-20 17:16:20
Document Index: 245680328

Matched Legal Cases: ['Art. 33', 'Art. 56', 'Art. 42', 'Art. 42', 'Art. 42', 'Art. 42', 'Art. 321', 'Art. 35']

Schweigepflicht und Datenschutz in der Physiotherapie - PDF
Schweigepflicht und Datenschutz in der Physiotherapie
Download "Schweigepflicht und Datenschutz in der Physiotherapie"
1 Schweigepflicht und Datenschutz in der Physiotherapie Schweigepflicht Physiotherapeuten unterstehen in ihrer Tätigkeit der Schweigepflicht gegenüber Dritten. 1 Die Schweigepflicht betrifft auch das weitere Praxis-Personal, also auch die Praxissekretärin und alle weiteren Hilfspersonen. Schweigepflicht meint, dass grundsätzlich keine schützenswerten Daten gegenüber dem verordnenden Arzt, den Kostenträgern oder anderen Dritten (inklusive Berufskolleginnen und -kollegen, eigene Familie, Freunde) bekannt gegeben werden dürfen. Zu den schützenswerten Daten gehören Informationen zur Gesundheit und zur Intimsphäre aber auch alle anderen, nicht öffentlich bekannten Tatsachen. Insbesondere fällt auch die Information, dass jemand überhaupt eine physiotherapeutische Behandlung in Anspruch nimmt, unter die Schweigepflicht. Im fachlichen Austausch mit Kolleginnen und Kollegen ist darauf zu achten, dass keine Rückschlüsse auf die Person getroffen werden können. Der Patient kann den Physiotherapeuten jederzeit von seiner Schweigepflicht entbinden, d.h. er kann einwilligen, dass der Physiotherapeut bestimmte Daten an bestimmte Dritte weitergibt (z.b. in Form von Berichten an den Vertrauensarzt). Im Berufsalltag kommt es gezwungenermassen zum Datenaustausch mit dem verordnenden Arzt und dem Kranken- oder Unfallversicherer. Dabei müssen Physiotherapeuten den Datenschutz beachten. Besondere Vorsichtsmassnahmen gelten für den elektronischen Datenverkehr. Datenschutz im Verkehr mit dem verordnenden Arzt Wenn der Patient vom Arzt zum Physiotherapeuten weitergeleitet wird, geht man davon aus, dass der Patient weiss, dass zwischen Arzt und Physiotherapeut ein Datenaustausch bezüglich der konkreten Behandlung besteht (stillschweigende Zustimmung). Aus diesem Grund braucht es keine ausdrückliche Einwilligung des Patienten, wenn der Physiotherapeut dem verordnenden Arzt einen Verlaufs- oder Abschlussbericht schickt. 2 Falls Zweifel bezüglich der (stillschweigenden) Zustimmung für die Weitergabe von bestimmten Informationen über den Patienten bestehen (z.b. Informationen über die familiäre Situation), sollte man eine mündliche, eventuell sogar eine schriftliche Einwilligung beim Patienten einholen. Diese Einwilligung sollte aber nicht zu generell formuliert sein, sondern sich auf die konkrete Behandlung beziehen. 1 Der Schweigepflicht gegenüber Dritten sind gemäss Art. 33 des Bundesgesetzes über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG) alle Personen unterstellt, welche an der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung der Sozialversicherungsgesetze (KVG, UVG, IVG, MVG) beteiligt sind. 2 Vgl. Leitfaden für die Bearbeitung von Personendaten im medizinischen Bereich des EDSB, S.25,
2 Datenschutz im Verkehr mit den Krankenkassen Rechtliche Grundlagen Krankenkassen sind grundsätzlich als Dritte zu betrachten, denen gegenüber die Schweigepflicht gilt. Allerdings sind die Krankenversicherer verpflichtet, die Wirtschaftlichkeit und Qualität der Behandlungen zu überprüfen, und sie können zu diesem Zweck Informationen vom Leistungserbringer verlangen (Art. 56 Abs. 1 des Krankenversicherungsgesetzes KVG). Der Leistungserbringer hat dem Versicherer alle Angaben zu machen, die dieser benötigt, um Berechnung der Vergütung und die Wirtschaftlichkeit der Leistung überprüfen zu können (Art. 42 Abs. 3 und 4 KVG). Zur Überprüfung dient in erster Linie die Rechnung, die detailliert und verständlich sein muss (Art. 42 Abs. 3 KVG). Der Tarifvertrag Physiotherapie listet in den Ausführungsbestimmungen diejenigen Informationen über den Patienten auf, die auf der Rechnung erscheinen müssen: Name, Vorname, Geburtsdatum, Adresse, Versicherten-/Unfallnummer (bzw. Betriebsnummer des Arbeitgebers für die Unfallversicherer) und der Hinweis, ob es sich um Krankheit, Unfall oder Invalidität handelt. Auf der beizulegenden ärztlichen Verordnung muss eine generelle Diagnose und das ärztliche Behandlungsziel stehen. Die Diagnose kann jedoch auch separat an den Vertrauensarzt zugestellt werden. Der Versicherer kann jedoch zusätzlich eine genaue Diagnose oder zusätzliche Auskünfte medizinischer Natur verlangen (Art. 42 Abs. 4 KVG). Dabei handelt es sich um Zusatzinformationen, wenn in konkreten Fällen die gelieferten Daten zur Rechnungsüberprüfung nicht ausreichen. Eine besondere Begründung braucht die Krankenkasse nicht zu nennen so hat das Bundesgericht zumindest im Zusammenhang mit Pflegeleistungen entschieden. 3 Dabei können die Versicherer jedoch nur herausverlangen, was sie für eine konkrete Überprüfung durch den Vertrauensarzt benötigen. 4 Detaillierte Diagnosen nur an den Vertrauensarzt Besonders heikle medizinische Daten (z.b. eine detaillierte Diagnose, Nebendiagnosen, Prognosen zum Krankheitsverlauf) können vom Leistungserbringer zu Handen des Vertrauensarztes an die Versicherung geschickt werden, falls es der Patient verlangt oder es der Leistungserbringer nötig findet (Art. 42 Abs. 5 KVG). Da das Verfahren über den Patienten administrativ aufwändig und zeitraubend ist, hat der Leistungserbringer das Recht, auch ohne Anweisung des Versicherten den Weg über den Vertrauensarzt zu wählen. 3 Urteil K 12/06 vom 21. März 2007 (Herausgabe von Pflegeberichten durch ein Pflegeheim), 4 Herausgabe von Pflegeberichten an die Krankenversicherer: Datenschutzkonforme Umsetzung des Bundesgerichtsurteils, eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB, , Sursee, 3. April 2008 Seite 2/6
3 Datenschutz im elektronischen Datenaustausch Der elektronische Datenaustausches (eda) wird in der Physiotherapie viele administrative Abläufe wie Kostengutsprache oder Rechenstellung vereinfachen und beschleunigen. Da mit dem eda auch sensible Patientendaten versendet werden, sind ausreichende Datenschutzvorkehrungen unerlässlich. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) hat zum Datenschutz in den Arztpraxen eine Anzahl Mindestmassnahmen für den Umgang mit den elektronischen Patientendaten herausgegeben. Grundsätzlich unterstützt physioswiss die vorgeschlagenen Massnahmen auch für Physiotherapie-Praxen. Beatrice Gross, Vizepräsidentin physioswiss Christian Mehr, Geschäftsstelle physioswiss Sursee, 3. April 2008 Seite 3/6
4 Folgender Text entspricht den Empfehlungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) 5 : Die Personendaten, die in Arztpraxen bearbeitet werden, gehören zur Kategorie der besonders schützenswerten Daten. Details über den Gesundheitszustand sind äusserst vertraulich, und der Umgang mit diesen Daten muss entsprechend verantwortungsbewusst geschehen. Dabei ist insbesondere auch auf adäquate technische Installationen zu achten. Viele Schnittstellen und Geräte in einer Arztpraxis weisen aus der Sicht des Datenschutzes zum Teil gravierende Lücken auf. Im Folgenden zeigt der EDÖB mögliche technische Gefährdungen auf und schlägt Massnahmen vor, um diese zu vermindern oder auszuschliessen. Die Schnittstellen und Massnahmen Schnittstelle Massnahme Server Wirksamer Passwortschutz oder Zugriff nur mit USB-Biometriestick; Verschlüsselung der heiklen Daten; gute Backupstrategie, RAID; gute Systemwartung, Clustersysteme; Fernwartung des Systems nur wenn Patientendaten nicht am System (Wechseldisk) oder verschlüsselt sind -> Test mit Dummydaten. Wartungsprotokoll erstellen. Backup Backupmedien gut verschlossen (Safe) aufbewahren; Backupverfahren so gestalten, dass bei Verlust oder Zerstörung eines Backupmediums nicht alle Daten verloren gehen; Funktionalität des Backupverfahrens testen -> Restore. LAN Keine überflüssigen Accessgeräte anschliessen oder bei Nichtgebrauch abstellen; auf WLAN möglichst verzichten; Zugriffsweg für die Wartung der Netzwerkinfrastruktur muss durch den Arzt geöffnet und wieder geschlossen werden; Wartungsprotokoll erstellen. Drucker Ausdrucke mit Patientendaten nicht auf einen unbewachten Drucker schicken; Dokumente nicht unnötig lange im Drucker liegen lassen; weder im Drucker noch auf dem Printserver sollten die Ausdrucke nach dem Print rekonstruierbar sein; Druckerwartung vor Ort. Empfang Bildschirme so aufstellen, dass keine Fremdeinsicht möglich ist; wirksamer Passwortschutz oder Zugriff nur mit USB-Biometriestick; keine Passwörter auf Post-It Bildschirmschoner (kurze Einstellung); Loggen der Zugriffe. Sprechzimmer Gerät blockieren, wenn Arzt nicht im Sprechzimmer; wirksamer Passwortschutz oder Zugriff nur mit USB-Biometriestick; Bildschirmschoner (kurze Einstellung); Loggen der Zugriffe; keine Patientendaten lokal speichern, wenn sie schon auf dem Server sind. Labor Siehe Drucker und Empfang. 5 Erläuterungen Datenschutz, Sursee, 3. April 2008 Seite 4/6
5 Büro/Privat Daten zwischen Praxis und Büro/Privat nur chiffriert übertragen. Besser die benötigten Daten vorher in der Praxis auf den Laptop speichern; Patientendaten auf dem Laptop chiffrieren; Achtung! Werden Patientendaten auf dem privaten Computer bearbeitet, gelten die gleichen Anforderungen wie bei der Bearbeitung in der Praxis (auch bei der Internetanbindung); Rechner vor Zugriff von Dritten (z.b. Familie) schützen. Internet Es empfiehlt sich, eine Hardware-Firewall einzusetzen; wenn der Bedarf besteht, einen dedizierten PC für das Surfen im Internet bereitstellen. Dieser darf nicht mit dem Praxis-LAN verbunden sein; wenn möglich die Internetverbindung nur aktivieren, wenn sie für die Praxisarbeit benötigt wird; keine zusätzlichen Internetverbindungen in der Praxis installieren; wenn das nicht geht, Verbindung nur über Firewall; per default sollten alle Ports geschlossen sein; bei Attacken sollte Firewall automatisch dicht machen; Protokolle über Firewall Aktivitäten; Fernwartung nur über Wartungsmodem; Wartungsprotokoll erstellen; keine Internetdownloads mit dem Praxisserver durchführen; Virenschutz installieren. Praxisbezogene adressen nicht der ganzen Welt mitteilen; private s mit privaten adressen versenden; keine Patientendaten in unverschlüsselten s versenden; keine Patientendaten in Antwort- s verschicken; -Applikation nicht als Dokumentenmanagementsystem oder, noch schlimmer, als elektronisches Patientendossier missbrauchen. D.h. s nach dem Lesen löschen. Wichtige Inhalte in die entsprechenden Bereiche (z.b. Patientendossier) aufnehmen. Diverses Die Infrastruktur regelmässig überprüfen; keine überflüssige Hardware und Software einsetzen; keine Dritten unbeaufsichtigt an die Systeme lassen - das gilt auch bei Wartungsarbeiten; keine Handys an einen Rechner in der Praxis anschliessen. Sie können auch als Datenkommunikationsgeräte missbraucht werden. Die Aufzählung dieser Massnahmen ist nicht abschliessend und ihre Umsetzung ist noch kein garantierter Schutz vor Missbrauch. Aber sie sind ein erster Schritt zu einem sorgfältigen Umgang mit Patientendaten in einer digitalisierten Praxis. Wichtig ist, dass die Ärzte sich bewusst sind, dass sie am Ende die Verantwortung für die Folgen einer schlecht geführten Informatik tragen. Daraus formuliert der EDÖB folgende Regel: Der Arzt hat den Überblick über die für seine Praxis nötige Informatik, welche auf technisch hohem Niveau konfiguriert ist. Alles andere gehört nicht in ein Praxisnetz mit hochsensiblen Patientendaten. Sursee, 3. April 2008 Seite 5/6
6 Links Link zur schweizerischen Gesetzessammlung: Link zum Schweizerischen Strafgesetzbuch: > Art. 321 Link zum Bundesgesetz über den Datenschutz: > Art. 35 Link zum Eidgenössischen Datenschutzbeauftragten: Sursee, 3. April 2008 Seite 6/6