Elektronische Patientenakte: Bundesdatenschützerin prüft Löschung der ePA bei der Barmer
Berlin. Nach einem Vorfall bei der gesetzlichen Krankenkasse Barmer gerät das sogenannte Opt-out-Verfahren zur elektronischen Patientenakte (ePA) in den Fokus der Datenschutzaufsicht. Die Behörde der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) prüft derzeit, ob das von der Kasse eingesetzte Verfahren ausreichend gegen Manipulationen geschützt ist.
Wie das Handelsblatt von einem Sprecher der Behörde erfuhr, befasst sich nun eine Fachabteilung der BfDI mit dem konkreten Fall. Demnach soll der Hinweisgeber den Widerspruch gegen die ePA mit einer erfundenen Unterschrift per Post eingereicht haben – und damit die vollständige und unwiderrufliche Löschung der digitalen Akte bewirkt haben.
Die Barmer teilte auf Anfrage mit, dass es sich bei der Prüfung bei der BfDI um ein gängiges Verfahren handelt. Zuvor hatte sie erklärt, dass eine Löschung der ePA ohne das aktive Mitwirken der betroffenen Person ausgeschlossen sei. Der Whistleblower behauptet, das Gegenteil dokumentiert zu haben.
Die Behörde der Bundesdatenschutzbeauftragten erklärte dem Handelsblatt bereits im Vorfeld der Prüfung, dass sie in dem Vorfall keinen Hinweis auf eine technische Schwachstelle des ePA-Systems sehe. Vielmehr handele es sich um einen klassischen Fall von Urkundenfälschung.
Auch das Bundesgesundheitsministerium teilt diese Einschätzung. Trotzdem seien die Kassen dazu angehalten, den Widerspruch sicher und einfach zu gewährleisten, heißt es aus dem Ministerium außerdem.
Dennoch wirft der Vorfall grundsätzliche Fragen zur Identitätsprüfung im Umgang mit der sensiblen Gesundheitsdaten-Infrastruktur auf. Die BfDI betont, dass gesetzliche Krankenkassen verpflichtet sind, bei Widersprüchen gegen die ePA die nötigen Schritte zu treffen, um Identitäten zu überprüfen. Denn: Eine fehlende oder mangelhafte Authentifizierung könne einen Datenschutzverstoß darstellen. Bislang gibt es der Behörde zufolge aber keine Hinweise darauf, dass hier ein Problem vorliegt, das alle Krankenkassen betrifft.
Datenschützer schon länger skeptisch
Ob im konkreten Fall bei der Barmer tatsächlich keine Identitätsprüfung erfolgt ist, dürfte Gegenstand der laufenden Untersuchung sein. Der Sprecher der Behörde wollte sich aufgrund des noch nicht abgeschlossenen Verfahrens nicht näher äußern.
Mit dem Fall rückt auch das grundsätzliche Design der elektronischen Patientenakte erneut ins Zentrum der datenschutzrechtlichen Debatte. Seit Anfang des Jahres soll jeder gesetzlich Versicherte automatisch eine ePA erhalten – es sei denn, er oder sie widerspricht dem Verfahren ausdrücklich.
Diese Opt-out-Regelung ist politisch gewollt und soll die Digitalisierung des Gesundheitswesens beschleunigen. Datenschutzexperten sehen darin jedoch seit Langem eine potenzielle Schwachstelle – insbesondere wenn die Widerspruchsprozesse nicht ausreichend gegen Missbrauch abgesichert sind.
Die Bundesdatenschutzbeauftragte regt daher an, Datenschutz- und IT-Sicherheitsaspekte künftig früher und verbindlicher in die Ausgestaltung der ePA einzubeziehen. So solle der Gesetzgeber sicherstellen, dass sowohl die BfDI als auch das Bundesamt für Sicherheit in der Informationstechnik verbindlich in die Entwicklung technischer Vorgaben eingebunden werden.