ePA: Die Datenhoheit liegt bei den Versicherten – aber Herr Spahn mit Vollgas gegen den Datenschutz

Die gesundheitspolitische Sprecherin der Bundestagsfraktion, Frau Maag, erklärt am 29.08.2020 in einer Pressekonferenz:

„ePA-Datenhoheit liegt beim Versicherten“

Und im neuen Patientendaten-Schutz-Gesetz (PDSG) steht dazu:

Mit dem Patientendaten-Schutz-Gesetz verpflichten wir die Krankenkassen dazu, ihren Versicherten ab 2021 eine elektronische Patientenakte anzubieten. Versicherte werden künftig Daten über Behandlungen digital zur Verfügung haben. Zugriff auf seine Daten hat der Versicherte über eine App.

Die Nutzung der elektronischen Patientenakte für den Versicherten ist freiwillig. Er entscheidet von Anfang an, welche Daten gespeichert werden, wer zugreifen darf und ob Daten wieder gelöscht werden.

Patientendaten-Schutz-Gesetz (PDSG)

Das stellt auch Frau maag auf Ihrer Pressekonferenz klar:

… aber Herr Spahn fährt mit Vollgas gegen den Datenschutz

Richtig ist vielmehr, dass der (gesetzlich) Versicherte sich für oder gegen die Einführung einer Elektronischen Patientenakte (ePA) entschieden kann, sofern seine Krankenkasse es schafft, die Termine im Gesetz bis zum 01.01.2021 zu halten. Was nicht dazugesagt wird:

Die Berechtigungsvergabe der daten wird voraussichtlich erst ab 2023 möglich sein und damit ganze zwei Jahre nach Start der Patientenakte.

Ferner geht weitgehend unbemerkt von der Öffentlichkeit der Datenschutzabbau in die nächste Runde. Spahns Digitale-Versorgung-Gesetz (DVG), bekannt als „App auf Rezept“, plant digitale „Innovationen“ auf Kosten des informationellen Selbstbestimmungsrechts der Bürger:

1. Ohne Einwilligung der Versicherten die personenbezogenen Daten von rund 72 Millionen gesetzlich versicherter Bürger für eine versichertenbezogene Bedarfsanalyse auszuwerten,

2. Digitalprodukte (niedriger Risikoklasse) ohne Nachweis eines medizinischen Nutzens und ohne ärztliche Verordnung in einer Erprobungsphase für den Einsatz an Versicherten nach deren Einwilligung testen zu dürfen sowie

3. Ohne Einwilligung der Versicherten eine umfassende Datensammlung an den Spitzenverband Bund der Krankenkassen zu schicken. Dieser reicht die Einzeldatensätze pseudonymisiert an ein staatliches „Forschungszentrum“ weiter, das wiederum u.a. für die endgültige Zulassung der Digitalprodukte zuständig ist. Hier werden die Daten abermals #ohne Einwilligung der Versicherten zu vielfältigen Zwecken verarbeitet und (auf Antrag pseudonymisiert) einer Vielzahl von Interessengruppen zur Nutzung zugänglich macht.

Mit scharfen Worten kritisiert die Bundesärztekammer die geplante Datenschutzverletzung:

„Die Bundesärzteschaft lehnt es ab, dass Sozialdaten – ohne Zustimmung der Versicherten – mittelbar zur Generierung von Geschäftsmodellen von Unternehmen der Informationstechnologie genutzt werden.“  Bundesärztekammer (2019)

Sozialdaten sind als personenbezogene Daten rechtlich geschützt:

Gesundheitsdaten (Teil der Sozialdaten) stehen dabei aufgrund ihrer existenziellen Bedeutung auch in pseudonymisierter Form unter besonderem rechtlichem Schutz. Sie dürfen grundsätzlich nicht verarbeitet werden (Art. 9 Abs. 1 DSGVO). Zwar gibt es rechtlich vorgesehene Ausnahmen (Art. 9 Abs. 2 DSGVO), die auch Krankenkassen eine Verarbeitung unter Beachtung bestimmter Grundsätze erlauben.

Ohne Einwilligung erfolgende Bedarfsanalysen zu Marktforschungs-zwecken gehören aber nicht dazu!

Was der Normalbürger nicht weiß

Pseudonymisierte Daten können mit wenig Aufwand und einer Trefferquote von ca. 90% de-anonymisiert werden:

Latanya Sweeney, heute Informatik-Professorin an der US-Universität Carnegie Mellon, bereits als Studentin in den neunziger Jahren nachgewiesen, dass in einem Land wie USA mit über 300 Millionen Einwohnern, 87 Prozent von ihnen anhand der Kombination ihrer Postleitzahl, ihres Geburtsdatums und ihres Geschlechts eindeutig identifiziert werden können.

Als der Gouverneur des US-Bundesstaates Massachusetts alle Krankenakten der versicherten Beamten bei der staat-lichen Krankenkasse GIC für Forschungszwecke freigeben ließ, nachdem die Namen, die Adressen, die Versicherungsnummern und andere persönliche Daten gelöscht wurden, ließ die Forscherin den Algorithmus über die Daten laufen. Sie identifizierte die Akte des Gouverneurs und schickte ihm diese per Post ins Büro – mit allen persönlichen Diagnosen und den ausgestellten Rezepten. (Moutafis 2013)

#FAZIT:   Jens Spahn ist am 16. Mai 1980 in Ahaus geboren. Gut Herr Spahn, ich warte nur noch auf Ihre anonymisierte Gesundheitsakte… LOL

Besten Grüße
Thomas Hülse

Hören Sie dazu den PODCAST des Datenschutzexperten Prof. Kleber: Folge #108 – Patientendaten-Schutzgesetz

Quellen:

1. CDU-CSU Bundestagsfraktion, Frau Maag: Die datenhoheit liegt beim Versichterten
   https://www.cducsu.de/presse/texte-und-interviews/maag-die-datenhoheit-liegt-beim-versicherten

1. TELEPOLIS: „Der fleißige Herr Spahn: Mit Vollgas gegen den Datenschutz“ – Teil 1: https://www.heise.de/tp/features/Der-fleissige-Herr-Spahn-Mit-Vollgas-gegen-den-Datenschutz-4556149.html

2. TELEPOLIS: „Der fleißige Herr Spahn: Mit Vollgas gegen den Datenschutz“ – Teil 2: https://www.heise.de/tp/features/Wie-man-Datenschutzabbau-als-Versorgungsinnovation-framet-4571885.html?view=print

3. Kassenärtliche Bundesvereinigung: Stellungsnahme der Bundesärztekammer (2019):

4. Bundesamt für IT-Sicherheit Datenschutz-Grundverordnung (DSGVO)

5. Moutafis, Jannis (2013). Anonymität kann geknackt werden. Re-Identifizierung: Die neue Kunst der Datenkraken, CHIP Magazin
https://www.chip.de/artikel/Re-Identifizierung-Die-neue-Kunst-der-Daten-kraken-3_140297704