Der Datenschutzbeauftragte des Kantons Z\u00fcrich hat in seinem 14. T\u00e4tigkeitsbericht vom 3. M\u00e4rz 2009 unmissverst\u00e4ndlich darauf hingewiesen, dass sogenannte Fallmanagerinnen und -manager (Case Managerinnen und Manager) von Krankenversicherern umfassend auf Gesundheitsdaten in Spit\u00e4lern zugreifen k\u00f6nnen und dadurch teilweise massiv den Datenschutz und das Patientinnen- und Patientengeheimnis verletzen. Die bestehenden Vereinbarungen zwischen den Versicherern und den Spit\u00e4lern regeln lediglich die Koordinationst\u00e4tigkeit der Fallmanager und enthalten unzureichende Bestimmungen hinsichtlich Wahrung von Arzt- und Patientengeheimnis oder Hinweise auf eine Informationspflicht seitens der Versicherer. Eine gesetzliche Regelung im Krankenversicherungsgesetz fehlt.
Die Krankenversicherer verschaffen sich sensible Gesundheitsdaten auch ohne Einwilligung von Patienten und verf\u00fcgen z. B. bereits vor diesen \u00fcber Informationen wie Diagnose, Therapiemassnahmen oder voraussichtliche Spitalaufenthaltsdauer. Selbst wenn eine Einwilligungserkl\u00e4rung eingeholt wird, fehlt es offenbar an der notwendigen Aufkl\u00e4rung der Patienten. Dieser unhaltbare Sachverhalt geht so weit, dass Spit\u00e4ler von den Versicherungen sogar aufgefordert werden, Personen, welche die Erkl\u00e4rung nicht unterzeichnen, dem Versicherer zu melden. Dieser Zustand darf nicht weiter hingenommen werden.
Es ergeben sich hierzu verschiedene Fragen an den Bundesrat:
1. Obwohl die eidgen\u00f6ssische Aufsichtsbeh\u00f6rde bereits 2007 von mehreren Seiten \u00fcber das rechtswidrige Vorgehen der Versicherer informiert wurde, ist diesbez\u00fcglich nichts unternommen worden. Warum nicht?
2. Wie beurteilt er die Handhabung des Arzt- und Patientengeheimnisses, wenn Fallmanager oft viel mehr als das Notwendige erfahren, durch ihre Beteiligung an Rapporten oder Behandlungsplanungen?
3. Wie sieht er das weitere Vorgehen in diesem das Datenschutzgesetz verletzenden Vorgehen der Krankenversicherungen?
4. Welche Massnahmen werden getroffen, um den Schutz der Patienten zu garantieren und die Datenschutzkonformit\u00e4t nachhaltig zu gew\u00e4hrleisten?
5. Beabsichtigt er, bei bereits bestehenden Vertr\u00e4gen den Datenschutz ernst zu nehmen und diese auf ihre Rechtm\u00e4ssigkeit, auf die Respektierung der Informationspflicht und des Datenschutzes hin zu \u00fcberpr\u00fcfen?
6. Zieht er eine Gesetzes\u00e4nderung in Betracht? Wenn ja, mit welcher Stossrichtung?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"1. Der Bundesrat hat bereits anl\u00e4sslich zweier fr\u00fcherer parlamentarischer Vorst\u00f6sse (Postulat Heim 08.3493, Frage Schenker Silvia 09.5060) festgehalten, dass es einen Handlungsbedarf bez\u00fcglich der Datenschutzsituation im Bereich der obligatorischen Krankenpflegeversicherung (OKP) gibt. Eine soeben ver\u00f6ffentlichte Untersuchung des Eidgen\u00f6ssischen Datenschutz- und \u00d6ffentlichkeitsbeauftragten (Ed\u00f6b) und des Bundesamtes f\u00fcr Gesundheit (BAG) legt nun differenzierter dar, dass der Datenschutz bei den Krankenversicherern, welche die obligatorische Krankenpflegeversicherung und die freiwillige Taggeldversicherung nach dem Bundesgesetz \u00fcber die Krankenversicherung (KVG; SR 832.10) durchf\u00fchren, weitgehend gew\u00e4hrleistet ist, in einigen Bereichen jedoch Handlungsbedarf besteht. Mit der Ver\u00f6ffentlichung des Berichts sind folgende Empfehlungen an die Krankenversicherer ergangen, deren Umsetzung im Rahmen der Aufsicht \u00fcber die Krankenversicherer in den n\u00e4chsten Monaten \u00fcberpr\u00fcft werden soll:
Jeder Krankenversicherer sollte ein Datenschutzkonzept (Strategie) erarbeiten. Es muss bei jedem Krankenversicherer ein Verzeichnis der Datensammlungen unterhalten werden. F\u00fcr jede Datensammlung mit besonders sch\u00fctzenswerten Personendaten wird ein Bearbeitungsreglement unterhalten (Beschreibung der Prozesse inkl. Verantwortlichkeiten, Berechtigungen, Datenfluss sowie der technischen Massnahmen zur Datensicherheit). Es sollte bei jedem Krankenversicherer ein Verantwortlicher f\u00fcr den Datenschutz und f\u00fcr jede Datensammlung ein Inhaber bezeichnet werden. Die Aufgaben dieser Rollen werden in einem Pflichtenheft beschrieben. Datenschutzverantwortliche m\u00fcssen \u00fcber die erforderlichen Fachkenntnisse verf\u00fcgen. Es sollen regelm\u00e4ssig verwaltungsexterne Datenschutzaudits durchgef\u00fchrt und die Resultate den Aufsichtsbeh\u00f6rden unterbreitet werden.
2. Obwohl das Case Management im KVG nicht explizit geregelt ist, sind die Datenschutzbestimmungen gleich anwendbar. Versicherte, deren Untersuchungen und Behandlungen von einem Case Manager begleitet werden, m\u00fcssen aufgrund der KVG-Grunds\u00e4tze (z. B. Wahl des Leistungserbringers oder der Behandlungsmethode) und der einschl\u00e4gigen Datenschutzbestimmungen f\u00fcr diese Begleitung sowie f\u00fcr den damit verbundenen Einblick in ihre Gesundheitsdaten ihre freiwillige und ausdr\u00fcckliche Zustimmung geben. Deren g\u00fcltige Zustimmung setzt voraus, dass sie zuvor von ihrem Krankenversicherer angemessen informiert werden und die Tragweite ihrer Zustimmung erkennen k\u00f6nnen. Zudem m\u00fcssen sie vom Leistungserbringer oder vom Krankenversicherer darauf hingewiesen werden, dass der Leistungserbringer in begr\u00fcndeten F\u00e4llen berechtigt und auf Verlangen der versicherten Person in jedem Fall verpflichtet ist, medizinische Angaben nur dem Vertrauensarzt des Krankenversicherers bekanntzugeben.
Die Krankenversicherer sind befugt, die Personendaten, einschliesslich besonders sch\u00fctzenswerter Daten und Pers\u00f6nlichkeitsprofile, zu bearbeiten, die sie ben\u00f6tigen, um die ihnen nach dem Gesetz \u00fcbertragenen Aufgaben zu erf\u00fcllen, namentlich um Leistungsanspr\u00fcche zu beurteilen sowie Leistungen zu berechnen. Dabei haben sie das Verh\u00e4ltnism\u00e4ssigkeitsprinzip strikte einzuhalten und d\u00fcrfen mit den Leistungserbringern nicht Vereinbarungen treffen, welche ihnen den Zugang zu Gesundheitsdaten der Versicherten verschaffen, die sie f\u00fcr die Erf\u00fcllung der ihnen nach dem Gesetz \u00fcbertragenen Aufgaben nicht ben\u00f6tigen.
3./4. Die datenschutzrechtliche Situation ist im Bereich Case Management bei den Krankenversicherern unterschiedlich. Die Aufsichtsbeh\u00f6rden werden die betroffenen Krankenversicherer deshalb individuell angehen, um die datenschutzrechtliche Situation zu verbessern.
5. Die vom Datenschutzbeauftragten des Kantons Z\u00fcrich aufgeworfene Problematik betrifft Vertr\u00e4ge zwischen Spit\u00e4lern und Krankenversicherern auf kantonaler Ebene. Die Pr\u00fcfung und Genehmigung solcher (Tarif-)Vertr\u00e4ge obliegt kantonalen Beh\u00f6rden. Dies gilt auch f\u00fcr die Einhaltung des Datenschutzes. In Sachen Regelungen in den Tarifvertr\u00e4gen ist darauf hinzuweisen, dass k\u00fcrzlich das Bundesverwaltungsgericht in seinem Entscheid vom 29. Mai 2009 festgehalten hat, \"dass die Weitergabe der Diagnose und des Eingriffscodes mit der Eintrittsmeldung respektive mit der Rechnungsstellung - im Rahmen insbesondere des Verh\u00e4ltnism\u00e4ssigkeitsprinzips und der \u00fcbrigen datenschutzrelevanten Bestimmungen - nur dann zul\u00e4ssig ist, wenn deren genaue Ausgestaltung gem\u00e4ss dem Prinzip des geringstm\u00f6glichen Eingriffs ... geregelt wird\".
6. Das Bundesgesetz \u00fcber den Datenschutz (DSG; SR 235.1) und die Verordnung zum Bundesgesetz \u00fcber den Datenschutz (VDSG; SR 235.11) finden auf die Krankenversicherer als Bundesorgane vollumf\u00e4nglich Anwendung. Artikel\u00a033 des Bundesgesetzes \u00fcber den Allgemeinen Teil des Sozialversicherungsrechts (ATSG; SR 830.1) sieht eine generelle Schweigepflicht der Durchf\u00fchrungsorgane von Sozialversicherungen vor. Mit den Artikeln 84 und 84a KVG sowie den Artikeln 59 und 120 der Verordnung \u00fcber die Krankenversicherung (KVV; SR 832.102) bestehen zus\u00e4tzliche Spezialbestimmungen zur Bearbeitung von Personendaten, zur Datenbekanntgabe, zur Sicherstellung des Datenschutzes und zur Information der Versicherten durch die Krankenversicherer. Aufgrund dieser Datenschutznormen im Krankenversicherungsbereich bedarf es infolgedessen keiner weiteren Datenschutzbestimmung f\u00fcr das Case Management.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1251244800000)\/","SubmittedBy":"Prelicz-Huber Katharina","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1253881266313)\/","ResponsibleDepartment":4,"ResponsibleDepartmentName":"Departement des Innern","ResponsibleDepartmentAbbreviation":"EDI","IsLeadingDepartment":true,"Tags":"2841","Category":null,"Modified":"\/Date(1690548506627)\/","SubmissionDate":"\/Date(1244419200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":4809,"SubmissionLegislativePeriod":48,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Gesundheit"}}