Ermittlung wegen unbefugtem Zugriff auf die Krankenakte einer Person des öffentlichen Lebens in einer Privatklinik

Hintergrund

Ein Mitarbeiter einer Privatklinik, wo die Prinzessin von Wales sich einer Bauchoperation unterzogen hatte, ist Gegenstand einer Untersuchung und riskiert ein Strafverfahren. Der Vorwurf betrifft den unbefugten Zugriff auf die Krankenakten der Prinzessin, der sich im Jahr 2024 ereignet haben soll. Die Ermittlungen betrafen insgesamt drei betraute Mitarbeiter der Klinik im Zusammenhang mit diesen Behauptungen des Personalzugriffs.

Warum es wichtig ist

Dieser Fall verdeutlicht die ernste Verantwortung bei der Verwaltung von Gesundheitsdaten, die besondere Kategorien personenbezogener Daten sind und gemäß der DSGVO den höchsten Schutz erfordern. Ein unbefugter Zugriff dieser Art stellt eine Verletzung des Schutzes personenbezogener Daten dar, mit potenziell schwerwiegenden rechtlichen und rufschädigenden Auswirkungen für die Organisation. Die Zugriffsverwaltung, die Schulung des Personals und interne Kontrollen sind entscheidend, um solche Vorfälle zu verhindern. Für einen DPO und einen IT-Verantwortlichen unterstreicht der Vorfall die Bedeutung der strikten Umsetzung und Überwachung von Informationssicherheitsrichtlinien, wie sie in Art. 32 der DSGVO und den Grundsätzen der ISO 27001 gefordert werden, um die Vertraulichkeit und Integrität der Patientendaten zu gewährleisten. Gesundheitseinrichtungen, auch private, müssen dieser Art von internen Bedrohungen mit robusten Verfahren und Kontrollen begegnen.

Was zu tun ist

• Strenge Zugangskontrollen zu Krankenakten und Systemen, die sensible Daten enthalten, implementieren und verstärken.
• Kontinuierliche und spezifische Schulung des Personals zum Datenschutz und zur Datensicherheit gewährleisten, mit besonderem Augenmerk auf Gesundheitsdaten.
• Verfahren zur Verwaltung von Sicherheitsvorfällen und Datenpannen, einschließlich interner, entwickeln und streng anwenden.
• Zugriffe auf Systeme mit sensiblen Daten aktiv überwachen, um anomale oder unbefugte Aktivitäten zu erkennen.

Was zu vermeiden ist

• Das Risiko interner Bedrohungen und unbefugter Zugriffe durch 'vertrauenswürdiges' Personal nicht unterschätzen.
• Zugriffsrichtlinien nicht allein auf Vertrauen statt auf dem 'Need-to-know'-Prinzip (Notwendigkeit zu wissen) basieren lassen.
• Es versäumen, jeden Verdacht auf unzulässigen Datenzugriff zeitnah und gründlich zu untersuchen.

Praktische Auswirkungen

Für eine Organisation, insbesondere im Gesundheitswesen, kann ein solcher Vorfall zu schwerwiegenden behördlichen Sanktionen, erheblichen Reputationsschäden, Vertrauensverlust der Patienten und potenziellen Klagen führen. Es ist unerlässlich, dass die internen Kontrollmechanismen robust sind und die Unternehmenskultur die Achtung der Datenprivatsphäre und -sicherheit fördert.

Empfohlene Maßnahmen

• Zugriffsrichtlinien für Daten und Informationssysteme überprüfen und aktualisieren, um sicherzustellen, dass sie den Prinzipien des geringsten Privilegs entsprechen.
• Regelmäßige und unangekündigte Audits der Zugriffe auf Gesundheitsdaten und der Systemprotokolle durchführen.
• In Überwachungs- und Audit-Trail-Lösungen investieren, die alle Operationen an sensiblen Daten granulär nachverfolgen.
• Die Personalschulung zu individuellen Verantwortlichkeiten und den rechtlichen Konsequenzen des unzulässigen Datenzugriffs verstärken.

Zu vermeidende Fehler

• Annehmen, dass 'vertrauenswürdige' Mitarbeiter immun gegen interne Verstöße sind, und Kontrollen vernachlässigen.
• Keinen gut definierten und regelmäßig getesteten Incident-Response-Plan für interne Verstöße haben.
• Die Meldung einer Verletzung an die zuständigen Behörden und Betroffenen verzögern oder unterlassen, falls zutreffend, wie es die DSGVO vorsieht.

Fragen zur Selbsteinschätzung

• Verfügen wir über wirksame Kontrollen, um den Zugriff auf sensible Daten nur auf diejenigen zu beschränken, die ihn für ihre Aufgaben unbedingt benötigen?
• Gibt es ein Audit-Log-System, das alle Zugriffe auf Krankenakten protokolliert und regelmäßig auf Anomalien überprüft wird?
• Ist unser Personal sich der rechtlichen und ethischen Implikationen des unbefugten Zugriffs auf Patientendaten voll bewusst?
• Haben wir klare Verfahren für die Handhabung und Meldung von unzulässigen Zugriffen oder internen Datenverletzungen und testen wir diese regelmäßig?

Verweise

Nationales Recht: GDPR art. 32 · ISO/IEC 27001