Datenschutz im Krankenhaus: Ist die Smartphone-Nutzung für Ärzte sicher?
Selbst die jüngste Generation von Ärzten erinnert sich noch daran – es gab einmal eine Zeit, als wir unseren Alltag noch ohne Smartphones bewältigen mussten. Mittlerweile sind sie jedoch nicht mehr aus dem täglichen Leben wegzudenken, mal eben ein Foto verschicken, einen Termin vereinbaren, eine Online-Datenbank befragen. Diese Gewohnheiten bringen wir auch mit an den Arbeitsplatz, und nicht wenige Ärzte nutzen täglich ihr privates Smartphone, um den Arbeitsalltag ein wenig unkomplizierter zu gestalten. Grund genug, sich einmal genauer anzuschauen, wie es da mit dem Datenschutz im Krankenhaus aussieht und in welche Fallen man dabei tappen kann.
Patientendaten auf dem Smartphone
Erstes und wichtigstes Problem: Es gibt eine ganze Reihe von Szenarien, in denen durch Patientendaten auf dem Smartphone potenziell das Arztgeheimnis verletzt wird. Ganz offensichtlich ist der Datenschutz im Krankenhaus nicht gegeben, wenn Patientendaten in eine externe Cloud gelangen. Auch, wenn Dienste damit werben, die Daten zu verschlüsseln, bedeutet dies nicht immer einen sicheren Datentransfer und eine sichere Speicherung. Es gibt nur sehr wenige Apps, die eine sichere Ende-zu-Ende-Verschlüsselung anbieten – sie sind daran zu erkennen, dass man einen sogenannten privaten Schlüssel erhält, der notwendig ist, um Daten zu lesen. In allen anderen Fällen gilt: Wenn die Schlüssel in den Händen des Unternehmens sind, das den Dienst bereitstellt, steht und fällt die Sicherheit der Patientendaten mit der Vertrauenswürdigkeit des Unternehmens. Hinzu kommt: Bei keiner Art der Verschlüsselung werden sogenannte Metadaten verschlüsselt – also wer mit wem zu welchem Zeitpunkt kommuniziert hat. Diese Daten können jedoch, wenn Sie beispielsweise mit Patienten in Kontakt stehen, auch schon unter die Schweigepflicht fallen. Patientendaten können nicht nur dann in falsche Hände geraten, wenn Sie sie verschicken, sondern auch beispielsweise durch den Verlust Ihres Smartphones. In der Vergangenheit haben einige Kliniken versucht, mit einer sogenannten BYOD-Policy („bring your own device") Kontrolle über dieses Problem zu erlangen: Auf den privaten Smartphones, die innerhalb eines festgesteckten Rahmens für den Gebrauch in der Klinik zugelassen waren, wurde ein System installiert, dass es gestattete, den Speicher des Smartphones bei Verlust oder Diebstahl aus der Entfernung zu löschen. Weil diese Systeme oft sehr umständlich zu pflegen sind, hat sich BYOD jedoch bisher nicht in der Breite durchgesetzt.
Smartphones am Arbeitsplatz verbieten?
Sollte man also auf die Nutzung des privaten Smartphones in der Klinik ganz verzichten? Da es kaum ein Werkzeug gibt, mit dem wir mittlerweile so vertraut sind und das uns so den Alltag erleichtert, wäre das nicht besonders realistisch – es sei denn, Sie haben mit Ihrem Arbeitgeber eine explizite Vereinbarung, die die Nutzung des Smartphones am Arbeitsplatz verbietet. Folgende Grundsätze machen den Einsatz des Smartphones in der Klinik sicherer:
- Die reine Abfrage von Informationen online, als Webseite oder App, ist generell unproblematisch, beispielsweise Rote Liste, Arzneimittel-Pocket oder PubMed.
- Kommunikation via unverschlüsselter E-Mail oder Instant Messenger sollte keine identifizierbaren Daten des Patienten enthalten. Eine Beschreibung eines Krankheitsbildes ohne Namen und Geburtsdatum mit Bitte um Zweitmeinung oder Terminvereinbarung zum Konsil ist also ebenfalls unproblematisch.
- Zum Schutz bei Verlust sollte das Smartphone mit einem PIN-Code (zusätzlich zur PIN der SIM-Karte) gesichert werden. Mustersperren sind unsicher, da durch den Fettfilm auf der Haut das Muster in der Regel auf dem Display erkennbar ist.
