Gesundheitsdaten in der Cloud Achtung bei Cloud-Apps in sensiblen Bereichen!

Anbieter zum Thema

Insider Research

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Mit der Digitalisierung im Gesundheitsbereich landen zunehmend auch sensible Daten in Cloud-Applikationen. Die Datenschutzaufsichtsbehörden haben nun auf die erforderlichen, hohen Schutzmaßnahmen hingewiesen. Auch Branchen jenseits des Gesundheitswesens sollten sich damit befassen, denn auch andere Datenkategorien in Cloud-Apps sind besonders schutzbedürftig.

Digitales Gesundheitswesen steckt zwischen Euphorie und Sorgen

Die Menschen in Deutschland sehen in der Digitalisierung des Gesundheitswesens vor allem Vor- statt Nachteile, so eine Umfrage des Digitalverbands Bitkom. 80 Prozent meinen, Digitalisierung ermögliche etwa durch Robotik schonendere und präzisere Operationen. Dass die Digitalisierung im Gesundheitswesen medizinisches Personal entlastet, davon sind zwei Drittel (69 %) überzeugt. Knapp mehr als die Hälfte (53 %) meint, die Digitalisierung führe im Gesundheitswesen zu weniger Bürokratie. 50 Prozent gehen davon aus, dass die Digitalisierung die steigenden Kosten im Gesundheitswesen auffangen kann.

Gleichwohl gibt es auch Sorgen innerhalb der Bevölkerung, wie Bitkom berichtet. 70 Prozent stimmen der Aussage zu, ein digitalisiertes Gesundheitssystem mache die Menschen zu „gläsernen Patientinnen oder Patienten“, und 62 Prozent haben Angst vor Hacker-Angriffen auf Kliniken und Praxen.

Aus gutem Grund also zählt die Datenschutz-Grundverordnung (DSGVO) die Gesundheitsdaten zu den besonderen Kategorien personenbezogener Daten, die nur unter bestimmten Voraussetzungen und bei entsprechend hohem Schutzniveau verarbeitet werden dürfen.

(Nicht nur) Gesundheitsdaten in der Cloud brauchen hohen Schutz

Bekanntlich sind nicht nur Gesundheitsdaten, sondern auch andere persönliche Daten in einer Cloud ein Thema, das die Datenschützer besonders auf den Plan ruft. Das liegt daran, dass das Datenschutzniveau in einer Cloud nicht ohne weiteres klar ist: Zum einen kann der Cloud-Standort dazu führen, dass die Daten in ein Drittland jenseits des EU/EWR-Raums übermittelt werden. Zum anderen liegt oftmals eine Auftragsverarbeitung der Daten vor. Das Unternehmen, das die Daten in die Cloud überträgt, bleibt dann zwar verantwortlich für den Datenschutz, hat aber keine direkte Kontrolle mehr über die Daten.

Wenn dann auch noch Gesundheitsdaten und die Cloud zusammenkommen, scheint der Datenschutz noch komplexer zu werden. Die Aufsichtsbehörden für den Datenschutz sind sich dieser Herausforderungen für Unternehmen und Betroffene bewusst und haben sich deshalb explizit zu Gesundheitsdaten in Cloud-Applikationen geäußert. Dabei geht es nicht etwa nur um den Fall, dass personenbezogene Daten in ein Drittland übermittelt werden könnten, sondern es geht generell um Cloud-Apps für Gesundheitsdaten.

Cloud-Technologien im Gesundheitswesen

Die Cloud als Motor der Medizinforschung

Die Datenschutzhinweise der Aufsichtsbehörden sind zudem nicht nur für Organisationen im Gesundheitswesen interessant und relevant. Gesundheitsdaten sind nicht die einzigen besonders sensiblen Datenkategorien, die DSGVO Art. 9 kennt mehrere besondere Kategorien personenbezogener Daten, darunter auch personenbezogene Daten, aus denen „die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person“ sowie Daten zum Sexualleben oder der sexuellen Orientierung.

Cloud-Funktionen nur, wenn sie wirklich erforderlich sind

Aus der Vielzahl der Hinweise der Datenschutzaufsichtsbehörden zu cloud-basierten Gesundheitsanwendungen soll an dieser Stelle auf einige Besonderheiten hingewiesen werden. Zum einen ist es aus Sicht des Datenschutzes nicht immer die beste Wahl, die Daten in einer Cloud verarbeiten zu lassen, denn die Gewährleistung und die Prüfung des Datenschutzniveaus in einer Cloud sind eben nicht trivial.

Anstelle von „Cloud First“ sollten Unternehmen also bei einer geplanten Verarbeitung von Gesundheitsdaten (und anderen sensiblen Daten) eher anders denken: Die Cloud nur dann, wenn es sein muss und wenn die Betroffenen die entsprechende Cloud-Funktion wünschen.

Explizit sagen die Aufsichtsbehörden: Die Verwendung der Gesundheitsanwendung (z. B. einer App zum Auslesen und Speichern der Glukosewerte) muss nach dem Grundsatz „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ nach DSGVO auch ohne Nutzung der Cloudfunktionen und ohne Verknüpfung mit einem Benutzerkonto möglich sein, es sei denn, die Cloudfunktion ist unbedingt für die Erreichung eines therapeutischen Nutzens erforderlich und die Funktion wird von der betroffenen Person ausdrücklich gewünscht. Die betroffene Person muss hierzu eine entsprechende Auswahlmöglichkeit erhalten (z. B. im Registrierungsprozess) und über etwaige bestehende Vorteile und Risiken, die mit der Cloudanwendung verbunden sind, informiert werden. Die Daten dürfen im Falle der Entscheidung gegen eine cloudbasierte Verarbeitung allenfalls lokal auf dem Endgerät gespeichert werden.

Nun sollte man nicht den Datenschutz als Cloud-Verhinderer sehen, vielmehr müssen immer die Risiken für die Privatsphäre betrachtet werden. Gibt es einen Weg, die Risiken zu minimieren, dann soll man diesen gehen. Wäre also eine Funktion auch ohne Cloud machbar, muss man die Daten nicht den Cloud-Risiken aussetzen, so der Gedanke dahinter.

Für Cloud-Apps braucht es ein eigenes Sicherheitskonzept

Ein weiterer Punkt aus den Hinweisen der Datenschutzaufsichtsbehörden soll hier hervorgehoben werden: Die Verarbeitung sensibler, personenbezogener Daten in Cloud-Apps setzt geeignete technische und organisatorische Schutzmaßnahmen voraus.

Die Datenschützer nennen eine ganze Reihe von Sicherheitsmaßnahmen, darunter die Berücksichtigung von Technischen Richtlinien des BSI zur Informationssicherheit und Best-Practice-Guidelines zur sicheren Implementierung von Anwendungen (z. B. OWASP), sichere Authentifizierungsverfahren (in der Regel Multi-Faktor-Authentifizierung), Zugriffskontrolle mit „least privilege policy“ und regelmäßiger Überprüfung von Benutzerkonten und Zugriffsrechten, automatische zeitbasierte Sperrung von Benutzeranwendungen (unter anderem bei Nichtverwendung), wirksame Verschlüsselungsmechanismen, insbesondere bei der Speicherung auf Mobilgeräten, Richtlinien und Weisungen an Beschäftigte zur datenschutzrechtlichen Sensibilisierung, Protokollierungen von Zugriffen mit anlasslosen Prüfungen, Schaffung einer Redundanz von Infrastrukturkomponenten und Hintergrundsystemen bei technischen Betreibern sowie die Überprüfung von Sicherheitsmaßnahmen in Anwendungsprogrammen und Hintergrundsystemen durch Sicherheits- und Penetrationstests.

Auch hier sei angemerkt, dass der Datenschutz nicht etwa Cloud-Apps in sensiblen Bereichen verhindern will, sondern es muss auch dort für ein angemessenes Datenschutzniveau gesorgt werden, bei sensiblen Daten ein entsprechend hohes Datenschutzniveau.

Datenschutz und Digitalisierung sind vereinbar, wenn man es richtig angeht, sagt zum Beispiel der Landesdatenschutzbeauftragte von Rheinland-Pfalz in diesem Positionspapier. Die digitale Transformation der Medizin wird also nicht am Datenschutz scheitern, sondern sie ist nur mit Datenschutz möglich, wie die Sensibilität der Gesundheitsdaten ganz klar macht.

(ID:49892513)