Bußgeld gegen Den Haager Krankenhaus in Höhe von bis zu 760.000 Euro

Die Niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) hat ein Bußgeld in Höhe von 460.000 Euro gegen ein Krankenhaus wegen fehlenden Schutzes der Patientenakte vor unnötigen Zugriffen im Krankenhausinformationssystem verhängt. Mindestens 85 Mitarbeiter des Krankenhauses griffen demnach unnötigerweise und unberechtigt auf die Krankenakte eines bekannten Patienten zu, ohne in die Behandlung des Patienten involviert gewesen zu sein.

Die Aufsichtsbehörde machte in ihrer Pressemitteilung deutlich, dass die Beziehungen zwischen einem Gesundheitsdienstleister und einem Patienten absolut vertraulich seien. Dies gelte auch innerhalb der Mauern eines Krankenhauses. Ein Krankenhaus müsse daher alle technischen und organisatorischen Maßnahmen ergreifen, um die Sicherheit der Patientendaten zu gewährleisten. Jedes Krankenhaus müsse regelmäßig überprüfen, wer welche Akte konsultiert. Nur so könnten rechtzeitig Maßnahmen ergriffen werden, wenn ein nicht berechtigter Mitarbeiter auf eine Akte zugreife.

Patientenakten seien zudem technisch mindestens mit einer zwei-Faktoren-Authentifizierung zu sichern. Bei jedem Zugriff auf eine Patientenakte sei die Identität eines Benutzers durch einen Code oder ein Passwort in Kombination mit einer Personalkarte zu protokollieren. Einheitliche Passwörter für ganze Abteilungen oder das Benutzen eines gemeinsamen Benutzernamens, um sich nicht jeweils neu anzumelden, seien nicht zulässig.

Zur effektiven und schnellstmöglichen Umsetzung dieser Vorgaben setzt die Aufsichtsbehörde das Krankenhaus weiter unter Druck: Solange die Sicherheitsvorkehrungen nicht verbessert sind, muss das Krankenhaus alle zwei Wochen zusätzlich eine Geldstrafe in Höhe von weiteren 100.000 Euro zahlen, maximal 300.000 Euro. Damit droht dem Krankenhaus ein maximales Bußgeld von 760.000 Euro.

Bereits im Oktober letzten Jahres wurde wegen eines ähnlichen Verstoßes ein Bußgeld in Höhe von 400.000 Euro gegen ein Krankenhaus in Portugal verhängt. Grund hierfür war ebenfalls die mangelnde Sicherheit der Patientenakte vor Zugriffen durch nicht-behandelndes medizinisches Personal. Auch wenn die nationalen Aufsichtsbehörden die Bußgeldhöhe grundsätzlich frei bestimmen dürfen, so muss auch in Deutschland mit einer vergleichbaren Bußgeldhöhe für die unzureichende Sicherheit von Patientenakten durch mangelhafte Berechtigungskonzepte in Krankenhausinformationssystemen gerechnet werden.