Yorum 163: Hastanelerde günlük verilerin korunması

Sağlık sektöründe veri korumasından sorumlu olanlar, sürekli olarak en hassas bilgiler olan, GDPR'nin 9. Maddesine göre “özel kişisel veri kategorileri” ile çalışmaktadır. C't Veri Koruma podcast'inin 163. bölümünde konuğu Daniela Will, bu görevi nasıl başardığını anlatıyor. Beş hastanesi ve yaklaşık 8.000 çalışanıyla Almanya'nın en büyük belediye hastane birliklerinden biri olan Münchnen Klinik gGmbH'nin veri koruma departmanına başkanlık ediyor. Onun inancı: Tutarlı, risk odaklı, “öncelikli işler” tarzında çalışmak.

Konunun özüne inmeden önce editör Holger Bleich, yayınevi avukatı Joerg Heidrich ve misafirleri federal hükümetin mevcut reform planlarına göz atıyorlar. Hükümet, küçük ve orta ölçekli işletmelerin ve derneklerin önemli ölçüde daha az veri koruma yükümlülüğüne uymasını istiyor. Çoğu durumda kurumsal veri koruma görevlilerine sahip olma zorunluluğu da kaldırılmalıdır. Will bunun yanlış yol olduğunu düşünüyor. Küçük işletmeler için asıl sorun genellikle veri korumanın kendisinde değil, Microsoft, SAP veya Workday gibi büyük BT sağlayıcılarına kıyasla zayıf konumlarında yatmaktadır. Burada ihtiyaç duyulan şey, etkilenenler için daha az koruma değil, sağlayıcılar için açık kurallardır.

Grup ayrıca federal hükümette bilgi edinme özgürlüğünü sınırlama planlarını da sert bir şekilde eleştirdi. Gelecekte yetkililere yapılan başvurular yalnızca özel ilgi sahibi gerçek kişilere açık olabilecektir. Dernekler, STK'lar ve hatta belki medya bile muhtemelen yasanın dışında tutulacak. Ayrıca, önceden sınırlı olan araştırma maliyetleri aşırı derecede artabilir. Bleich, Heidrich ve Will bunu ölümcül bir sinyal olarak görüyor: Özellikle siyasete ve yönetime olan güvenin azaldığı zamanlarda devletin daha kapalı değil, daha şeffaf hale gelmesi gerekiyor.

9. madde uyarınca veri yönetimi

Haftanın cezası Fransa'dan geldi: Bir pazar araştırma şirketi, doğum yılı, cinsiyet, tanı ve semptomlar yeniden tanımlamayı kolaylaştırmasına rağmen 14.000 eczanenin verilerini “anonim” olarak raporladığı için 5 milyon euro ödemek zorunda kaldı. Grup için bu, takma ad ve anonimlik arasındaki farkın nasıl dikkatsizce ele alındığının önemli bir örneğidir.

Ana kısım, 9. Maddede atıfta bulunulan veri işlemeyle ilgilidir. Heidrich'e göre Will, şaşırtıcı derecede pragmatik bir şeyi anlatıyor: günlük hastane yaşamında, sanat. 9 Paragraf 2, işleme sözleşmesiyle birlikte neredeyse tüm işleme işlemleri için yasal dayanak olarak yeterlidir. Onay yalnızca birkaç durumda gereklidir; örneğin aile hekimlerine iletildiğinde veya araştırma çalışmaları için.

Sağlık verilerinin kullanımına ilişkin yeni yasayı, kalite ve hasta güvenliğine ilişkin mevcut verilerin dahili olarak değerlendirilmesini kolaylaştıran bir nimet olarak nitelendiriyor. Ancak Avrupa Sağlık Veri Alanı (EHDS) ve elektronik sağlık kaydı (ePA) sorunlar yaşamaya devam ediyor: şu ana kadar veriler yalnızca yapılandırılmamış belgeler olarak aktarıldı ve gerçek anlamda birlikte çalışabilirlik hâlâ çok uzakta.

Bilgi haklarının kötüye kullanılması

Tıbbi veri bilgisi talepleri özellikle zordur. Will, yeni ve ciddi teşhislerin filtrelenmeden ortaya çıkmaması ve öncelikle bir doktor eşliğinde ortaya çıkması için her talebin içeriğini doğrulamalıdır. Bilgi haklarının genellikle bir kontrol aracı olarak kötüye kullanıldığı çocuklar ve velayet anlaşmazlıkları nedeniyle işler karmaşıklaşıyor. Will'in vardığı sonuç: Klinikte veri koruması yalnızca tıp, BT ve idare arasında orantı duygusu, deneyim ve yakın işbirliği ile çalışır.

Bölüm 163:

Önceki tüm bölümleri burada bulabilirsiniz:

(kabarık)