Ergebnisbericht

5. Datenschutz: Der Kanton SG fragt, was als Reklamation gelte und spricht sich für eine genaue Definition aus.

3.2.7 Art. 7 Mindestanforderungen an das Personal (Anhang 7)

Art. 7 Mindestanforderungen an das Personal

Die Mindestanforderungen an die Qualifikation des Personals nach Artikel 27 Absatz 4 EPDV, welches Zertifizierungen durchführt, sind in Anhang 7 festgelegt.

Artikel 7: Die SGMI macht geltend, dass die Anforderungen an die Zertifizierung Personal sehr hoch seien. Die SQS wiederholt ihre Stellungnahme von Artikel 27 Absatz 4 EPDV und fordert die ersatzlose Streichung von Artikel 7.

Anhang 7

Bezüglich Ziffer 1.1.1 schreibt die SQS, dass die ‘Technischen und Organisatorischen Voraussetzungen’, welche Gemeinschaften und Stammgemeinschaften zu erfüllen haben, primär keine Inhalte aufweisen, welche spezifische Kenntnisse in Medizininformatik bedingen würden, um eine regelkonforme Überprüfung im Rahmen der Zertifizierung zu garantieren. Des Weiteren sollen gemäss dem erläuternden Bericht zum EPDG die Anforderungen an die Kompetenz einer Zertifizierungsstelle in Anwendung von international breit abgestützten Grundsätzen und Verfahren festgelegt werden. Falls die Zertifizierung nach VDSZ als Zertifizierungsnorm gewählt werde, seien die Bedingungen für das Personal der Zertifizierungsstellen bestimmt, indem die VDSZ im Anhang die Mindestanforderungen an die Qualifikation des Personals der Zertifizierungsstellen regelt. Ebenso werden in ISO/IEC 27006 (falls nach ISO 27001 zertifiziert wird) oder ISO 17021 die Kompetenzen des Personals geregelt. Im Rahmen von Ziffer 1.1.5 fügt die SQS zudem an, dass die ISO/IEC 27006 nur dann relevant sei, wenn nach ISO/IEC 27001 zertifiziert werden müsse. Auch in diesem Fall seien die Anforderungen an die Qualifikation des Personals der Zertifizierungsstelle durch die Akkreditierung gegeben. Die Ziffern 1.1.1 und 1.1.5 seien ersatzlos zu streichen. HIN plädiert bezüglich den Ziffern 1.1.1, 1.1.2, 1.1.3, 2.1.1, 2.1.2 und 2.1.3, dass 5 Jahre Berufserfahrung (anstatt 2) zu bevorzugen sei, falls eine spezifische Ausbildung fehlt. 2 Jahre seien ausreichend in Kombination mit einer zusätzlichen Ausbildung. Zusätzlich schreibt HIN, dass eine konkret geforderte Anzahl Berufsjahre in den entsprechenden Sparten (Medizininformatik, Datenschutz) mit 2 Jahren Berufserfahrung oder 1 Jahr Ausbildung als an der unteren Grenze liegend erscheine. Für derart wichtige Tätigkeiten wie Zertifizierungen in sensiblen Bereichen wie Patientendaten erscheinen Personen mit mehr Erfahrung notwendig. HIN begrüsst aber, dass die ID-Provider wie auch Gemeinschaften zertifiziert werden sollen. Für die SGMI, die FMH und das LUKS sind die Anforderungen an die Zertifizierungsstellen zu hoch angesetzt, was den Wettbewerb gering und die Kosten hochtreiben werde. Trotz diesen überaus anspruchsvollen Anforderungen dürfte im täglichen Betrieb keine Verbesserung der Datensicherheit erreicht werden. Diese hänge erfahrungsgemäss mehr vom Nutzerverhalten, als von den technischen Schutzmassnahmen ab. Lovis schreibt, dass die Zuverlässigkeit und Verantwortung gewährleistet werden müsse. Die OFAC weist bezüglich Ziffer 1.1.2 darauf hin, dass eine juristische Inkohärenz bestehe. Die Gemeinschaften, die als kantonale Stelle durch die Kanton verwaltet werden, würden unter das kantonale Datenschutzrecht fallen. Es bestünden grosse Unterschiede: Kein Kanton sehe in seinem eigenen Datenschutzrecht die Einführung eines Datenschutzmanagementsystems vor, die mit der DSG- und EDÖB-Doktrin über Selbstregulierung in Widerspruch stehe. Kein Kanton sehe in seinem eigenen Datenschutzrecht zudem ein Zertifizierungsverfahrensprozess vor. Weiter schreibt die OFAC, dass sie nicht direkt von diesem Anhang betroffen sei und möchte, dass die auf die Zertifizierungsorganisationen anwendbaren Anforderungen nicht von denen, die bereits in Kraft und von der Schweizerischen Akkreditierungsstelle (SAS) verwaltet sind, abweichen.

3.2.8 Art. 8 Schutz der Identifikationsmittel (Anhang 8)