Ergebnisbericht

6 Stellungnehmende⁴⁵ erachten es als zielführender, die Vorgaben in Ziffer 11, die in Bezug auf den Datenschutz und die Datensicherheit erfüllt sein müssen, generell-abstrakt zu nennen. Es sei den Gemeinschaften und Stammgemeinschaften sowie Leistungserbringern zu überlassen, wie sie diese Vorgaben einhielten. Artikel 11 sei dementsprechend vollständig zu überarbeiten. Die Post schlägt die Veröffentlichung einer Liste mit den Rollen, welche eine Gemeinschaft besetzen müsse, vor. Denkbar wäre diesbezüglich auch ein Kapitel in den Erläuterungen. Der VAKA und der Kanton AG schreiben, dass ein Datenschutz- und Datensicherheitsmanagementsystem aus datenschutzrechtlicher Sicht zu begrüssen sei, es führe aber zu Aufwand für die Gemeinschaften. Sie wünschen die Aufnahme von Hinweisen in den Erläuterungen, wie diese Aufwände zu verhindern seien, z.B. dass mehrere Gemeinschaften gemeinsam eine unabhängige Person als Datenschutzverantwortliche(n) mandatieren oder anstellen können. Des Weiteren bezeichnet der Kanton AG die Formulierung der Verschlüsselungsthematik als schwammig. Die Vorgabe zur Verschlüsselung dürfe nicht erst in der TOZ, sondern bereits in der EPDV verankert werden. Die SMCF schreibt, dass es angesichts dieser Anforderungen legitim scheine, die Anzahl Gemeinschaften auf 10 und nicht auf 20 bis 40 zu beschränken. Gemäss dem VGIch solle die Zuständigkeit bezüglich Datenschutz und Datensicherheit der Gemeinschaften am Leistungsübergabepunkt bzw. der Schnittstelle für Abfragen und Dokumenten-Einstellung der angeschlossenen Institution enden. Zur Regelung sei ein zusätzlicher Absatz in Artikel 11 aufzunehmen. Zusätzlich weist der VGIch darauf hin, dass Vorgaben und Ausführungen in der TOZ nicht in die Primärsysteme eingreifen dürfen und falls doch, höchstens Vorgaben im Sinne von allgemeinen Grundsätzen der Datensicherheit bestimmt werden sollten.

Absatz 1: Die FMH weist darauf hin, dass die Vorgaben des Datenschutzgesetzes anzuwenden seien und keine Überregulierung erfolgen solle. Die SQS macht betreffend der Formulierung von Absatz 1 folgenden Vorschlag: „Gemeinschaften müssen nach Art. 11 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz zertifiziert sein. Sie müssen ein Datenschutz- und Datensicherheitsmanagementsystem betreiben. Dieses muss die Anforderungen des Art. 4 Abs. 2 Verordnung über die Datenschutzzertifizierung VDSZ vom 28. September 2007 und der Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem (Richtlinien über die Zertifizierung von Organisation und Verfahren) vom 19. März 2014 des EDÖB erfüllen. Dieses muss[…]“. Zusätzlich machen sie in ihrem Kommentar einen weiteren, alternativen Formulierungsvorschlag, welcher einen Verweis auf die international anerkannten ISO-Normen ISO 9001 und ISO/IEC beinhaltet. Die OFAC macht darauf aufmerksam, dass die Gemeinschaften als kantonale Organe den kantonalen Datenschutzbestimmungen unterliegen werden. Einige wichtige Konzepte des Datenschutzes, wie das Datenschutz- und Datensicherheitsmanagementsystem sowie der Zertifizierungsprozess würden in den meisten kantonalen Gesetzgebungen nicht existieren. Es sei zudem zu beachten, dass die Unterschiede zwischen den kantonalen Gesetzen sehr wichtig seien. Die Leitlinien für Mindestanforderungen des EDÖB, die für Datenschutz- und Datensicherheitsmanagementsysteme gelten, müssen für alle Arten von Organisationen gelten. Economiesuisse, SBC, die HL7 und IHE fordern, dass Gemeinschaften das Datenschutz- und Datensicherheitsmanagementsystem delegieren können, da es sonst die Kosten unnötig in die Höhe treibe. Konkret fordern sie folgenden Zusatz bei Absatz 1: „[…] betreiben, oder durch Delegation betreiben lassen. Dieses muss […]“.

Absatz 1 Buchstabe a: Das LUKS fordert die Streichung von Buchstabe a. Die Anforderungen, die Aufgaben und der Nutzen des Datenschutzverantwortlichen seien unklar. Dieser Ansicht sind auch die GDK und 6 Kantone⁴⁶. Sie sowie 6 weitere Stellungnehmende⁴⁷ fordern, dass auf spezielle Datenschutz- und Sicherheitsverantwortliche zu verzichten sei. Der Kanton AI empfiehlt, auf die Einsetzung einer unabhängigen Stelle zu verzichten, wenn der zuständige Datenschutzbeauftragte Kapazitäten habe, diese Aufgabe zu übernehmen.