Ergebnisbericht

definiert seien. Sie bittet um eine verständliche und klare Formulierung. Die FRC bittet ebenfalls um die Klärung der Modalitäten und insbesondere der Frist für die Meldungen von Vorfällen im System. Die Reaktion müsse möglichst unmittelbar erfolgen.

Die SQS macht geltend, dass Zertifizierungsstellen ausschliesslich für die Zertifizierung nach Massgabe der Zertifizierungsvorschriften zuständig seien und jährlich die Stammgemeinschaften und Gemeinschaften nach Zertifizierungsverfahren auditieren würden. Ihnen komme keine Rolle im operativen Geschäft in der Zeit zwischen den Audits zu. Daher seien Vorfälle nach Absatz 2 lediglich ans BAG resp. nicht an Zertifizierungsstellen zu melden. Mittels Artikel 36 Absatz 1 Buchstabe c sowie Artikel 37 Absatz 3 Buchstabe a dieser Verordnung könne das BAG die Zertifizierungsstellen einbeziehen, falls aufgrund von Meldungen über wesentliche, sicherheitsrelevante Vorfälle mittels einer Überprüfung durch die Zertifizierungsstelle drohende Verletzungen des Datenschutzes und der Datensicherheit verhindert werden müssten. Die OFAC schreiben, dass der EDÖB zur Gewährleistung seiner Unabhängigkeit beim Bund angegliedert sei. Es sei normalerweise Sache des Bundes, die Schwere eines Vorfalles zu bewerten und über Massnahmen betreffend den involvierten Parteien zu entscheiden. Dies sei in diesem Falle für das EDI und BAG das gleiche.

Absatz 3: Gemäss der SGMI sei sicherzustellen, dass die Anforderungen in Bezug auf Datenschutz und Datensicherheit kongruent mit dem Datenschutzgesetz seien und nicht weiter gingen. Ähnlich schreibt das LUKS, dass keine Überregulierung erfolgen solle, sondern das Datenschutzgesetz auch hier gelte. Eine zusätzliche Regelung sei nicht nötig, womit Absatz 3 überarbeitet werden sollte. Die ISSS und die Tessaris schlagen folgenden Zusatz bezüglich Absatz 3 vor: „[…] Datenschutz und Datensicherheit und deren Anpassung an die Entwicklung der Bedrohungslage fest“. Die SQS weist analog ihres Kommentars von Absatz 1 darauf hin, dass bei einer Wahl der Zertifizierung nach VDSZ, die Anforderungen in den „Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem“ vom 19. März 2014 des EDÖB definiert seien. Dementsprechend müssten nur zusätzliche Erfordernisse festgehalten werden. Die OFAC sind der Meinung, dass die Anforderungen in Bezug auf den Datenschutz von einem Eidg. Departement, anstatt eines Dienstes des EDÖB, festgelegt werden sollten. Mit der Festlegung der Anforderungen komme auch die Kontrolle deren Einhaltung. Die Dienste des EDÖB seien in der Bundeskanzlei angesiedelt. Dadurch werde die Neutralität der Kontrollen sowie der Überwachung gewährleistet. Eine Überwachung, die durch das BAG durchgeführt wird, sei nicht neutral, insbesondere hinsichtlich den zentralen Forschungsdiensten, welchen unter der BAG-Verantwortung bleiben.

Absatz 4: Der KDSBSON, der DSBAG, die privatim sowie die Kantone BE und FR erachten diese Regelung aus datenschutzrechtlicher Sicht als zwingend, da es sich bei Gesundheitsdaten um besonders schützenswerte Personendaten handle und im Rahmen des elektronischen Patientendossiers auch die Gefahr der Entstehung von Persönlichkeitsprofilen bestehe. Es sei zusätzlich zu prüfen, ob nicht auch der Firmensitz und der Arbeitsplatz aller involvierten Mitarbeitenden zwingend in der Schweiz sein müssen. Ähnlich weist der Kanton TG darauf hin, dass eine Bearbeitung der Daten im Ausland zu vermeiden sei und der Absatz entsprechend ergänzt werden müsse. Die ISSS macht einen konkreten Formulierungsvorschlag: „Die Datenleitungen, Datenverbindungen, Datenübermittlung, Datenspeicherung und Datenverarbeitung müssen sich in der Schweiz befinden und dem Schweizer Recht unterstehen“. HIN verstehe und unterstütze die Intention von Absatz 4. Sie fügt an, dass juristische Personen explizit erwähnt werden sollten und schlägt dementsprechend folgende Formulierung vor: „Leistungen zur Datenspeicherung müssen von juristischen Personen erbracht werden, die in der Schweiz domiziliert sind und Schweizer Recht unterstehen. Die Datenspeicher müssen […]“.

Art. 12 Kontaktstelle für Gesundheitsfachpersonen

Die Gemeinschaften müssen für die Gesundheitsfachpersonen eine Kontaktstelle bezeichnen, die diese im Umgang mit dem elektronischen Patientendossier unterstützt.

CURAVIVA, der Insos und der Kanton AG begrüssen die Einrichtung von Kontaktstellen für die Gesundheitsfachpersonen. Der SBK, die SWOR und Physioswiss erachten eine kompetente Unterstützung der Gesundheitsfachpersonen als entscheidenden Erfolgsfaktor für die erfolgreiche Realisierung des elektronischen Patientendossiers. Der senesuisse begrüsst die Schaffung solcher Anlaufstellen