Erläuternder Bericht

Patientin aus allen abfragbaren Systemen der Gemeinschaft (Dokumentenregister, Dokumentenablagen, Patientenindex, etc.) zu löschen (vgl. Ziff. 2.1.1.2 der TOZ). Die Verantwortung zur Information einer Gemeinschaft über die Aufhebung eines elektronischen Patientendossiers liegt bei der Stammgemeinschaft des betroffenen Patienten oder der betroffenen Patientin (vgl. Art. 20 Abs. 2 Bst. a Ziff. 1). Protokolldaten und Daten in den nicht abfragbaren Primärsystemen sowie in Datensicherungen sind davon nicht betroffen.

Aus Datenschutz- und Datensicherheitsgründen dürfen die behandlungsrelevanten Daten des elektronischen Patientendossiers nach Buchstabe c nur in ausschliesslich für diesen Zweck vorgesehenen «sekundären» Dokumentenablagen der Gemeinschaft oder deren Gesundheitseinrichtungen gespeichert werden. In diesen Dokumentenablagen dürfen darüber hinaus nur Dokumente des elektronischen Patientendossiers gespeichert werden. Gesundheitsfachpersonen erfassen somit jeweils Kopien der in ihren Primärsystemen erstellten Daten und Dokumente. Ziel der Regelung ist es, dass die Dokumente des elektronischen Patientendossiers technisch von den Dokumenten in den «primären» Dokumentenablagen der Primärsysteme getrennt gehalten werden (vgl. Ziff. 2.2 der TOZ): Die Daten des elektronischen Patientendossiers unterliegen anderen Aufbewahrungs- und Löschpflichten als die Daten der Primärsysteme und müssen beispielsweise nach 10 Jahren (Abs. 1 Bst. a) oder nach einer Aufhebung des elektronischen Patientendossiers (Abs. 1 Bst. b) vollumfänglich respektive auf Wunsch des Patienten oder der Patientin (Abs. 2 Bst. b und c) selektiv gelöscht werden. Zudem würden Dokumentenablagen mit einer hybriden Nutzung oder einem über das elektronische Patientendossier hinausgehenden Datenbestand (beispielsweise ein zugleich intern genutztes «Archivsystem» eines Spitals) ein unverhältnismässiges Risiko für den Datenschutz und die Datensicherheit darstellen, da sich solche Systeme nicht genügend gut von grösseren Benutzergruppen und Netzwerkbereichen abschotten lassen und zudem das Risiko der «Diffusion» von Daten in das elektronische Patientendossier und vice versa bestünde. Unabhängig davon, ob die Trennung physikalisch (d. h. durch eigene Hardware) oder logisch (z. B. durch getrennte Datenbanken, virtuelle Maschine, Mandantentrennung, etc.) geschieht, muss die Isolation der «sekundären» Dokumentenablagen von den «primären» Daten der Primärsysteme eine sichere Abschottung erlauben und eine unbeabsichtigte «Durchlässigkeit» (sog. «Isolationsversagen») mit technischen Mitteln sicher verhindern.

Absatz 2

Aufgrund des informationellen Selbstbestimmungsrechts kann die Patientin oder der Patient selber über den Inhalt ihres bzw. seines elektronischen Patientendossiers entscheiden. Daraus ergeben sich für sie oder ihn die in Absatz 2 erwähnten Möglichkeiten (vgl. Ziff. 2.3 der TOZ).

Das EPDG statuiert in Artikel 3 Absatz 2 die Vermutung, dass Gesundheitsfachpersonen davon ausgehen dürfen, dass Patientinnen und Patienten, die ein elektronisches Patientendossier erstellt haben, wünschen, dass ihre Daten dort erfasst werden. Nach Absatz 2 Buchstabe a EPDV kann der Patient oder die Patientin dieser Vermutung im Einzelfall widersprechen und Gesundheitsfachpersonen jederzeit anweisen, bestimmte Dokumente nicht in seinem oder ihrem elektronischen Patientendossier zu erfassen.

Der Patient oder die Patientin kann nach Buchstabe b verlangen, dass Dokumente, die gemäss Absatz 1 gelöscht werden sollen, weil die zehnjährige Aufbewahrungsfrist abgelaufen ist, weitere zehn Jahre im elektronischen Patientendossier verfügbar bleiben.

Buchstabe c räumt den Patientinnen und Patienten das Recht ein, zu veranlassen, dass bestimmte auf sie oder ihn bezogene Daten des elektronischen Patientendossiers gelöscht werden. Dabei müssen die entsprechenden Einträge aus den Dokumentenregistern, sowie die Dokumente aus den Dokumentenablagen des elektronischen Patientendossiers gelöscht werden. Für Dokumente, die nicht gemäss Absatz 1 Buchstabe c als Kopie aus den gemeinschaftsinternen Dokumentenablagen, direkt aus den «primären» Dokumentenablagen der Primärsysteme abgerufen werden, ist lediglich der Eintrag im Dokumentenregister zu löschen, damit geltende Dokumentations- und Aufbewahrungspflichten der Gesundheitsfachpersonen nicht tangiert werden.