Erläuternder Bericht

Abfragen ausschliesslich die Patientenidentifikationsnummer als nationaler Identifikator zu verwenden ist und nicht etwa die AHVN13. In Ziffer 2 des Anhangs 5 der EPDV-EDI werden zudem vom EDI eigene, sogenannte «nationale Integrationsprofile» erlassen, um den Besonderheiten der dem elektronischen Patientendossier zugrundeliegenden «Architektur eHealth Schweiz» wie z. B. der dezentralen Datenhaltung und Patientenverwaltung Rechnung zu tragen. So regelt das nationale Integrationsprofil CH:ADR («Authorisation Decision Request») wie berechtigungsrelevante Informationen an die über den Zugriff entscheidende Stammgemeinschaft übermittelt werden und in der Folge das Ergebnis der Regelauswertung – die Zugriffsentscheidung – der anfragenden Gemeinschaft zurückgegeben wird. Das nationale Integrationsprofil CH:PPQ («Privacy Policy Query») wiederum ermöglicht die Änderung der Konfiguration der Berechtigungssteuerung durch den Patienten oder von der Patientin sowie von dazu ermächtigten Gesundheitsfachpersonen. Teil dieses nationalen Integrationsprofils ist zudem das technische Austauschformat, welches für die Übernahme der Konfiguration der Berechtigungssteuerung bei einem Wechsel der Stammgemeinschaft zu verwenden ist.

Integrationsprofil-übergreifende Anforderungen betreffen insbesondere die Sicherstellung der Integrität und Vertraulichkeit der übermittelten Daten. So sind für die Sicherstellung der Integrität von elektronischen Nachrichten vertrauenswürdige elektronische Zertifikate zu verwenden, mit denen die Authentizität von Nachrichten verifiziert werden kann (Vgl. Ziffer 2.09.22 der TOZ). In dem Zusammenhang ist für die in der Kommunikation und die Protokollierung notwendigen Zeitstempel die gesetzliche Zeit der Schweiz, verbreitet vom eidgenössischen Institut für Metrologie (METAS), zu verwenden. Die Uhren aller relevanten informationsverarbeitenden Systeme müssen daher mit der gesetzlichen Zeit der Schweiz synchronisiert sein (vgl. Ziff. 2.09.25 der TOZ).

Buchstabe e (Protokolldaten)

Nach Artikel 10 Absatz 1 Buchstabe a EPDG, ist jede Bearbeitung von Daten zu protokollieren. Für die Datenschutzkontrolle, insbesondere durch die Patientinnen und Patienten, bedarf es einer angemessenen Nachvollziehbarkeit der Bearbeitung der personenbezogenen Daten des elektronischen Patientendossiers durch eine aussagekräftige und revisionsfeste Protokollierung aller datenschutzrelevanten Ereignisse. Die Protokollierungsanforderungen gemäss Artikel 9 Absatz 3 Buchstabe e EPDV beziehen sich somit auf die aus Datenschutzsicht relevanten Aspekte, die in den TOZ konkretisiert werden (vgl. Ziff. 2.11 der TOZ).

Zu den zu protokollierenden Ereignissen zählen insbesondere die Bereitstellung und der Abruf von Dokumenten, die Änderung von Metadaten (z. B. der Vertraulichkeitsstufe), die Anpassungen an der Konfiguration der Berechtigungssteuerung sowie Authentisierungs- und Autorisierungsentscheide und die Daten, aufgrund derer diese Entscheide gefällt wurden. Die für die Ereignisse protokollierten Protokolldaten müssen Informationen darüber enthalten, wer, wann und wie auf welche Daten zugegriffen oder sie erstellt hat. Bei der Protokollierung muss zudem zwischen Zugriffen, die aus der Nutzung des elektronischen Patientendossiers resultieren und technisch-administrativen Zugriffen im Rahmen des Systembetriebs differenziert werden. Die Protokollinformationen für die Einsichtnahme durch den Patienten oder die Patientin enthalten mindestens folgende Angaben (vgl. Ziff. 2.10.4 der TOZ):

 Zeitpunkt des Zugriffs;

 die Kennung des jeweiligen Benutzers;

 die Kennung des zugreifenden Systems;

 die aufgerufene Transaktion (Suche, Bereitstellung, Lesen, Schreiben, Mutieren, etc.);

 der Kontext der Transaktion (z. B. Notfallzugriff);

 das betroffene Patientendossier;

 die betroffenen Daten oder Dokumente.

Andere Protokollierungen, die im Rahmen des technischen Betriebs erfolgen, aber nicht datenschutz- oder datensicherheitsrelevant sind (z. B. Betriebsparameter erfassen), sind nicht Gegenstand dieser Anforderung.

Damit die Patientin oder der Patient die dezentral anfallenden Protokolldaten, die die Bearbeitung des