Erläuternder Bericht

Nach Buchstabe d muss aus der Information hervorgehen, wie und wem Zugriffsrechte vergeben werden können (vgl. Ziff. 6.1.4 der TOZ). Dazu gehört die Information über die nach Eröffnung geltenden Einstellungen bezüglich Vertraulichkeitsstufen (Art. 1 Abs. 2) und Zugriffsrechten (Art. 2 Abs. 2) und über die Möglichkeit, diese anzupassen (vgl. dazu die Erläuterungen zu Art. 3), die Information, dass und wie Zugriffsrechte angepasst oder entzogen werden können und die Information, dass die Möglichkeit besteht, einzelne Gesundheitsfachpersonen vollständig vom Zugriff auszuschliessen (sog. Ausschlussliste; Art. 9 Abs. 3 EPDG).

Die Patientin bzw. der Patient ist nach Absatz 2 zudem darüber zu informieren, welche Sicherheitsvorkehrungen empfohlen werden (vgl. Ziff. 6.1.5 der TOZ). Dazu gehören z.B. Hinweise zum sicheren Umgang mit der elektronischen Identität, mit dem Identifikationsmittel und mit Passwörtern, die Aufklärung über Risiken und Verhaltensempfehlungen zur Abwehr von patientengerichteten Bedrohungen wie «Social Engineering», «Phishing» u.ä., Hinweise zur Verwendung sicherer Endgeräte und Webbrowser sowie zum Einsatz von Schutzprogrammen gegen Schadprogramme oder Netzwerk-Bedrohungen.

Art. 15 Einwilligung

Das Gesetz sieht vor, dass die Einwilligung schriftlich erteilt werden muss. Absatz 1 präzisiert, dass die Einwilligung eigenhändig zu unterschreiben ist. Die gesetzliche Formvorschrift muss auch eingehalten werden, wenn die Einwilligung auf elektronischem Weg erteilt wird. Das Obligationenrecht regelt hier unter welchen Bedingungen die elektronische Unterschrift der eigenhändigen gleichgestellt ist, nämlich dann, wenn eine elektronische Unterschrift verwendet wird, die den Anforderungen von Art. 14 Abs. 2^bis OR⁷ genügt (qualifizierte elektronische Signatur im Sinne des Bundesgesetzes über die elektronische Signatur, ZertES⁸). Ist diese Voraussetzung erfüllt, gilt die Schriftform als eingehalten. Die Nachvollziehbarkeit der elektronischen Abgabe der Einwilligung wird über die Protokollierung sichergestellt.

Art. 16 Verwaltung

Stammgemeinschaften müssen nach Absatz 1 geeignete Prozesse für die Verwaltung der Patientinnen und Patienten definieren, dokumentieren, umsetzen und einhalten (vgl. Ziff. 8 der TOZ).

Buchstabe a fordert von den Stammgemeinschaften Regelungen für die übergreifenden Prozesse zur Erstellung und Aufhebung des elektronischen Patientendossiers und dem damit verbundenen Eintritt eines Patienten oder eine Patientin in die – respektive dessen oder deren Austritt aus der – Stammgemeinschaft. Massgeblich für den Eintrittsprozess sind die Buchstaben b bis d, die Vorgaben zur Information der Patientinnen und Patienten nach Artikel 14, sowie die Regelung zum Einholen der Einwilligung nach Artikel 15. Für den Austrittsprozesses sind die Vorgaben nach Artikel 20 massgeblich – sofern es sich um eine Aufhebung des elektronischen Patientendossiers handelt – beziehungswiese die, in der Ziffer 8.4 der TOZ weiter konkretisierten, Anforderungen an den Wechsel der Stammgemeinschaft (Bst. e).

Möchte ein Patient oder eine Patientin ein elektronisches Patientendossier erstellen, widerrufen oder die Stammgemeinschaft wechseln, so muss sichergestellt werden, dass es sich dabei um die korrekte Person handelt (vgl. Ziff. 8.2 der TOZ). Stammgemeinschaften müssen dazu die Patientin oder den Patienten nach Buchstabe b sicher identifizieren. Die Ziffer 8.2.2 der TOZ konkretisiert, dass, sofern dies nicht mit einem Identifikationsmittel eines nach Artikel 30 zertifizierten Herausgebers durchgeführt werden kann, die Anforderungen nach Artikel 23 erfüllt werden müssen. Eine sichere und möglichst eindeutige Identifikation ist nicht zuletzt auch die Voraussetzung für die korrekte Zuweisung der Patientenidentifikationsnummer nach Buchstabe d.

Buchstabe c legt fest, dass Stammgemeinschaften sicherstellen müssen, dass – analog wie bei den