European Health Data Space – Daten im Dienst der Gesundheit Der Datenschutz endet nicht vor den Datenräumen

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Virtuelle Datenräume dienen dem sicheren Austausch von Dokumenten, zum Beispiel bei einer Due Diligence. Auch im Gesundheitswesen soll es einen entsprechenden Datenraum geben, den European Health Data Space. Doch trotz hoher Sicherheit könnte dort der Datenschutz beschränkt sein, so warnen die Aufsichtsbehörden in der EU. Stehen Datenräume nicht automatisch für Datenschutz?

Die Europäische Kommission hat den europäischen Raum für Gesundheitsdaten (European Health Data Space – EHDS) auf den Weg gebracht, der einer der zentralen Bausteine einer starken europäischen Gesundheitsunion werden soll.

Der EHDS soll es den Menschen in ihrem jeweiligen Heimatland oder in anderen Mitgliedstaaten ermöglichen, ihre Gesundheitsdaten zu kontrollieren und zu nutzen, einen Binnenmarkt für digitale Gesundheitsdienste und -produkte unterstützen und einen kohärenten, vertrauenswürdigen und effizienten Rahmen für die Nutzung von Gesundheitsdaten für Forschung, Innovation, Politikgestaltung und Regulierungstätigkeiten schaffen.

Der Vizepräsident der Europäischen Kommission, Margaritis Schinas, erklärte: „Heute legen wir das Fundament für einen sicheren und vertrauenswürdigen Zugang zu Gesundheitsdaten, der voll und ganz mit den Grundwerten der EU im Einklang steht.”

EU-Gesundheitskommissarin Stella Kyriakides betonte: „Der europäische Raum für Gesundheitsdaten ist ein grundlegender Umbruch im digitalen Wandel der Gesundheitsversorgung in der EU. Er stellt die Bürgerinnen und Bürger in den Mittelpunkt und ermöglicht ihnen die vollständige Kontrolle ihrer Daten mit dem Ziel, eine bessere Gesundheitsversorgung in der gesamten EU zu erreichen. Diese Daten, auf die unter Gewährleistung strikter Garantien für den Schutz der Privatsphäre und der Sicherheit zugegriffen wird, werden auch Wissenschaftlern, Forschenden, Innovatoren und politischen Entscheidungsträgern, die an künftigen lebensrettenden Behandlungsmethoden arbeiten, von hohem Wert sein.“

Den Menschen Kontrolle über ihre persönlichen Gesundheitsdaten geben

Dank des EHDS erhalten die Menschen einen kostenlosen, unmittelbaren und einfachen Zugang zu den Daten in elektronischer Form, so die EU-Kommission. Die Bürgerinnen und Bürger werden die vollständige Kontrolle über ihre Daten übernehmen und in der Lage sein, Informationen hinzuzufügen, falsche Daten zu berichtigen, den Zugang für andere zu beschränken und Informationen darüber zu erhalten, wie und zu welchem Zweck ihre Daten verwendet werden.

Doch dieser Datenraum soll noch mehr leisten: Der europäische Raum für Gesundheitsdaten soll einen soliden Rechtsrahmen für die Verwendung von Gesundheitsdaten für Forschung, Innovation, Gesundheitswesen, Politikgestaltung und Regulierungszwecke schaffen.

Für den Zugang zu solchen Daten durch Forschende, Unternehmen oder Einrichtungen wird eine Genehmigung von einer der in allen Mitgliedstaaten einzurichtenden Zugangsstellen für Gesundheitsdaten erforderlich sein. Der Zugang wird nur gewährt, wenn die angeforderten Daten zu bestimmten Zwecken sowie in geschlossenen sicheren Umgebungen verwendet werden und ohne dass die Identität der betroffenen Person offengelegt wird. Es ist auch streng verboten, die Daten für Entscheidungen zu verwenden, die sich nachteilig auf Bürgerinnen und Bürger auswirken, wie z. B. das Konzipieren schädlicher Produkte oder die Erhöhung einer Versicherungsprämie.

Eigentlich klingt dies nach einem wünschenswerten Konzept für den Datenschutz, wie man es auch bei einem sicheren Datenraum in der EU erwarten würde. Trotzdem sehen die Aufsichtsbehörden für den Datenschutz Bedarf, auf einige Punkte in dem Konzept des EHDS hinzuweisen.

Der Datenschutz im Datenraum

Der EHDS baut auf der Datenschutz-Grundverordnung (DSGVO), dem Vorschlag für ein Daten-Governance-Gesetz, dem Entwurf eines Datengesetzes und der NIS-Richtlinie auf, so die EU-Kommission. Demnach ergänzt der EHDS die genannten Initiativen und bietet maßgeschneiderte Vorschriften für den Gesundheitssektor, wo dies erforderlich ist.

Aus Sicht der EU-Kommission baut der EHDS auch auf der durch die DSGVO eröffneten Möglichkeit auf, ein EU-Gesetz zur Unterstützung der Verwendung von Gesundheitsdaten für Diagnose- und Behandlungszwecke sowie für Forschungszwecke, Statistiken oder im öffentlichen Interesse vorzulegen.

Allerdings: Eine zusätzliche Regelung für den Datenschutz darf nicht der DSGVO zuwiderlaufen. Insofern ist es interessant zu sehen, was der Europäische Datenschutzausschuss (EDSA) zu dem EHDS zu sagen hat.

Die Frage nach dem Verwendungszweck

Für den Datenschutz sind Konzepte, bei denen große Datenmengen mehr oder weniger zentral gesammelt und gespeichert werden sollen, immer etwas, was man sich genauer ansehen sollte.

Ein wesentliches Problem bei großen Datenmengen und verschiedenen Nutzergruppen für diese Daten besteht darin, dass die Daten von einer Gruppe zu einem bestimmten Zweck erhoben und gespeichert worden sind, womöglich aber dann von einer anderen Gruppe zu einem anderen Zweck ausgewertet werden könnten.

Hierzu sagt die EU-Kommission: Die Verarbeitung elektronischer Gesundheitsdaten ist für die Sekundärnutzung nur für in der Verordnung vorgesehene bestimmte Zwecke auf der Grundlage einer von einer Datenzugangsstelle erteilten Genehmigung möglich. Es wird verboten sein, Daten zu verwenden, um Entscheidungen zu treffen, die Einzelpersonen schaden, oder um Gesundheitsprodukte an Angehörige der Gesundheitsberufe oder Patientinnen und Patienten zu verkaufen.

Was aber sagt der Europäische Datenschutzausschuss sowie der Europäische Datenschutzbeauftragte (EDPS) dazu? Und sind alle Zwecke, die die Verordnung für einen EHDS vorsieht, auch im Sinne der Betroffenen?

Betroffenenrechte auch in Datenräumen vollständig gewährleisten

Die EU-Datenschützer haben einige Bedenken zum EHDS angemeldet. So erklären der EDSA und der EDPS: „Obwohl die Bemühungen um eine Stärkung der Kontrolle und der Rechte der betroffenen Personen über ihre persönlichen Gesundheitsdaten begrüßenswert sind, sollte hervorgehoben werden, dass dieser Vorschlag hauptsächlich einige „Ergänzungen“ zu einigen der Rechte der betroffenen Personen vorsieht, die bereits in der DSGVO vorgesehen sind“.

Nun folgt der wichtige Hinweis: „Tatsächlich kann der Vorschlag sogar den Schutz der Rechte auf Privatsphäre und Datenschutz schwächen, insbesondere in Anbetracht der Kategorien personenbezogener Daten und Zwecke, die mit der sekundären Verwendung von Daten zusammenhängen“.

Welche Datenrisiken aus bestimmten „sekundären Nutzungen“ der Daten entstehen könnten, erläutern die Datenschützer so: „Der EDSA und der EDPS erkennen die Bestimmungen an, die darauf abzielen, die Interoperabilität elektronischer Patientenakten zu verbessern und die Konnektivität von Wellness-Apps mit solchen elektronischen Patientenakten zu erleichtern“.

Aber: „Der EDSA und der EDSB sind jedoch der Meinung, dass letztere nicht in die sekundäre Verwendung von Gesundheitsdaten aufgenommen werden sollten. Erstens, weil Gesundheitsdaten, die von Wellness­anwendungen und anderen digitalen Gesundheitsanwendungen generiert werden, nicht die gleichen Datenqualitätsanforderunmgen und -eigenschaften haben wie die von medizinischen Geräten generierten. Darüber hinaus erzeugen diese Anwendungen enorme Datenmengen und können sehr invasiv sein, da sie sich auf jeden Schritt beziehen, den Einzelpersonen in ihrem täglichen Leben unternehmen. Selbst wenn Gesundheitsdaten tatsächlich von anderen Arten von Daten getrennt werden könnten, könnten leicht Rückschlüsse auf Ernährungsgewohnheiten und andere Gewohnheiten gezogen werden, die besonders sensible Informationen wie die religiöse Orientierung preisgeben“.

Es zeigt sich: Auch bei Projekten, die sichere Datenräume zum Gegenstand haben, sollten die Forderungen der Datenschutz-Grundverordnung (DSGVO) immer vollständig im Blick sein. Aufweichungen im Datenschutz sollte es auch in geschlossenen Datenräumen nicht geben, insbesondere dann, wenn es um so sensible Daten wie Gesundheitsdaten geht. Aber auch andere geplante Datenräume, zum Beispiel für Verkehrsdaten, sollten zum Beispiel immer die vollständigen Betroffenenrechte vorsehen, wie sie die DSGVO verlangt. Datenräume sollten immer einen höheren oder mindestens gleichwertigen Datenschutz bieten wie andere Formen der Datenverarbeitung.

(ID:48543976)