Ein Pflegehelfer, der die medizinischen Unterlagen eines Bewohners auf einem gemeinsamen Tablet einsehen möchte, ein generisches Passwort, das auf dem Bildschirm des Pflegepostens klebt, ein IT-Dienstleister, der ohne Behandlungsvertrag auf die Verschreibungen zugreift: Diese Situationen existieren in vielen EHPADs. Sie setzen die Bewohner dem Risiko von Gesundheitsdatenlecks aus und die Einrichtung möglichen Sanktionen der CNIL.
Die Datensicherheit in EHPADs beschränkt sich nicht auf ein gut geführtes Verzeichnis der Behandlungen. Sie zeigt sich in den täglichen Handlungen des Personals, der Konfiguration der digitalen Werkzeuge und der Strenge der Zugriffsrechte.
Auch lesenswert : Wie man umweltfreundliche Grillpartys mit einem solarbetriebenen Drehspieß in Ihrem Garten organisiert
Verwaltung der Zugriffe auf die Bewohnerakten in EHPADs
Vor Ort kommt das größte Risiko nicht von einem Hacker. Es kommt von einem Benutzerkonto, das zwischen drei Pflegekräften geteilt wird, oder von einem standardmäßig der gesamten Mannschaft zugewiesenen Administratorkonto. Jeder Fachmann muss über einen namentlichen Zugang verfügen, dessen Rechte auf das beschränkt sind, was er zur Ausübung seiner Funktion benötigt.
Ein Pflegehelfer muss nicht die Briefe der Familien einsehen, die in der Verwaltungssoftware gespeichert sind. Eine Sekretärin muss nicht die Berichte der geriatrischen Konsultationen öffnen. Die Zugriffsrechte werden nach Beruf segmentiert, und diese Rechte werden bei jedem Stellenwechsel oder Austritt überprüft.
Auch lesenswert : Sollte man ein schlüsselfertiges Haus oder ein renovierungsbedürftiges Haus in Marrakesch kaufen?
Einrichtungen, die eine Pflegesoftware wie Netsoins verwenden, können auf Netsoins Domusvi zugreifen, um die besten Praktiken zur Konfiguration der Profile und zur Nachverfolgbarkeit der Verbindungen einzusehen.
Die Nachverfolgbarkeit bleibt ein häufiges blinder Fleck. Das Aktivieren der Verbindungsprotokolle ermöglicht es zu wissen, wer wann auf welches Dossier zugegriffen hat. Ohne diese Protokolle ist es unmöglich, einen unnormalen Zugriff zu erkennen oder auf eine Anfrage zur Ausübung von Rechten eines Bewohners oder seiner Familie zu reagieren.
Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten in EHPADs
Die RGPD-Konformität eines EHPADs beschränkt sich nicht darauf, eine Datenschutzrichtlinie in der Empfangshalle auszuhängen. Die CNIL erwartet, dass jede Verarbeitung personenbezogener Daten einer bestimmten, überprüften Rechtsgrundlage zugeordnet ist, und zwar Behandlung für Behandlung.
In der Praxis unterscheidet man mehrere Kategorien von Behandlungen, die in derselben Einrichtung koexistieren:
- Die medizinische Nachverfolgung und die Koordination der Pflege basieren auf der gesetzlichen Verpflichtung und dem Schutz lebenswichtiger Interessen (Artikel 9 der RGPD), nicht auf der Zustimmung des Bewohners.
- Die administrative Verwaltung (Abrechnung, Unterbringung, Sozialhilfen) stützt sich auf die Erfüllung des Aufenthaltsvertrags oder auf eine gesetzliche Verpflichtung.
- Die Videoüberwachung der Gemeinschaftsräume erfordert ein dokumentiertes berechtigtes Interesse, mit einer Verhältnismäßigkeitsanalyse.
- Die Fotos des Bewohners, die in einem internen Journal oder auf einer Website verwendet werden, erfordern hingegen eine freie und informierte Zustimmung, die vom Bewohner oder seinem gesetzlichen Vertreter eingeholt wird.
Diese Rechtsgrundlagen zu verwechseln, birgt ein doppeltes Risiko: eine Zustimmung dort zu verlangen, wo sie nicht erforderlich ist (was den Bewohner glauben lässt, er könne sich gegen die Pflege wehren), oder sie nicht dort zu verlangen, wo sie obligatorisch ist. Jede Behandlung wird im Register mit ihrem Zweck, ihrer Rechtsgrundlage, ihrer Aufbewahrungsdauer und ihren Empfängern dokumentiert.
Ransomware und Geschäftskontinuität in medizinisch-sozialen Einrichtungen
Die Bedrohung durch Ransomware bleibt für Gesundheits- und medizinisch-soziale Einrichtungen strukturell hoch. EHPADs sind Ziele, weil sie veraltete Informationssysteme, reduzierte IT-Teams und Gesundheitsdaten mit hohem Schwarzmarktwert kombinieren.
Wenn eine Ransomware den Server verschlüsselt, der die Pflegeakten hostet, bricht die Kontinuität der Versorgung zusammen. Kein Zugriff mehr auf die Verschreibungen, die dokumentierten Allergien, die individuellen Protokolle. Man kehrt zum Papier zurück, mit all den Fehlern, die dies mit sich bringt.
Konkrete Maßnahmen zur Cyber-Prävention in EHPADs
Prävention erfordert kein riesiges Budget. Sie basiert auf operativen Praktiken, die die Leitung und der IT-Beauftragte schrittweise umsetzen können:
- Regelmäßig getestete Offline-Backups: ein Backup, das noch nie wiederhergestellt wurde, garantiert nichts.
- Updates der Betriebssysteme und Fachsoftware sofort nach Veröffentlichung der Sicherheitskorrekturen.
- Schulung des Personals zu Phishing-E-Mails, mit kurzen und wiederholten Erinnerungen statt einer jährlichen Schulung, die am nächsten Tag vergessen wird.
- Segmentierung des Netzwerks: der Empfangsbereich sollte nicht im selben Segment wie der Server für medizinische Akten sein.
Die Meinungen über die ideale Häufigkeit der Wiederherstellungstests variieren, aber ein vierteljährlicher Test ist ein vernünftiges Minimum für eine Einrichtung mittlerer Größe.
Rolle des DPO und Schulung des Pflegepersonals zur RGPD
Die Ernennung eines Datenschutzbeauftragten (DPO) ist für EHPADs obligatorisch. Dieser DPO kann nicht der Direktor der Einrichtung oder ein Mitglied der Leitung sein, um Interessenkonflikte zu vermeiden. Der DPO kann ein geschulter Mitarbeiter oder ein externer Dienstleister sein, der auf dem medizinisch-sozialen Sektor spezialisiert ist.
Seine Rolle geht über die Erstellung von Dokumenten hinaus. Er überwacht die Einhaltung der Praktiken im Alltag, unterstützt die Teams in konkreten Situationen (ein Sohn eines Bewohners, der die vollständigen medizinischen Unterlagen anfordert, eine Anfrage zur Löschung von Daten, ein Sicherheitsvorfall) und sorgt für den Kontakt zur CNIL im Falle einer Kontrolle.
Schulung ohne das Pflegepersonal zu überfordern
Das Pflegepersonal wird sich nicht an ein zweistündiges E-Learning-Modul über die Prinzipien der RGPD erinnern. Was funktioniert, sind kurze Sitzungen, die sich auf die täglichen Handlungen konzentrieren: die Sitzung beim Verlassen des Arbeitsplatzes zu sperren, keine Gesundheitsdaten über unsichere Nachrichten zu übermitteln, jeden Verdacht auf unbefugten Zugriff sofort zu melden.
Diese Erinnerungen werden in bestehende Teambesprechungen integriert, anstatt ein zusätzliches Ereignis zu schaffen. Eine prägnante Anzeige in der Nähe der Computerarbeitsplätze ergänzt die Maßnahmen, ohne die Arbeitsbelastung zu erhöhen.
Der Schutz der personenbezogenen Daten der Bewohner in EHPADs hängt ebenso von der technischen Konfiguration ab wie von der Kultur des Teams. Ein aktuelles Verzeichnis der Behandlungen, namentliche Zugänge, getestete Backups und ein DPO, der in den tatsächlichen Betrieb der Einrichtung eingebunden ist, bilden ein solides Fundament. Das letzte Glied bleibt der Reflex jedes Fachmanns, der diese Daten täglich verarbeitet.