Patientenakten-Schnüffelei in UK: ICO nimmt 200 Klinikchefs in die Pflicht

Was verlangt die Datenschutzbehörde von den Chefs?

ICO-Chef Paul Arnold schreibt in einem dreiseitigen Brief, Vertrauen in die Mitarbeiter genüge nicht. Er will wissen, wer Akten einsehen darf, ob jemand kontrolliert, was angesehen wird, und was passiert, wenn jemand erwischt wird. Verdachtsfälle sollen zügig untersucht, Patienten wenn nötig informiert und Konsequenzen gezogen werden.

Antworten sind bis zum 27. November fällig. Wer seine Schutzmaßnahmen in den letzten sechs Monaten nicht geprüft hat oder mit dem Ergebnis unzufrieden ist, bekommt weitere drei Monate. Arnold droht zudem mit Durchsetzungsmaßnahmen gegen Einrichtungen mit unzureichendem Schutz.

Wie kommt es dazu?

Meist ist es kein Hacking. Viele Beschäftigte haben für ihre Arbeit ohnehin Zugriff. Problematisch wird es, wenn sie damit Nachbarn, Ex-Partner oder Menschen aus den Nachrichten nachschlagen. Manche neueren elektronischen Patientenaktensysteme können verdächtige Zugriffe in Echtzeit melden, doch laut NHS England hängt die Überwachung von der installierten Technik ab.

Nicht die erste Warnung

Im Juli warnte NHS England, unbefugte Zugriffe könnten den Job kosten oder sogar ins Gefängnis führen. Anlass waren Fälle, in denen Akten von Opfern aufsehenerregender Verbrechen, etwa der Angriffe in Nottingham, eingesehen wurden. Die Regierung nannte dem Parlament für 2019 bis 2025 zudem 1.445 beim ICO gemeldete Fälle.

In den vergangenen zehn Jahren hat das ICO 16 Beschäftigte im Gesundheitswesen strafrechtlich verfolgt. Unbefugter Zugriff auf personenbezogene Daten kann nach dem Data Protection Act 2018 eine Straftat sein.