pantrag_fisi Projektantrag: Planung, Implementierung und Evaluierung zum sicheren Transfer von großen Patienten- und Klinikdaten

[charmanta]

Ohmannohmann: Revisionssichere Verfahren sind Readonly. Also spezielle Datenträger oder zertifizierte Archivsysteme

[A1exR]

Oder sollte ich das ganze Thema mit Patientendaten rausnehmen ? 

[Maniska]

vor 2 Minuten schrieb A1exR:

Oder sollte ich das ganze Thema mit Patientendaten rausnehmen ? 

Was bleibt dann noch übrig?

[A1exR]

vor 12 Minuten schrieb Maniska:

Was bleibt dann noch übrig?

Wir halt umgeschrieben... bloß Patientendaten werden nicht erwähnt 😅

[charmanta]

Yeah .... Daten aus dem Krankenhaus, aber keine Patientendaten und absolut nix wichtiges .... was meinst Du welche Fragen der PA dann garantiert stellt auch wenn ich nicht dabei bin ??

[A1exR]

Gerade eben schrieb charmanta:

Yeah .... Daten aus dem Krankenhaus, aber keine Patientendaten und absolut nix wichtiges .... was meinst Du welche Fragen der PA dann garantiert stellt auch wenn ich nicht dabei bin ??

Ja gut stimmt 😂 

[A1exR]

vor 4 Stunden schrieb _n4p_:

Zu diesen Fragen kommt noch:

Was machst du bei einem Auskunftsersuchen nach Artikel 15?
Wie werden Zugriffe auf die Daten und das Löschen der Daten protokolliert?
Zugriffe auf das Backup müssen auch gesichert und protokolliert werden. 

1. Habe mir die ganze Sachne nochmal genauer angeschaut mit unserm Datenschutzbeauftragten. Nextcloud bietet ein GDPR Compliance Kit.

Damit sollte die sache gegessen sein. z. B. „Theming App“: Mit der können Unternehmen Endnutzern bereits beim Einloggen Impressum und Datenschutz-Richtlinien präsentieren. Eine „User Account Deletion“-App, mit der Endanwender ihre Konten gemäß den Anforderungen der DSGVO löschen können. Eine „Data Request“-App, mit der Anwender personenbezogene Daten anfordern oder um deren Löschung bitten können. usw...

[Listener]

Funktioniert das auch alles, wenn Arzt XY Patientendaten von einem Dritten hochlädt?

[A1exR]

vor 9 Minuten schrieb Listener:

Funktioniert das auch alles, wenn Arzt XY Patientendaten von einem Dritten hochlädt?

1. Ärzt haben keine Berechtigungen Daten aus dem KISS System exportieren

2. Das wird alles ein Medizincontrolling machen nach Verfahrensanweisung

3. Natürlich kann ein Arzt Patientendaten klauen (Mit Handy abfotografieren) und irgendwo hochladen... Aber nicht in mein Projekt. Das wäre ein ganz anderes Thema. Da sollte man eher bei der Realität bleiben.

[A1exR]

vor 16 Minuten schrieb Listener:

Funktioniert das auch alles, wenn Arzt XY Patientendaten von einem Dritten hochlädt?

Finde den Einwand und die Idee von dir aber sehr gut!

[_n4p_]

also bekommt jeder Patient einen Account und muss seine Daten da hochladen?

[Listener]

Gerade eben schrieb _n4p_:

also bekommt jeder Patient einen Account und muss seine Daten da hochladen?

Darauf war meine Fragestellung eigentlich bezogen. Der Arzt hat als Beispiel gedient. 

[A1exR]

vor 14 Minuten schrieb _n4p_:

also bekommt jeder Patient einen Account und muss seine Daten da hochladen?

Der Patient gibt seine E-Mail Adresse. Darauf wird eine Mail mit Share mit PW gesendet. Danach kann der Patient über den Share den Account mit Daten löschen.

[A1exR]

Und wenn der Patient keine E-Mail adresse hat, dann hat er wahrscheinlich auch keinen PC. Dann könnte man direkt für die Arztpraxen einen Account anlegen und darüber die Daten austauschen.

[charmanta]

vor einer Stunde schrieb A1exR:

Damit sollte die sache gegessen sein

... so ? Das ist ein entscheidender Schritt, korrekt. Aber ist das alles ?

[Maniska]

Gerade eben schrieb A1exR:

Und wenn der Patient keine E-Mail adresse hat, dann hat er wahrscheinlich auch keinen PC. Dann könnte man direkt für die Arztpraxen einen Account anlegen und darüber die Daten austauschen.

Ohne Einverständnis des Patienten? Sicher nicht!

Noch mal, wie stellst du sicher, dass die Daten dort DSGVO Konform hochgeladen werden, der Zugriff DSGVO Konform protokolliert wird und vor allem wie willst du den Dienst absichern? Nicht nur sicherstellen, dass nur berechtigte Personen Zugriff auf die jeweilige Patientenakte haben sondern auch protokollieren wer, wann von welchen Rechner aus drauf zugegriffen hat? Wie wird sichergestellt, dass sich niemand unbefugtes Zugriff verschaffen kann?

Egal mit welchen Konstrukten du daherkommst, das klingt für mich alles wie Murks. Ja, eine CD mit den Daten brennen und dem Patienten mitgeben ist umständlich, aber wenn der Patient seine Daten verliert ist das sein Problem, wenn deine Lösung unsicher ist, ist es dein Problem, und ich meine DICH als Person, da du die Fachkraft bist die das eingerichtet hat. Jede Schadenersatzklage wegen Datenleck etc. bleibt schlussendlich an dir hängen.

MIR wäre das Thema zu heikel, egal ob Abschlussprojekt oder nicht. Patientendaten und Übertagung via Internet ist viel zu heiß.

[charmanta]

vor 3 Minuten schrieb Maniska:

MIR wäre das Thema zu heikel, egal ob Abschlussprojekt oder nicht. Patientendaten und Übertagung via Internet ist viel zu heiß.

das sehe ich ähnlich. Hier ist erhebliche Gefahr, sich echt die Kartzen zu legen

[A1exR]

vor 7 Minuten schrieb charmanta:

... so ? Das ist ein entscheidender Schritt, korrekt. Aber ist das alles ?

Zitat von unsererm Datenschutzbeauftragten... Was soll man dazu noch sagen...

[charmanta]

Mir gehts hier bei einem möglichen Projekt schon zu sehr ins Detail. Denk drauf rum was ich wohl meinen könnte .. ich bin auch DSB...

Die Prüfung legst übrigens DU ab, nicht Euer DSB. Also hinterfrage und verstehe

[A1exR]

vor 8 Minuten schrieb Maniska:

Ohne Einverständnis des Patienten? Sicher nicht!

Noch mal, wie stellst du sicher, dass die Daten dort DSGVO Konform hochgeladen werden, der Zugriff DSGVO Konform protokolliert wird und vor allem wie willst du den Dienst absichern? Nicht nur sicherstellen, dass nur berechtigte Personen Zugriff auf die jeweilige Patientenakte haben sondern auch protokollieren wer, wann von welchen Rechner aus drauf zugegriffen hat? Wie wird sichergestellt, dass sich niemand unbefugtes Zugriff verschaffen kann?

Egal mit welchen Konstrukten du daherkommst, das klingt für mich alles wie Murks. Ja, eine CD mit den Daten brennen und dem Patienten mitgeben ist umständlich, aber wenn der Patient seine Daten verliert ist das sein Problem, wenn deine Lösung unsicher ist, ist es dein Problem, und ich meine DICH als Person, da du die Fachkraft bist die das eingerichtet hat. Jede Schadenersatzklage wegen Datenleck etc. bleibt schlussendlich an dir hängen.

MIR wäre das Thema zu heikel, egal ob Abschlussprojekt oder nicht. Patientendaten und Übertagung via Internet ist viel zu heiß.

Puh stimmt alles. Sehe ich persönlich auch so... Nur mal so als bsp. gerade nen Anruf vom Arzt bekommen, dass seine E-Mail mit Pat. Daten im Spamfinder bei uns hängt... soviel zu DSGVO. Ja ich überlege mir das nochmal.

[A1exR]

Gerade eben schrieb charmanta:

Mir gehts hier bei einem möglichen Projekt schon zu sehr ins Detail. Denk drauf rum was ich wohl meinen könnte .. ich bin auch DSB...

Die Prüfung legst übrigens DU ab, nicht Euer DSB. Also hinterfrage und verstehe

Ja klar, verstehe ich auch alles. Ich bin auch echt dankbar für eure antworten!

[A1exR]

Was haltet ihr denn davon ? Ist ja sozusagen das selbe... https://www.heise.de/ix/meldung/Bundescloud-Open-Source-mit-Nextcloud-statt-Dropbox-oder-Google-Drive-4026111.html

[MartinSt]

Mal ganz blöd und fachfremd gefragt:

Es gibt doch zur elektr. Patientenakte schon einen Riesenaufwand, kiloweise Specs bis hin zu dedizierter VPN-Hardware. Nach dem 36C3 Vortrag dazu ist ja die techn. Infrastruktur und Krypto dabei nicht ungeschickt gemacht.

Warum nun eine eigene Lösung bauen?

[A1exR]

vor 29 Minuten schrieb MartinSt:

Mal ganz blöd und fachfremd gefragt:

Es gibt doch zur elektr. Patientenakte schon einen Riesenaufwand, kiloweise Specs bis hin zu dedizierter VPN-Hardware. Nach dem 36C3 Vortrag dazu ist ja die techn. Infrastruktur und Krypto dabei nicht ungeschickt gemacht.

Warum nun eine eigene Lösung bauen?

Naja TI ist halt noch was ganz anderes, aber ich verstehe was du damit sagen willst. 

[A1exR]

Moinsen die Herren!

Es gibt eine Erweiterung von Nextcloud, die das erstellen von Shares mit Gast Benutzern erlaubt. 

https://apps.nextcloud.com/apps/guests

Damit können dann die Daten freigegeben werden und auch selbst gelöscht werden. Klar ist das ein sehr heißes Thema und ich werde wahrscheinlich auch ein anderes nehmen, aber falls jemand mal im Internet zufällig danach sucht und dann diesen Thread findet, kann er es damit realisieren. 

LG und nochmal ein Dank an alle die hier kommentiert haben. Schönes Wochenende!