Herrscht seit dem Inkrafttreten der Gesetzgebung zum elektronischen Patientendossier am 15. April 2017 Datenschutzalarm? Nein, die Gesetzgebung zum elektronischen Patientendossier ist weitgehend datenschutzkonform ausgestaltet – der Weg dorthin war allerdings lang und von Stolpersteinen geprägt. Die meisten Stolpersteine liessen sich reduzieren oder beseitigen. Einige hat der Gesetzgeber wissentlich und willentlich belassen.

Am Begriff des Personendatums hat sich auch mit der DSGVO nichts geändert. Es gilt nach wie vor der «relative» Ansatz, der darauf abstellt, ob derjenige, der Zugang zu bestimmten Daten hat, die davon betroffenen Personen identifizieren kann oder nicht. Das gilt auch in der EU, wo dies der EuGH mit seinem Entscheid betreffend IP-Adressen jüngst bestätigt hat. Daran ändert auch der Begriff der «Singularisierung» nichts. Ein Datensatz singularisiert eine Person, wenn er wie ein Fingerabdruck so speziell ist, dass er sich nur auf sie beziehen kann, auch wenn nicht bekannt ist, um wen es geht. Wie etwa bei genetischen Daten. Die DSGVO erwähnt die Singularisierung zwar als Indiz für eine Identifizierbarkeit, aber sie alleine genügt eben nicht. Hierzu stellt der Beitrag den «Referenzdaten-Test» vor: Demnach liegen Personendaten vor, wenn zwischen den fraglichen Daten und dem Bearbeiter bereits vorliegenden oder zugänglichen Datensätzen einer einzelnen, realen Person eine Übereinstimmung hergestellt werden kann. Genetische Daten und IP-Adressen sind daher nie per se Personendaten.

Stellen Sie sich vor, Ihre IT-Systeme sind Opfer eines Cyberangriffes. – Aktuell werden täglich mehrere Millionen Cyberangriffe weltweit gestartet, wobei selbstverständlich nicht alle erfolgreich verlaufen. Besonders gefährdet sind kritische Infrastrukturen wie Wasser- und Elektrizitätswerke oder Unternehmen im Gesundheitsbereich (insbesondere Spitäler).

Hergeleitet von wesentlichen Ereignissen wurde aufgezeigt, dass die traditionellen Schutzmassnahmen nicht mehr genügen, um Sicherheit zu gewährleisten. Neu braucht es Resilienz («protect, detect and respond»), um auf Vorfälle vorbereitet zu sein. Eine generelle Ausrichtung auf Angriffsszenarien ist nicht langfristig möglich, sondern es muss auf die Entwicklung der Hackerszene eingegangen werden und die Szenarien müssen auf regelmässiger Basis entsprechend angepasst werden. Neue Konzepte sind notwendig, um Antworten auf die neuen Bedrohungen zu entwickeln. Anhand von fünf «lessons learned» wurde die Entwicklung aufgezeigt.