Datenschutz im Gesundheitsförderungsprojekt
Eine Gemeinde hatte aufgrund der grosszügigen Spende einer Privatperson die Möglichkeit, ein Gesundheitsförderungsprojekt durchzuführen, mit dem Ziel, die Pflegebedürftigkeit bei älteren Menschen möglichst lange zu vermeiden. Die diesbezügliche Projektberatung erfolgte durch eine externe Stelle, die Leitung übernahm die Gemeinde.
Die Teilnahme am Projekt war freiwillig. Die Teilnehmenden mussten einen sehr detaillierten Fragebogen ausfüllen, unter anderem zu den Bereichen medizinische Vorgeschichte, Gesundheitszustand, Psyche und Wohlbefinden, Medikamente, soziales Umfeld sowie Zigaretten- und Alkoholkonsum. Die elektronische Erfassung und Auswertung erledigte ein externes Rechenzentrum. Im Anschluss daran erhielten die Teilnehmenden ihren Gesundheitsbericht mit massgeschneiderten Vorschlägen für Gesundheitsförderung und Prävention. In der Folge sollten der Hausarzt und eine Gesundheitsberaterin den Partizipanten oder die Partizipantin bei der Umsetzung der Vorschläge begleiten. Um an die Zielgruppe zu gelangen, schrieb die Projektleitung die Ärztinnen und Ärzte der Gemeinde an und bat sie um Bekanntgabe der Adressen aller von ihnen behandelten Patientinnen und Patienten ab 65 Jahren.
Gemäss Art. 321 Strafgesetzbuch (StGB) werden Ärzte, die ein Geheimnis offenbaren, das ihnen in Ausübung ihres Berufes anvertraut worden ist oder das sie in dessen Ausübung wahrgenommen haben, auf Antrag mit Gefängnis oder Busse bestraft. Auch die Tatsache, dass jemand in ärztlicher Behandlung ist, fällt unter den Begriff des Geheimnisses. Diese Information an Dritte weiterzugeben ist nur erlaubt, wenn eine ausreichende gesetzliche Grundlage, die Einwilligung des betroffenen Patienten oder die Entbindung vom Arztgeheimnis durch die vorgesetzte Behörde vorliegt (Art. 321 Ziff. 2 und 3 StGB).
Für die Ärzte war es unmöglich, die Zustimmung aller Patientinnen und Patienten einzuholen. Ebenso wenig lag eine gesetzliche Grundlage oder eine Entbindung der Gesundheitsdirektion vor. Die Adressbekanntgabe war also nicht zulässig.
Es gäbe jedoch andere Wege, die erforderlichen Daten zu beschaffen:
Für ideelle Zwecke können Gemeinden Listenauskünfte erteilen, d.h. Personendaten ihrer Einwohnerinnen und Einwohnern nach gewissen Gesichtspunkten geordnet bekannt geben (§ 39 Abs. 3 Gemeindegesetz). Voraussetzung dabei ist, dass die Daten nicht an Dritte weitergegeben werden. Eine andere Möglichkeit besteht darin, eine Information bei den Ärztinnen und Ärzten zu platzieren, damit sich die interessierten Personen selber bei der Projektleitung melden können.
Bei der Durchführung eines solchen Projektes sind zudem folgende Punkte zu beachten:
- Nur die für die Gesundheitsförderung geeigneten und erforderlichen Daten dürfen erhoben werden.
- Die Teilnehmenden müssen die Möglichkeit haben, nur einen Teil des Fragebogens auszufüllen.
- Gegenüber den Teilnehmenden ist absolute Transparenz hinsichtlich der Datenbearbeitungen zu gewährleisten. Aus der Information muss hervorgehen, welchen Zwecken die Daten dienen, wer namentlich auf sie zugreifen und oder sie einsehen kann und wie lange sie aufbewahrt werden. Ohne Zustimmung der betroffenen Personen darf der Zweck nicht geändert oder erweitert werden. Eine Verwendung für andere Projekte ist allenfalls dann erlaubt, wenn die Daten so anonymisiert werden, dass keine Rückschlüsse auf die Befragten möglich sind.
- Verzichtet ein Patient beziehungsweise eine Patientin auf eine weitere Teilnahme am Projekt, sind seine oder ihre Daten umgehend zu vernichten – es sei denn er oder sie sei ausdrücklich mit der weiteren Aufbewahrung und Verwendung der Daten im Rahmen des Projektes einverstanden.
- Jegliche Weitergabe der Daten erfordert die ausdrückliche Zustimmung des Teilnehmers.
- Die Verträge mit den externen Dienstleistern sind schriftlich aufzusetzen und der Zweck der Datenbearbeitung im Auftrag genau zu regeln. Die Allgemeinen Geschäftsbedingungen Sicherheit des Kantons Zürich sind in die Verträge zu integrieren. Ferner sollte ein Hinweis auf die §§ 6 und 40 IDG nicht fehlen. Diese Bestimmungen halten fest, dass die von einem öffentlichen Organ mit einer Datenbearbeitung betraute Stelle die Personendaten nur für den Auftraggeber verwenden und nur diesem bekannt geben dürfen. § 40 IDG enthält die zugehörige Strafbestimmung bei Zuwiderhandlung.
