Sicheres Löschen sensibler Daten in der Praxis

Praxen haben grundsätzlich Aufbewahrungsfristen zu beachten, wenn es um das Löschen geht. Das heißt: Daten dürfen erst gelöscht werden, wenn die für sie geltende gesetzliche Aufbewahrungsfrist abgelaufen ist (siehe unten). In der Regel sind das zehn Jahre nach Abschluss der Behandlung. Aber es gibt auch abweichende Fristen, etwa 15 Jahre für Durchgangsarztverfahren nach Arbeits- und Wegeunfällen oder Röntgenaufnahmen von Minderjährigen, die laut Strahlenschutzgesetz mindestens bis zur Vollendung des 28. Lebensjahres aufbewahrt werden müssen.

Digitaler Papierkorb reicht nicht

Sollen ärztliche Behandlungsunterlagen gelöscht werden, reicht es nicht aus, die Dokumente in den digitalen Papierkorb zu verschieben. Das ist keine Löschung, sondern nur eine Art Zwischenlager.

Der Rechner entfernt hierbei nicht den Inhalt der Datei, sondern verschiebt nur den Verweis darauf (also Dateinamen und Speicherort) in den Papierkorb. Der Inhalt, beispielsweise sensible Patientendaten, bleiben auf dem Datenträger gespeichert und sind wiederherstellbar.

Selbst wenn der digitale Papierkorb geleert wird, kann die Datei wiederhergestellt werden. Dies ist mit Datenrettungsprogrammen möglich, die Daten nach dem Leeren des Papierkorbs wieder sichtbar machen können.

Für Patientendaten ist dieses Vorgehen somit nicht sicher genug. Unverschlüsselte, wiederherstellbare Patientendaten sind ein klares Datenschutzrisiko.

Speicherorte berücksichtigen

Zu beachten ist außerdem, dass die zu löschenden Daten zum Teil nicht nur an einem Ort gespeichert wurden. Sie können sich im Speicher des Praxisverwaltungssystems befinden, in einer Cloud, im Ordner des Kommunikationsdienstes KIM oder einem anderen E-Mail-Programm, in einem Terminkalender, auf einer externen Festplatte, einem USB-Stick oder auch auf einem ausrangierten Praxiscomputer. Somit ist beim Löschen an die Hard- und Software an mehreren Orten zu denken.

Technik wird nicht mehr genutzt: Datenträger vernichten 

Wenn die Technik ausgewechselt werden soll oder eine Praxis aufhört und deshalb die Technik nicht mehr genutzt wird, ist die Vernichtung des Datenträgers die sicherste Methode, sensible Daten zu löschen.

Hierbei wird das Speichermedium zerkleinert, zerteilt oder anderweitig zerstört, bis die enthaltenen Speicherchips oder Magnetscheiben nicht mehr wiederherzustellen sind. Ein Beispiel für dieses sogenannte physische Vernichten ist das Schreddern von Festplatten.

Möglich ist auch die physikalische Zerstörung durch Hitze oder Magnetismus. Diese Methode nutzt beispielsweise starke Magnetfelder (Entmagnetisierer/Degausser) oder sehr hohe Temperaturen, um die Datenträgerstrukturen zu zerstören, ohne den Datenträger unbedingt mechanisch zu zerkleinern. 

Zertifizierte Fachbetriebe bieten eine professionelle Entsorgung an (Zertifizierung nach der Norm ISO/IEC 21964). Dies zählt zu den sichersten Methoden, besonders für ausgemusterte Hardware. Die Übergabe von Geräten (bzw. den darauf befindlichen personenbezogenen Daten) an Dienstleister darf dabei nur mit einem Vertrag zur Auftragsverarbeitung (AV-Vertrag) erfolgen. Darüber hinaus bieten diese Fachbetriebe auch die sichere Entsorgung von analogen, papiergebundenen Informationen an.

Programm für sicheres Löschung nutzen

Sollen Geräte in der Praxis weiter im Einsatz sein, aber die darauf befindlichen Daten sicher gelöscht werden, muss ein gezieltes und unwiederbringliches Überschreiben der Daten erfolgen. Das heißt, die Daten müssen so vom Datenträger beziehungsweise Speichermedium entfernt werden, dass sie mit Software-Werkzeugen oder mit forensischen Methoden nicht wiederhergestellt werden können. 

Dazu bieten sich Löschprogramme an. Im Idealfall ist ein solches Programm bereits im Praxisverwaltungssystem enthalten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert über sichere Methoden zur Datenlöschung (siehe unten).

Daten überschreiben

Beim Überschreiben werden dort, wo die alten Daten waren, neue Daten gespeichert. Bildlich ausgedrückt, wird eine Zeichnung nicht wegradiert, um sie unkenntlich zu machen, sondern so lange übermalt, bis sie nicht wieder im Ursprungszustand erkenntlich zu machen ist. 

Eine Datei besteht aus vielen Bits (0 und 1), die sich in einem bestimmten Bereich der Festplatte befinden. Beim Überschreiben werden Zufallszahlenfolgen generiert und genau dort gespeichert. Sind die alten Bits ersetzt, ist auch die ursprüngliche Information weg, weil die alten Muster nicht mehr existieren.

Daten verschlüsseln und Schlüssel „wegwerfen“

Eine weitere Möglichkeit: Hat die Praxis sensible Daten auf dem Datenträger oder Gerät verschlüsselt, können die Schlüssel gelöscht werden. Diese Methode bietet – sofern der Schlüssel tatsächlich gelöscht und nicht nur als gelöscht markiert wurde – einen zuverlässigen Schutz gegen eine unbefugte Wiederherstellung.

Erfolgreiche Löschung dokumentieren

Auch wenn die Daten selbst weg sind, sollte etwas bleiben: Die Praxis sollte dokumentieren, wann die Daten gelöscht wurden und wer für die Löschung verantwortlich war. Auch sollten Lösch  oder Vernichtungszertifikate aufbewahrt werden. Wie lange, hängt von der gesetzlichen Aufbewahrungsfrist ab, in der Regel sind es zehn Jahre.
Wird die Praxis geschlossen oder einem Nachfolger übergeben, ist auch an die gesetzlichen Aufbewahrungsfristen zu denken.

Daten an Nachfolger übergeben

Bei einem Praxisverkauf werden die Patientendaten nicht automatisch übergeben. Dafür braucht es die Einwilligung jedes einzelnen Patienten (Paragraf 630g BGB, DSGVO).

Will der Nachfolger den Patientenstamm übernehmen, sollte das Verfahren angewendet werden, das als „Zwei-Schrank-Modell“ bekannt ist. Das heißt, der Nachfolger hat erst nach Zustimmung der Patienten Zugriff auf deren Patientendaten, und kann sie in seinen eigenen „Schrank“ übertragen. Anderenfalls bleibt der Zugriff auf die Daten in dem ersten „Schrank“ verwehrt.

Daten von Patienten, die der Übertragung nicht zustimmen, bleiben vollständig beim alten Arzt. Er darf sie erst nach Ablauf der gesetzlichen Fristen löschen.

Nächster Teil am 5. März

Im neunten Teil unserer Serie am 5. März geht es um den sicheren Umgang mit medizinischen Großgeräten in der Praxis.