Startseite / Gesundheitssektor
Gesundheitssektor
Gesundheitsdaten und HDS
Eine Beziehung, die Gesundheitsdaten betrifft, muss zwischen der Datenverarbeitung, ihrer internationalen Übermittlung und einer eventuellen für Dritte durchgeführten Hosting-Tätigkeit unterscheiden.
Auswirkung dieser Anforderung
Diese Regel ist nicht isoliert zu lesen.
- Übermittlungen
- Bilaterale Beziehung
- Länderquellen überprüft am
Annahmen, Grenzen und Quellen dieser Einschätzung
Lesepunkt
Gesundheitsdaten erfordern eine präzise Kartierung
Die Art der Vorgänge und Rollen geht jeder Schlussfolgerung zum Hosting voraus.
- Art und Identifizierbarkeit der Gesundheitsdaten
- Rolle jeder Einheit bei der Verarbeitung
- Dauerhaftes Hosting, punktuelle Verarbeitung oder einfacher Austausch
- Zugriff aus dem Ausland, Subunternehmer und Rückgabe
- Qualifizierung des HDS-Anwendungsbereichs nach tatsächlicher Tätigkeit
Rollenkette im Gesundheitswesen
Identifizieren Sie die Akteure, die Daten und das Hosting, bevor Sie eine Schlussfolgerung zu HDS ziehen.
Verantwortlicher
Die Gesundheitseinrichtung legt die Zwecke und den Rahmen der Verarbeitung fest.
Hauptlieferant
Er beschreibt die erbrachte Leistung, ihre Ausführungsorte und die betroffenen Daten.
Hosting und Betrieb
Die dem Hosting zuzurechnenden Tätigkeiten werden von den übrigen Leistungen getrennt.
Subunternehmer und Zugriffe
Jeder Akteur, jeder Fernzugriff und jede Übertragung bleibt bekannt und geregelt.
Entscheidungspfad
Gesundheitsdaten, Verarbeitung und Hosting trennen
Das Vorliegen medizinischer Daten allein erlaubt keine Schlussfolgerung zu den DSGVO-Rollen oder zum Geltungsbereich der HDS-Zertifizierung.
01Daten und Zweck
Die erhaltenen Daten, ihren identifizierbaren Charakter, den Grund ihrer Verarbeitung und den für den Service tatsächlich erforderlichen Detaillierungsgrad beschreiben.
02Rolle jedes Akteurs
Unterscheiden, wer über die Zwecke entscheidet, wer auf Anweisung handelt, wer die Infrastruktur bereitstellt und wer Zugriff auf die betroffenen Umgebungen hat.
03Durchgeführte Tätigkeit
Dauerhafte Aufbewahrung, Administration, Sicherung, punktuelle Verarbeitung, Fertigung oder einfachen Dateiaustausch separat qualifizieren.
04Nachgewiesene Umsetzung
Verarbeitungsorte, Berechtigungen, Unterauftragnehmer, Vorfälle, Rückgabe und Löschung dem tatsächlich anvertrauten Gesundheitsbereich zuordnen.
Geltungsbereich Gesundheit
Die notwendigen Unterscheidungen vor dem Zusammenstellen der Nachweisakte.
Zu behandelnde Fragen
- Welche Gesundheitsdaten werden empfangen und zu welchem Zweck
- Wer über die Verarbeitung entscheidet und wer in ihrem Namen handelt
- Wo die Daten gespeichert, eingesehen und verarbeitet werden
- Wenn die ausgeübte Tätigkeit tatsächlich unter das Hosting von Gesundheitsdaten fällt
Elemente, die die Antwort stützen
- Kartierung der Datensätze und ihrer Identifizierbarkeit
- Dokumentierte Anweisungen des Verantwortlichen für die Verarbeitung
- Register der Zugriffe, Verarbeitungsorte und Subunternehmer
- Verfahren zu Rückgabe, Löschung und Vorfallmanagement
Zu vermeidende Verwechslungen
- Den HDS-Anwendungsbereich allein aus dem Vorhandensein einer medizinischen Angabe ableiten
- Fertigung, punktuelle Verarbeitung und dauerhaftes Hosting verwechseln
- Mehr Daten senden, als für die Herstellung oder die Dienstleistung erforderlich sind
- Lokale Kopien, temporäre Exporte und Support-Zugänge nicht vergessen
Assurance-Dossier, AC-017Demonstrationsbeispiel
KundenanforderungPrivilegierte Zugänge werden vierteljährlich überprüftFeststellung
Vorgesehene AntwortEine vierteljährliche Überprüfung wird durchgeführtFeststellung
Verfügbare NachweiseIAM-Export, Validierungen, AustrittsticketsFeststellung
Festgestellte AbweichungDie Konten externer Dienstleister sind ausgeschlossenAbweichung
AuswirkungDie Antwort ist nur teilweise belegtAbweichung
MaßnahmeDen Geltungsbereich erweitern und eine nachvollziehbare Validierung erstellenEntscheidung
Lesart der FarbenSachverhaltsfeststellungAbweichung oder RisikoEntscheidung oder Maßnahme
Demonstration
Rollen zuweisen, bevor über das Hosting von Gesundheitsdaten entschieden wird.
Der Fall unterscheidet Zweck, Verarbeitung, Infrastruktur und Administrationszugriff, um zu vermeiden, dass ein Gesundheitsdatum zu einer falschen Gesamteinstufung führt.
Die Qualifizierung eines Nachweises verstehen →Diese Betrachtung anwenden
Gesundheitsdaten, Rollen und Hosting-Vorgänge präzisieren.
Die Art der Daten, der Zweck des Dienstes, die Beteiligten und die Infrastrukturvorgänge erlauben es, Verarbeitung und Hosting zu unterscheiden.