Italienische Datenschutzbehörde veröffentlicht FAQ zum Zugang zu Daten in Krankenakten

veröffentlicht am 28. Januar 2025 | Lesedauer ca. 4 Minuten

Im Dezember 2024 hat der italienische Datenschutzbeauftragte nach einer Anzahl von Beschwerden von Betroffenen, die sich darüber beschwert haben, dass die Gesundheitsdienste es versäumt haben, ihnen die erste Papierkopie ihrer Krankenakte kostenlos zur Verfügung zu stellen, Klarstellungen zur ordnungsgemäßen Bearbeitung von Anträgen auf Zugang gemäß Artikel 15 DSGVO in Bezug auf solche Dokumente und Informationen vorgenommen und spezielle FAQs veröffentlicht.

Bekanntlich hat der Betroffenen gemäß Artikel 15 Absatz 1 der Datenschutz-Grundverordnung das Recht, von dem für die Verarbeitung Verantwortlichen eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden oder nicht, und wenn dies der Fall ist, Auskunft über die personenbezogenen Daten und die folgenden Informationen zu erhalten:

die Zwecke der Verarbeitung;
die Kategorien der betroffenen personenbezogenen Daten;
die Empfänger oder Kategorien von Empfängern, an die die personenbezogenen Daten weitergegeben wurden oder werden, insbesondere wenn es sich um Empfänger in Drittländern oder internationale Organisationen handelt;
wenn möglich, den Zeitraum, für den die personenbezogenen Daten aufbewahrt werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieses Zeitraums;
das Recht der Betroffene, von dem für die Verarbeitung Verantwortlichen die Berichtigung oder Löschung personenbezogener Daten oder die Einschränkung der Verarbeitung sie betreffender personenbezogener Daten zu verlangen oder gegen deren Verarbeitung Widerspruch einzulegen;
das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen;
wenn die Daten nicht bei der Betroffene erhoben wurden, alle verfügbaren Informationen über ihre Herkunft;
das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die angewandte Logik sowie über die Bedeutung und die voraussichtlichen Folgen einer solchen Verarbeitung für die betroffene Person.

Gemäß Absatz 3 der Bestimmung ist der für die Verarbeitung Verantwortliche bei der Ausübung des Rechts verpflichtet, eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen, und wenn die betroffene Person den Antrag auf elektronischem Wege stellt, müssen die Informationen in einem allgemein gebräuchlichen elektronischen Format bereitgestellt werden. Wie sieht diese besondere Verpflichtung des für die Verarbeitung Verantwortlichen aus, wenn es sich bei dem für die Verarbeitung Verantwortlichen um ein Krankenhaus handelt und sich der Antrag der Betroffenen auf die in der Krankenakte enthaltenen Dokumente bezieht?

Zunächst einmal hat die italienische Datenschutzbehörde klargestellt, dass die betroffene Person auf Antrag Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, und eine Kopie davon erhalten kann: Nur in den Fällen, in denen es erforderlich ist, die Richtigkeit, Vollständigkeit und Verständlichkeit der angeforderten Informationen zu gewährleisten, ist der für die Verarbeitung Verantwortliche verpflichtet, eine vollständige Kopie der Dokumente, die diese Daten enthalten, zur Verfügung zu stellen (in diesem Sinne beruft sich die Datenschutzbehörde auf das jüngste Urteil des EuGH 307-22 vom 26. Oktober 2023). Daher wird der für die Verarbeitung Verantwortliche von Fall zu Fall beurteilen müssen, ob für die betroffene Person tatsächlich ein solches Bedürfnis besteht, um die Antwort auf das Ersuchen abzuwägen und vor allem die spezifischen Verwaltungsmodalitäten (mit allem, was dies in operativer Hinsicht mit sich bringt) genehmigen zu können.

In Artikel 12 Absatz 5 DSGVO ist festgelegt, dass der für die Verarbeitung Verantwortliche, wenn der Antrag der betroffenen Person offensichtlich unbegründet oder unverhältnismäßig ist, entweder eine angemessene Gebühr unter Berücksichtigung der Verwaltungskosten erheben kann, die bei der Bereitstellung der Informationen oder Mitteilungen oder der Durchführung der beantragten Maßnahme anfallen, oder er kann sich direkt weigern, dem Antrag nachzukommen, indem er nachweist, dass er offensichtlich unbegründet oder unverhältnismäßig ist.

Die Datenschutzbehörde erinnerte daher in ihren FAQ daran, dass der Betroffene nicht erwarten kann, eine kostenlose Kopie aller in der Krankenakte enthaltenen Unterlagen zu erhalten: Mit seinem Antrag auf Zugang hat er nur Anspruch auf eine kostenlose Kopie der personenbezogenen Daten und somit nicht unbedingt auf eine Kopie aller in dieser Akte enthaltenen Dokumente. Außerdem wird nur die erste Kopie der Daten kostenlos zur Verfügung gestellt, während für die folgenden Kopien eine Mindestgebühr zu entrichten ist.

Wie sollten wir mit Fällen umgehen, in denen der Antrag auf Zugang allgemein gehalten ist? In den FAQ der italienischen Datenschutzbehörde wird auf die EDPB-Leitlinie 1/2022 verwiesen: Da die DSGVO keine formalen Anforderungen für die Einreichung von Anträgen auf Zugang zu persönlichen Daten gemäß Artikel 15 vorsieht, wird den für die Datenverarbeitung Verantwortlichen eine gewisse Nachsicht gegenüber den Antragstellern nahegelegt. Sollte der Antrag völlig unverständlich sein und daher nicht ohne Weiteres bearbeitet werden können, müsste der für die Verarbeitung Verantwortliche die betroffene Person auffordern, den Gegenstand des Antrags selbst zu spezifizieren oder ihn auf jeden Fall genauer zu beschreiben. Eine solche Hypothese könnte im Übrigen eine Verlängerung der Frist für die Bearbeitung des Antrags rechtfertigen, die sich dann um weitere 30 Tage ab dem Zeitpunkt der vorläufigen Antwort des für die Verarbeitung Verantwortlichen verlängern würde.

In Anbetracht der FAQ der italienischen Datenschutzbehörde wird daher empfohlen, dass die in Italien ansässigen Gesundheitseinrichtungen ihre Richtlinien für die Bearbeitung von Anfragen betroffener Personen überprüfen und gegebenenfalls aktualisieren sowie die an diesen Prozessen beteiligten Mitarbeiter angemessen informieren und schulen und gleichzeitig die Einführung automatisierter Hilfsmittel zu ihrer Unterstützung in Betracht ziehen.