Alle Patientenunterlagen sind nach Ablauf der jeweils geltenden Aufbewahrungsfristen datenschutzgerecht zu entsorgen bzw. entsorgen zu lassen. Angesichts der Sensibilität von Medizindaten ist bei der Entsorgung auf das Einhalten einiger Vorgaben zu achten.
Der Schutz personenbezogener Daten ist in Europa rechtlich streng geregelt. Davon betroffen sind auch Krankenhäuser, Arztpraxen, Labore, Blutspendedienste, Pflegeheime, Physiotherapien und alle weiteren Einrichtungen des Gesundheitswesens. Denn die Arbeit in diesen Institutionen basiert auf dem Umgang mit Patientendaten. Sämtliche human- und veterinärmedizinische Einrichtungen sind dazu verpflichtet, Patientenakten und enthaltene Röntgenbilder sicher und geschützt vor unbefugtem Zugriff aufzubewahren.
Nicht nur seitens der Klinik oder der Ärztin bzw. des Arztes besteht eine Pflicht zur datenschutzgerechten Vernichtung der Patientenunterlagen. Darüber hinaus besteht nämlich grundsätzlich auch ein Recht der Patientinnen und Patienten auf Löschung seiner Daten. Bei der Entsorgung von personenbezogenen Unterlagen hat Datenschutz höchste Priorität.
Entsorgungspflicht für Patientenunterlagen
Je nach Dokumentenart variiert die Dauer der Aufbewahrungspflichten zwischen zehn und dreißig Jahren, nach dieser Zeit müssen die Unterlagen ordnungsgemäß entsorgt und vernichtet werden. Hierbei gilt die Archivführung nach Art. 5 der Datenschutzgrundverordnung (DSGVO). Nach dem Grundsatz der Speicherbegrenzung müssen personenbezogene Daten „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“.
Der Entsorgungspflicht unterliegen nicht nur die Unterlagen der Anamnese, Diagnose und Therapie. Besonders schutzwürdig bei der Entsorgung sind auch Untersuchungsberichte, Röntgenbilder und Patientenkarteikarten. Darüber hinaus ist auch bei Telefonnotizen, Mitschriften im Terminkalender, Patientenlisten, Briefumschlägen mit Adressangaben oder Telefaxen zu prüfen, ob anstelle einer Entsorgung im Altpapier eine datenschutzkonforme Entsorgung aufgrund des Patientenbezugs notwendig ist.
Enthalten die Akten Röntgenaufnahmen, müssen auch diese nach dem Bundesdatenschutzgesetz (BDSG-neu) entsorgt werden, da sie vertrauliche Patienteninformationen enthalten. Zudem enthalten die Röntgenbilder Silber und Kunststoff, die durch fachgerechtes Recycling in den Wirtschaftskreislauf zurückgeführt werden können.
Aktenvernichtung ist Datenverarbeitung
Wann immer eine Verarbeitung durch einen externen Dienstleister (Auftragsverarbeiter) im Auftrag eines Krankenhauses oder einer Arztpraxis erfolgt (für die Verarbeitung Verantwortlicher), muss es als Grundlage einen Vertrag oder ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten geben (Art. 28 Abs. 3 DSGVO).
Der dafür erforderliche Auftragsverarbeitungsvertrag (AV-Vertrag) ist grundsätzlich schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 10). Bei medizinischen Einrichtungen wird der AV-Vertrag in allen Bereichen, in denen externe Dienstleister mit personenbezogenen Daten umgehen, obligatorisch. Das kann die Wartung von IT-Anlagen ebenso betreffen wie Entsorger von Patientenakten, Röntgenfilmen und Datenträgern.
Zertifizierte Entsorgung von Patientenakten
Wenn Akten personenbezogene Daten enthalten, müssen sie mindestens die Schutzklasse 3 einhalten, was zur Folge hat, dass die Datenvernichtung mit den Sicherheitsstufen 4 bis 7 erfolgen muss. Es sollte deshalb ein Entsorger beauftragt werden, der die entsprechenden Sicherheitsnachweise liefern kann und eine lückenlos kontrollierte Verwertungskette nach DIN SPEC 66399-3 und ISO/IEC 21964 sichert. Grundsätzlich sollten ärztliche Praxen, Kliniken und Krankenhäuser ihre Archive ein Mal im Jahr überprüfen und alte Akten zur Entsorgung aussortieren, da es verboten ist, Daten vorrätig zu speichern (Art. 5 DSGVO).