22.01.2014 · Fachbeitrag · Datenschutz

Akten vernichten - aber sicher!

von Yvonne Willibald, Medienbüro Medizin (MbMed), Hamburg

| Pressemeldungen wie die der „Ärztezeitung“ über verwahrloste Aktendepots in Immelborn verunsichern Patienten zu Recht. Was, wenn sensible Daten, wie Adresse und Telefonnummer, Diagnosen oder gar die gesamte Krankengeschichte in fremde Hände geraten? Daher müssen Ärzte die sichere Entsorgung von Akten und Dokumenten nach der jeweiligen Aufbewahrungsfrist gewährleisten. Viele Praxisinhaber geben diese Aufgabe an ihre MFA weiter. Was Sie dabei beachten müssen, lesen Sie hier. |

DIN 66399: Akten vernichten nach Norm

Spätestens alle 30 Jahre ist es soweit: Die alten Akten und Dokumente können vernichtet werden. In einigen Fällen müssen Sie die Datenträger sogar bereits nach zehn Jahren vernichten, etwa im Fall von Aufzeichnungen über genetische Untersuchungen. In anderen Fällen müssen Sie die Dokumente mindestens 30 Jahre lang aufbewahren. Das gilt beispielsweise für Aufzeichnungen über Röntgenbehandlungen. Seit Oktober 2012 bestimmt die dreigeteilte DIN 66399, wie das geschehen sollte. Sie berücksichtigt alle relevanten Faktoren und geht auf verschiedene Datenträgerarten ein.

Die Schutzklasse: Wie viel Datenschutz ist notwendig?

Vor der Vernichtung von Akten und Dokumenten, sollten Sie als Erstes deren Schutzklasse bestimmen. Die DIN 66399 gibt drei Schutzklassen vor:

Schutzklassen für Dokumente nach DIN 66399
	Schutzklasse 1	Schutzklasse 2	Schutzklasse 3
Vertraulichkeitsgrad	intern	vertraulich	besonders vertraulich, geheim
Schutzbedarf, allgemein	normal	hoch	sehr hoch
Schutzbedarf für personenbezogene Daten	zu schützen	Daten besonders schützenswert	uneingeschränkter Datenschutz
Personenkreis mit Zugangsberechtigung	groß	klein	sehr klein, namentlich bekannt
Folgen bei Datenmissbrauch	begrenzt negativ	erheblich: Verletzung vertraglicher Pflichten	existenzbedrohend: Verstoß gegen Gesetze bzw. Berufsgeheimnis
Beispiel	Postwurfsendungen, unwichtige Geschäftskorrespondenz	Angebote, Memos, Personaldaten	Patientenakten

PRAXISHINWEIS | Ärzte müssen Patientenakten und Behandlungsdokumentationen zwischen zehn und 30 Jahre lang aufbewahren. Empfehlenswert ist es, solche Dokumente während dieser Zeit in verschließbaren Aktenschränken zu lagern, zu denen nur der Arzt und beispielsweise die leitende MFA Zugang haben.

Einen Link zu einer ausführlichen tabellarischen Übersicht der einzelnen Aufbewahrungsfristen finden Sie in den weiterführenden Hinweisen.

Sicherheitsstufe: Wie sensibel sind Ihre Daten?

Ist eine Schutzklasse definiert, müssen Sie noch eine Sicherheitsstufe festlegen. Sie definiert, wie sensibel die jeweiligen Daten sind und legt fest, wie schwierig es sein soll, die Daten wiederherzustellen. Sicherheitsstufe 1 etwa gilt für allgemeine Daten, die mit einfachem Aufwand wiederherzustellen sein dürfen. Sicherheitsstufe 7 gilt für streng geheime Daten mit höchsten Sicherheitsvorkehrungen. Hier muss eine Reproduktion ausgeschlossen sein. Akten und Dokumente, die Patientendaten enthalten, fallen unter Sicherheitsstufe 4, zählen also zu den besonders sensiblen Daten. Ihre Wiederherstellung darf nur mit außergewöhnlich hohem Aufwand möglich sein.

MERKE | Akten und Dokumente in Arztpraxen, die Patientendaten enthalten, sind der Schutzklasse 3 und der Sicherheitsstufe 4 zuzuordnen.

Mikrofilm, Papier, Festplatte: Einstufung bleibt gleich

DIN 66399 berücksichtigt erstmals verschiedene Formen von Datenträgern - denn Daten auf einer Festplatte müssen Sie anders vernichten als einen Stapel Papier. Daher unterscheidet die DIN 66399 folgende Datenträger:

P: Informationsdarstellung in Originalgröße (zum Beispiel Papier und Filme)

F: verkleinerte Darstellung (zum Beispiel Mikrofilme und Folien)

O: optische Datenträger (zum Beispiel CDs und DVDs)

T: magnetische Datenträger (zum Beispiel Magnetbandkassetten)

H: Festplatten mit magnetischem Datenträger

E: elektronische Datenträger (zum Beispiel USB-Sticks und Chipkarten)

Dementsprechend sind die Sicherheitsstufen eingeteilt: Für Dokumente und Akten auf Papier gelten zum Beispiel die Sicherheitsstufen P1 bis P7.

Papierakten

Nach den Sicherheitsstufen richtet sich zum Beispiel, wie klein die Papierschnipsel nach dem Shreddern von Akten und Dokumenten sein sollen.

Beispiel

Papiere mit der Sicherheitsstufe 4 dürfen maximal eine Materialteilchenfläche von 160 Quadratmillimetern haben. Für regelmäßige Partikel gilt zudem eine Streifenbreite von maximal 6 Millimetern. Möglich wären demnach etwa Partikel von 4 x 40 Millimetern. Zu diesem Zweck gibt es genormte Shredder.

Elektronische Datenträger, Film- und Fotomaterial

Festplatten und USB-Sticks sollten Sie nicht einfach nur neu formatieren: Profis können die Daten leicht wiederherstellen. Hilfreich sind Programme, die die Datenträger so überschreiben, dass die alten Daten nicht mehr lesbar sind (zum Beispiel die Freeware CCleaner). CDs können Sie durch mehrmaliges Zerbrechen unbrauchbar machen und im Kunststoffmüll entsorgen.Mikrofilme und Röntgenaufnahmen können Sie in der Müllverbrennungsanlage oder mithilfe spezieller Shredder vernichten. Dabei gilt, ebenso wie bei Papierakten: Je kleiner die zu vernichtende Menge, umso feiner müssen Sie die Datenträger zerkleinern. Nur so ist ein Schutz vor Rekonstruktion gegeben.

FAZIT | Um Schaden für Ihre Praxis und Ihre Patienten zu vermeiden, müssen Sie bei der Vernichtung von Akten und Dokumenten unbedingt Folgendes beachten:

Stellen Sie die Schutzklasse und Sicherheitsstufe der zu vernichtenden Unterlagen fest (für Patientenakten Schutzklasse 3, Sicherheitsstufe 4).

Beachten Sie die Aufbewahrungsfrist (siehe weiterführende Hinweise).

Vergewissern Sie sich vor der Vernichtung von Papierakten, dass Ihr Shredder der DIN 66399 entspricht.

Vernichten Sie Daten auf Festplatten und USB-Sticks durch mehrfaches Überschreiben, CDs durch mehrfaches Zerbrechen, Mikrofilme und Röntgenaufnahmen in der Müllverbrennung oder mithilfe spezieller Shredder.

Prinzipiell können Sie auch ein Unternehmen mit der Aktenvernichtung beauftragen. Allerdings sollte dies vor Ort unter Aufsicht einer MFA oder des Praxisinhabers geschehen. Denn letztlich ist der Arzt verantwortlich, wenn Patientendaten aus seiner Praxis plötzlich öffentlich auftauchen.

Weiterführende Hinweise