LegalizeBundesgesetz betreffend Datensicherheitsmaßnahmen beim elektronischen Verkehr mit Gesundheitsdaten und Einrichtung eines Informationsmanagement (Gesundheitstelematikgesetz - GTelG)
Präambel/Promulgationsklausel
Abschnitt
Gegenstand und Begriffsbestimmungen
Gegenstand
§ 1. (1) Mit diesem Bundesgesetz werden ergänzende Datensicherheitsbestimmungen für den elektronischen Verkehr mit Gesundheitsdaten festgelegt sowie ein Informationsmanagement für Angelegenheiten der Gesundheitstelematik eingerichtet.
(2) Ziele dieses Bundesgesetzes sind, durch bundeseinheitliche Mindeststandards die Datensicherheit beim elektronischen Verkehr mit Gesundheitsdaten anzuheben sowie die für die Entwicklung und Steuerung der Gesundheitstelematik im internationalen Kontext notwendigen Informationsgrundlagen zu schaffen bzw. zu verbreitern.
(3) Die gesetzlichen Regelungen über die Zulässigkeit von Datenverwendungen, über die Rechte der Betroffenen sowie über den Rechtsschutz bleiben durch dieses Bundesgesetz unberührt.
Begriffsbestimmungen
§ 2. Im Sinne dieses Bundesgesetzes bedeuten
Gesundheitsdaten: direkt personenbezogene Daten gemäß § 4 Z 1 DSG 2000 über die physische oder psychische Befindlichkeit eines Menschen, einschließlich der im Zusammenhang mit der Erhebung der Ursachen für diese Befindlichkeit sowie der medizinischen Vorsorge oder Versorgung, der Pflege, der Verrechnung von Gesundheitsdienstleistungen oder der Versicherung von Gesundheitsrisken erhobenen Daten. Dazu gehören insbesondere Daten die
die geistige Verfassung,
die Struktur, die Funktion oder den Zustand des Körpers oder Teile des Körpers,
die gesundheitsrelevanten Lebensgewohnheiten oder Umwelteinflüsse,
die verordneten oder bezogenen Arzneimittel, Heilbehelfe oder Hilfsmittel,
die Diagnose-, Therapie- oder Pflegemethoden oder
die Art, die Anzahl, die Dauer oder die Kosten von Gesundheitsdienstleistungen oder gesundheitsbezogene Versicherungsdienstleistungen betreffen.
Gesundheitsdiensteanbieterin/Gesundheitsdiensteanbieter:
Elektronischer Gesundheitsdatenaustausch: die Weitergabe von oder die Einräumung von Zugriffsrechten auf im Rahmen automationsunterstützter Datenanwendungen verwendeter Gesundheitsdaten mittels kommunikationstechnologischer Einrichtungen durch eine Gesundheitsdiensteanbieterin/einen Gesundheitsdiensteanbieter und zwar sowohl an Auftraggeberinnen/Auftraggeber (§ 4 Z 4 DSG 2000) als auch an Dienstleisterinnen/Dienstleister (§ 4 Z 5 DSG 2000).
Rolle: Klassifizierung von Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbietern nach der Art ihrer Erwerbstätigkeit, ihres Betriebszwecks oder ihres Dienstleistungsangebotes.
Abschnitt
Datensicherheit beim elektronischen Gesundheitsdatenaustausch
Nachweis von Identität und Rolle
§ 3. Werden im elektronischen Verkehr zwischen Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbietern Gesundheitsdaten weitergegeben oder Zugriffsrechte darauf eingeräumt, so darf dies nur geschehen, wenn Identität und Rolle der Empfängerin/des Empfängers oder jener Gesundheitsdiensteanbieterin/jenes Gesundheitsdiensteanbieters, die/der ein eingeräumtes Zugriffsrecht auf Gesundheitsdaten in Anspruch nehmen will, nachgewiesen sind. Die Nachweise sind nach Maßgabe der §§ 4 und 5 in elektronischer Form zu erbringen und zu prüfen.
Identität
§ 4. (1) Der Nachweis der Identität ist durch Vorlage einer elektronischen Bescheinigung (Zertifikat), mit der die in Übereinstimmung mit den §§ 3 bis 6 EGovernment-Gesetz festgestellte Identität der Gesundheitsdiensteanbieterin/des Gesundheitsdiensteanbieters bestätigt wird, zu erbringen und zu prüfen. Das Zertifikat muss den gemäß § 7 Abs. 5 festgelegten Mindestanforderungen entsprechen.
(2) Der Nachweis gemäß Abs. 1 kann unterbleiben, wenn die Gesundheitsdiensteanbieterin/der Gesundheitsdiensteanbieter in den eHealth-Verzeichnisdienst eingetragen ist und dies von der/vom die Gesundheitsdaten weitergebenden oder den Zugriff darauf einräumenden Gesundheitsdiensteanbieterin/Gesundheitsdiensteanbieter durch Einsichtnahme in den eHealth-Verzeichnisdienst überprüft wird.
(3) Wird der elektronische Gesundheitsdatenaustausch ausschließlich programmgesteuert abgewickelt, ist – abweichend von Abs. 1 und 2 – der Nachweis der Identität mittels Serverzertifikaten zu erbringen und programmgesteuert zu prüfen. Serverzertifikate müssen den gemäß § 7 Abs. 5 festgelegten Mindestanforderungen entsprechen.
(4) Wird im Rahmen des elektronischen Gesundheitsdatenaustausches eine Datenanwendung direkt aus der Entfernung bedient und ist der Nachweis bzw. die Prüfung der Identität gemäß Abs. 1 oder 2 im Einzelfall aus technischen oder wirtschaftlichen Gründen unzweckmäßig, ist die Identität im Zuge der Implementierung der Zugangsberechtigung nachzuweisen und zu prüfen. Während des Bestehens der Zugangsberechtigung ist die Identität in periodischen Abständen zu prüfen.
(5) Für die Prüfung der Identität im Rahmen des elektronischen Gesundheitsdatenaustausches während einer bestehenden Zugangsberechtigung gemäß Abs. 4 haben Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter den Grund, die Periodizität, die einen Monat nicht übersteigen darf, die bei der Prüfung einzuhaltende Vorgangsweise sowie die Mechanismen zur Sicherstellung und Kontrolle ihrer Durchführung zu dokumentieren.
Rolle
§ 5. (1) Die Bundesministerin für Gesundheit und Frauen/Der Bundesminister für Gesundheit und Frauen hat die für den elektronischen Gesundheitsdatenaustausch in Betracht kommenden Rollen sowie jene Stellen, die die Zuordnung von Rollen zu einer Gesundheitsdiensteanbieterin/einem Gesundheitsdiensteanbieter authentisch bestätigen, mit Verordnung festzulegen.
(2) Der Nachweis der Rolle ist durch Vorlage einer elektronischen Bescheinigung (Zertifikat) einer gemäß Abs. 1 festgelegten Stelle zu erbringen und zu prüfen. Das Zertifikat muss den gemäß § 7 Abs. 5 festgelegten Mindestanforderungen entsprechen.
(3) Der Nachweis gemäß Abs. 2 kann unterbleiben, wenn die Gesundheitsdiensteanbieterin/der Gesundheitsdiensteanbieter in den eHealth-Verzeichnisdienst eingetragen ist und die Rolle von der/vom die Gesundheitsdaten weitergebenden oder den Zugriff darauf einräumenden Gesundheitsdiensteanbieterin/Gesundheitsdiensteanbieter durch Einsichtnahme in den eHealth-Verzeichnisdienst überprüft wird.
(4) Wird der elektronische Gesundheitsdatenaustausch ausschließlich programmgesteuert abgewickelt und ist der Nachweis und die Prüfung der Rolle im Einzelfall aus technischen oder wirtschaftlichen Gründen unzweckmäßig, hat der Nachweis bzw. die Prüfung der Rolle der Empfängerin/des Empfängers der Gesundheitsdaten vor der erstmaligen Durchführung des Gesundheitsdatenaustausches zu erfolgen. Im laufenden Betrieb ist die Rolle in periodischen Abständen zu prüfen.
(5) Wird im Rahmen des elektronischen Gesundheitsdatenaustausches eine Datenanwendung direkt aus der Entfernung bedient und ist der Nachweis und die Prüfung der Rolle im Einzelfall aus technischen oder wirtschaftlichen Gründen unzweckmäßig, hat der Nachweis und die Prüfung der Rolle vor der Implementierung der Zugangsberechtigung zur Datenanwendung zu erfolgen. Während des Bestehens der Zugangsberechtigung ist die Rolle in periodischen Abständen zu prüfen.
(6) Für die Prüfung der Rolle im Rahmen des elektronischen Gesundheitsdatenaustausches im laufenden Betrieb gemäß Abs. 4 oder während einer bestehenden Zugangsberechtigung gemäß Abs. 5 haben Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter den Grund, die Periodizität, die einen Monat nicht übersteigen darf, die bei der Prüfung einzuhaltende Vorgangsweise sowie die Mechanismen zur Sicherstellung und Kontrolle ihrer Durchführung zu dokumentieren.
Vertraulichkeit
§ 6. (1) Unbeschadet der für die Verwendung personenbezogener Daten nach dem DSG 2000 bestehenden Datensicherheitsvorschriften haben Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter beim elektronischen Gesundheitsdatenaustausch über ein Medium, das nicht ihrem ausschließlichen Zugriff unterliegt, von ihnen verschiedene Dritte von der Kenntnisnahme von Gesundheitsdaten durch inhaltliche Verschlüsselung der Daten auszuschließen. Zur inhaltlichen Verschlüsselung sind kryptographische Verfahren einzusetzen, die nach dem jeweiligen Stand der Technik mit wirtschaftlich vernünftigem Aufwand nicht kompromittiert werden können.
(2) Die Verschlüsselung hat auf den Anlagen der Absenderin/des Absenders zu erfolgen, die Entschlüsselung auf den Anlagen der Empfängerin/des Empfängers der Gesundheitsdaten.
Integrität
§ 7. (1) Die Integrität (Unverfälschtheit) von weiterzugebenden Gesundheitsdaten ist durch Verwendung elektronischer Signaturen, die den gemäß Abs. 5 festgelegten Mindestanforderungen entsprechen müssen, nachzuweisen bzw. zu prüfen.
(2) Die Verwendung elektronischer Signaturen gemäß Abs. 1 kann unterbleiben, wenn der elektronische Gesundheitsdatenaustausch ausschließlich programmgesteuert oder durch direkte Bedienung einer Datenanwendung aus der Entfernung erfolgt. Gegebenenfalls haben Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter, die den programmgesteuerten Gesundheitsdatenaustausch durchführen sowie Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter, die Rechte zur Bedienung ihrer Datenanwendung aus der Entfernung einräumen, die Gründe und die von ihnen getroffenen Maßnahmen, die ein vergleichbares Datensicherheitsniveau gewährleisten müssen sowie die Mechanismen zur Sicherstellung und Kontrolle ihrer Einhaltung zu dokumentieren.
(3) Das Anbringen elektronischer Signaturen kann automationsunterstützt erfolgen.
(4) Im Fall einer fehlgeschlagenen Signaturprüfung dürfen die empfangenen Gesundheitsdaten nicht verwendet werden.
(5) Die qualitativen Mindestanforderungen für Zertifikate gemäß den §§ 4 und 5, für die Verschlüsselung gemäß § 5 sowie für elektronische Signaturen sind von der Bundesministerin für Gesundheit und Frauen/vom Bundesminister für Gesundheit und Frauen mit Verordnung festzulegen.
Dokumentation
§ 8. (1) Die von Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbietern für den elektronischen Gesundheitsdatenaustausch in ihrem internen Bereich getroffenen Datensicherheitsmaßnahmen einschließlich wirksamer Mechanismen zur Kontrolle und Sicherstellung ihrer Einhaltung sind in den innerorganisatorischen Datenschutz- bzw. Datensicherheitsvorschriften gemäß den geltenden Vorschriften, insbesondere gemäß § 14 DSG 2000, zu dokumentieren.
(2) Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter, die den Dokumentationspflichten gemäß § 4 Abs. 4, § 5 Abs. 4 oder Abs. 5 oder § 7 Abs. 2 unterliegen, haben der Bundesministerin für Gesundheit und Frauen/dem Bundesminister für Gesundheit und Frauen oder einer/einem von ihr/ihm beauftragten Dritten über die gemäß § 4 Abs. 5, § 5 Abs. 6 oder § 7 Abs. 2 zu dokumentierenden Regelungen sowie über die Art, den Umfang und die Ergebnisse der in diesem Zusammenhang durchgeführten Kontrollen auf Verlangen Auskunft zu geben.
Abschnitt
Informationsmanagement
eHealth-Verzeichnisdienst
§ 9. (1) Die Bundesministerin für Gesundheit und Frauen/Der Bundesminister für Gesundheit und Frauen kann zur Förderung des elektronischen Gesundheitsdatenaustausches, zur Verbesserung des Zugangs zu Informationen über gesundheitsbezogene Dienste sowie zu Planungs- und Berichtszwecken einen eHealth-Verzeichnisdienst einrichten.
(2) Der eHealth-Verzeichnisdienst hat insbesondere für die in § 10 bezeichneten Daten eine nach unterschiedlichen Kriterien gestaltete Suchfunktion, die die Auffindbarkeit von Informationen über Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbietern gewährleistet, zu enthalten.
(3) Der Zugriff auf die im eHealth-Verzeichnisdienst enthaltenen Daten ist auf die in den eHealth-Verzeichnisdienst aufgenommenen Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter, die Registrierungsstellen sowie mit der Gesundheitsverwaltung betrauten Einrichtungen des öffentlichen Rechts einzuschränken. Bei der technischen Ausgestaltung der Suchfunktion sind darüber hinaus wirksame Mechanismen zur Verhinderung des Missbrauchs von Daten zu implementieren.
(4) Der eHealth-Verzeichnisdienst nimmt am Replikationsmechanismus mit anderen Verzeichnisdiensten nicht teil. Die Bundesministerin für Gesundheit und Frauen/Der Bundesminister für Gesundheit und Frauen kann jedoch mit Verordnung, die insbesondere den Zeitpunkt für den Beginn der Replikation sowie die dafür erforderlichen technischen Umstände zu enthalten hat, eine solche Teilnahme vorsehen.
(5) Im eHealth-Verzeichnisdienst eingetragene Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter sowie Registrierungsstellen sind berechtigt, die im eHealth-Verzeichnisdienst gespeicherten Daten auf ihren Anlagen zu speichern (Spiegelung bzw. Replikation). Diese Daten dürfen ausschließlich zum Zweck des elektronischen Gesundheitsdatenaustausches und zur Sicherstellung der Aktualität und Richtigkeit des eHealth-Verzeichnisdienstes verwendet werden und sind regelmäßig, längstens jedoch innerhalb von zwei Wochen, zu aktualisieren.
(6) Die Bundesministerin für Gesundheit und Frauen/Der Bundesminister für Gesundheit und Frauen kann mit Verordnung nähere Bestimmungen über die in den eHealth-Verzeichnisdienst aufzunehmenden Daten, das Registrierungsverfahren sowie über die Führung des eHealth-Verzeichnisdienstes erlassen.
Inhalte
§ 10. (1) In den eHealth-Verzeichnisdienst sind insbesondere folgende Daten aufzunehmen:
Name oder Bezeichnung sowie eindeutige elektronische Identifikation (§ 8 E-GovG) der Gesundheitsdiensteanbieterin/des Gesundheitsdiensteanbieters,
Angaben zur postalischen und elektronischen Erreichbarkeit,
die eindeutige Kennung (OID) und den symbolischen Bezeichner,
die Rolle(n) der Gesundheitsdiensteanbieterin/des Gesundheitsdiensteanbieters,
Angaben zur geografischen Lokalisierung der Gesundheitsdiensteanbieterin/des Gesundheitsdiensteanbieters,
die elektronische Adresse, an der die zur Verschlüsselung von Gesundheitsdaten erforderlichen Angaben aufgefunden werden können,
die Bezeichnung jener Stelle(n), die die Zuordnung der Rolle(n) zum Gesundheitsdiensteanbieter bestätigt hat (haben),
das Datum der Registrierung und der letzten Berichtigung sowie die Bezeichnung der Registrierungsstelle, die diese Verzeichniseintragungen durchgeführt hat.
(2) Die eindeutige Kennung (Abs. 1 Z 3) ist anhand der ÖNORM A 2642, „Kommunikation offener Systeme, Verfahren zur Registrierung von Informationsobjekten in Österreich“ vom 1. März 1997, aus der Kennung (OID) des Bundesministeriums für Gesundheit und Frauen abzuleiten.
(3) Ergänzend zu den gemäß Abs. 1 bereits aufgenommenen Daten können organisatorischen Untergliederungen einer Gesundheitsdiensteanbieterin/eines Gesundheitsdiensteanbieters in den eHealth-Verzeichnisdienst aufgenommen werden, wenn diese am elektronischen Gesundheitsdatenaustausch teilnehmen und die/der organisatorisch übergeordnete
Gesundheitsdiensteanbieterin/Gesundheitsdiensteanbieter zustimmt. Diesbezüglich sind in den eHealth-Verzeichnisdienst die Angaben gemäß Abs. 1 und 2 mit der Maßgabe aufzunehmen, dass die eindeutige Kennung der organisatorischen Untergliederung aus der Kennung der/des organisatorisch übergeordneten Gesundheitsdiensteanbieterin/Gesundheitsdiensteanbieters abzuleiten ist.
(4) In den Verzeichnisdienst können darüber hinaus zusätzliche Daten über die betreffende Gesundheitsdiensteanbieterin/den betreffenden Gesundheitsdiensteanbieter oder die von ihr/ihm angebotenen gesundheitsbezogenen elektronischen Dienste aufgenommen werden. Diese Zusatzinformationen müssen sich auf die nähere Beschreibung ihres/seines rollenspezifischen Dienstleistungsangebots beziehen oder Informationen darstellen, die für das Auffinden oder die Inanspruchnahme eines elektronischen Dienstes erforderlich sind.
Aufnahme
§ 11. (1) Die Aufnahme in den eHealth-Verzeichnisdienst erfolgt ausschließlich auf Antrag einer Gesundheitsdiensteanbieterin/eines Gesundheitsdiensteanbieters und ist kostenlos. Sofern der Gesundheitsdiensteanbieterin/dem Gesundheitsdiensteanbieter Kosten für die Erbringung allenfalls geforderter Nachweise erwachsen, hat sie/er diese selbst zu tragen.
(2) Die Angaben der Gesundheitsdiensteanbieterin/des Gesundheitsdiensteanbieters unterliegen der Wahrheitspflicht. Diese gilt auch für Umstände, die eine spätere Berichtigung des eHealth-Verzeichnisdienstes erfordern.
(3) Der Antrag der Gesundheitsdiensteanbieterin/des Gesundheitsdiensteanbieters hat die in § 10 Abs. 1 Z 1, Z 2, Z 4 und Z 6 bezeichneten Daten zu enthalten. Ferner hat die Gesundheitsdiensteanbieterin/der Gesundheitsdiensteanbieter den gemäß § 10 Abs. 2 vorgesehenen symbolischen Bezeichner anzugeben, wenn dieser von der Bezeichnung gemäß § 10 Abs. 1 Z 1 abweicht. Gesundheitsdiensteanbieterinnen/Gesundheitsdiensteanbieter, die ihre rollenspezifischen Gesundheitsdienstleistungen nicht im Inland erbringen, haben darüber hinaus jene Stelle anzugeben, die nach den für sie geltenden Rechtsvorschriften zur Bestätigung der Rolle autorisiert ist.
Dieses Dokument ersetzt nicht die offizielle Publikation im Bundesgesetzblatt. Für eventuelle Ungenauigkeiten bei der Übertragung in dieses Format wird keine Haftung übernommen.