Veröffentlicht im Internet am 4. Februar 1998.
Zitierweise: Anderson RJ, British Medical Association (1998) Sicherheit in klinischen Informationssystemen. Deutsche Übersetzung von: Dies. (1996) Security in Clinical Information Systems. London, British Medical Association. Elektronisch publiziert unter Internet-Adresse
"http://ourworld.compuserve.com/homepages/gesundheitsdatenschutz/bma-s-d.htm"
Anmerkungen zum besseren Verständnis im deutschen Sprachraum sind von Dr. Anderson ("rja") und vom Übersetzer ("avh").
Technische Ausdrücke wurden manchmal ausführlicher erläutert beziehungsweise übersetzt, da
das Dokument insbesondere im Gesundheitswesen beschäftigte Personen und sonstiges interessiertes Publikum erreichen will. Damit wird bewußt von Gepflogenheiten in der deutschsprachigen Fachliteratur zur Computersicherheit abgewichen; diese verwendet viele englische Ausdrücke unübersetzt.
Englisches Original
Zitierweise: Anderson RJ, British Medical Association (1996) Security in Clinical Information Systems. London: British Medical Association, Januar 1996. ISBN 0 7279 1048 5
Gedruckt zu beziehen von Lina Coelho, BMA Library, BMA House, Tavistock Square, London WC1H 9JP, England;
e-mail: "lina.coelho@bma.org.uk", Tel. +44 171 383 6452.
URLs der elektronischen Form
"http://www.cl.cam.ac.uk/users/rja14/policy11/policy11.html" (HTML-Version) auf der Site
"http://www.cl.cam.ac.uk/users/rja14/#Med" (dort auch in den Formaten Postscript und ASCII)
Anschriften
Dr. Ross Anderson: Computer Laboratory, University of Cambridge,
Pembroke Street, Cambridge CB2 3QG, England;
e-mail: "Ross.Anderson@cl.cam.ac.uk"
British Medical Association: BMA House, Tavistock Square, London WC1H 9JP, England
e-mail: "bma-library@bma.org.uk"; Tel. +44 171 387 4499, Fax +44 171 383 6400;
hier weitere Telefonnummern
Übersetzer: Dr. Andreas von Heydwolff, Dreifaltigkeitsgasse 3, A-5020 Salzburg;
e-mail: "106624.446@compuserve.com"
GMC: General Medical Council
NHS: der National Health Service in Großbritannien. Im
Kürzel
NHSE steht "E" für "Executive", die Zentralverwaltung
von mehreren tausend Personen, von der ein großer Teil die IMG ist
IMG: Information Management Group [versucht unter anderem, alle Computersysteme im NHS unter ihrer Kontrolle zu behalten - rja]
Neue Technologien können dramatische Vorteile für die Patientenversorgung bringen. In jedem Einzelfall hat die Ärzteschaft die Pflicht, sowohl die Risiken als auch die Vorteile der betreffenden Technologie zu untersuchen, wozu sie sich der Forschungsergebnisse und der dokumentierten Zeugnisse klinischer Erfahrungen bedient. Die unbezweifelbaren Vorteile, welche die Informationstechnologie bieten kann, dürfen die Ärzte nicht blind für ihre Pflicht machen, dieselben rigorosen ethischen Standards auch auf deren Gebrauch anzuwenden.
Ausgedehnte Diskussionen über den Plan der NHSE [Erklärung s. Einschub nach diesem Absatz], ein NHS-weites Netzwerk einzuführen (das potentiell alle NHS-Computer in der Primär- und Sekundärversorgung, in Einkaufs- und Versorgungsorganisationen, sowohl innerhalb wie außerhalb des NHS, verbindet) haben die Risiken der Vernetzung für die Vertraulichkeit von identifizierbaren Patienteninformationen zur Gänze enthüllt.
Eine effektive Sicherheitspolitik ist eine essentielle Grundvoraussetzung.
Die sorgfältige Untersuchung des NHS-weiten Netzwerks - sein Potential für Nutzen und Schäden - hat die Unzulänglichkeit des NHS-Ansatzes gezeigt. Als Dienst sowohl am Berufsstand als auch an der Öffentlichkeit hat die Ärztevereinigung einen international anerkannten Experten für Datensicherheit beauftragt, Vorschläge für die Sicherheit in klinischen Informationssystemen zu entwickeln.
Dieser Bericht, den der NHS-Vorstand bereits erhalten hat, wird hier zur Beratung mit den breiteren ärztlichen Gemeinschaften und den Gemeinschaften der anderen Gesundheitsberufe, der Informatiker und Sicherheitsfachleute präsentiert. Würden die in ihm enthaltenen Prinzipien angenommen, so stünde damit eine sichere und für Ärzte und Patienten ethisch akzeptable Basis für den Gebrauch von Informationstechnologien im NHS zur Verfügung.
DR. A. W. MACARA
Vorsitzender der British Medical Association
11. Januar 1996
Das Vorhaben, ein landesweites NHS-Netzwerk einzuführen, hat zu Besorgnis wegen dessen Sicherheit geführt. Ärzte und Angehörige anderer klinischer Berufsgruppen befürchten, daß die Vertraulichkeit für Patienten gefährdet werden könnte, wenn persönliche Gesundheitsinformationen in weiterem Umfang verfügbar gemacht werden [ACH95]. Das Problem ist nicht auf den NHS beschränkt; es geht auch Kliniker in Gefängnissen, Einwanderungsbehörden, gerichtsmedizinischen Laboratorien und im privaten Sektor des Gesundheitswesen an. Jedenfalls hat das NHS-Netzwerk die Thematik öffentlich bewußt gemacht.
Allgemein ist man sich einig darüber, daß die Sicherheit
elektronischer Patientenakten dem bei papiernen Akten
angewendeten Standard entsprechen oder ihn übertreffen muß.
Das Fehlen von Klarheit über die richtigen Ziele für den
Schutz hat jedoch zu Verwirrung geführt. Die British Medical
Association hat daher den Autor gebeten, die Risiken
einzuschätzen und eine Sicherheitspolitik für klinischen
Informationssysteme aufzustellen.
Eine Sicherheitspolitik für Informationen besagt, wer Zugang zu welchen Informationen haben darf; Zugang umfaßt Aktivitäten wie das Lesen, Schreiben, Anfügen und Löschen von Daten. Sie geht aus einem Bedrohungsmodell hervor und formt wiederum die detaillierteren Aspekte des Systemdesigns. Um effektiv zu sein, muß sie auf dem richtigen Abstraktionsniveau verfaßt werden; sie darf den Leser nicht mit unnötigen Einzelheiten spezifischer Geräte belasten. Sie muß die wichtigen Problemen angehen und Ablenkungen vermeiden.
Eine mögliche Ablenkung ist die genaue Bedeutung von Begriffen
wie "Kliniker", "Patient" und "System". Man kann sich lange
dabei aufhalten, was passieren kann, wenn ein Klinker eine
Aufgabe an einen Studenten delegiert, oder wenn ein Patient
minderjährig oder verstorben ist. Diese Fragen können
schwierig sein, für unsere Zwecke sie sind aber unwichtig;
daher werden wir sie lieber schon hier anstatt im Hauptteil
der Sicherheitspolitik erklären.
Mit "persönlichen Gesundheitsinformationen" oder gleichbedeutend "identifizierbaren klinischen Informationen" meinen wir Informationen, die den Gesundheitszustand, die medizinische Krankengeschichte oder medizinische Behandlungen (ob vergangen oder zukünftig) eines Menschen in einer Form betreffen, die es ermöglicht, daß der Mensch von jemand anderem als dem behandelnden Kliniker identifiziert werden kann [RAC+93].
Mit "Kliniker", oder gleichbedeutend "klinischer Berufsausübender" [clinical professional] oder "in einem Gesundheitsberuf Tätiger" [healthcare professional] meinen wir eine zur Berufsausübung zugelassene Person wie einen Arzt, eine Krankenpflegeperson, einen Zahnarzt, einen Physiotherapeuten oder einen Apotheker, der im Rahmen seiner Berufspflichten Zugang zu persönlichen Gesundheitsinformationen hat und dem eine berufliche Verpflichtung zur Verschwiegenheit auferlegt ist. Wir schließen Ärzte im öffentlichen Gesundheitsbereich mit ein, auch wenn sie technisch gesehen vielleicht nicht klinisch tätig sind.
Der Leser kann den Access to Health Record Act von 1990 für eine gesetzliche Definition von "Healthcare Professional" zu Rate ziehen, sollte sich dabei aber darüber im klaren sein, daß dieses Gesetz kontrovers ist: es gibt eine Debatte darüber, ob Psychotherapeuten, Personal von telefonischen Beratungsdiensten, Ausübende im Bereich der Komplementärmedizin und Sozialarbeiter in die Vertrauensgrenze hineingenommen werden sollen. Wie auch immer, die Grenze muß irgendwo sein, und wo sie genau liegt, hat kaum eine Auswirkung auf unsere Politik. Sozialarbeiter, Studenten, Mitarbeiter von Wohlfahrtseinrichtungen und Empfangspersonal dürfen natürlich Zugang zu persönlichen Gesundheitsinformationen unter der Aufsicht eines Angehörigen eines Gesundheitsberufes haben; aber dieser bleibt für deren Verhalten verantwortlich. Der Einfachheit halber schließen wir solche Delegationen nicht in unsere Sicherheitspolitik ein; aber auf der Ebene des detaillierten Designs ist es ratsam, daß die Systembauer Delegationen auf intelligente Weise unterstützen.
Unser Gebrauch des Wortes "Patient" wird ein Kürzel für "das betroffene Individuum oder den Vertreter des Individuums" sein, im Sinne des Gesetzentwurfs, den die British Medical Association im Frühjahr 1996 durch einen Abgeordneten ins Parlament einbringen konnte [BMA95; der Entwurf wurde von der konservativen Regierung blockiert, die neue Labour Regierung, im Amt seit Mai 1997, will ein eigenes Datenschutzgesetz ins Parlament einbringen - rja]. In den meisten Fällen ist das der tatsächliche Patient; aber wenn der Patient ein kleines Kind ist, kann es ein Elternteil oder Vormund sein, der an seiner statt handelt. Es gibt Regeln für bewußtlose oder verstorbene und noch komplexere Regeln für geistig behinderte Patienten. Diese Regeln können von früher ausgedrückten Wünschen des Patienten abhängen, und sie unterscheiden sich in verschiedenen Teilen des Vereinigten Königreichs [Som93]. Wir werden diesen Bereich nicht weiter diskutieren.
Um einer knappen Ausdrucksweise willen werden wir annehmen, daß der Kliniker weiblich ist und der Patient männlich. Das Thema der feministischen versus grammatikalischen Sichtweise wird in der Computer-Sicherheitsliteratur traditionell so gelöst, daß definitive Geschlechterrollen zugeordnet werden, wobei Frauen mindestens einen so hohen Status bekommen wie Männer. Unsere Wahl soll nicht heißen, daß die Klinikerin einen höheren Status als der Patient in der therapeutischen Partnerschaft zwischen beiden innehat.
Mit "System" meinen wir im allgemeinen die Gesamtheit von Hardware, Software, Kommunikations- und manuellen Vorgängen, die ein zusammenhängendes System zur Informationsverarbeitung ausmachen [mit Kommunikationsvorgängen sind Ordnung, Disziplin, usw. gemeint; "man muß einem Unix-Systemadministrator vertrauen können, da er mit dem System alles machen kann. Also ist er ein Teil des Systems und sogar der 'Trusted Computing Base'" - rja]. Es kümmert uns nicht, ob das System aus einer einzigen großen Grundstruktur [mainframe] mit tausenden von Terminals besteht, aus tausenden von PCs, die durch einen Satz von sogenannten Protokollen und verteilten Anwendungen verbunden sind, oder sogar aus tausenden von Angestellten, die Papierblätter umherbewegen. Es geht uns nur um den Nettoeffekt der Informationsverarbeitung; das ist auch der Sinn der kürzlich erschienenen EU-Direktive zum Datenschutz [EU95].
Aus dem Kontext dürfte klar werden, ob wir über die Gesamtheit
der miteinander verbundenen klinischen Systeme sprechen oder
von dem Subsystem, das den Erfordernissen eines bestimmten
Individuums oder Behandlungsteams dient.
Erstens behandelt dieses Dokument nur die klinischen Aspekte von Informationssicherheit und nicht die zugehörigen geschäftlichen Aspekte wie die kommerzielle Vertraulichkeit von Käufer- und Anbieter-Vertragsdaten und die rechtliche Verläßlichkeit von elektronischen Akten vor Gericht.
Zweitens bestreiten wir nicht, daß es Sicherheitsgewinne durch die Computerisierung von medizinischen Aufzeichnungen geben kann: das Verschlüsseln von Akten, die übermittelt werden, kann eine viel stärkere Vertraulichkeit gewährleisten als die Postdienste; Systeme zum Aufspüren von Eindringversuchen können Zugangsvorgänge aufzeichnen und sie auf verdächtige Muster hin analysieren; und Datensicherungen an anderen Orten können effektiven und wirtschaftlichen Schutz vor Feuer und Überschwemmung bieten.
Wir müssen jedoch erst unsere Prioritäten für den Schutz
verstehen, bevor diese Techniken effektiv angewendet werden
können, und eine Sicherheitspolitik ist ein wichtiger Schritt
zum Schaffen und Klären eines solchen Verständnisses.
In diesem Abschnitt diskutieren wir die Bedrohungen der
Sicherheit von persönlichen Gesundheitsinformationen, die von
der Computerisierung und insbesondere vom Verknüpfen der
vielen Praxis- und Krankenhauscomputer herrühren, in denen
gegenwärtig klinische Aufzeichnungen gespeichert werden.
Zuerst gehen wir die Sicherheitsziele durch, dann überlegen
wir, was leicht schiefgehen kann, und schließlich legen wir
unsere Sicherheitsprioritäten fest.
Der hippokratische Eid schloß das Prinzip der medizinischen Vertraulichkeit in die ärztliche Berufsethik ein. Eine moderne Formulierung ist im Büchlein "Good Medical Practice" [GMC1] zu finden, das der General Medical Council herausgegeben hat:
Dies wurde im GMC-Büchlein "Confidentiality" [Vertraulichkeit] noch weiter ausgeführt, das festlegt, daß Ärzte, die vertrauliche Informationen aufzeichnen oder verwahren, sicherstellen müssen, daß diese wirksam gegen unzulässige Offenbarung geschützt werden. Noch detailliertere Unterweisungen können in Büchern gefunden werden, die von der British Medical Association [Som93] und vom Königlichen Staatsverlag [HMSO; Her Majesty's Stationary Office][DGMW94] veröffentlicht wurden.
Sowohl die Regierung als auch die Verbände der Gesundheitsberufe sind übereingekommen, daß elektronische Gesundheitsakten mindestens so gut wie papierne geschützt werden müssen; das Datenschutzgesetz macht die niedergelassenen Ärzte und andere für die persönlichen Gesundheitsinformationen, die sie sammeln, verantwortlich; und eine neue EU-Direktive macht der Regierung die Auflage, die Verarbeitung von Gesundheitsdaten zu verbieten, außer wenn derjenige, den die Daten betreffen, seine ausdrückliche Zustimmung gegeben hat, und unter gewissen anderen Bedingungen [EU95].
Das grundlegende ethische Prinzip ist, wie vom General Medical Council und von der EU festgelegt, daß der Patient der Teilhabe an seinen Daten zustimmen muß. Vertraulichkeit ist ein Privileg des Patienten, daher kann nur er auf sie verzichten [DGMW94]; und die Zustimmung dazu muß eine informierte, freiwillige und kompetente sein [Som93]. Folglich müssen Patienten zum Beispiel davon in Kenntnis gesetzt werden, daß ihre Informationen von Mitgliedern eines Behandlungsteams (wie dem in einer Allgemeinpraxis oder einer Krankenhausabteilung) geteilt werden können.
Im Laufe der Zeit hat sich eine Anzahl von Ausnahmen zu dieser Regel entwickelt, und diese schließen gesetzliche Erfordernisse und aus pragmatischen Gründen geforderte Ausnahmen ein; sie haben zu tun mit der Bekanntgabe von Abtreibungen, Geburten, manchen Todesfällen, bestimmten Erkrankungen, unerwünschten Medikamentenwirkungen, Verletzungen, die nicht auf einen Unfall zurückzuführen sind, der Fahrtauglichkeit und mit Offenlegungen gegenüber Rechtsbeiständen im Verlauf eines Rechtsstreits [DGMW94]. Es gibt eine Kontroverse zur Forschung; die Zentralverwaltung des National Health Service [NHSE, NHS Executive] behauptet, daß ein Patient dadurch, daß er sich in Behandlung begibt, implizit der Verwendung seiner Akten in der Forschung zustimmt, während die Gesundheitsberufe diese Sicht nicht akzeptieren [Mac94]. Diese Debatte hat jedoch keine großen Auswirkungen auf die Sicherheitspolitik, die hier dargestellt wird.
Schließlich gibt es noch die Frage, ob ein Patient der
Speicherung seiner Akte in einem Computersystem überhaupt
zustimmen muß oder nicht. Es ist unethisch, einen Patienten zu
diskriminieren, der verlangt, daß Aufzeichnungen über ihn auf
Papier festgehalten werden; seine Befürchtungen können sehr
wohl gerechtfertigt sein, wenn er im öffentlichen Leben steht,
ein Ziel für Mordversuche ist oder wenn er aus anderen Gründen
von fähigen und motivierten Gegnern bedroht wird. Im Umgang
mit manchen derartigen Fällen hat man Pseudonyme verwendet, so
daß die wahre Identität des Patienten nie einem Computersystem
ausgesetzt wurde.
Außer um die Vertraulichkeit von klinischen Informationen sind wir um deren Integrität und Verfügbarkeit besorgt.
Wenn Informationen verfälscht sind, können Klinikerinnen falsche Entscheidungen treffen, die Patienten schaden oder sie sogar umbringen. Wenn Informationen in dem Sinne unverläßlich sind, daß sie möglicherweise verfälscht worden sein könnten (selbst wenn das nicht geschehen ist), dann haben sie als Grundlage für klinische Entscheidungen verminderten Wert. Außerdem gibt es die medizinrechtlichen Bedenken, daß in Gesundheitsberufen Tätige, die ihr Handeln rechtfertigen sollen, sich vielleicht nicht auf Computeraufzeichnungen als Beweismaterial verlassen können; und unlängst hat es eine Kontroverse darüber gegeben, ob es genügt, eine elektronische Akte alleine zu haben, oder ob Papier- oder Mikrofiche-Akten als Sicherungskopien gehalten werden sollen.
Wenn Informationssysteme in dem einfacheren Sinne unverläßlich sind, daß Informationen gelegentlich wegen eines Systemversagens oder wegen Sabotage nicht verfügbar sein können, so verringert dies ebenfalls ihren Wert und schränkt den Gebrauch ein, den man vernünftigerweise von ihnen machen kann.
Es ist daher klug, nach Wegen zu suchen, wie man die
Integrität bestimmter Aufzeichnungen garantieren kann, und
Angriffen vorzubeugen, welche die Verfügbarkeit des Systems
beeinträchtigen können.
Viele öffentliche und private Organisationen haben verstreute manuelle Aufzeichnungssysteme durch zentralisierte oder vernetzte Computersysteme ersetzt, die besseren Zugang zu den Daten gewähren. Deren Erfahrung ist, daß die hauptsächliche neue Bedrohung von Insidern kommt. Zum Beispiel geben die meisten der großen Banken im Vereinigten Königreich mittlerweile jedem Kassierer Zugang zum Konto jedes Kunden; Zeitungen berichten, daß Privatdetektive Kassierer bestechen, um Informationen über Konten zu erhalten, die sie für etwa 100 Pfund weiterverkaufen [LB94]. Diese Praxis wurde mit einer kürzlich erlassenen Novelle des Datenschutzgesetzes unter Strafe gestellt, aber es hat trotzdem noch keine Strafverfolgungen gegeben, von denen wir gehört hätten.
Mit den Auswirkungen des Aggregierens von Daten in großen Datenbanken hätte man rechnen können. Die Wahrscheinlichkeit, daß Informationen unzulässigerweise offenbart werden, hängt von zwei Dingen ab: von ihrem Wert und von der Anzahl von Personen, die Zugang zu ihnen haben. Das Aggregieren von Akten erhöht beide Risikofaktoren zugleich. Es kann außerdem eine wertvolle Ressource schaffen, die selbst wiederum politischen Druck für eine Legalisierung des Zugangs erzeugt, der von Interessenten kommt, die behaupten, daß sie die Informationen benötigen [Smu94].
Es ist unwahrscheinlich, daß es sich mit Systemen im Gesundheitsbereich anders verhält. Gegenwärtig hängt die Sicherheit von der Fragmentation und dem Verstreutsein ab, die zu manuellen Aufzeichnungssystemen gehören. Diese Systeme können bereits von Privatdetektiven verletzt werden, die einfach anrufen und so tun, als ob sie einem anderen Anbieter von Gesundheitsleistungen angehören. Eine kürzlich von einer Zeitung durchgeführte Untersuchung hat gezeigt, daß man die Akten der meisten Leute für lediglich 150 Pfund beziehen kann [RL95]. Es sind auch Vorfälle bekannt, in denen es speziell um Computersysteme ging:
Die interimistischen Richtlinien, die gleichzeitig mit diesen Grundsätzen herausgegeben wurden [And96; zugänglich über die nächsthöhere Ebene auf dieser Site - avh], geben Rat, wie man solche Attacken auf manuelle und Computer-Systeme unwahrscheinlicher machen kann. Die Einführung der Vernetzung wird jedoch das Risikoprofil verändern, da gegenwärtig in Großbritannien betriebene Gesundheitsnetzwerke in ihrer Ausdehnung begrenzt sind, ob nun geographisch oder in ihrer Funktion. Sie zu einem nationales Netzwerk mit vollen Funktionen zu verbinden, wird das Potential für Unheil sehr stark vermehren.
Einfach gesagt, wir mögen nicht sehr besorgt darüber sein, daß die Empfangsdame eines Allgemeinarztes Zugang zu den Akten von 2.000 Patienten hat; aber wir wären in der Tat sehr besorgt, wenn 32.000 Empfangsdamen alle Zugang zu den Akten von 56.000.000 Patienten hätten. Die Gefahr des Aggregierens von Akten und die Wahrscheinlichkeit, daß daraus Mißbrauch resultieren wird, wird von den Erfahrungen in den USA bestätigt, wo die Vernetzung etwas weiter fortgeschritten ist als in Großbritannien:
Das Problem wurde vom Amt der US-Regierung für Technikfolgenabschätzung [Office of Technology Assessment] untersucht. Es bestätigte, daß die Hauptbedrohungen der Privatheit in computerisierten Patientenaktensystemen vielmehr von Insidern als von Outsidern kommen, und daß sie durch die Datenaggregation verschärft werden, die durch vernetzte Computersysteme begünstigt wird [OTA93]. Andere Begleiterscheinungen der Datenaggregation sind die Zunahme von Behauptungen, daß man die Informationen benötige, und Behandlungen, die mehr das Interesse des geldgebenden Konzerns als das des Patienten im Auge haben [Woo95].
Die britische Regierung gibt zu, daß es für den breiten Zugang zu identifizierbaren klinischen Aufzeichnungen keine ethische Grundlage gibt. Nicht einmal eine Klinikerin (geschweige denn jemand aus der Verwaltung) darf, ohne daß dies erforderlich wäre, Zugang zu persönlichen Gesundheitsinformationen haben. In den Worten von David Bellamy gesagt, dem Principal Medical Officer im Gesundheitsministerium:
Es gibt häufig Behauptungen von Versicherern, Sozialarbeitern, Polizisten und Verwaltern, daß es für sie "erforderlich" ist, persönliche Gesundheitsinformationen zu erfahren. Wenn solche Behauptungen überprüft werden, kann es hilfreich sein, im Kopf zu behalten, daß die Notwendigkeit für einen Chirurgen, den HIV-Status eines Patienten zu wissen - so daß er zusätzliche Vorsichtsmaßnahmen ergreifen kann, um Nadelstichverletzungen zu vermeiden - nicht genügt, um sich über das Recht des Patienten auf die Privatheit seines Status hinwegzusetzen. In einem kürzlich durchgeführten Gerichtsverfahren wurde befunden, daß nicht einmal der HIV-Status eines Arztes offenbart werden darf: das kleine Risiko für die Gesundheit von Patienten wiegt nicht das öffentliche Interesse an der Vertraulichkeit auf, die es infizierten Personen ermöglicht, Hilfe zu suchen [DGMW94].
Die British Medical Association akzeptiert nicht, daß die
"Notwendigkeit zu Wissen" ["need-to-know"] eine akzeptable
Basis für Entscheidungen über die Zugangskontrolle sei. Wie
die Dokumente der EU und des General Medical Council deutlich
machen, ist es die Einwilligung des Patienten, die zählt. Das
Konzept von der "Notwendigkeit zu Wissen" ["need-to-know"]
impliziert und ermutigt um der verwaltungsmäßigen
Vereinfachung willen die heimliche Erosion des
Patientenprivilegs. Auf jeden Fall verleihen Notwendigkeiten
keine Rechte: die Notwendigkeit für die Polizei, zu wissen, ob
ein Verdächtiger die Wahrheit sagt, verleiht ihr nicht das
Recht, ihn zu foltern. Es ist auch nützlich, empirische
Untersuchungen über Einstellungen von Patienten im Kopf zu
behalten, die starken Widerstand gegen das Mitteilen von
persönlichen Gesundheitsinformationen an Verwaltungspersonal
des NHS, Sozialarbeiter und Statistiker der Regierung belegen
[Haw95].
Zusätzlich zu den Bedrohungen der Vertraulichkeit von
klinischen Informationen kann deren Integrität und
Verfügbarkeit in Computersystemen gefährdet sein. Das ist oft
in Arten und Weisen der Fall, die nicht unmittelbar
offensichtlich sind.
Aus allen diesen Gründen sollten die Vertraulichkeits- und
Integritätseigenschaften klinischer Systeme nicht isoliert
voneinander betrachtet werden.
Ein üblicher Fehler in Angelegenheiten der Computersicherheit ist es, den Blick ganz auf "schillernde", aber wenig wahrscheinliche Bedrohungen zu richten, wie zum Beispiel die Möglichkeit, daß ein fremder Nachrichtendienst Abhörtechnik einsetzen könnte, um die elektromagnetische Streustrahlung von Computermonitoren zu entschlüsseln. Obwohl derartige Angriffe möglich sind, können sie in der Praxis außer acht gelassen werden, da ein fähiger und motivierter Gegner billigere und verläßlichere Wege finden würde, um an Informationen heranzukommen (z.B. Einbruch oder Bestechung).
Ein anderes Beispiel ist die Publicity, die gelegentliche Angriffe von Hackern auf das Internet erhalten. Es ist richtig, daß fähige Hacker den Verkehr auf verschiedene Weisen manipulieren und dabei Erfolg haben können, sich durch Techniken des Paßwort-Schnüffels und Adressen-Schwindelns in Systeme einzuloggen. Jedoch ist die Häufigkeit solcher Angriffe gering, und kompetente Anbieter von Internetdiensten bedienen sich einer elektronischen Brandmauer [firewall], um sie schwierig zu machen. Es gibt das viel größeres Risiko, daß das Computersystem physisch aus der Praxis gestohlen wird; über 10% der Allgemeinärzte haben einen Computerdiebstahl erlebt [PK95].
Wir müssen daher einen Unterschied machen zwischen Verletzlichkeiten (Dinge, die schiefgehen könnten) und Bedrohungen (Dinge, bei denen wahrscheinlich ist, daß sie schiefgehen). Es ist zu beachten, daß andere Autoren diese beiden Wörter mit den umgekehrten Bedeutungen verwenden. Wie auch immer, solche Dispute sind für unsere gegenwärtigen Anliegen nur am Rande von Bedeutung.
Die Reichweite [scope] von Bedrohungen variiert und wird von uns als die Anzahl der betroffenen Individuen definiert. Es gibt globale Bedrohungen der Privatheit, Integrität oder Verfügbarkeit von persönlichen Gesundheitsinformationen der gesamten Bevölkerung, wie zum Beispiel den bereits existierenden schwarzen Markt für persönliche Gesundheitsinformationen; die meisten Bedrohungen sind hingegen lokal begrenzt und beeinträchtigen die Privatheit, Integrität oder Verfügbarkeit von klinischen Aufzeichnungen, die von einem Behandlungsteam gehalten werden. Beispiele sind der Diebstahl von Geräten, Feuer, Virusbefall und die Offenbarung von Aufzeichnungen gegenüber Dritten durch nachlässiges Personal.
Lokale Bedrohungen können durch mehr oder weniger gut verstandene Techniken im Rahmen gehalten werden, wie zum Beispiel durch Training des Personals, Sicherungskopien an einem anderen Ort und regelmäßige unabhängige Überprüfungen; der Großteil der Sicherheitsbemühungen einer Praxis oder einer Krankenhausabteilung wird ihnen gewidmet sein. Allgemeine Richtlinien sind vom Gesundheitsministerium herausgegeben worden [NHS95], während die British Medical Association ihre eigenen Richtlinien [And96] zu Maßnahmen herausgegeben hat, die getroffen werden sollen, um den ernstesten Bedrohungen entgegenzuwirken, die wir zur Zeit kennen.
Auf der Ebene der Sicherheitspolitik ist es mittlerweile
unsere Priorität, daß lokale Angriffe sich nicht zu globalen
entwickeln oder daß sie nicht bereits bestehende globale Bedrohungen
durch die schlecht beratene Aggregation von Daten oder durch die Vernachlässigung des Prinzips der
Patientenzustimmung verschärfen. Die Prinzipien der
Sicherheitspolitik, die wir von allen kommunizierenden
klinischen Systemen erzwungen haben wollen, müssen
Angelegenheiten wie der Aggregation und der Zustimmung
Priorität geben.
Die Aggregation von persönlichen Gesundheitsinformationen kann sich auf verschiedenste Arten und Weisen ergeben, von denen manche zweifellos aus wohlmeinender Absicht geschehen, während andere von außerklinischem Druck getrieben sind. Zu den Beispielen aus gegenwärtigen und geplanten NHS-Systemen gehört folgendes:
Die genannten Systeme sind in Auftrag gegeben worden, obwohl es eine Übereinkunft zwischen dem NHS-Vorstand und den Berufsverbänden gab, daß elektronische Patientenakten mindestens so sicher sein sollen wie papierne Akten, und trotz bestehender Richtlinien der GMSC/RCGP Joint Computer Group, die festlegen, daß kein Patient für jemand anderen als seinen Hausarzt aus Daten identifizierbar sein soll, die ohne seine informierte Zustimmung an eine äußere Organisation geschickt werden [JCG88].
Ein strategisches Ziel der Information Management Group der NHS-Zentralverwaltung ist eine von allen gänzlich geteilte Patientenakte; so wie wir es sehen, soll die Sammlung von Daten vom Hausarzt die Triebkraft sein, und die Hausarztsysteme sollen von NHS-Systemen abgefragt werden. Diese Ziele stehen jedoch in klarem Konflikt zu der ethischen Position sowohl der British Medical Association [Som93] als auch zu den oben erwähnten Richtlinien der Joint Computer Group.
Eine Zustimmung der Patienten zum Teilen von persönlichen Gesundheitsinformationen mit dem Verwaltungspersonal des NHS liegt nicht vor; vielmehr zeigt eine Untersuchung, daß die meisten Patienten es ablehnen, persönliche Gesundheitsinformationen mit diesem zu teilen [Haw95]. Daß diese Informationen in großen Aggregationen gesammelt werden sollen, über die nicht einmal die in Gesundheitsberufen Beschäftigten die Kontrolle haben, ist extrem gefährlich; wie die Erfahrung aus den USA gezeigt hat, wird die bloße Existenz einer solchen potentiell wertvollen Ressource starken politischen Druck für einen legitimisierten Zugang durch Strafverfolgungsbehörden, Versicherungen und andere erzeugen.
Dieses Dokument gehört zur Antwort der British Medical
Association darauf. Sein primärer Zweck ist es, klinisch
Arbeitenden zu helfen, ihren ethischen und rechtlichen
Verantwortlichkeiten nachzukommen, indem sie geeignete Systeme
auswählen und sie sicher betreiben. Es versucht zu definieren,
welcher Art von Systemen man vernünftigerweise persönliche
Gesundheitsinformationen anvertrauen kann. In diesem Sinne
werden wir auf dem in diesem Abschnitt entwickelten
Bedrohungsmodell aufbauen und daraus eine Sicherheitspolitik
für klinische Informationssysteme entwickeln. Diese besteht
aus einem kompakten Satz von Prinzipien, die, wenn sie
sachgemäß implementiert worden sind, die Patientenzustimmung
in kommunizierenden Computersystemen wirksam erzwingen.
Das Prinzip der Zustimmung und die Regeln, die zu dessen Interpretation verwendet werden, sind gut verankert - sie haben sich aus Jahrhunderten klinischer Erfahrung herausgebildet und werden von Datenschutzgesetzen unterstützt. In diesem Abschnitt drücken wir sie in der Form einer Sicherheitspolitik aus - einem Satz von Prinzipien, die bestimmen, welche Person in einem Computersystem Zugang zu welchem Objekt haben kann [which subject can access which object]. Sie enthalten nichts, das radikal neu wäre, sondern sie drücken Prinzipien des gesunden Menschenverstandes noch einmal in der modernen Sprache der Computersicherheit aus.
Die Sicherheitspolitik deckt ganz allgemein klinische Systeme ab. Manche Klinikerinnen werden zusätzliche Anforderungen haben, und diejenigen, die mehr als einen identifizierbaren Patienten gleichzeitig behandeln (wie Kinderpsychiater, Embryologen und Personen, die am menschlichen Genom forschen) sind mit besonders subtilen Gefahren konfrontiert. Zum Beispiel können Zugangsrechte, die von Betroffenen genossen werden [data subjects], es diesen ermöglichen, Informationen von anderen einzusehen; auch gibt es in vielen Fällen besondere rechtliche Anforderungen. Designer von Systemen, die solche Aktivitäten unterstützen, sollten weitere Beratung einholen.
Grundsätzlich gibt es zwei Arten, wie man elektronische klinische Aufzeichnungen organisieren kann. Die erste spiegelt das bestehende papiergestützte System wieder; jede Klinikerin führt eine Akte in ihrem Computer (oder manuellen Karteisystem), und Informationen werden zwischen ihnen in Form von Zusammenfassungen (wie zum Beispiel Überweisungs- und Entlassungsbriefen) übermittelt. Die zweite geht von der Annahme aus, daß es zu jedem Patienten eine einzelne elektronische Akte gibt, die vor der Geburt angelegt und nach der Autopsie geschlossen wird, und die alles enthält, was aus der Zeit dazwischen von klinischem Interesse ist.
Nachfolgend werden wir mit der Annahme des ersten Paradigmas
beginnen, da es in der tatsächlichen klinischen Praxis
vorherrscht und der Umgang damit viel einfacher ist. Wenn wir
erst einmal eine Sicherheitspolitik für diesen Fall entwickelt
haben, werden wir den anderen Ansatz diskutieren, der
"patientengestützte Akten" genannt worden ist, der aber in
Wirklichkeit bedeuten kann, daß die Akten in irgendeinem
Zentralregister gehalten werden. Zum Schluß werden wir
kompromißhafte Ansätze betrachten, zum Beispiel den, wo
detaillierte Aufzeichnungen in den Systemen der Klinikerinnen
gehalten werden, wobei aber eine zentrale Zusammenfassung mit
Verweisen zu jenen Aufzeichnungen zusammengestellt wird.
In einem Computersystem hat jeder Benutzer Zugang zu bestimmten Objekten [each subject has access to certain objects]. Diese Zugangsinformation kann benutzergebunden oder objektgebunden gespeichert werden [may be stored by subject or object]. Im ersten Fall werden die Zugangsgenehmigungen Berechtigungen genannt. Sie könnten die Form haben "Dr. Jones darf die Akten lesen von Farid Abdullahi, James Adams, Wendy Adams, Henry Addenbrooke, ..." Wenn die Genehmigungen mit den Objekten gespeichert werden, nennt man sie Zugangskontrollisten, und sie könnten die Form haben: "Das ist die Akte von Farid Abdullahi und sie darf gelesen werden von Dr. Jones, Dr. Smith und Schwester Young". Der letzte Ansatz führt zu einfacheren technischen Lösungen, da die Anzahl der Patienten pro Arzt viel größer ist als die Anzahl der Ärzte pro Patient.
Bei normalem Ablauf darf jede Klinikerin mit Zugang zu einer Akte sie nicht nur lesen, sondern ihr auch Informationen hinzufügen (mit dem Löschen von Informationen werden wir uns später beschäftigen). Unser erstes Prinzip ist daher:
In vielen gängigen Systemen sind die Zugangskontrollisten implizit enthalten. Wenn eine Akte in einer Praxisdatenbank vorhanden ist, dann können alle Ärztinnen in der Praxis sie lesen und ihr Dinge anfügen. Mit der Einführung von vernetztem Arbeiten müssen jedoch Zugangskontrollisten explizit und mit einer ganze Bandbreite von Systemen verträglich gemacht werden, und sie müssen von Mechanismen durchgesetzt werden, die nicht nur technisch effektiv sind, sondern auch Vertretungssituationen und die gemeinsame Patientenbetreuung unterstützen.
Um das zu erleichtern, können auch Gruppen anstelle von individuellen Namen verwendet werden. Wenn zum Beispiel Dr. Jones, Dr. Smith und Schwester Young zusammen das Personal der Praxis in Swaffham sind, dann können die Akten, zu denen sie alle Zugang haben, einfach mit "Swaffham" gekennzeichnet werden. Diese Idee gehörte als inhärenter Bestandteil zur Entwicklung von Betreuung in der Gemeinde [Community Care]; die Teams bestanden aus Ärztinnen, Schwestern und dem Personal von sozialen Diensten, und wenn man begann, festzulegen, welche Informationen man miteinander teilen würde, wurde eine schriftliche Einwilligung dazu eingeholt. Auf diese Weise wußten die Patienten, wem sie mit ihrer Unterschrift ihr Vertrauen gaben.
Manchmal jedoch bestehen die einzig sinnvollen Gruppen aus einer großen Zahl von Personen. In großen Krankenhäusern und in "community health trusts" können es hunderte von Pflegepersonen sein, die zum Dienst auf einer bestimmten Station oder in einer bestimmten Einrichtung eingeteilt sind. Dann können einige besondere Beschränkungen beim Definieren von Gruppen erforderlich werden; zum Beispiel kann die Gruppe "alles diensthabende Personal auf derselben Station, auf der der Patient ist" sein. Solch ein Ansatz wäre das elektronische Äquivalent des herkömmlichen "Kurvenwagens" der Station, aber mit dem zusätzlichen Vorteil, daß man Aufzeichnungen darüber haben kann, wer was eingesehen hat.
Wann immer Gruppen verwendet werden - ob nun einfache Gruppen mit einigen wenigen Klinikerinnen oder komplexe mit Ortsangaben und anderen Beschränkungen - es muß immer eine Aufzeichnung darüber geführt werden, welche Einzelperson eine Akte gelesen oder ihr irgend etwas angefügt hat. Wir werden die Zuschreibungen unten ausführlicher besprechen; hier betonen wir bloß, daß Gruppen keine virtuellen Klinikerinnen sind, sondern Mechanismen, die das Kartographieren der Zugangsberechtigungen zwischen identifizierten Klinikerinnen und identifizierten Patientinnen vereinfachen. Die Systemgestalter sollten im Kopf behalten, daß eine bestimmte Systembenutzerin zu vielen verschiedenen Gruppen gehören kann: sie kann zugleich eine Patientin, eine Ärztin, eine Ausbilderin, eine Auszubildende, eine Praxismanagerin und eine Gutachterin für eine Gesundheitsverwaltung [health authority, terminus technicus aus dem britischen Gesundheitswesen] sein. Wenn man nicht Vorsorge trifft, wie mit dieser Komplexität umgegangen werden soll, wird der resultierende Umgang wahrscheinlich kein guter sein; ad hoc-Methoden sollten vermieden werden.
Zum Beispiel kann nicht akzeptiert werden, daß eine Gruppe ein Paßwort hat, das vom ganzen Personal der Station geteilt wird, oder wenn ein Terminal unter dem Namen des Facharztes ständig eingeloggt gelassen wird. Solche Mißbräuche bedeuten, daß Handlungen keinen Einzelpersonen mehr zugeordnet werden können, und das kann schlimme Folgen haben. Wir kennen den Fall, daß ein psychiatrischer Patient ein Stationsterminal verwendet hat, um mit Mordabsicht Verschreibungsdaten zu verändern.
Wenn ein Patient sich zum ersten Mal in einer Praxis anmeldet oder auf andere Weise eine Beziehung zu einem Behandlungsteam eingeht und eine Akte für ihn angelegt wird, sollte er Informationen über die Politik der Zugangskontrolle des Teams erhalten. Er muß auch die Gelegenheit erhalten, Einwände zu erheben und zu verlangen, daß seine Akte auf eine oder mehrere namentlich festgelegte Klinikerinnen beschränkt wird. Aus diesem Grund müssen auf Berufsrollen aufbauende Systeme trotzdem noch Zugangskontrollisten mit stärkeren Zugangsbeschränkungen unterstützen, und zwar insbesondere solche, die nur eine einzige namentlich genannte Klinikerin enthalten (zusammen mit dem Patienten natürlich).
Eine solche Liste könnte im Fall von hochsensiblen Daten sogar die Grundeinstellung des Systems sein. Die Entscheidung über die tatsächliche Sensibilität einer Akte hängt vom betroffenen Patienten oder der betreffenden Patientengruppe ab. Zu den von vornherein hochsensiblen Daten gehören psychiatrische Aufzeichnungen, Aufzeichnungen über durch Geschlechtsverkehr übertragbare Krankheiten und alle Informationen, die Dritte gegeben haben oder die Dritte betreffen (siehe [GC95], S. 44, für eine vollständigere Liste). Wie auch immer, jemand, der in einer Kampagne über AIDS aktiv ist, mag vielleicht seinen HIV-Status öffentlich machen, während für einen Zeugen Jehovas vielleicht schon eine Bluttransfusion zutiefst beschämend ist. Also bleibt die Zustimmung des Patienten das oberste Gebot, und niemand darf der Zugangskontrolliste hinzugefügt werden, ohne daß der Patient benachrichtigt wird. Wir werden Benachrichtigungen unten noch detaillierter besprechen.
Schließlich gibt es auch einige Anwender, wie Kontrollpersonal
und Forscher, die überhaupt keinen Schreibzugang zur primären
Akte haben. Wir werden die mit ihnen zusammenhängenden
speziellen Probleme weiter unten besprechen, aber der
Einfachheit halber werden wir in dieser Sicherheitspolitik
keine gesonderten Vorkehrungen für einen ausschließlichen
Lesezugriff vorschlagen. Wir werden vielmehr annehmen, daß
diese Personen vollen Zugang zu einer temporären Kopie der
Originalakte erhalten; und das ist in Wirklichkeit ein
besseres Modell dafür, wie sie tatsächlich arbeiten.
Anstatt zu versuchen, mit Objekten umzugehen, die multiple Zugangskontrollisten haben, werden wir annehmen, daß es multiple Akten gibt. Ein Patient könnte zum Beispiel haben:
Das ist das logische Äquivalent zum Führen einer Akte mit drei verschiedenen Feldern, von denen jedes seine eigene Zugangskontrolliste hat. Es ist jedoch viel einfacher, mit den einzelnen Akten umzugehen.
Die Klinikerin kann also eine neue Akte anlegen, wenn ein schon vorhandener Patient etwas Hochsensibles mit ihr besprechen möchte, oder wenn ein Patient sich neu bei ihr registrieren läßt, oder wenn ein Patient von anderswo zugewiesen wurde. Die Zugangskontrolliste auf einer neuen Akte geht wie folgt:
Abgesehen vom Patienten selbst dürfen nur Klinikerinnen Zugang zu persönlichen Gesundheitsinformationen haben. Die Gründe dafür, die Umgrenzung für den Vertrauensbereich [trust perimeter] mit der Grenze der Berufsstände [professional boundary] zusammenfallen zu lassen, sind sowohl traditionell als auch praktisch; die klinischen Berufe sind der Ansicht, daß die zivil- und strafrechtlichen Mechanismen für einen angemessenen Schutz nicht ausreichen. Wenn ein Ärztin eine Akte einer Sozialarbeiterin gäbe, die sie dann einem Dritten überließe - oder sie auch nur in einem unsicheren lokalen Computersystem der Gemeindeverwaltung speichern würde, in das "hineingehackt" würde [geschehen in Salzburg Ende 1997 - avh] - dann könnte immer noch die Ärztin zur Rechenschaft gezogen werden und ihr stünde kein Rechtsweg zur Verfügung.
Letztlich traut man nur Klinikerinnen zu, daß sie das Prinzip der informierten Zustimmung konsequent durchsetzen, und die Kontrolle über jegliche identifizierbare klinische Akte muß bei der individuellen verantwortlichen Klinikerin liegen. Das kann die niedergelassene Ärztin des Patienten sein oder die Ärztin, die einer Klinikabteilung vorsteht.
Wo Verwaltern Zugang gewährt wurde, wie in den USA, war das Ergebnis Mißbrauch. In Großbritannien ist das Spannungsverhältnis zwischen klinischer Vertraulichkeit und administrativem "Wissenmüssen" ["need-to-know"] durch Regelungen abgemildert worden, nach denen Organisationen des National Health Service, die Gesundheitsleistungen einkaufen, "Schutzhäfen" ["safe-havens"] [zurück n.u.] - geschützte Räume unter der Kontrolle einer unabhängigen Klinikerin - haben müssen, wohin Akten im Falle administrativer Meinungsverschiedenheiten gesandt werden können [NHS92]. Verwaltungssysteme, in denen persönlichen Gesundheitsinformationen bearbeitet werden könnten, müssen "safe-haven"-Prozeduren unterstützen; zum Beispiel könnten die klinischen Teile von Patientenakten so verschlüsselt werden, daß nur die Klinikerin, die für den "safe-haven" verantwortlich ist, sie entschlüsseln kann. Solche Systeme müssen auch den oben erwähnten Richtlinien der Joint Computer Group entsprechen [JCG88; Nachtrag von Anfang 1998: "Schutzhäfen" sind inzwischen obsolet, da die neuen Computersysteme in den Health Authorities den Verwaltungsangestellten ohnehin den online-Zugang zu allen Akten ermöglichen - rja].
Wenn von Dritten wie einem Sozialarbeiter, einem Anwalt, einem Polizeibeamten, jemandem, der eine Sicherheitsüberprüfung durchführt, einem Versicherer oder Arbeitgeber Informationen gewünscht und im Einklang mit den Gesetzen zur Verfügung gestellt werden können, dann müssen die Informationen auf Papier übermittelt werden. Das spiegelt die gegenwärtige Praxis wieder: im oben erwähnten Szenario der Betreuung in der Gemeinde wurden die Aufzeichnungen, die von Ärztinnen, Krankenschwestern und Sozialarbeiterinnen gemeinsam benutzt wurden, aus Sorge um die Sicherheit auf Papier statt in einer Datenbank gehalten.
Man sollte auch bedenken, daß Computeraufzeichnungen nicht als
Beweismaterial zu gebrauchen sind, wenn sie nicht zusammen mit
einer papiernen Bescheinigung vorgelegt werden, die vom
Systembesitzers oder -betreiber unterzeichnet ist; direkter
elektronischer Zugang hat wenig Beweiswert, und eine
unterschriebene Feststellung auf Papier kann am besten die
Anforderungen an die Glaubwürdigkeit von Beweismaterial
erfüllen.
Wenn andere Klinikerinnen an die Zugangskontrolliste angefügt werden sollen, muß die Einwilligung des Patienten eingeholt und muß ihm jede Hinzufügung mitgeteilt werden. Im normalen Arbeitsablauf kann ein Plakat oder eine Box mit Faltblättern, gut sichtbar im Anmeldebereich der Praxis oder des Krankenhauses plaziert, dieses Erfordernis in Bezug auf die unmittelbaren Kolleginnen der Klinikerin abdecken. Das gilt, solange es effektive Wege gibt, um den wenigen Patienten gerecht zu werden, die darauf bestehen, daß Aufzeichnungen über sie nur der einen behandelnden Klinikerin zugänglich sind. Das Hinzufügen anderer Klinikerinnen zur Zugangskontrolliste, zum Beispiel wenn ein Patient ins Krankenhaus eingewiesen wird, sollte normalerweise vorher mit dem Patienten besprochen werden.
Wenn jedoch Informationen mitgeteilt werden, obwohl die Zustimmung fehlt, zum Beispiel wenn eine Hausärztin einer Unfallabteilung Informationen unter Notfallbedingungen übermittelt, dann muß eine Mitteilung erzeugt und dem Patienten zugeschickt werden. Dies liegt in der Verantwortung der Hausärztin; wenn sie bloß annähme, daß das Krankenhaus dies dem Patienten mitteilen würde, dann handelte sie grob fahrlässig. Illegale Informationshändler beziehen oft persönliche Gesundheitsinformationen, indem sie vortäuschen, mit der Notfallbehandlung von Patienten zu tun zu haben; detaillierte Anleitungen für das Design von Notfallprozeduren gibt es in [And96; zugänglich über die nächsthöhere Ebene auf dieser Site - avh], wo die Notwendigkeit betont wird, die Identität des Anrufers zu verifizieren (wie z.B. durch das Zurückrufen nach einer Nummer, die im Arztregister steht) und dem Patienten immer Mitteilung zu machen.
Das Mitteilen stellt eine "End-zu-End"-Überprüfung dar, die das Management nicht durch das Vereinnahmen von Prüfern oder von Personen, deren Karriere von der sie beschäftigenden Organisation abhängt [im Orig.: regulators; z.B. leitende Ärzte, betriebliche Datenschutzbeauftragte u.a. - rja] verletzen kann. Auch könnte zum Beispiel ein Krankenhausangestellter von einem illegalen Informationshändler bestochen werden, damit er unter der falschen Behauptung, daß der Patient bewußtlos eingeliefert worden sei, bei einer Allgemeinpraxis um Zugang zu der Akte eines Patienten anfragt. Die Rückruf-Kontrolle wäre in diesem Fall nicht wirksam, aber die Mitteilung an den Patienten ermöglicht, daß der Angriff entdeckt und untersucht werden kann.
Das Erfordernis der Mitteilung ergibt sich also aus dem Prinzip der Einwilligung. Es hilft auch, Betrug in der Privatpraxis unter Kontrolle zu halten, da Geldmittel für Gesundheitsleistungen begrenzt sein mögen und Patienten mit teuren Behandlungserfordernissen sich als andere Patienten ausgeben können, wenn ihre Budgets auslaufen.
Vom Erfordernis der Mitteilung gibt es keine Ausnahmen. Selbst wenn eine Ausübende eines klinischen Berufs gesetzlich verpflichtet ist, Informationen an Dritte weiterzugeben, muß der Patient immer noch benachrichtigt werden. Wenn Staatsanwaltschaften oder Gerichte Zugang erhalten oder wenn vermuteter Kindesmißbrauch mit Sozialdiensten diskutiert wird, kann die Mitteilung verzögert werden, falls es vernünftige Gründe für die Annahme gibt, daß sie den Verdächtigen veranlassen würde, zu fliehen, Beweismaterial zu manipulieren oder Zeugen einzuschüchtern. Der Patient muß aber schließlich trotzdem benachrichtigt werden.
Die Einwilligung des Patienten muß ebenfalls eingeholt werden, außer im Notfall und bei gesetzlichen Ausnahmen.
Es ist auch die Frage, wie oft man benachrichtigen soll. Das Gefühl von befragten Klinikerinnen und Klinikern war, daß die Mitteilung jährlich mit einem Brief erfolgen sollte, wenn keine Verletzung der Regeln oder ein verdächtiges Aktivitätsmuster entdeckt worden ist. Ganz so einfach geht es aber nicht. Unlängst wurden Hausärztinnen aufgefordert, Frauen zu benachrichtigen, die gewisse Kontrazeptiva verwenden; dies warf die Frage auf, wie man es bei jungen Mädchen halten soll, die ohne Wissen der Eltern Kontrazeptiva einnehmen, und bei Frauen, deren Ehemänner vasektomiert sind [Vasektomie: Durchtrennung der Samenstränge - avh] und welche die Pille in einer neuen außerehelichen Beziehung einnehmen. Die bereits in Ambulanzen für Geschlechtskrankheiten praktizierte Lösung ist, daß die Klinikerin am Beginn der Beziehung zwischen der Patientin und ihr fragt, wie Mitteilungen zugestellt werden sollen.
Ein schwierigeres Problem gibt es, wenn die Patient-Klinikerin-Beziehung aufhört hat, zu bestehen. Dazu kann es kommen, wenn eine Privatpraxis aufgelöst wird, ein Patient stirbt oder er ins Ausland geht. Es wurde Besorgnis geäußert, daß der OPCS [Office of Population Censuses and Surveys, heute Office of National Statistics] Emigrationsdaten aus Akten speichern könnte, die von Hausärztinnen entsprechend den gegenwärtigen Regelungen zur Aufbewahrung an Familien-Gesundheitsbehörden übergegeben werden; es wurde vorgeschlagen, daß der Datenschutzbeauftragte alle "toten" elektronischen Akten in Verwahrung nehmen solle. Das wirft jedoch die Frage auf, wer den Bewacher im Auge behält.
Schließlich muß es ein effektives Beschwerdeverfahren geben,
das dazu führt, daß Missetäter bestraft werden, ob durch
Entlassung, durch ein berufsständisches Disziplinarverfahren
oder durch Strafverfolgung. Was soll ein Patient tun, wenn er
in seinem jährlichen Bericht entdeckt, daß jemand, den er nie
konsultiert hat, seine Akte gelesen hat? Soll er zuerst zu
seiner Hausärztin gehen, oder sich mit dem General Medical
Council der Sache annehmen, mit einer Art von Ombudsmann, mit
dem Datenschutzbeauftragten, dem zuständigen
Parlamentsabgeordneten, der Presse oder gar der Polizei? Eine
Lösung dieser Frage könnte vom Erfolg der Kampagne der British
Medical Association für ein Gesetz abhängen, das die
Vertraulichkeit von Gesundheitsinformationen festschreibt
[BMA95].
Es gibt Vorschriften, wie lange Aufzeichnungen aufbewahrt werden müssen. Die meisten primären Patientenakten müssen acht Jahre lang aufgehoben werden, aber Aufzeichnungen über Krebs müssen aufbewahrt werden, so lange der Patient lebt, und Aufzeichnungen über Erbkrankheiten dürfen noch länger aufbewahrt werden. In jedem Fall diktiert die Vernunft, daß der Zugang zu den Akten erhalten wird, bis die Frist abgelaufen ist, innerhalb derer eine Klage wegen eines Kunstfehlers eingebracht werden kann. Unser nächstes Prinzip ist daher
Diese Regeln sind jedoch noch nicht ganz ausgearbeitet, weshalb unser Wort "vorgesehen" eine Reihe von offenen Fragen einschließt :
Akten zu erhalten ist keine ganz einfache Sache; wir wollen nicht, daß auf der Grundlage von Informationen gehandelt wird, die als unrichtig erkannt worden sind, wie beispielsweise einfache Irrtümer und später revidierte Diagnosen. Wir wollen jedoch nicht das spurlose Ausradieren von Fehlern erleichtern, da dies den Wert der Akte als Beweismittel zerstören würde. So sollten die Informationen (wie in vielen Finanzsystemen) besser durch Anfügen als durch Löschen auf den neuesten Stand gebracht werden, und es sollten die jüngsten Versionen zuerst der Aufmerksamkeit der Klinikerin nahegebracht werden. Löschungen sollten Akten vorbehalten sein, deren Zeit abgelaufen ist.
Ein gleichwertiger Ausdruck des obigen Prinzips kann in den
derzeit gültigen Anforderungen für die Zulassung von
Praxissystemen gefunden werden, die festlegen, das System
dürfe "nicht gestatten, daß Akten ... verändert oder gelöscht
werden, wenn nicht ein sicherer Mechanismus vorgesehen ist,
der diese Akten genau so rekonstruieren kann, wie sie an einem
jeglichen bestimmten Tag in der Vergangenheit waren" [RFA93].
Als nächstes müssen wir sicherstellen, daß alle erfolgten Zugänge zu den Akten (ob für Lesevorgänge, Anfügungen oder Löschungen) richtig zugeschrieben werden können.
Die unter den gegenwärtigen Anforderungen für die Zulassung entwickelte Systeme zeichnen typischerweise alle Schreibzugänge auf; selbst wenn Material aus der Hauptakte entfernt wird, gibt es einen "Audit-Vermerk", der es ermöglicht, den Stand der Akte so zu rekonstruieren, wie er zu jedem beliebigen Zeitpunkt war, und alle Änderungen jemandem zuzuschreiben [RFA93]. Wenn dies richtig implementiert worden ist, wird das den gleichen Effekt haben, wie wenn man Schreibzugänge auf "Nur Hinzufügen" beschränkt und alle Hinzufüge-Vorgänge mit dem Namen der Klinikerin kennzeichnet. Die neuen Anforderungen bestehen darin, daß Lesezugänge aufgezeichnet werden, so daß das Brechen der Vertraulichkeit verfolgt und bestraft werden kann; und daß über Löschvorgänge aufgezeichnet werden, so daß die absichtliche Zerstörung von belastendem Material jemandem zugeschrieben werden kann.
Bei manchen Anwendungen gibt es besonders strenge Anforderungen an die Zuschreibbarkeit. Zum Beispiel muß eine "Nicht Wiederbeleben"-Notiz in der Akte eines stationären Patienten vom verantwortlichen Facharzt unterschrieben sein, und sie bedarf auch der Zustimmung des Patienten, sofern dieser in der Lage ist, sie zu geben [Som93]. Wenn solche lebenswichtigen Funktionen automatisiert werden, müssen die Mechanismen - einschließlich derer, welche die Zuschreibung ermöglichen - mit derselben Sorgfalt und nach denselben Standards technisch ausgeführt werden, die man bei lebenserhaltenden Systemen erwartet.
Es gibt auch Anforderungen an die Zuschreibung, die selten in
Anspruch genommen werden. Zum Beispiel haben Patienten mit nur
wenigen Ausnahmen Lesezugang zu allen ihren Akten, und sie
können Einwände anfügen, wenn sie welche haben. Diese Wünsche
sind selten, weshalb sie typischerweise durch manuelle
Mechanismen unterstützt werden. Ein übliches Vorgehen ist, daß
die Klinikerin alle Aufzeichnungen ausdruckt, zu denen der
Zugang gewünscht wird, und bei Einwänden gibt sie den
Kommentar des Patienten ein und händigt diesem eine Kopie der
aktualisierten Akte als Beleg aus. Wir haben keine Bedenken
gegen eine solche Vorgangsweise. Wir bestehen nicht darauf,
daß alle Sicherheit in der Software liegt; uns geht es um den
Nettoeffekt aller Verarbeitungsvorgänge, der automatisierten
und der manuellen.
Wenn sich zwei Akten mit verschiedenen Zugangskontrollisten auf denselben Patienten beziehen, dann darf ohne erneute Zustimmung ausschließlich Information von der weniger sensiblen zur sensibleren Akte fließen dürfen:
Die technischen Mechanismen, die man braucht, um ein solches Prinzip zu erzwingen, sind in Standardtexten zur Computersicherheit beschrieben, zum Beispiel bei Amoroso [Amo94]: Die Zugangskontrolliste für einen Zugangsvorgang selbst soll an die Schnittstelle der Zugangskontrollisten der Akten, die dabei gelesen werden, gesetzt werden, und es soll nur möglich sein, in eine Akte zu schreiben, deren Zugangskontrolliste in der des Zugangsvorgangs enthalten ist.
Wenn sich zwei Akten mit verschiedenen Zugangskontrollisten auf denselben Patienten beziehen, ist die schwierige Frage, ob die Existenz der sensiblen Akte in der anderen ausgewiesen werden soll. Das ist eines der fortwährenden Dilemmata, über die es noch keinen Konsens gibt [GC95]. Wenn die Existenz von verborgenen Informationen ausgewiesen wird, ob nun explizit oder durch die verdächtige Abwesenheit von Teilen der Akte, dann können daraus Schlüsse gezogen werden. Zum Beispiel haben Ärzte in den Niederlanden Krankenakten aus den Computersystemen entfernt, wann immer der Patient eine Krebsdiagnose erhielt. Das Ergebnis war, daß Versicherer und Pensionsfonds wußten, wann immer sie eine leere Akte sahen, daß der Betreffende mit hoher Wahrscheinlichkeit an Krebs litt [Cae95]. Sichtbare Ausweisungen haben auch zu einem Fall in Großbritannien geführt, in dem gegenwärtig ermittelt wird.
Wenn keine Kennzeichnungen angebracht werden, entstehen andere Probleme. Stellen wir uns zum Beispiel vor, ein ambulanter psychiatrischer Patient geht zu einem AIDS-Test und möchte das Ergebnis geheim gehalten haben. Bevor das Ergebnis bekannt ist, bedingt der Streß einen psychischen Zusammenbruch und sein Psychiater bringt eine Markierung an, daß der Patient nicht mehr fähig ist, seine Akten einzusehen. Der Psychiater weiß jedoch nichts vom Test und teilt folglich der Ambulanz für Geschlechtskrankheiten den neuen Status des Patienten nicht mit. Es ist nicht möglich dieses Problem durch ein weltweit lesbares Register der gegenwärtig nicht zum Lesen ihrer Akten fähigen Patienten zu lösen, da psychische Beeinträchtigung sowohl vertraulich als auch eine Funktion der jeweiligen Umstände ist. Eine andere Konsequenz des Nicht-Ausweisens von verborgenen Daten ist, daß es schwieriger ist, Patienten mit einem Münchhausen-Syndrom [nach dem Lügenbaron; Bezeichnung für Patienten, die ständig Krankheiten erfinden, um ins Krankenhaus zu kommen - avh] zu entdecken und mit ihnen umzugehen.
Wir erwarten, daß die Klinikerinnen sich für diskrete Kennzeichnungen entscheiden werden, die lediglich das Vorhandensein von verborgenen Informationen anzeigen. Diese werden für die Klinikerin ein Anlaß sein, zu fragen "gibt es noch etwas, daß Sie mir sagen möchten und das vielleicht wichtig sein könnte", wenn erst einmal etwas Vertrauen aufgekommen ist.
Auf jeden Fall sollten Systementwickler sorgfältig überlegen, wie Sensibilitäts-Eigenschaften bei voneinander abhängigen Akten bzw. von Aktenkopie zu Aktenkopie weitergegeben werden können, und welche Auswirkungen dies auf die Systemintegrität hat.
Schließlich muß es noch einen Mechanismus geben, der die
Weitergabe von Daten ermöglicht, die anonymisiert worden sind. Wir werden dieses Thema im Modell der Sicherheitspolitik selbst nicht abhandeln, so wie wir hier auch nicht darauf eingehen, wie man Informationen in Systemen mit mehreren Ebenen so behandelt, daß deren Herkunft nicht erschlossen werden kann [im Orig.: downgrading of information]. Wir raten jedoch, daß das Weitergeben
einer Akte, die man für anonym hält, einen bewußt zu setzenden Akt der verantwortlichen Klinikerin erfordern und dokumentiert werden soll.
Die Verwendung von Zugangskontrollisten und starken Regeln für die Benachrichtigung helfen gegen Bedrohungen durch Datenaggregationen. Beides ist aber nicht ganz ausreichend, um diese zu verhindern. Eine Klinikerin mit Verantwortung für einen "Scutzhafen" [Erklärung s. 3.3] könnte der Zugangskontrolliste von Millionen von Krankenhauspatienten hinzugefügt werden, was sie verletzlich gegenüber Verlockungen oder Drohungen von illegalen Informationshändlern macht.
Manche Krankenhaussysteme enthalten persönliche Gesundheitsinformationen von einer Million oder mehr Patienten, wobei alle Benutzer Zugang haben. Die typische Kontrolle ist gegenwärtig eine Erklärung, daß unberechtigter Zugang zur Entlassung des Arbeitnehmers führen wird; aber oft wird dies nur sporadisch durchgesetzt, und es wird immer wieder über Zwischenfälle wie den Fall Jackson (s.o.) berichtet. Ganz allgemein sind Krankenhaussysteme meistens alt und werden dürftig verwaltet [AC95a,b].
Krankenhaussysteme, die allen Klinikerinnen und Klinikern Zugang zu allen Daten ermöglichen, sollten nicht mit Netzwerken verbunden werden. Es ist schlimm genug, wenn 2000 Leute Personal Zugang zu einer Million Akten haben; aber die Aussicht, daß 200 solcher Krankenhäuser zusammengeschlossen werden, womit 400.000 Leute Personal Zugang zu den Krankenhausakten eines Großteils der Bevölkerung erhalten, ist inakzeptabel.
Es wird jedoch unvermeidlich Mechanismen für Klinikerinnen geben, durch die sie an Akten von außerhalb ihres Behandlungsteams herankommen, auch wenn diese manuell geführt werden. Diese Mechanismen müssen sorgfältig gestaltet werden. Wie oben erwähnt könnte ein korrupter Mitarbeiter fälschlich behaupten, daß ein Patient sich im Urlaub selbst im Krankenhaus hat aufnehmen lassen, und sich eine Kopie der Akte schicken lassen wollen. Schon ein einfaches elektronisches Postsystem (email-System) würde es ermöglichen, solche Anfragen im industriellen Umfang zu wiederholen.
Die primäre Kontrolle solcher Bedrohungen ist die Benachrichtigung. Eine wichtige sekundäre Kontrolle ist jedoch, irgendwo eine Zählung laufen zu lassen, wer zu welcher Akte außerhalb des eigenen Teams Zugang hatte. Benutzer, die viele Akten oder eine Anzahl von Akten außerhalb des üblichen Musters einsehen, sind vielleicht nur faul oder nachlässig, doch sie könnten bereits dadurch sich und die Patienten ihrer Kolleginnen einem möglichen Nachteil aussetzen.
In Anbetracht der Spannungen zwischen klinisch tätigen Personen und Verwaltern in Fragen der Privatheit sollten sowohl der Ort für diese Zählung als auch der Modus der Bestimmung der Personen, die darauf Einfluß haben, sorgfältig ausgewählt werden: dabei könnten zum Beispiel die klinischen Disziplinargremien oder die Berufsverbände der Gesundheitsberufe einbezogen werden. Es wäre auch sinnvoll, sich an derselben Stelle mit Berichten von anderen Computermißbräuchen zu beschäftigen. Die Beteiligung der klinischen Verbände könnte mit verhindern helfen, daß die zentrale Sicherheitsfunktion von bürokratischen Interessen vereinnahmt würde. Damit könnte das Prinzip der Zustimmung erhalten werden.
Es gibt Anwendungen, bei denen eine gewisse Aggregation unvermeidlich ist, zum Beispiel Impfprogramme für Kinder. Systeme, die diese unterstützen, wird man intelligent gestalten müssen.
Wie oben erwähnt können Akten für Forschungs- und Prüfzwecke aggregiert werden, vorausgesetzt sie werden ausreichend anonymisiert. Es gibt den Vorschlag, daß Akten anonymisiert werden können, indem man die Namen durch NHS-Nummern und Diagnosen mit Read-Codes ersetzt [RSM92; der Read-Code ist eine von Dr. Read aufgestellte britische Diagnoseverschlüsselung - rja], und eine Reihe von Systemen scheint in der Annahme, daß dies akzeptabel sei, so ausgelegt worden zu sein. Es ist aber nicht akzeptabel; wie oben erwähnt machen es die GMSC/RCGP-Richtlinien zur Bedingung, daß kein Patient für jemand anderen als für dessen Hausärztin aus den Daten identifizierbar sein darf, die ohne die informierte Zustimmung des Patienten an eine externe Organisation geschickt werden [JCG88].
Daten zu anonymisieren ist schwierig, besonders wenn sie
verknüpfbare Informationen enthalten: wenn ein Angreifer
Suchanfragen an eine Datenbank stellen kann wie "zeige mir
alle Frauen mit zwei Töchtern im Alter von 13 und 15 Jahren,
die beide unter einem Ekzem leiden", dann kann er
Einzelpersonen identifizieren. Die Grenzen der Verknüpfbarkeit
und Techniken zum Verhindern des Erschließens von Daten sind
als "statistische Sicherheit" bekannt und detailliert im
Zusammenhang mit Volkszählungen beforscht worden [Den82]. Wenn
es um rein statistische Forschung geht, dann können diese
Techniken angewendet werden; wo sie nicht praktikabel sind,
könnte Forschern der Zugang zu verknüpfbaren Daten in einem
geschützten Raum gewährt werden [Boe93].
[Anmerkung des Übersetzers: die in der Computerliteratur gängige, aber falsche deutsche Übersetzung von "Trusted Computing Base" als "Sichere Computereinrichtung" wird hier bewußt nicht verwendet. "Sicher" ist eine Zuschreibung, die recht statisch wirkt und mehr das Objekt im Blick hat. "Vertrauenswürdig" lenkt die Aufmerksamkeit mehr auf den Urteilsakt der Personen, die Vertrauen schenken oder verweigern können, was dem Thema angemessener erscheint. Diese Übersetzung paßt auch besser zum dritten und vierten nachfolgenden Absatz.]
Zum Schluß müssen wir noch sicherstellen, daß die Mechanismen in der Praxis auch so wirksam sind wie in der Theorie. Das führt zur Fragen der Evaluation und Anerkennung.
In der Terminologie der Computersicherheit ist die Trusted Computing Base (vertrauenswürdige Einrichtung zur Datenverarbeitung) die Gesamtheit aller Hardware-, Software- und prozeduralen Komponenten, welche die Sicherheitspolitik durchsetzen. Das bedeutet, daß ein Angreifer, der die Sicherheit brechen will, eine oder mehrere Komponenten zu Fall bringen muß.
An dieser Stelle wollen wir erklären, was wir mit "Vertrauen" meinen. Im allgemeinen Sprachgebrauch meinen wir, wenn wir sagen, daß wir jemandem vertrauen, daß wir uns darauf verlassen, daß diese oder jene Person bestimmte Dinge tun - oder nicht tun - wird. Zum Beispiel erwartet ein Patient, der vertrauliche Informationen mit einer Klinikerin teilt, daß diese Informationen nicht ohne seine Zustimmung mit Dritten geteilt werden, und er verläßt sich darauf, daß diese Erwartung erfüllt wird.
Eine mögliche Sichtweise von solchen Beziehungen, die man für das Gestalten von Systemen wertvoll fand, definiert eine vertrauenswürdige Komponente als eine, die die Sicherheit durchbrechen kann. Somit befindet sich eine Klinikerin, die vertrauliche Informationen von einem Patienten erhalten hat, in einer Position, aus der heraus sie ihm schaden kann, indem sie jene Informationen offenbart, und der Patient ist davon abhängig, daß sie es nicht tut. Es wird in jedem Computersystem Teile geben, von denen wir in gleicher Weise abhängig sind. Wenn sie außer Kraft gesetzt werden oder Softwarefehler enthalten, dann kann die Sicherheitspolitik umgangen werden.
Die vertrauenswürdige Einrichtung zur Datenverarbeitung eines klinischen Informationssystems kann Computer-Sicherheitsmechanismen beinhalten, welche die Authentifizierung des Benutzers und eine Zugangskontrolle erzwingen, Mechanismen der Kommunikationssicherheit, um den Zugang zu Informationen bei deren Transit durch ein Netzwerk einzuschränken, Mechanismen zur Schaffung von statistischer Sicherheit, um zu gewährleisten, daß in der Forschung und bei Überprüfungen verwendete Akten keine ausreichenden Restinformationen enthalten, die eine Identifizierung von Patienten möglich machen würden, und Mechanismen, die die Verfügbarkeit gewährleisten wie Prozeduren zum Erstellen von Sicherungskopien, damit sichergestellt ist, daß Akten nicht durch Feuer oder Diebstahl vernichtet werden.
Das Design dieser Mechanismen wird detailliert im nächsten Abschnitt diskutiert. Hier stellen wir erst einmal fest, daß es nicht ausreicht, sich auf die Zusicherungen der Geräteverkäufer zu verlassen, daß ihre Produkte "sicher" seien - diese Behauptungen müssen von kompetenten Dritten überprüft werden.
Langjährige Erfahrungen haben die Notwendigkeit der
unabhängigen Evaluation gezeigt, und es gibt jetzt ein
europäisches Schema, ITSEC [EU91], nach dem nationale
Einrichtungen für Computersicherheit (im Fall von
Großbritannien CESG/GCHQ) kommerziellen Laboratorien die
Lizenz erteilen, Sicherheitsprüfungen durchzuführen. Die
unabhängige Evaluation ist auch eine Anforderung in anderen
Ländern wie Australien [Aus95], Kanada [TCP93] und den USA
[TCS85]. Da Schemata wie ITSEC eher für militärische Systeme
ausgelegt sind und Evaluationen nach ihren Kriterien teuer
sein können, führen manche Industrien ihre eigenen genehmigten
Schemata durch. Zum Beispiel wird die Sicherheit von
Einbruchs-Alarmanlagen von den Laboratorien der im Loss
Prevention Council zusammengeschlossenen Versicherer
überprüft. Gleichartige industrieweite Übereinkünfte könnten
in einem angemessenen Zeitraum für klinische Systeme getroffen
werden.
Wie oben bemerkt wurde, spiegeln die meisten klinischen Informationssysteme die klinische Praxis wider, indem jedes Behandlungsteam ein Aufzeichnungssystem hat, und die Informationen fließen zwischen den Teams in Form von Zusammenfassungen (Überweisungsbriefe, Entlassungsberichte, Gutachten, Untersuchungsergebnisse usw.). Die ganze Akte kann zu einem anderen Team kopiert werden, wenn der Patient verlegt wird, aber sonst sind die Akten nicht Patienten-gestützt sondern vielmehr Klinikerin-gestützt, und zwischen den Klinikerinnen fließen nur Zusammenfassungen von Informationen.
Wie oben erwähnt hat es unlängst Interesse an einem anderen Modell gegeben, der "elektronischen Gesamt-Patientenakte" [unified electronic patient record], die alle klinischen Aufzeichnungen und Daten aus der gesamten Lebenszeit des Patienten ansammelt [MRI94]. Es ist aber kompliziert, eine Gesamt-Patientenakte sicher zu machen, und zwar aus einer Reihe von Gründen:
Die obige Liste ist auf keinen Fall erschöpfend. Für eine Diskussion der Komplexitäten bei der Sicherheit von Patienten-gestützten Aufzeichnungssystemen siehe Griew und Currell [GC95]. Wie deren Arbeit verdeutlicht, würde uns die Verwendung von elektronischen Gesamt-Patientenakten zwingen, unserer Liste eine ganze Reihe von Prinzipien hinzuzufügen.
Es gibt auch Versuche mit Hybridsystemen. Anstatt alle Gesundheitsinformationen des Patienten in eine einzige Datei zu geben, könnte man eine zentrale Zusammenfassung haben, die Verweise auf detaillierte Dateien in den Systemen der Klinikerinnen enthält. Es gibt gegenwärtig mindestens zwei Krankenhäuser in Großbritannien, die Versuche mit Systemen machen, die auf diesem Modell basieren, wobei bei beiden offenbar alle Benutzer Zugang zu allen Akten haben; aber selbst wenn es eine geeignete Zugangskontrolle gäbe, könnte man fragen, was eigentlich an der traditionellen Akte bei der Hausärztin auszusetzen ist. Obwohl sie "Doktor-gestützt" ist, kommt sie einer lebenslangen Patientenakte am nächsten.
Auf jeden Fall liegt bei denen, die "Patienten-gestützte"
Aufzeichnungssysteme vorschlagen, die Bürde, eine klare
Aussage über die erwarteten Gesundheitsvorteile zu machen und
zu analysieren, was die Bedrohungen, die Kosten zusätzlicher
Gegenmaßnahmen und die wahrscheinlichen Effekte des
Restrisikos sind.
Die im vorangegangenen Abschnitt dargelegte Sicherheitspolitik bezieht sich auf Systeme im allgemeinen. Unser Ziel war, sie nicht mit den Details spezifischer Ausrüstungen zu belasten, sondern eine Sicherheitspolitik vorzulegen, die genausogut in einer zentralen Anlage mit einer Anzahl von Terminals verwirklicht werden kann wie in einem heterogen verteilten System, das aus einer Anzahl von Einzelsystemen besteht, die durch Kommunikationsprotokolle miteinander verknüpft sind - oder, wenn man will, sogar in Räumen voller Schreiber mit Federkielen.
Der Fall mit den heterogenen verteilten Einzelsystemen findet
jedoch in Großbritannien am meisten Interesse, und in diesem
Abschnitt betrachten wir einige technische Optionen, wie man
ihn einrichten kann. Dieser Abschnitt will jedoch mehr
andeuten als normativ sein; es ist Sache der einzelnen
Hersteller von Ausrüstungen, ihre eigenen Systeme zu entwerfen
und sie darauf überprüfen zu lassen, ob sie die Anforderungen
der Sicherheitspolitik erfüllen. Alles, was diese
Sicherheitspolitik fordert, kann mit kompetent eingesetzter
Technologie erreicht werden. Die folgenden Anmerkungen können
jedoch hilfreich sein, vor allem für Händler, die nicht mit
modernen Techniken der Computersicherheit vertraut sind.
[Abkürzung für Computer Security, Computersicherheit]
Compusec-Maßnahmen oder Maßnahmen zur Computersicherheit beinhalten die Zugangskontrollmaßnahmen, die in das Betriebssystem und die Anwendungssoftware eingebaut werden. Typischweise umfassen sie einen Authentfizierungsmechanismus wie Paßwörter, einen Zugangskontrollmechanismus, der entscheidet, welcher Benutzer Zugang zu welchem Objekt haben kann [which subject can access which object], und einen "Audit-Vermerk", der Auskunft darüber gibt, wer was gemacht hat. Ein Standardlehrbuch über Compusec ist Amoroso [Amo94].
Die Prinzipien unserer Politik beschreiben einigermaßen detailliert die funktionellen Anforderungen an den Zugangskontrollmechanismus. Was den Authentfizierungsmechanismus angeht, so wird dessen von uns geforderte Stärke davon abhängen, ob ein Zugang von außen möglich ist. Bei einem Netzwerk, das sich gänzlich innerhalb eines geschützten Raums befindet, werden Paßwörter genügen. Wenn ein System jedoch einen Einwähl- oder Internetzugang unterstützt, dann können die komplexeren Kontrollen erforderlich sein, die im nächsten Abschnitt diskutiert werden.
Das führt zu dem allgemeineren Problem, wo im System die Zugangskontrollen lokalisiert werden sollen. Es ist möglich, aber teuer, sie in jedes Anwendungsprogramm einzubauen; gewöhnlich werden sie auf einer niedrigeren Ebene im System billiger sein. Zugangskontrollisten werden von vielen Betriebssystemen unterstützt, wie beispielsweise von Unix, dessen Gruppen- und Einzelzulassungen dafür verwendet werden können, Akten allen Teammitgliedern beziehungsweise Einzelpersonen zugänglich zu machen. Wenn ein System verwendet wird, das Datenbanken verwaltet, dann kann es sein, daß man in der Datenbank Zugangskontrollen mit der Körnung der individuellen Patientenakten einbauen muß. Verwendet ein heterogenes verteiltes System Kryptographie als primäre Kontrolle, dann könnte die Zugangskontrolle zum großen Teil in den Mechanismen zur Schlüsselverwaltung eingebettet sein.
Die automatische Erzwingung des siebten Prinzips (Information, die der Akte A entnommen wurde, darf an Akte B dann und nur dann angefügt werden, wenn die Zugangskontrolliste von B in der von A enthalten ist) ist sehr wichtig. Wenn ein Programm Daten von einer identifizierbaren klinischen Akte übernimmt, dann sollen die übernommenen Daten die gleiche Zugangskontrolliste haben wie die Originaldaten, oder eine Teilmenge von ihr. Eine Zusammenfassung einer Akte ist genauso sensibel wie das Original. Einer der Vorteile von diesem Mechanismus ist es, daß er sowohl versehentliche als auch absichtliche Sicherheitsverletzungen verhindern hilft. Zum Beispiel passiert es recht häufig, daß persönliche Mitteilungen versehentlich an eine elektronische Aussendungsliste oder Internet-Nachrichtengruppe [mailing list or newsgroup] geschickt werden. Das System sollte verhindern, daß einer Klinikerin auf diese Weise persönliche Gesundheitsinformationen entweichen.
Schließlich liegt es dort, wo Akten für Prüf- oder
Forschungszwecke anonymisiert werden, in der Verantwortung der
Klinikerin, sicherzustellen, daß der Anonymisierungsvorgang im
betreffenden Kontext wirksam ist. Aus diesem Grund sollte es
einer absichtlichen Handlung der Klinikerin bedürfen, um die
Daten freizugegeben. Wie die Anleitung der Joint Computer
Group klarmacht, ist es inakzeptabel, daß Aufzeichnungen zu
einer Gesundheitsbehörde oder pharmazeutischen Firma gesandt
werden auf das Versprechen hin, daß sie anonymisiert würden,
wenn sie erst einmal dort sind.
[Abkürzung für Communication Security, Kommunikationssicherheit]
Der Hauptzweck von Comsec-, oder Kommunikationssicherheits- Maßnahmen ist es, sicherzustellen, daß Zugangskontrollen nicht umgangen werden, wenn eine Akte von einem Computer zu einem anderen übertragen wird. Das kann zum Beispiel geschehen, wenn Daten als Klartext zu einem System übertragen werden, das deren Zugangskontrolliste verfälscht oder das nicht das Prinzip der informierten Zustimmung erzwingt. Es kann auch geschehen, wenn als Klartext versandte Daten durch das Anzapfen von Leitungen aufgefangen oder wenn klinische Informationen in einer Email-Nachricht versehentlich an eine Aussendungs- oder Nachrichtenliste [mailing list/newsgroup] geschickt werden.
In zweiter Linie liegt der Zweck von Comsec-Mechanismen darin, die Integrität von Daten beim Transit durch ein Netzwerk zu schützen. Manche Mitteilungen wie zum Beispiel Pathologieberichte sind lebenswichtig; und es gibt auch eine Kontroverse, ob elektronische Akten als Klartext für rechtliche Belange angemessen sind. Es ist daher bei vielen Anwendungen wünschenswert, daß zusätzlich die Integrität von Mitteilungen geprüft wird.
Klinikerinnen sollten nicht annehmen, daß einem Netzwerk vertraut werden kann, wenn es nicht unter deren direkter Kontrolle steht und vollständig von einem geschützten Raum umgeben ist, wie das bei einem lokalen Netzwerk (LAN, local area network) der Fall sein kann, das die Computer in einer Praxis verbindet. Weitverkehrsnetzen (WAN, wide area networks) wie dem Internet und dem NHS-weiten Netzwerk darf man nicht vertrauen. Erinnern wir uns daran, daß einem Netzwerk zu vertrauen gleichbedeutend damit ist, zu sagen, daß es die Systemsicherheit durchbrechen kann. Vertrauliches Material von Patienten einer Systemkomponente auszusetzen, die nicht unter klinischer Kontrolle oder unter der effektiven Kontrolle einer vertrauenswürdiger Dritter [trustworthy third party] steht, ist in einem Maße unvernünftig, das daran grenzt, unethisch zu sein.
Ein geeignetes Mittel, um Informationen in einem Netzwerk zu schützen, wird durch die Kryptographie zur Verfügung gestellt. Moderne kryptographische Systeme gestatten es den Benutzern, getrennte Schlüssel zum Ver- und Entschlüsseln zu haben, und der Verschlüsselungs-Schlüssel kann veröffentlicht werden, während der Entschlüsselungs-Schlüssel geheimgehalten wird. Ebenso wird ein Benutzer getrennte Schlüssel zum Unterschreiben und für die Verifikation der Unterschrift haben; der Schlüssel für die Unterschrift wird geheimgehalten, während der Schlüssel zum Verifizieren der Unterschrift veröffentlicht wird, so daß jeder eine unterschriebene Nachricht verifizieren kann. Ein Standardlehrbuch über Kryptographie ist das von Schneier [Sch95].
Digitale Unterschriften gestatten die Schaffung von Vertrauensstrukturen. Zum Beispiel könnte der General Medical Council alle Ärzte zulassen, indem er deren Schlüssel unterzeichnet, und andere klinische Berufsausübende könnten in gleicher Weise von ihren eigenen Körperschaften beglaubigt werden. Das ist der Ansatz, den die französische Regierung bevorzugt [AD94]. Eine Alternative wäre es, von der Basis her ein Netz von Vertrauensstrukturen aufzubauen, indem die Benutzer gegenseitig ihre Schlüssel unterzeichnen. Wenn sich beide Ansätze auf halbem Wege träfen, könnte dazu die Zulassung der Schlüssel durch eine ranghöhere Klinikerin in jeder natürlich gewachsenen Gemeinschaft gehören.
Alle diese Optionen haben ihre Stärken und Schwächen und werden gegenwärtig diskutiert. Das stärkste Argument der Zentralisten ist anscheinend, daß man, selbst wenn die Zulassung im wesentlichen lokal geschähe, trotzdem einen zentralen Dienst für den Verkehr über Bereichsgrenzen (cross-domain traffic) hinweg braucht. Sie könnten auch argumentieren, daß dieser zentrale Dienst computerisiert sein sollte, denn wenn man nur einen "Fingerabdruck" des Schlüssels [key fingerprint - durch eine als unumkehrbar geltende "Hash-Funktion" verkürzte Fassung des öffentlichen Schlüssels einer Person, z.B. beim Programm PGP oder bei den Zertifikaten in neueren Browsern - rja] neben dem Namen jeder Klinikerin im betreffenden Berufsregister hätte, dann würde das die Klinikerinnen noch nicht in die Lage versetzen, Unterschriften auf mitgeschickten Datenobjekten zu verifizieren.
Eine einzige Zulassungsstelle wäre jedoch ein einziger Punkt, an dem das System versagen kann, und elektronische Vertrauensstrukturen sollten auch die tatsächlichen Vertrauens- und Machtverhältnisse im Anwendungsbereich widerspiegeln [Ros95]. In der Medizin ist die Macht hierarchisch verteilt, doch sie neigt dazu, örtlich und kollegial zu sein und nicht zentralisiert und bürokratisch. Wenn diese Wirklichkeit nicht respektiert wird, dann könnten die Bereiche von Verwaltung und Sicherheit sich voneinander entfremden, und man könnte zum Schluß ein Sicherheitssystem haben, das von den Klinikerinnen als zentrale Zumutung betrachtet wird und nicht als etwas Vertrauenswürdiges, das dem Berufsstand gehört und von ihm kontrolliert wird.
Die meisten veröffentlichten Standards für das Management und die Zertifizierung von Schlüsselsystemen beziehen sich auf das Bankwesen, doch klinische Systeme haben zusätzliche Erfordernisse; man könnte zum Beispiel eine Zählung der Gesamtanzahl der Patientenakten haben wollen, auf die eine Klinikerin außerhalb ihres Teams in einem bestimmten Zeitraum zugegriffen hat, und das könnte gut durch den Beglaubigungsmechanismus erzwungen werden.
Jedenfalls kann, wenn jede Klinikerin erst einmal in geeigneter Weise beglaubigtes Schlüsselmaterial erhalten hat, die Integrität von Zugangskontrollisten und anderen Informationen in einem Netzwerk durch einen Satz von Regeln erzwungen werden, der aussehen könnte wie folgt:
Sorgfältiger Überlegung bedürfen die Umstände, unter denen die Handlungen des Entschlüsselns und Unterschreibens ausgeführt werden. Wenn das System eine Unterschrift ohne Anwesenheit des Unterfertigten ausführen kann, dann kann es sein, daß die Unterschrift nicht rechtsverbindlich ist [Wri91]. Das stimmt mit dem Prinzip überein, daß Akten, wenn man über Bereichsgrenzen hinweg arbeitet, gegeben werden müssen und man sie sich nicht einfach holen kann; Zugangswünschen sollte nie automatisch stattgegeben werden, sondern sie müssen eine absichtliche Handlung einer Klinikerin erfordern.
Comsec-Techniken können in beschränkteren Anwendungen eingesetzt werden. Die mit diesem Dokument veröffentlichten Richtlinien [s. die "Clinical System Security - Interim Guidelines", zugänglich über die nächsthöhere Ebene auf dieser Site - avh] behandeln sinnvolle Praktiken für den Schutz von Verbindungen zu Filialen einer Praxis durch Rückrufprozeduren. Ein anderes Beispiel könnte sein, daß eine Klinikerin einen tragbaren Computer zusammen mit einem Mobiltelefon benutzen möchte, um auf einem nächtlichen Hausbesuch Akten einzusehen. Manche Mobiltelefone (besonders solche, die GSM-Technik verwenden) bieten einen Grad von Sicherheit, der akzeptabel sein kann, während andere leicht abzuhören sind. Wenn ein unsicheres Medium verwendet wird, dann wäre es ratsam, die Daten durch Mechanismen auf der Anwendungsebene wie zum Beispiel Verschlüsselung zu schützen.
Verschlüsselung und Rückruf sind nicht die einzigen Comsec-Optionen. Eine andere ist, in den Anwendungen, in denen dies einfach geht, die Daten zu anonymisieren. Zum Beispiel könnte ein System, das Labordaten an Hausärzte liefert, den Patientennamen mit einer einmalig verwendeten Seriennummer ersetzen, die genügend Redundanz enthält, um versehentliche Verwechslungen unwahrscheinlich zu machen. Dann könnten die Laborwerte im Klartext (mit geeigneten Integritätsprüfungen) übertragen werden.
Der allerwichtigste Faktor, um ein funktionierendes
Sicherheitssystem zu erhalten, ist weniger die Wahl der
Mechanismen als vielmehr die Sorgfalt, die auf die
Gewährleistung von deren gutem Zusammenwirken beim
Kontrollieren der tatsächlichen Bedrohungen verwendet wird.
Die Trusted Computing Base (vertrauenswürdige Einrichtung zur Datenverarbeitung) ist die Gesamtsumme aller Hardware-, Software- und prozeduralen Komponenten, die einzeln oder in Kombination die Sicherheitspolitik durchbrechen könnten. Ihre Gestaltung ist Sache der Systemhersteller, doch die Erfahrung zeigt: je kleiner sie ist, umso besser. Bei kleinen Sicherheitssystemen ist die Überprüfung billiger, und die Wahrscheinlichkeit des Auftretens von Softwarefehlern [bugs], welche die Sicherheit beeinträchtigen, ist geringer.
Prozedurale Mechanismen wie die Paßwortverwaltung, das Konfigurations-Management und die Erstellung von Sicherungskopien sind ein integraler Bestandteil, und wenn ein System untersucht wird, muß der Prüfer die Frage stellen, ob es wahrscheinlich ist, daß es sicher von einer Klinikerin bedient werden kann, deren Computerfertigkeiten und Ordnungsliebe in Verwaltungsdingen unterdurchschnittlich sind. Es gibt faule und nachlässige Klinikerinnen und Kliniker, so daß eine positive Beurteilung nicht ausgefertigt werden darf, wenn es bequemer ist, das System unsicher zu betreiben. Prüfer sollten auch die Dinge berücksichtigen, die vom menschlichen Design abhängen, wie die Qualität der Handbücher und der Schulungen sowie das Durchführen von Integritätschecks bei der manuellen Dateneingabe.
Die Evaluationsebene sollte davon abhängen, was welchen möglichen Gefährdungen ausgesetzt ist. Wir schlagen ITSEC-Ebene E2 vor bei bis zu 50.000 Patientenakten und E4 für 50.000 bis 1.000.000 Patientenakten. Systeme, die persönliche Gesundheitsinformationen von bedeutend mehr als 1.000.000 Personen enthalten, sollten nicht gebaut werden.
Wenn ein System von einem Käufer installiert wird, müssen
zuletzt die verantwortlichen Klinikerinnen sicherstellen, daß
alle relevanten Einschulungen abgeschlossen wurden und daß
jegliche notwendigen Pläne, Prozeduren und Materialien - von
einem Desaster-Wiederherstellungsplan über
Informationsbroschüren bis zu
Patienten-Einwilligungsformularen - bereitgestellt und
getestet worden sind, bevor identifizierbare klinische
Patienteninformationen in das System eingegeben werden. Die
Entscheidung, Informationen auf diese Weise Gefährdungen
auszusetzen, sollte eine bewußte ärztliche Entscheidung sein,
das Restrisiko zu akzeptieren, und sie sollte schriftlich von
den verantwortlichen Klinikerinnen dokumentiert werden. Erst
wenn diese Anerkennung [accreditation exercise - in Analogie zur Anerkennung eines neuen militärischen Kommunikationssystems durch den verantwortlichen General - rja] abgeschlossen ist, soll ein System mit dem Schlüsselmaterial ausgestattet werden, das zur Kommunikation mit anderen Systemen erforderlich ist.
Die Sicherheitspolitik und die Richtlinien, die in diesem Dokument umrissenen sind, stimmen, soweit dies dem Autor bekannt ist, weitgehend mit der Arbeit an Europäischen und anderen Standards überein. Wir haben erfahren, daß eine Europäische Standardisierungsgruppe für Sicherheit und Privatheit von Medizinischer Informatik (CEN TC 251/WG6) an einem Entwurf arbeitet, der die Verschlüsselung von persönlichen Gesundheitsinformationen in großen Netzwerken vorschreibt; Verschlüsselung wird von den Datenschutzbehörden in Schweden seit einigen Jahren verlangt, und eine Reihe von Ländern baut vertrauenswürdige Zertifizierungsstellen auf, welche die Schlüssel der Beschäftigten in Gesundheitsberufen beglaubigen werden.
Die Verwendung von digitalen Unterschriften wird auch in einem Bericht an das Gesundheitsministerium von Ontario diskutiert [Smu94]. Verwiesen werden kann auch auf den australischen Standard für Privatheit von Gesundheitsinformationen [Aus95], den Interimistischen Code des Königlichen Australischen Kollegs der Allgemeinmediziner für den Umgang mit computerisierten medizinischen Aufzeichnungen in der Allgemeinpraxis [RAC+93], den Neuseeländischen Privatheits-Code für Gesundheitsinformationen [NZ94] und den Bericht des Amtes der Vereinigten Staaten für Technikfolgenabschätzung [OTA93]. Sie alle leisten auf unterschiedliche Weise einen Beitrag zu unserem Verständnis der Bedrohungen, des Prinzips der Einwilligung, der technischen Optionen und der pragmatischen Standards für die beste Praxis in anderen Ländern.
Auch die Hersteller und Lieferanten werden ermutigt, sich die
beste europäische Praxis zu eigen zu machen, was sehr wichtig
sein kann, wenn das europäische Datenschutzrecht erst einmal
in britischen Gerichten durchgesetzt wird. Dies wird, egal was
sonst die Folgen sein werden, die Betonung der
Patientenzustimmung verstärken.
Wir haben die Bedrohungen für die Vertraulichkeit, Integrität und Verfügbarkeit von persönlichen Gesundheitsinformationen im Licht der Erfahrungen in Großbritannien und in Übersee beschrieben und eine Sicherheitspolitik für klinische Informationen vorgelegt, die es ermöglicht, das Prinzip der Patientenzustimmung in der Art von heterogenem verteiltem System durchzusetzen, das gegenwärtig in Großbritannien gebaut wird.
Klinikerinnen, die Einkaufsentscheidungen treffen, werden ermutigt, Systeme zu bevorzugen, bei denen die Übereinstimmung mit dieser Sicherheitspolitik geprüft wurde. Wo noch kein geprüftes System erhältlich ist, sollten Käuferinnen berücksichtigen, in welchem Ausmaß zur Verfügung stehende Produkte die hier vertretenen Prinzipien unterstützen und ob der Hersteller es auf sich nehmen wird, einen Weg der Nachrüstungen [an upgrade path] hin zu einem geprüften System zu gehen.
Wo keines der verfügbaren Produkte einen akzeptablen Grad von
Computer- und Kommunikationssicherheit gewährt, gibt die
britische Ärztevereinigung (British Medical Association) ihren
Mitgliedern zu bedenken, daß dem NHS-weiten Netzwerk (oder in
der Tat jedem anderen unsicheren Netzwerk) klinische
Informationen auszusetzen, mit denen die Identifizierung von
Patienten möglich ist, oder sogar verschlüsselte klinische Informationen
an ein nicht vertrauenswürdiges System zu
senden, in einer Weise unvernünftig ist, die daran grenzt,
unethisch zu sein.
Beim Verfassen dieses Dokuments kamen wertvolle Beiträge von
einer Reihe von im Gesundheitswesen Beschäftigten, darunter
Fleur Fisher, Tony Griew, Simon Jenkins, Grant Kelly, Stuart
Horner, Hilary Curtis, Simon Fradd, John Williams, Iain
Anderson, William Anderson, Roger Sewell, Mary Hawking, Ian
Purves, Paul Steventon, Steve Hajioff, Stan Shepherd, Jeremy
Wright und David Watts; von einer Reihe von
Computerwissenschaftlern, unter ihnen Stewart Lee, Roger
Needham, Mark Lomas, Bruce Christianson, Ian Jackson, Mike
Roe, Jeremy Thorp, Roy Dainty und Ian Keith; und von
Philosophen, darunter Beverly Woodward, Ann Somerville and
Keith Tayler.
[Ald95] "Nurse sacked for altering records after baby's death", K Alderson, The Times 29 November 95 p 6
[Amo94] Fundamentals of Computer Security Technology, E Amoroso, Prentice Hall 1994
[And96] "Clinical System Security --- Interim Guidelines", RJ Anderson, in British Medical Journal v 312 no 7023 (13th January 1996) pp 109--111 [zugänglich über die nächsthöhere Ebene auf dieser Site - avh]
[Aus95] `Australian Standard 4400: Personal privacy protection in health care information systems', Standards Australia, 1995
[AC95a] `Setting the Records Straight --- A Study of Hospital Medical Records', Audit Commission, June 1995
[AC95b] `For Your Information --- A Study of Information Management and Systems in the Acute Hospital', Audit Commission,, July 1995
[ACH95] `Keeping Information Confidential', Association of Community Health Councils for England and Wales, May 1995
[AD94] "Security of Health Information Systems in France: what we do will no longer be different from what we tell", FA Albert, L Duserre, International Journal of Biomedical Computing v 35 (supplement, 1994) pp 201--204
[AIS95] `AIS --- Advanced Information System', FHS Computer Unit, 1995
[Boy94] `Draft guidance for the NHS on the confidentiality, use and disclosure of personal health information', N Boyd, Department of Health, 10 August 1994
[Bru95] "Is your health history anyone's business?" McCall's Magazine 4/95 p 54, reported by M Bruce on Usenet newsgroup comp.society.privacy, 22 Mar 1995
[BMA95] `A Bill Governing Collection, Use and Disclosure of Personal Health Information', British Medical Association 1995
[Cae95] WJ Caelli, personal communication, July 1995
[CR94] "Who's reading your medical records?" Consumer Reports, Oct 94 pp 628--632 [zur elektronischen Version von S. 629 des Artikels]
[DGMW94 `How to Keep a Clinical Confidence', B Darley, A Griew, K MsLoughlin, J Williams, HMSO 1994
[DL95] Data Logic product information at http://www.datlog.co.uk/
[DPA84] `Data Protection Act', HMSO 1984
[DPR95] `Identity Cards: A Consultation Document CM2879 --- Response of the Data Protection Registrar', October 1995
[EU91] `Information Technology Security Evaluation Criteria', EU document COM(90) 314 (June 1991)
[EU95] `On the protection of individuals with regard to the processing of personal data and on the free movement of such data (final)', Directive of the European Parliament and the Council, adopted by the Council on 24 July 1995
[Gil95] "MDU Muddle re Death Pills", C Gilbert, gp-uk mailing list, 23rd October 1995
[GC95] `A Strategy for Security of the Electronic Patient Record', A Griew, R Currell, Institute for Health Informatics, University of Wales, Aberystwyth, 14th March 1995
[GMC1] `Good medical practice', General Medical Council, 178--202 Great Portland Street, London W1N 6JE
[GMC2] `Confidentiality', General Medical Council, 178--202 Great Portland Street, London W1N 6JE
[GTP93] "Privacy and Security of Personal Information in a New Health Care System", LO Gostin, J Turek-Brezina, M Powers et al., Journal of the American Medical Association v 20 (24/11/93) pp 2487--2493
[Haw95] "Confidentiality of personal information: a patient survey", A Hawker, Journal of Informatics in Primary Care, 1995 (March) pp 16--19
[HRM93] "RMs need to safeguard computerised patient records to protect hospitals", Hospital Risk Management 1993 v 9 (September) pp 129--140
[JCG88] "GMSC and RCGP guidelines for the extraction and use of data from general practitioner computer systems by organisations external to the practice", Appendix III in `Committee on Standards of Data Extraction from General Practice Guidelines' Joint Computer Group of the GMSC and RCGP, 1988
[JHC94] "Nurse Jailed for Hacking into Computerised Prescription System", British Journal of Healthcare Computing and Information Management v 1 (94) p 7
[LB94] "Your Secrets for Sale", N Luck, J Burns, The Daily Express, 16/2/94 pp 32--33
[MRI94] "Integrated Health Delivery Needs Integrated Health Record Systems", Medical Records Institute newsletter v 3 no 5 (December 94) pp 1--9
[Mac94] Letter from AW Macara to JS Metters, 31 October 1994, on `Draft guidance for the NHS on the confidentiality, use and disclosure of personal health information'
[Mar95] "Fear of Flowing", DC Markwell, Proceedings of the 1995 Annual Conference of The Primary Health Care Specialist Group of the British Computer Society, pp 36--42
[NHS92] `Handling confidential patient information in contracting: A Code of Practice', NHS Information Management Group EL(92)60, catalogue number 2009(c),
news info 132
[NHS95] `The Handbook of Information Security --- Information Security within General Practice', NHS Executive Information Management Group E5209 (May 1995)
[NZ94] `Healt