Datenschutz und Big Data im Allgemeinen und im Gesundheitsrecht im Besonderen

Längst sind Big Data und andere datenbasierte Technologien Bestandteil unseres Alltags und Daten sind ohne Zweifel der Rohstoff der heutigen Zeit. Auch im Gesundheitswesen sind mit dem Einsatz dieser Technologien grosse Hoffnungen verbunden. Der Einsatz von digitalen Technolgien im Gesundheitsbereich ist mehr als wünschenswert: er ist unerlässlich. Denn noch heute sterben in der Schweiz täglich Menschen an vermeidbaren medizinischen Fehlern oder werden unnötig und unwirksam behandelt, was durch einen funktionierenden Datenaustausch, ein besseres Verständnis der primären Patientendaten kombiniert mit Erkenntnissen aus vergleichbaren Fällen und Behandlungsergebnissen sowie Diagnoseunterstützende kognitive Systeme in vielen Fällen vermeidbar wäre. Damit sich das Potential der datenbasierten Technologien entfalten kann, müssen Daten frei – im Sinne einer Infrastruktur-Ressource – verfügbar sein und von verschiedensten Akteuren weiterverwendet werden können. Hierzu braucht es jedoch Mechanismen und Massnahmen, die einerseits den Datenschutz und die Datensicherheit gewährleisten und somit das Vertrauen – insbesondere der Datengeber – in die Integrität, Vertraulichkeit und Rechtsmässigkeit der Datenbearbeitung ermöglichen. Andererseits muss es den Individuen möglich sein, die Kontrolle über ihre Daten effektiv wahrzunehmen resp. vertrauenswürdige Stellen damit zu beauftragen. Die Analyse zeigt auf, dass das geltende allgemeine sowie das gesundheitsrechtliche Datenschutzrecht hierzu nur bedingt in der Lage sind, da Big Data und andere datenbasierten Technologien mit den traditionellen Grundsätzen des Datenschutzes nur eingeschränkt kompatibel sind. Mit Blick auf die Möglichkeiten der datenbasierten Technologien zur Dekontextualisierung und Rekontextualisierung von Daten aller Art, ist die vom geltenden Recht vorgenommene Differenzierung zwischen Sach- und Personendaten sowie die Ausklammerung von anonymen und anonymisierten Daten nicht länger sinnvoll. Auch ist die geltende Definition von Gesundheitsdaten zu eng, da in der Medizin die Grenze zwischen Gesundheit und Lifestyle immer durchlässiger wird und neben herkömmlichen medizinischen Daten (z.B. Laborwerte, Röntgenbilder) auch Real World Data zunehmend wichtig werden. Ziel muss es vielmehr sein, mit Mitteln der Technik und der Regulierung ein System zu schaffen, welches einerseits eine vertrauenswürdige, diskriminierungsfreie und gemeinverträgliche Nutzung von Daten ermöglicht und andererseits die Datensouveränität des Einzelnen wahrt und damit zu einer deutlichen Verringerung der bestehenden Datenzugangs-Ungleichgewichte führt. Erforderlich ist im Kontext von Big Data eine neue, funktionelle Grundrechtskonzeption, die über den traditionellen subjektiv-rechtlichen Ansatz hinaus die Pflicht des Staates zur Schaffung eines den technologischen Bedürfnissen entsprechenden Rechtsrahmens zur Sicherung der Integrität digitaler Systeme anerkennt. Die Defizite des geltenden Datenschutzrechts verlangen nach der Schaffung eines umfassenden Datenbegriffs resp. der Einführung eines allgemeinen Datenrechts. Dieses tritt nicht an die Stelle des herkömmlichen Datenschutzrechts. Vielmehr soll ein allgemeines Datenrecht Mindeststandards für jegliche Formen der Datennutzung setzen, während das Datenschutzrecht auf Grund seines Bezugs zum Grundrechts- und Persönlichkeitsschutz weitergehende Anforderungen stellt. Die Schaffung sektor-spezifischer Datenschutzregelungen soll zudem den jeweiligen Bereichen und ihren spezifischen Risiken und Bedürfnissen besser gerecht werden. Mit einem allgemeinen Datenrecht soll Daten-Governance in allen Bereichen (Wirtschaft, Forschung, Verwaltung etc.) zum fixen Bestandteil der allgemeinen Compliance und der Good-Governance-Grundsätze werden. Inhalt und Ziel dieser Daten-Governance ist ein kompetenter, verantwortungsvoller und disziplinierter Umgang mit (sensiblen) Daten, ihr umfassender Schutz und die Achtung der Datensouveränität der Datengeber. Die Erarbeitung, Etablierung und Aktualisierung entsprechender technischer und organisatorischer Vorgaben ist Fachkreisen zu überlassen. Erforderlich ist die Entwicklung und Implementierung von einheitlichen technischer und organisatorischer Standards und Qualitätsparamenter. Datenbearbeitende Akteure haben Accountability-Grundsätze einzuhalten und transparent zu machen, wie ihre Datenbearbeitung und -auswertung erfolgt. Die Einflussnahme des Staates resp. die Notwendigkeit (sanktionierender) staatlicher Regulierung bemisst sich dabei daran, ob die Daten bearbeitenden Akteure Willens und in der Lage sind, die erforderlichen organisatorischen und technischen Massnahmen für eine tatsächliche Sicherstellung der Datensouveränität des Einzelnen zu schaffen, zu implementieren und dauerhaft zu gewährleisten. Darüber hinaus sind Anstrengungen im Aus- und Weiterbildungsbereich sowohl auf Seiten der Datengeber als auch der datenbearbeitenden Akteure unerlässlich. Einerseits müssen die Datengeber sich ihrer Rechte und dem Wert ihrer Daten bewusst werden und lernen, mit diesen Technologien verantwortungsvoll umzugehen. Andererseits müssen der korrekte Umgang mit (Gesundheits-)Daten und die Grundsätze des Daten(schutz-)Rechts zu einem fixen Bestandteil der Aus- und Weiterbildung aller im Gesundheitssystem tätigen Akteure werden