Navigation auf uzh.ch
Navigation auf uzh.ch
Herr Thouvenin, Herr Lovis: Die Corona-Pandemie offenbarte: Das Datenmanagement des Schweizerischen Gesundheitswesens wies Lücken auf. Sie haben nun dem Bundesrat einen Call for Action zugestellt, wie Behörden bei Gesundheitskrisen künftig schneller relevante Daten nutzen können. Können Sie vorerst noch einmal rekapitulieren, welche Daten den Behörden in der Pandemie fehlten?
Christian Lovis: Zum Beispiel wusste man zu Beginn nicht, wie viele Intensivplätze in den Schweizer Spitälern frei waren, wie viele Masken und Medikamente es wo gab, oder wie viel Sauerstoff in der Schweiz vorhanden war. Dass es so schwierig war, an diese Informationen zu gelangen, hat auch mit dem Datenschutzgesetz zu tun, das wie sein Name sagt, Daten schützt. Nur: Wir sollten nicht Daten schützen, sondern Menschen. Die Pandemie hat deutlich gemacht, dass der Schutz von Daten zulasten des Schutzes von Menschen gehen kann. Der Schutz von Personendaten ist zwar wichtig, es gibt aber andere Anliegen, die mindestens so wichtig sind, etwa der Schutz der Gesundheit, der Bewegungs- und Versammlungsfreiheit oder das Recht auf ausreichenden Grundschulunterricht.
Lag das Problem also beim Datenschutzrecht, Herr Thouvenin?
Florent Thouvenin: Das Datenschutzrecht sieht vor, dass Behörden Personendaten nur auf einer gesetzlichen Grundlage bearbeiten, diese nicht an andere Behörden weitergeben und auch nicht für andere Zwecke verwenden dürfen als für diejenigen, für die sie gesammelt worden sind. Nehmen wir als Beispiel die öffentlichen Spitäler, die Daten zur Belegung ihrer Intensivstation haben. Weil diese Daten nicht für andere Zwecke als für die Behandlung der Patienten und die Organisation der Intensivstation verwendet und nicht an Dritte weitergegeben werden dürfen, sind diese Daten bei jedem Spital wie in einem Silo gespeichert. Dieses Silodenken führte dazu, dass man die simple Frage, wie viele Intensivplätze in der Schweiz verfügbar sind, nicht sofort beantworten konnte.
Ist dieses Silodenken nicht eine unweigerliche Folge des Datenschutzrechts?
Thouvenin: Nein, die Vorgaben des Datenschutzrechts gelten nur für Personendaten, nicht für Daten ohne Personenbezug wie die Anzahl der belegten Betten auf einer Intensivstation. Das Silodenken ist durch das Datenschutzgesetz nicht vorgegeben, aber es gibt keine Anreize, die Systeme so zu bauen, dass ein Teilen der Daten zumindest dann möglich ist, wenn die Daten anonymisiert werden. Insofern führt das Datenschutzrecht im Ergebnis zu siloartigen Systemen, die für den Austausch von Daten weder gedacht noch geeignet sind. Das gilt insbesondere auch für den Gesundheitsbereich. Das macht im Normalfall durchaus Sinn, weil es wichtig ist, dass keine Behörde auf alle gesundheitsrelevanten Daten zugreifen kann, die verschiedene Beteiligte über uns gespeichert haben. Sonst würden wir beim Horrorszenario des gläsernen Bürgers landen.
Lovis: Auch in einer Gesundheitskrise brauchen wir nie alle Daten. Aber weil wir nie wissen werden, welche Herausforderungen die nächste Krise bringt, müssen alle gesundheitsrelevanten Daten in einer Form gespeichert werden, die es erlaubt, die relevanten Daten im Krisenfall zu teilen. In unserem Vorschlag unterscheiden wir zwischen shared und shareable data, also zwischen geteilten und teilbaren Daten. Shared Data bedeutet, dass die Daten tatsächlich verfügbar sind. Shareable Data dagegen bedeutet, dass die Daten so bearbeitet und organisiert werden, dass sie jederzeit geteilt werden könnten. Man kann sich diese Idee bildlich als Röhrensystem mit Verschlusshähnen vorstellen, die im Normalfall den Datenfluss verhindern. Sollte ein Erdbeben, eine Pandemie oder eine andere Gesundheitskrise das Öffnen dieser Hähne erfordern, fliessen die Daten und die Behörden können auf die erforderlichen Daten zugreifen. Wir schlagen nicht vor, dass Personendaten stets verfügbar sind. Aber wir wollen sicherstellen, dass Behörden im Krisenfall Zugriff auf diejenigen Daten haben, die sie zur Bewältigung der Krise brauchen.
Ist ein solches System von shareable data nicht anfälliger für Missbrauch oder Hackerangriffe?
Thouvenin: Wenn Behörden Missbrauch betreiben wollen, können sie das schon heute tun. Es ist zwar aufwändiger, Daten an andere Behörden weiterzuleiten, weil die Systeme nicht darauf vorbereitet sind, aber es ist ohne weiteres möglich. Auch für Hackerangriffe ist das System nicht anfälliger. Weil die Daten im Normalfall nicht geteilt werden, gibt es keinen zentralen Angriffspunkt, über den man Zugriff auf alles hat.
Geht es bei der Ausarbeitung eines solchen Systems primär um rechtliche oder technische Aspekte und wie sollte ein solches System ausgestaltet sein?
Thouvenin: Es braucht sowohl Anpassungen im Datenschutzrecht, als auch technische Vorgaben für die Beteiligten, was Formate und Systeme zur Bearbeitung von Daten betrifft – damit in dem Moment, in dem der Hahn geöffnet ist, auch etwas Sinnvolles herauskommt. Unser Vorschlag ist allerdings nicht so konkret, dass wir Bestimmungen im Datenschutz ausformulieren oder Standards für die Erfassung von Daten vorschlagen. Es geht uns um den Grundgedanken, die konkrete Umsetzung ist Aufgabe des Gesetzgebers und der Verwaltung.
Neben rechtlichen und technischen Herausforderungen sprechen wir in unserem Call for Action auch die gesellschaftliche Akzeptanz und die sogenannte Data Literacy, die Datenkompetenz, an. Es ist wichtig, dass die Leute verstehen, dass Daten nicht primär eine Gefahr sind, sondern ein Rohstoff, den man sinnvoll nutzen kann. Entscheidend ist zudem, dass die Leute Vertrauen ins System haben. Es braucht deshalb geeignete Kommunikationsmassnahmen, um der Bevölkerung die Idee und die Umsetzung des Systems zu erklären sowie Mechanismen der Kontrolle, etwa durch den eidgenössischen Datenschutzbeauftragten, der im Krisenfall überwacht, auf welche Daten Behörden zugreifen und für welche Zwecke sie diese nutzen.
Was erhoffen Sie sich als Reaktion auf diesen Call for Action?
Thouvenin: Die Bundesbehörden haben uns bereits signalisiert, dass sie sehr froh sind um diesen Vorschlag, weil sie sich ebenfalls Gedanken über neue und bessere Ansätze zur Nutzung von Daten machen. Insofern hoffen wir, mit unserem Call for Action eine Idee mit viel Potential für die bessere Bewältigung künftiger Gesundheitskrisen in die bereits angelaufene Diskussion einzubringen.
