Rechtstracker.atBGBl. I Nr. 26/2017
Vereinbarungsumsetzungsgesetz 2017 – VUG 2017
Bundesgesetz, mit dem ein Bundesgesetz zur partnerschaftlichen Zielsteuerung-Gesundheit (Gesundheits-Zielsteuerungsgesetz – G-ZG) erlassen wird sowie das Bundesgesetz über Krankenanstalten und Kuranstalten, das Allgemeine Sozialversicherungsgesetz, das Gewerbliche Sozialversicherungsgesetz, das Bauern-Sozialversicherungsgesetz, das Beamten-Kranken- und Unfallversicherungsgesetz, das Ärztegesetz 1998, das Bundesgesetz über die Gesundheit Österreich GmbH und das Bundesgesetz über die Dokumentation im Gesundheitswesen geändert werden (Vereinbarungsumsetzungsgesetz 2017 – VUG 2017)
Änderungen durch diese Kundmachung
§ 6cgeändertAbs 1 Z 1, Z 2 lit a; Abs 2; Abs 3 bis Abs 8 (neu)
§ 6c.
(1) Der Hauptverband hat
1. die von den Leistungserbringerinnen und Leistungserbringern aus dem extramuralen ambulanten Bereich auf Grundlage der Honorarordnungen der Krankenkassen dokumentierten medizinischen Leistungen auf einen vom von der Bundesministerin/vom Bundesminister für Gesundheit und Frauen herausgegebenen Leistungskatalog überzuleiten,
2. als Dienstleister des der Bundesministerin/des Bundesministers für Gesundheit und Frauen im Wege der bei ihm eingerichteten Pseudonymisierungsstelle (gemäß § 31 Abs. 4 Z 10 Allgemeines Sozialversicherungsgesetz, BGBl. Nr. 189/1955, in der jeweils geltenden Fassung) innerhalb einer den Anforderungen des Datenschutzes und der Datensicherheit entsprechenden technischen Infrastruktur mittels des vom von der Bundesministerin/vom Bundesminister für Gesundheit und Frauen zur Verfügung gestellten Hardware Security Moduls (HSM)
a) aus dem bPK GH-GD der Leistungsempfängerin/des Leistungsempfängers Patientin/des Patienten ein nicht rückrechenbares Pseudonym und
b) aus der eindeutigen Vertragspartnerkennung ein nicht rückrechenbares Pseudonym der Leistungserbringerin/des Leistungserbringers aus dem ambulanten extramuralen Bereich
… 5 unveränderte Absätze
zu generieren und zu verschlüsseln.
3. Der Hauptverband hat weiters
a) für den extramuralen ambulanten Bereich zur Zusammenführung der Datensätze aus der Kombination von Jahr, Quartal, Sozialversicherungsträger-Code und aufsteigender Laufnummer eine eindeutige Kennung (Leistungserbringer-ID),
b) für den extramuralen ambulanten Bereich aus der Laufnummer durch Einweg-Ableitung eine nicht rückrechenbare Datensatz-ID und
c) für den intramuralen ambulanten Bereich aus der Aufnahmezahl durch Einweg-Ableitung eine nicht rückrechenbare Datensatz-ID
zu generieren.
(2) Der Hauptverband hat die Daten gemäß Abs. 1 dem Bundesministerium für Gesundheit quartalsweise für das jeweilige zweitvorangegangene Quartal jeweils bis zum 30. September und 31. Dezember des laufenden Jahres sowie bis zum 31. März und 30. Juni des folgenden Jahres zu übermitteln, wobei für die Quartalszuordnung der Datensätze das Kontaktdatum (Ereignisdatum) maßgeblich ist. Der Hauptverband hat dem Bundesministerium für Gesundheit und Frauen die Daten gemäß Abs. 1 für den extramuralen ambulanten Bereich für das erste Halbjahr bis zum 31. Jänner des folgenden Jahres sowie für das vorangegangene Kalenderjahr bis zum 20. Juli des laufenden Jahres zu übermitteln. Der Hauptverband hat dem Bundesministerium für Gesundheit und Frauen die Daten gemäß Abs. 1 für den intramuralen ambulanten Bereich für das erste Halbjahr bis 30. September des laufenden Jahres sowie für das vorangegangene Kalenderjahr bis 31. März des laufenden Jahres zu übermitteln. Für die Zuordnung der Datensätze ist jeweils das Kontaktdatum (Ereignisdatum) maßgeblich.
(3) Der technische Prozess zur Generierung der Pseudonyme ist so zu gestalten, dass keine Möglichkeit des Zugriffes auf die automatisierten Verarbeitungen im HSM während des Pseudonymisierungsvorgangs gemäß Abs. 1 Z 2 besteht.
(4) Die erstmalige Konfiguration des HSM hat in den Räumlichkeiten der beim Hauptverband (datenschutzrechtlicher Dienstleister) eingerichteten Pseudonymisierungsstelle unter Anwesenheit einer Vertreterin/eines Vertreters des datenschutzrechtlichen Auftraggebers (Bundesministeriums für Gesundheit und Frauen) und unter der Aufsicht einer Bestätigungsstelle gemäß § 7 SVG zu erfolgen. Der gesamte Vorgang ist zu protokollieren.
(5) Nach der erstmaligen Konfiguration gemäß Abs. 4 ist die Sicherungskopie der verwendeten kryptografischen Schlüssel an eine Bestätigungsstelle gemäß § 7 SVG zu übergeben und von dieser sicher und geheim zu verwahren. Die Sicherungskopie darf ausschließlich zu folgenden Zwecken und nur mit Zustimmung des Bundesministeriums für Gesundheit und Frauen verwendet werden:
1. für die Wiederherstellung der Konfiguration eines HSM im Störungsfall sowie
2. für Konfigurationen zusätzlicher erforderlicher HSM (Erweiterungsfall).
Diese Konfigurationen haben in den Räumlichkeiten der beim Hauptverband eingerichteten Pseudonymisierungsstelle unter Anwesenheit einer Vertreterin/eines Vertreters des Bundesministeriums für Gesundheit und Frauen und unter der Aufsicht einer Bestätigungsstelle gemäß § 7 SVG zu erfolgen. Der gesamte Vorgang ist zu protokollieren.
(6) Die Mitarbeiterinnen und Mitarbeiter der Pseudonymisierungsstelle sind zur Verschwiegenheit über alle ihnen in Ausübung ihres Berufes anvertrauten oder bekannt gewordenen Tatsachen verpflichtet. Die Pflicht besteht auch nach Beendigung ihrer Tätigkeit. Insbesondere ist für die Einhaltung der Datenverwendungsgrundsätze gemäß § 6 DSG 2000 sowie der Datensicherheitsmaßnahmen gemäß § 14 DSG 2000 zu sorgen.
(7) Die Mitarbeiterinnen und Mitarbeiter der Pseudonymisierungsstelle müssen über ihre nach den innerorganisatorischen Datenschutzvorschriften, einschließlich der Datensicherheitsvorschriften, bestehenden Pflichten belehrt werden. Über die Verschwiegenheitsverpflichtung sind die Mitarbeiterinnen und Mitarbeiter vor Aufnahme ihrer Tätigkeit nachweislich zu informieren.
(8) Die Einhaltung des Datenschutzes im Rahmen der Pseudonymisierung und der damit zusammenhängenden Prozesse muss durch einen/eine unabhängigen/unabhängige externen/externe Gutachter/Gutachterin bei regelmäßigen Audits geprüft und bestätigt werden. Für die Durchführung der Audits gilt Folgendes:
1. Ein erstes Audit ist im Zuge der erstmaligen Konfiguration des HSM und weitere Audits sind regelmäßig, zumindest aber alle zwei Jahre durchzuführen.
2. Die beim Hauptverband der österreichischen Sozialversicherungsträger eingerichtete Pseudonymisierungsstelle hat die Durchführung der Audits durch eigenes Personal zu unterstützen und dafür Sorge zu tragen, dass der/die externe Gutachter/Gutachterin Zugriff auf alle für die Durchführung der Audits notwendigen Informationen erhält.
3. Die Auswahl und die Beauftragung des/der externen Gutachters/Gutachterin erfolgen durch das Bundesministerium für Gesundheit und Frauen.
4. Der/Die externe Gutachter/Gutachterin darf vom verwendeten kryptografischen Schlüssel keine Kenntnis erlangen.