Auf einen Blick

Der Garante Privacy hat eine Klinik mit 1.000 Euro Bußgeld belegt, weil sie einem Bürger, der sie angefordert hatte, keine klare und vollständige Kopie der Patientenakte seiner verstorbenen Mutter zur Verfügung gestellt hatte. Zunächst hatte die Klinik eine Transkription zur Verfügung gestellt, in der die Unterschriften der Ärzte und die Anmerkungen nicht klar erkennbar waren. Dieser Fall erinnert uns daran, dass medizinische Dokumente immer lesbar sein müssen und dass man immer wissen muss, wer was geschrieben hat.

Was zu tun ist

Wenn Sie eine medizinische Einrichtung sind, stellen Sie sicher, dass alle Patientenakten leserlich geschrieben sind und dass jede Anmerkung den Namen des Arztes oder der Pflegekraft enthält.
Überprüfen Sie die Verfahren, wenn jemand seine Patientenakte anfordert: Sie muss für den Empfänger leicht verständlich sein.
Schulen Sie Ihr Personal, damit es klar und vollständig schreibt.

Was zu vermeiden ist

Geben Sie Patienten oder deren Angehörigen keine Patientenakten mit unleserlicher Schrift oder in denen nicht ersichtlich ist, wer die Anmerkungen gemacht hat.
Denken Sie nicht, dass es ausreicht, wenn das Original unterschrieben ist: Die Kopie oder Abschrift muss dennoch klar sein.

Hintergrund

Ein Beschwerdeführer hatte sich darüber beschwert, dass die Tirrenia Hospital S.r.l. nach der Anforderung einer maschinengeschriebenen und verständlichen Abschrift der Patientenakte seiner verstorbenen Mutter (die unleserliche Handschrift und unverständliche Teile, einschließlich der Identifizierung des medizinischen Personals, enthielt) keine angemessene Antwort gegeben hatte. Später übermittelte die Krankenhauseinrichtung Abschriften, die nach Ansicht des Beschwerdeführers immer noch keine Identifizierung des medizinischen Personals enthielten. Das Büro des Garante hat ein Verfahren eingeleitet, um die Nichteinhaltung von Art. 92, Absatz 1, des Codice Privacy zu überprüfen.

Die Entscheidung

Der Garante hat die Verletzung von Art. 92, Absatz 1, des Codice in materia di protezione dei dati personali durch die Tirrenia Hospital S.r.l. festgestellt, weil die Verständlichkeit der Daten in der Patientenakte, insbesondere die Identifizierung des medizinischen Personals, nicht gewährleistet wurde. Obwohl die Einrichtung die Daten anschließend verständlich gemacht und Vorkehrungen zur Verhinderung zukünftiger Fälle getroffen hat und das Verhalten seine Wirkung entfaltet hat, hielt der Garante weitere Korrekturmaßnahmen nicht für erforderlich. Es wurde eine Geldbuße in Höhe von 1.000,00 Euro und die Veröffentlichung der Anordnungs-Verfügung auf der Website des Garante verhängt.

Ratio decidendi Die Entscheidung basiert auf der klaren Verletzung von Art. 92, Absatz 1, des Codice Privacy, der medizinischen Einrichtungen vorschreibt, 'geeignete Maßnahmen zu ergreifen, um die Verständlichkeit der Daten' in den Patientenakten zu gewährleisten. Die fehlende klare Identifizierung des medizinischen Personals in den angeforderten Abschriften machte die Daten für die betroffene Person nicht vollständig verständlich und verstieß somit gegen diese Verpflichtung. Die spätere Ergreifung von Korrekturmaßnahmen durch die Einrichtung milderte die Notwendigkeit weiterer Anordnungen, schloss jedoch die Sanktion für die festgestellte Verletzung nicht aus.

Verletzte DSGVO-Artikel

Artikel	Beschreibung	Relevanz
92 par.1 Codice Privacy	Öffentliche und private Einrichtungen, die Gesundheits- und Sozialleistungen erbringen, müssen bei der Erstellung und Aufbewahrung einer Patientenakte geeignete Maßnahmen ergreifen, um die Verständlichkeit der Daten zu gewährleisten.	die tirrenia hospital s.r.l. hat zunächst keine vollständig verständliche abschrift der patientenakte zur verfügung gestellt, wobei die klare identifizierung des medizinischen personals aufgrund unleserlicher handschrift unterlassen wurde, wodurch das prinzip der verständlichkeit verletzt wurde.
83 par.4 DSGVO	Sie sieht Geldbußen von bis zu 10.000.000 EUR oder im Falle eines Unternehmens bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Wert höher ist, für Verstöße gegen bestimmte Bestimmungen, einschließlich der Pflichten des Verantwortlichen und des Auftragsverarbeiters.	der verstoß gegen art. 92, absatz 1 des codice privacy fällt in den anwendungsbereich der gemäß art. 83, abs. 4 der dsgvo anwendbaren sanktionen, wie sie in art. 166 des codice privacy in bezug genommen werden.

Auferlegte Maßnahmen

Zahlung einer Geldbuße; Veröffentlichung der Anordnungs-Verfügung auf der Website des Garante; Eintragung des Verstoßes in das interne Register der Behörde

Sanktion

Der Garante hat der Tirrenia Hospital S.r.l. die Zahlung einer Geldbuße von 1.000,00 Euro wegen Verstoßes gegen Art. 92, Absatz 1, des Codice in materia di protezione dei dati personali auferlegt. Der Verstoß bestand in der Nichtbereitstellung einer verständlichen Patientenakte mit Identifizierung des medizinischen Personals auf Anfrage einer betroffenen Person. Der Garante berücksichtigte die geringe Schwere des Verstoßes (Einzelfall, keine Vorsatz), die vom Verantwortlichen ergriffenen Korrekturmaßnahmen sowie dessen Zusammenarbeit.

Fristen: innerhalb von 30 Tagen nach Zustellung dieser Anordnung

Praktische Auswirkungen

Diese Anordnung unterstreicht einen grundlegenden Aspekt für alle medizinischen Einrichtungen: die Verpflichtung, nicht nur die Vollständigkeit, sondern auch die volle Verständlichkeit der klinischen Dokumentation zu gewährleisten, sowohl in ihrer Originalform als auch in eventuellen Abschriften, die von den betroffenen Personen angefordert werden. Die bloße Existenz unterschriebener und abgestempelter Dokumente entbindet nicht von der Pflicht, diese bei Bedarf klar lesbar und zuordenbar zu machen, insbesondere bei unleserlicher Handschrift. Die Zusammenarbeit mit der Behörde und die nachträgliche Ergreifung von Korrekturmaßnahmen wurden als mildernde Umstände berücksichtigt, schlossen jedoch die Anwendung einer Sanktion nicht aus, was die Notwendigkeit einer proaktiven und nicht nur reaktiven Compliance unterstreicht.

Empfohlene Maßnahmen

Interne Verfahren implementieren, um die Lesbarkeit und vollständige Zuordnung von Anmerkungen in Patientenakten zu gewährleisten (z.B. Verwendung lesbarer Stempel, vollständige Identifizierung des Personals).
Medizinisches und Pflegepersonal in der korrekten Erstellung und Verwaltung klinischer Dokumentation schulen, mit besonderem Augenmerk auf die Verständlichkeit.
Verfahren zur Bearbeitung von Anfragen zum Zugang zu Gesundheitsdaten überprüfen, um sicherzustellen, dass die bereitgestellten Kopien oder Abschriften stets vollständig, genau und für die betroffene Person vollumfänglich verständlich sind.
Protokolle für die Abschrift unleserlicher handschriftlicher Dokumentation erstellen, die die Aufnahme aller relevanten Identifikationsdaten sicherstellen.

Zu vermeidende Fehler

Die Bedeutung der Lesbarkeit und Verständlichkeit von Patientenakten als rechtliche Verpflichtung unterschätzen.
Die vollständige Identifizierung des medizinischen Personals in den Abschriften unleserlicher Dokumente nicht bereitstellen.
Sich ausschließlich auf die Verfügbarkeit der Originaldokumentation 'im Besitz des Beschwerdeführers' zu verlassen, ohne sicherzustellen, dass auch die bereitgestellte Kopie oder Abschrift selbst verständlich ist.
Auf eine Beschwerde warten, um Maßnahmen zur Verbesserung der Datenverständlichkeit einzuleiten.

Fragen zur Selbsteinschätzung

Werden unsere Patientenakten immer klar und leserlich verfasst?
Enthält jede Anmerkung in der Patientenakte die vollständige und eindeutige Identifizierung des Gesundheitsfachpersonals?
Gewährleisten die Verfahren für Anfragen zum Zugang zu Gesundheitsdaten, dass die bereitgestellten Informationen vollständig verständlich sind (auch durch Abschriften, falls erforderlich)?
Haben wir dem Personal eine angemessene Schulung zur korrekten Verwaltung und Verständlichkeit klinischer Dokumentation sowie zum Zugangsrecht angeboten?

Verweise

EDPB-Leitlinien: Linee Guida 04/2022 sul calcolo della sanzioni amministrative pecuniarie ai sensi del GDPR – versione 2.0 – adottato il 24 maggio 2023

Nationales Recht: D.Lgs. 196/2003 · Legge n. 689 del 24 novembre 1981