Datenschutzregeln in Spitälern vereinheitlichen/harmonisieren, um Innovation zu fördern

ShortId
25.3836
Id
20253836
Updated
19.12.2025 09:53
Language
de
Title
Datenschutzregeln in Spitälern vereinheitlichen/harmonisieren, um Innovation zu fördern
AdditionalIndexing
2841;1236;34
1
PriorityCouncil1
Nationalrat
Texts
  • <span><p><span>1. Der Bundesrat kann den Wunsch nach Harmonisierung nachvollziehen. Es ist davon auszugehen, dass schweizweit vereinheitlichte Anforderungen für Datenschutz und Informationssicherheit Prozesse vereinfachen, Kosten senken und Innovationen beschleunigen würden. Dabei darf jedoch nicht ausser Acht gelassen werden, dass die heutigen Disparitäten weniger von der föderalistischer Kompetenzverteilung im Bereich des Datenschutzes kommen, sondern von den heterogenen Auslegungen und Umsetzungen der bestehenden gesetzlichen Vorgaben durch die jeweiligen föderalen Akteure. Im Bereich des Datenschutzes regelt der Bund den Datenschutz in der Bundesverwaltung, für Private und Firmen und die Kantone sind die kantonalen und kommunalen Verwaltungen zuständig, wozu auch die Spitäler mit einem kantonalen Leistungsauftrag (Listenspitäler) zählen.</span></p><p><span>&nbsp;</span></p><p><span>2. Innerhalb des Bundes könnte das Bundesamts für Cybersicherheit (BACS) Empfehlungen und Hilfsmittel zu technischen und organisatorischen Massnahmen im Bereich der Datensicherheit erarbeiten. Es kann diese aber nicht obligatorisch erklären, da diese Kompetenz beim Regulator liegt. Diese Rolle käme im Gesundheitssektor den Kantonen zu. </span></p><p><span>Im Sinne der Selbstsorge könnte die Branche entsprechende Vollzugshilfen auch selbst erstellen, zum Beispiel durch das Healthcare Cyber Security Center (H-CSC), das auf Initiative einzelner Schweizer Spitäler und mit Unterstützung des BACS gegründet wurde. Ziel des Vereins ist es, die Zusammenarbeit und den Austausch im Bereich der Cybersicherheit gezielt zu fördern, Fachwissen zu bündeln und Spitäler bei der Bewältigung von Cybervorfällen wirksam zu unterstützen.</span></p><p><span>&nbsp;</span></p><p><span>3. Clouds unterstehen bereits heute dem eidgenössischen oder einem kantonalen Datenschutzgesetz. Aufgrund der Zuständigkeit der Kantone gelten für Listenspitäler die kantonalen Datenschutzgesetze. </span></p><p><span>Neben der Frage, ob eine verfassungsrechtliche Grundlage besteht, welche im Detail abgeklärt werden müsste, käme eine Anpassung des DSG zur Regelung der Nutzung einer bestimmten Technologie (Cloud) einem Systembruch gleich, da das DSG bewusst Technologie-neutral formuliert ist.</span></p><p><span>&nbsp;</span></p><p><span>4.</span><strong><span> </span></strong><span>Es ist den Kantonen sowie den Leistungserbringern freigestellt aus Eigeninitiative entsprechende Listen zu führen.</span></p></span>
  • <p>Cloud-basierte IT-Services bieten im Gesundheitswesen enormes Potenzial für stabile, sichere und kostengünstige Lösungen. Skalierbare Software wird heutzutage fast ausschliesslich cloudbasiert entwickelt. Zudem können Technologien und Anwendungen aus anderen Branchen adaptiert werden, wodurch sich die Entwicklungskosten senken und die Skalierbarkeit erhöhen lässt. Cloud-Dienste sind ausserdem qualitätsrelevant, da die generelle Verfügbarkeit, Sicherheit, Latenz und Ausfallsicherheit meistens besser sind als bei selbst entwickelten Anwendungen, die in eigenen IT-Infrastrukturen gehostet werden.</p><p>Die aktuelle Rechtslage erschwert den Einsatz cloudbasierter Lösungen. Gesundheitsdaten sind durch das Bundesgesetz über den Datenschutz (DSG) und die kantonalen Datenschutzgesetze geschützt und müssen nach deren Grundsätzen bearbeitet werden. Dem öffentlichen Recht unterstellte Spitäler sowie Spitäler mit einem kantonalen Leistungsauftrag müssen nach den in ihrem jeweiligen Kanton geltenden datenschutzrechtlichen Vorgaben handeln. Die kantonalen und teilweise kommunalen Grundsätze und Vorgaben sind jedoch sehr unterschiedlich. Dadurch erfolgt die Umsetzung durch die Datenschutzbeauftragten uneinheitlich. Diese Situation ist besonders für schweizweit tätige Gesundheitsinstitutionen schwierig und behindert Innovationen.&nbsp;</p><p>Angesichts dieser Problematik stelle ich dem Bundesrat folgende Fragen:</p><ol><li>Teilt der Bundesrat die Einschätzung, dass bezüglich der Datenschutzumsetzung im Bereich von Clouds im Gesundheitswesen Harmonisierungsbedarf besteht, z.B. in Bezug auf einheitliche Anforderungen an die Informationssicherheit von Spitälern und Pflegeeinrichtungen oder die Datenhaltung in der Schweiz?</li><li>Ist der Bundesrat bereit, zusammen mit Datenschützern und ICT-Fachleuten einheitliche Vorgaben für die Umsetzung (Vollzugshilfe/Leitfaden) zu erarbeiten, um Innovationen zu fördern? Gibt es Gefässe beim Bund, die genutzt werden können?</li><li>Ist es verfassungsrechtlich möglich, alle Cloud-Dienste im Gesundheitswesen dem nationalen Bundesgesetz über den Datenschutz zu unterstellen? Falls ja, ist der Bundesrat bereit, das DSG anzupassen?</li><li>Was hält der Bundesrat von der Idee, eine Liste mit zertifizierten Cloud-Diensten zu publizieren, die im Gesundheitswesen tätig sind? Welche unabhängige Stelle könnte Audits durchführen und eine solche Liste veröffentlichen?</li></ol>
  • Datenschutzregeln in Spitälern vereinheitlichen/harmonisieren, um Innovation zu fördern
State
Stellungnahme zum Vorstoss liegt vor
Related Affairs
Drafts
  • Index
    0
    Texts
    • <span><p><span>1. Der Bundesrat kann den Wunsch nach Harmonisierung nachvollziehen. Es ist davon auszugehen, dass schweizweit vereinheitlichte Anforderungen für Datenschutz und Informationssicherheit Prozesse vereinfachen, Kosten senken und Innovationen beschleunigen würden. Dabei darf jedoch nicht ausser Acht gelassen werden, dass die heutigen Disparitäten weniger von der föderalistischer Kompetenzverteilung im Bereich des Datenschutzes kommen, sondern von den heterogenen Auslegungen und Umsetzungen der bestehenden gesetzlichen Vorgaben durch die jeweiligen föderalen Akteure. Im Bereich des Datenschutzes regelt der Bund den Datenschutz in der Bundesverwaltung, für Private und Firmen und die Kantone sind die kantonalen und kommunalen Verwaltungen zuständig, wozu auch die Spitäler mit einem kantonalen Leistungsauftrag (Listenspitäler) zählen.</span></p><p><span>&nbsp;</span></p><p><span>2. Innerhalb des Bundes könnte das Bundesamts für Cybersicherheit (BACS) Empfehlungen und Hilfsmittel zu technischen und organisatorischen Massnahmen im Bereich der Datensicherheit erarbeiten. Es kann diese aber nicht obligatorisch erklären, da diese Kompetenz beim Regulator liegt. Diese Rolle käme im Gesundheitssektor den Kantonen zu. </span></p><p><span>Im Sinne der Selbstsorge könnte die Branche entsprechende Vollzugshilfen auch selbst erstellen, zum Beispiel durch das Healthcare Cyber Security Center (H-CSC), das auf Initiative einzelner Schweizer Spitäler und mit Unterstützung des BACS gegründet wurde. Ziel des Vereins ist es, die Zusammenarbeit und den Austausch im Bereich der Cybersicherheit gezielt zu fördern, Fachwissen zu bündeln und Spitäler bei der Bewältigung von Cybervorfällen wirksam zu unterstützen.</span></p><p><span>&nbsp;</span></p><p><span>3. Clouds unterstehen bereits heute dem eidgenössischen oder einem kantonalen Datenschutzgesetz. Aufgrund der Zuständigkeit der Kantone gelten für Listenspitäler die kantonalen Datenschutzgesetze. </span></p><p><span>Neben der Frage, ob eine verfassungsrechtliche Grundlage besteht, welche im Detail abgeklärt werden müsste, käme eine Anpassung des DSG zur Regelung der Nutzung einer bestimmten Technologie (Cloud) einem Systembruch gleich, da das DSG bewusst Technologie-neutral formuliert ist.</span></p><p><span>&nbsp;</span></p><p><span>4.</span><strong><span> </span></strong><span>Es ist den Kantonen sowie den Leistungserbringern freigestellt aus Eigeninitiative entsprechende Listen zu führen.</span></p></span>
    • <p>Cloud-basierte IT-Services bieten im Gesundheitswesen enormes Potenzial für stabile, sichere und kostengünstige Lösungen. Skalierbare Software wird heutzutage fast ausschliesslich cloudbasiert entwickelt. Zudem können Technologien und Anwendungen aus anderen Branchen adaptiert werden, wodurch sich die Entwicklungskosten senken und die Skalierbarkeit erhöhen lässt. Cloud-Dienste sind ausserdem qualitätsrelevant, da die generelle Verfügbarkeit, Sicherheit, Latenz und Ausfallsicherheit meistens besser sind als bei selbst entwickelten Anwendungen, die in eigenen IT-Infrastrukturen gehostet werden.</p><p>Die aktuelle Rechtslage erschwert den Einsatz cloudbasierter Lösungen. Gesundheitsdaten sind durch das Bundesgesetz über den Datenschutz (DSG) und die kantonalen Datenschutzgesetze geschützt und müssen nach deren Grundsätzen bearbeitet werden. Dem öffentlichen Recht unterstellte Spitäler sowie Spitäler mit einem kantonalen Leistungsauftrag müssen nach den in ihrem jeweiligen Kanton geltenden datenschutzrechtlichen Vorgaben handeln. Die kantonalen und teilweise kommunalen Grundsätze und Vorgaben sind jedoch sehr unterschiedlich. Dadurch erfolgt die Umsetzung durch die Datenschutzbeauftragten uneinheitlich. Diese Situation ist besonders für schweizweit tätige Gesundheitsinstitutionen schwierig und behindert Innovationen.&nbsp;</p><p>Angesichts dieser Problematik stelle ich dem Bundesrat folgende Fragen:</p><ol><li>Teilt der Bundesrat die Einschätzung, dass bezüglich der Datenschutzumsetzung im Bereich von Clouds im Gesundheitswesen Harmonisierungsbedarf besteht, z.B. in Bezug auf einheitliche Anforderungen an die Informationssicherheit von Spitälern und Pflegeeinrichtungen oder die Datenhaltung in der Schweiz?</li><li>Ist der Bundesrat bereit, zusammen mit Datenschützern und ICT-Fachleuten einheitliche Vorgaben für die Umsetzung (Vollzugshilfe/Leitfaden) zu erarbeiten, um Innovationen zu fördern? Gibt es Gefässe beim Bund, die genutzt werden können?</li><li>Ist es verfassungsrechtlich möglich, alle Cloud-Dienste im Gesundheitswesen dem nationalen Bundesgesetz über den Datenschutz zu unterstellen? Falls ja, ist der Bundesrat bereit, das DSG anzupassen?</li><li>Was hält der Bundesrat von der Idee, eine Liste mit zertifizierten Cloud-Diensten zu publizieren, die im Gesundheitswesen tätig sind? Welche unabhängige Stelle könnte Audits durchführen und eine solche Liste veröffentlichen?</li></ol>
    • Datenschutzregeln in Spitälern vereinheitlichen/harmonisieren, um Innovation zu fördern

Back to List