Das Potenzial der Telemedizin in China ausschöpfen, Teil 2: Datenschutz und Sicherheit
Dieser Beitrag ist der zweite Teil von Foleys Blogserie „Das Potenzial der Telemedizin in China ausschöpfen“, die sich mit den wichtigsten Themen befasst, mit denen US-Unternehmen konfrontiert sind, die in den chinesischen Telemedizinmarkt eintreten möchten.
Auf einen Blick
• Die Einhaltung der US-Gesetze zum Datenschutz und zur Sicherheit von Krankenakten reicht für ein Unternehmen, das nach China expandiert, nicht aus; Krankenakten müssen auch den chinesischen Anforderungen entsprechen.
• Die Standards für die Speicherung von elektronischen Patientenakten in der Cloud unterscheiden sich in China. US-amerikanische Krankenhäuser und Anbieter sollten Alternativen zur Speicherung in der Cloud auf Servern außerhalb Chinas in Betracht ziehen, wenn sie chinesische Patienten- und andere Gesundheitsdaten verarbeiten.
• Die endgültige Zuständigkeit für die Auslegung regionaler und sektorspezifischer Vorschriften liegt beim chinesischen Rechtssystem, das sich erheblich vom US-amerikanischen Rechtssystem unterscheidet.
Der chinesische Markt bietet US-amerikanischen Krankenhäusern und Gesundheitsdienstleistern enorme Chancen, sofern die Feinheiten des Datenschutzes und der Datensicherheit gründlich verstanden werden. Dazu gehören auch die chinesischen Vorschriften in Bezug auf Krankenakten, die Speicherung elektronischer Gesundheitsakten (EHR) und die praktische Durchsetzung.
Die Tatsache, dass die Software/Technologie eines US-Unternehmens zum Schutz und zur Sicherheit von Krankenakten den HIPAA- oder HITECH-Vorschriften entspricht, ist wichtig, reicht jedoch nur in den Vereinigten Staaten aus. Von in den USA ansässigen Unternehmen, die Gesundheitsdienstleistungen in China anbieten, wird erwartet, dass sie verschiedene Standards und Anforderungen erfüllen, die für bestimmte Industriezweige gelten, darunter chinesische Gesetze und Vorschriften zum Datenschutz sowie zu Gesundheitsinformationen und Krankenakten.
Beispielsweise darf gemäß den am 5. Mai 2014 von der chinesischen Nationalen Gesundheits- und Familienplanungskommission herausgegebenen Verwaltungsmaßnahmen für Bevölkerungsgesundheitsdaten (zur versuchsweisen Umsetzung) eine Einrichtung, die „für die Erfassung, Nutzung, Verwaltung, Sicherheit und den Schutz der Privatsphäre von Bevölkerungsgesundheitsdaten zuständig ist“, „keine Bevölkerungsgesundheitsdaten auf ausländischen Servern speichern [oder] ausländische Server hosten oder mieten“. Eine solche Einrichtung ist außerdem verpflichtet, „ein Nachverfolgungsmanagementsystem einzurichten, in dessen Rahmen jeder Nutzer, der Bevölkerungsgesundheitsdaten erstellt, ändert oder darauf zugreift, einer strengen Identitätsprüfung unter Verwendung des echten Namens und einer Autorisierungskontrolle unterzogen wird“.
Diese Bestimmungen gelten potenziell für eine Vielzahl von Aktivitäten von Gesundheitsdienstleistern in China, einschließlich Aktivitäten in Unternehmenskliniken. Vor diesem Hintergrund sollten US-amerikanische Krankenhäuser und Gesundheitsdienstleister, die in China tätig sind, keine Gesundheitsdaten chinesischer Patienten in der Cloud speichern, es sei denn, diese Cloud-Server befinden sich physisch in China. Angesichts der Bedenken hinsichtlich der Informationssicherheit sollten US-amerikanische Gesundheitsdienstleister vor der Übertragung und dem Herunterladen von Patientendaten aus China verschiedene Optionen prüfen und abwägen. Ein Ansatz besteht darin, ein Online-Portal für eine chinesische Einrichtung einzurichten, über das US-amerikanische Anbieter auf Patientenbilder und -dateien zugreifen können, ohne gegen chinesische Vorschriften zu verstoßen.
US-Krankenhäuser und andere Gesundheitsdienstleister, die in China tätig sind, sollten sich auch der Existenz von „technischen Leitfäden“ bewusst sein, die von verschiedenen chinesischen Regierungsbehörden herausgegeben werden und einen regulatorischen Trend unterstreichen, der die Nutzung und Speicherung einer größeren Bandbreite von „personenbezogenen Daten“ auf ausländischen Servern zunehmend einschränkt. Beispielsweise sieht GB/Z 28828-2012, veröffentlicht am 5. November 2012 von der Standardisierungsverwaltung der Volksrepublik China, sieht vor, dass „ohne die ausdrückliche Zustimmung der betroffenen Person, die ausdrückliche Anforderung eines Gesetzes oder einer Verordnung oder die Zustimmung der zuständigen Behörde ein Verwalter personenbezogener Daten keine personenbezogenen Daten an einen Empfänger personenbezogener Daten im Ausland übermitteln darf, einschließlich einer im Ausland ansässigen Person oder einer im Ausland registrierten Organisation oder Einrichtung”.
Obwohl solche „technischen Standards“ keine ausdrückliche Rechtswirkung haben, besteht immer das Risiko, dass sie von lokalen Behörden als verbindlich ausgelegt werden oder dass ihnen eine verbindliche Wirkung zukommt, wenn sie in neu entwickelten chinesischen Gesetzen und Vorschriften im dynamischen Bereich des Personen- und Datenschutzes erwähnt werden. Unabhängig davon ist klar, dass der Trend in China zur „Lokalisierung“ der Speicherung und Nutzung von Gesundheits- und anderen personenbezogenen Daten sowie zu einer stärkeren Einwilligung nach Aufklärung für eine solche Nutzung geht.
Möchten Sie mehr über Telemedizin in China erfahren? Foley bietet Ihnen zwei Möglichkeiten, sich über die neuesten Entwicklungen zu informieren:
Englische Übersetzungen der Stellungnahmen der chinesischen NHFPC (veröffentlicht im August 2014)
Mitglieder der Telemedizin- und China-Praxis von Foley haben die englische Übersetzung von zwei Stellungnahmen fertiggestellt, die im August 2014 von der Nationalen Gesundheits- und Familienplanungskommission der Volksrepublik China zu folgenden Themen veröffentlicht wurden:
• Förderung der Telemedizin-Dienste medizinischer Einrichtungen
