Datenschutzgrundverordnung: Anforderungen an Herstellfirmen von Medizinprodukten von Prosystem GmbH
Seit
dem 25. Mai 2018 ist die europäische Datenschutzgrundverordnung (DSGVO)
wirksam. Die DSGVO löst die Richtlinie 95/46/EG ab und setzt hohe Anforderungen
an den Schutz natürlicher Personen bei der Verarbeitung personenbezogener
Daten.
Aber
nicht allein Facebook und WhatsApp stehen in der Pflicht, sondern jede
Organisation die personenbezogene Daten verarbeitet. Zur Verarbeitung personenbezogener
Daten gehört das Speichern, Nutzen, Ändern, Übermitteln und Löschen – sodass
der Anwendungsbereich nahezu alle Organisationen betrifft.
Insbesondere
die hohen Sanktionen mit bis zu 20 Millionen Euro oder bis zu 4% des gesamten
weltweit erzielten Umsatzes geben Anlass genug sich auf die neue Anforderung
einzustellen.
Herstellfirmen
für Medizinprodukte, die ein Qualitätsmanagementsystem nach ISO 13485
implementiert haben, stehen seither doppelt in der Verpflichtung. Die ISO
13485:2016 fordert explizit die Dokumentation, die durch anwendbare
regulatorische Anforderungen festgelegt ist. Die Anforderungen der DSGVO können
durch ergänzende Verfahrensanweisungen sowie in bereits bestehende Verfahrensanweisungen
des Qualitätsmanagementsystems implementiert werden. In Summe fordert die DSGVO
Unternehmen dazu auf, ihre Prozesse hinsichtlich Betroffenenrechte, Meldeprozessen
bei Datenpannen und der Verarbeitung personenbezogener Daten zu überarbeiten
und ihre Professionals ausreichend zu schulen.
Betroffene haben das Recht auf
Auskunft, Berichtigung, Löschung und das Recht diese Einwilligung immer zu
widerrufen. Die Auskunftspflicht umfasst unter anderem Informationen zur Dauer
der Speicherung, der Rechtsgrundlage der Verarbeitung, Verarbeitungstätigkeiten
und die Weitergabe der Informationen an Dritte bzw. Drittländer. Der Datenbestand
muss aktuell gehalten und unrichtige Daten gelöscht werden. Weiterhin fordert
die DSGVO die Sammlung aller Verarbeitungstätigkeiten in ein dafür vorgesehenes
Verzeichnis nach Artikel 30.
Das Verzeichnis umfasst unter anderem Angaben zur
Verarbeitung, Verantwortlichkeiten, Fristen zur Löschung und fordert eine erste
Risikoabschätzung (nach ISO 31000). Basierend auf dem Ergebnis der
Risikobewertung müssen technische und organisatorische Maßnahmen implementiert
werden. Die internationale Norm ISO 27001 spezifiziert zusätzliche Anforderungen
an die Umsetzung und Aufrechterhaltung geeigneter Sicherheitsmechanismen. Für
risikoreiche Verarbeitungen muss eine Datenschutz-Folgenabschätzung
durchgeführt werden. Das Verzeichnis gibt ferner auch eine Übersicht, welche
personenbezogenen Daten verarbeitet werden und somit auch, welche Prozesse
überarbeitet bzw. erstellt werden müssen.
Neben
dem Schutz der personenbezogenen Daten müssen Hersteller von Medizinprodukten
auch sicherstellen, dass ihre Produkte konform zur DSGVO entwickelt wurden: insbesondere
Daten von behandelnden Personen müssen ausreichend geschützt werden.
|