Der Kontext
Für eine Gesundheitseinrichtung betreffen die Regeln nicht nur die Art zu arbeiten: Sie betreffen den Titel, auf dem die Tätigkeit beruht. Betriebsgenehmigung, institutionelle Akkreditierung und Vertragsvereinbarungen stützen sich auf die Art. 8-ter, 8-quater und 8-quinquies des italienischen Gesetzesdekrets 502/1992. Die baulichen, technologischen und organisatorischen Mindestanforderungen haben eine nationale Grundlage (Präsidialdekret vom 14. Januar 1997), doch die Regionen ergänzen sie um zusätzliche Qualifikationsanforderungen und überprüfen deren Erfüllung regelmäßig: Sie unterscheiden sich von Region zu Region und sind in der jeweils geltenden Fassung zu lesen.
Die Patientensicherheit ist Teil des Rechts auf Gesundheit, seit das Gesetz 24/2017 (Gelli-Bianco) die Instrumente dafür festgelegt hat: die Funktion des klinischen Risikomanagements, die Meldeflüsse zu unerwünschten Ereignissen an das regionale Zentrum und an die nationale Beobachtungsstelle bei AGENAS, die Pflicht zum Versicherungsschutz oder zu gleichwertigen Vorkehrungen (Art. 10), mit auf dem Verordnungsweg festgelegten Mindestanforderungen. Art. 4 bestimmt die Fristen für die Herausgabe der Behandlungsunterlagen: sieben Tage ab dem Antrag, Ergänzungen innerhalb von dreißig Tagen.
Daten und Systeme sind das Kapitel, das am schnellsten wächst. Gesundheitsdaten sind besondere Kategorien von Daten im Sinne des Art. 9 DSGVO, mit je eigenen Rechtsgrundlagen für Behandlung, öffentliche Gesundheit und Forschung; die Benennung eines Datenschutzbeauftragten ist für öffentliche Stellen verpflichtend und darüber hinaus dann, wenn die umfangreiche Verarbeitung dieser Daten Kerntätigkeit ist (Art. 37 DSGVO): Das ist der Bereich des externen DPO. Das Gesetzesdekret 138/2024 zählt das Gesundheitswesen zu den Sektoren mit hoher Kritikalität, mit einer Einordnung, die von Größe und Tätigkeit abhängt und im Einzelfall zu prüfen ist (NIS2-Compliance). Der Ausfall der klinischen Systeme ist zugleich ein Problem der Behandlungskontinuität, der IT-Sicherheit und der Datenschutzverletzung bei Gesundheitsdaten: Er ist mit einem einzigen Verfahren zu bewältigen. Vernetzte Medizinprodukte (Verordnung (EU) 2017/745) fügen einen technischen Bereich hinzu, der von der Verwaltungs-IT getrennt ist.
Dazu kommen die Pflichten der Einrichtung als solcher: das 231-Modell zu Straftaten gegen die öffentliche Verwaltung, zum unrechtmäßigen Bezug öffentlicher Zuwendungen, zu fahrlässiger Tötung und schwerer Körperverletzung (Art. 25-septies) sowie zum Arbeitsschutz (Gesetzesdekret 81/2008). Für öffentliche Einrichtungen und, in den Grenzen des Art. 2-bis des Gesetzesdekrets 33/2013, für privatrechtliche Einrichtungen unter öffentlicher Kontrolle kommen Korruptionsprävention (Gesetz 190/2012) und Transparenz hinzu, die mit dem Modell abzustimmen sind, statt es zu verdoppeln.
Unsere Begleitung
Wir arbeiten in den klinischen und administrativen Prozessen. Ausgangspunkt ist die Bestandsaufnahme des Vorhandenen: Nachweise zu den Akkreditierungsanforderungen, Verfahren der ärztlichen Leitung, Incident Reports und offene Schadensfälle, Verzeichnis der Verarbeitungstätigkeiten, Zugriffsprofile für die klinischen Anwendungen. Daraus entsteht ein Plan mit Prioritäten, Verantwortlichkeiten und Fristen.
Der Einsatz ist auf die Einrichtung zugeschnitten: Eine Privatklinik mit OP-Bereich, eine Pflegeeinrichtung und ein Analyselabor haben unterschiedliche Risiken und Pflichten, und überdimensionierte Verfahren werden in der Abteilung nicht angewendet.
Gesprächspartner sind die Geschäftsführung und die ärztliche Leitung, das Risikomanagement, der DPO, die IT und der Einkauf: ein einziger Ansprechpartner, der funktionsübergreifend arbeitet, statt vier Berater, die nicht miteinander sprechen. Der Umfang wird gemeinsam festgelegt: ein einzelnes Thema (eine neu zu belegende Akkreditierungsanforderung, ein zu analysierendes unerwünschtes Ereignis, die Zugriffsprofile einer klinischen Anwendung), eine regelmäßige Überwachung der Pflichten und Kennzahlen oder die Begleitung in einer bestimmten Phase, etwa bei einer angekündigten Akkreditierungsprüfung oder beim Wechsel des Informationssystems. Verantwortlichkeiten und Fristen werden von Anfang an festgelegt.
Der Wert liegt darin, Themen zusammenzuhalten, die üblicherweise verschiedenen Stellen zugewiesen sind. Die elektronische Krankenakte ist Akkreditierungsanforderung, Archiv besonderer Kategorien von Daten, kritisches System für die Betriebskontinuität und Beweismittel im Streitfall: Sie von all diesen Seiten zu lesen ergibt ein einziges Verfahren, ein einziges Zugriffsprotokoll, einen einzigen Prüfplan. Die Entscheidungen bleiben bei der Leitung.
Warum ein einziger Partner
- Ein einziges System aus Verfahren: Akkreditierung, klinisches Risiko, Datenschutz, IT-Sicherheit und 231 verlangen Kontrollen, die sich überlappen; wir bauen sie nur einmal auf.
- Juristische und technische Kompetenz zusammen: Wir prüfen Verträge und Benennungen von Auftragsverarbeitern bei den Softwarehäusern und bewerten Logs, Netze und Konfigurationen der klinischen Systeme.
- Nachweise, die für die Kontrollen bereitliegen: Das Ziel ist nicht das Handbuch, sondern der Beleg, wer was wann und mit welcher Kontrolle getan hat.
- Kontinuität: Regionale Anforderungen und Sicherheitspflichten ändern sich; wir bleiben an der Seite der Einrichtung, um Verfahren zu aktualisieren und das Personal zu schulen.