Elektronische Signatur im Gesundheitswesen: RGPD & HDS

Einleitung: Die digitale Transformation von Gesundheitseinrichtungen

Der medizinische Sektor ist eines der anspruchsvollsten Umfelder, wenn es um Datensicherheit und Konformität geht. Im Jahr 2026 beginnen immer mehr französische Gesundheitseinrichtungen mit der Digitalisierung ihrer Dokumente. Dennoch bleibt die elektronische Signatur im medizinischen Sektor unterausgeschöpft, gebremst durch berechtigte Fragen zur Konformität mit der DSGVO, zur Hosting-Vorgabe für Gesundheitsdaten (HDS) und zu den Anforderungen der eIDAS-Verordnung. Dieser Artikel liefert Ihnen einen umfassenden Rahmen, um die Herausforderungen zu verstehen, das passende Signaturniveau auszuwählen und eine souveräne, auf die Besonderheiten des Gesundheitswesens zugeschnittene Lösung einzuführen.

---

1. Warum die elektronische Signatur im Gesundheitswesen unverzichtbar geworden ist

1.1 Massive und zwangsweise Dokumentenvolumina

Ein französisches Universitätskrankenhaus produziert durchschnittlich 4 bis 6 Millionen Dokumente pro Jahr: Rezepte, Einwilligungserklärungen, Arbeitsverträge, Abkommen zwischen Einrichtungen, Aufnahmeformulare, Fachberichte. Die handschriftliche Signatur erzeugt durchschnittliche Verzögerungen von 5 bis 12 Arbeitstagen für Dokumente, die mehrere aufeinander folgende Genehmigungen erfordern.

Die medizinische elektronische Signatur ermöglicht es, diese Verzögerungen auf wenige Stunden zu reduzieren und gleichzeitig eine rechtliche Nachverfolgung zu bieten, die dem Papier überlegen ist. Für territoriale Krankenhausverbünde (GHT) machen Multi-Site-Signaturflüsse die Digitalisierung nicht mehr optional, sondern strategisch erforderlich.

1.2 Die unmittelbar betroffenen Dokumente

Die prioritären Anwendungsfälle im Gesundheitswesen umfassen:

• Einwilligung des Patienten nach Aufklärung: vor jedem invasiven Verfahren obligatorisch (Artikel L.1111-4 des Sozialgesetzbuches), mit Datum, Namenangabe und Archivierung erforderlich.

• Verträge und Nachträge für Gesundheitsfachkräfte: Ärzte im freien Beruf, Krankenpfleger, Leiharbeiter; Signaturverzögerungen beeinflussen direkt die Schichtpläne.

• Partnerschaftsabkommen und klinische Forschungsprotokolle: Unterliegen mehrstufigen Validierungsanforderungen (Auftraggeber, Prüfer, CNIL, CPP).

• Elektronische Rezepte und Verordnungen: Geregelt durch das Programm Mon Espace Santé und die Referenzbuch der ANS.

• Öffentliche Krankenhausaufträge: Unterliegen dem Kodex des öffentlichen Beschaffungswesens und den Anforderungen an qualifizierte Signaturen.

---

2. RGPD und Gesundheitsdaten: Spezifische Verpflichtungen zur Beherrschung

2.1 Gesundheitsdaten, besondere Kategorie nach RGPD

Die Datenschutz-Grundverordnung (RGPD, Nr. 2016/679) klassifiziert Gesundheitsdaten in der Kategorie sensibler Daten (Artikel 9). Ihre Verarbeitung ist grundsätzlich verboten, außer in expliziten Ausnahmefällen: ausdrückliche Zustimmung der betroffenen Person, Notwendigkeit für medizinische Versorgung oder öffentliches Interesse im Gesundheitsbereich.

Im Kontext der elektronischen Signatur behandelt jede Lösung, die Daten erfasst, überträgt oder speichert, mit denen ein Patient oder eine Gesundheitsfachkraft in einem medizinischen Kontext identifiziert werden kann, Gesundheitsdaten im weiteren Sinne. Dies impliziert:

• Die Ernennung eines Datenschutzbeauftragten (DPO) für Gesundheitseinrichtungen obligatorisch (Artikel 37 RGPD).

• Die Durchführung einer Datenschutz-Folgenabschätzung (DPIA), sobald die Verarbeitung ein hohes Risiko mit sich bringt.

• Einhaltung des Prinzips der Datenminimierung: Erfassung nur der für die Signatur unbedingt notwendigen Informationen.

• Implementierung geeigneter technischer und organisatorischer Maßnahmen: Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, Zugriffskontrolle.

2.2 Datenspeicherung: Ein Frage der Souveränität

Artikel 44 der RGPD regelt streng die Datenübertragung außerhalb der Europäischen Union. Für Gesundheitseinrichtungen, eine elektronische Signatursolution in den USA oder in einem Drittland ohne Angemessenheitsbeschluss zu wählen, ist ein großes Risiko: CNIL-Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro erreichen.

Die CNIL empfiehlt ausdrücklich die Nutzung von Anbietern, die ihre Infrastruktur in der Europäischen Union hosten, idealerweise in Frankreich für die empfindlichsten Gesundheitsdaten.

2.3 Hosting von Gesundheitsdaten (HDS): Zwingend erforderliche Zertifizierung

Seit dem Gesetz vom 26. Januar 2016 zur Modernisierung des Gesundheitssystems (kodifiziert in Artikel L.1111-8 des Sozialgesetzbuches) muss das Hosting von personenbezogenen Gesundheitsdaten einem von der ANS (Agence du Numérique en Santé) zertifizierten HDS-Anbieter (Hébergeur de Données de Santé) anvertraut werden.

Diese Zertifizierung, basierend auf der ISO 27001-Norm, erweitert um HDS-Spezifiken, deckt sechs Aktivitäten ab, einschließlich Infrastrukturbereitstellung, IT-Management und System-Hosting. Eine elektronische Signatursolution, die in einem medizinischen Kontext verwendet wird, muss daher auf einer HDS-zertifizierten Infrastruktur gehostet oder mit einem zertifizierten Subunternehmer arbeiten.

Certyneo hostet alle seine Daten auf französischen Cloud-Infrastrukturen, die HDS- und ISO 27001-zertifiziert sind und den Anforderungen der ANS entsprechen. Besuchen Sie unsere dedizierte Seite zur elektronischen Signatur im Gesundheitswesen, um unsere technische Architektur kennenzulernen.

---

3. eIDAS, Signaturlevel und strategische Wahl für das Gesundheitswesen

3.1 Die drei Signaturlevel nach eIDAS

Die europäische Verordnung eIDAS (Nr. 910/2014) und ihre Weiterentwicklung eIDAS 2.0 (Verordnung EU 2024/1183) definieren drei Ebenen der elektronischen Signatur, deren Wahl die Beweiskraft und die technischen Anforderungen bestimmt:

Für die meisten alltäglichen Arztakte (Einwilligungserklärungen, Arbeitsverträge, elektronische Rezepte) bietet die erweiterte elektronische Signatur (SEA) das beste Gleichgewicht zwischen Sicherheitslevel und Bedienungsfreundlichkeit. Krankenhausaufträge und bestimmte klinische Forschungsprotokolle erfordern die qualifizierte Signatur (SEQ).

Weitere Informationen zu den regulatorischen Ebenen finden Sie in unserem umfassenden eIDAS-Leitfaden.

3.2 Digitale Identität von Gesundheitsfachkräften: CPS und Pro Santé Connect

In Frankreich verfügen Gesundheitsfachkräfte über die Carte de Professionnel de Santé (CPS), ausgestellt von der ANS, die ein anerkanntes elektronisches Identifizierungsmittel darstellt. Die Lösung Pro Santé Connect, das Pendant zu FranceConnect im Gesundheitssektor, ermöglicht starke Authentifizierung von Fachkräften.

Eine Lösung zur elektronischen Signatur, die für den Gesundheitssektor bestimmt ist, sollte idealerweise mit diesen branchenspezifischen Identitätssystemen kompatibel sein, um den für bestimmte Dokumentenflüsse erforderlichen Level von erweiterte bis qualifizierten Signatur zu erreichen.

3.3 ETSI-Conformité und qualifizierte Vertrauensdiensteanbieter

Qualifizierte Vertrauensdiensteanbieter (QTSP) auf der europäischen Vertrauensliste (TSL) garantieren, dass ihre Dienste die Standards ETSI EN 319 132 (XAdES), EN 319 122 (CAdES) und EN 319 162 (ASiC) erfüllen. In Frankreich veröffentlicht und verwaltet das ANSSI diese nationale Vertrauensliste.

Für Gesundheitseinrichtungen ist die Nutzung eines SaaS-Editors, der selbst auf einen von ANSSI referenzierten QTSP zurückgreift, eine wesentliche Garantie für die rechtliche Gültigkeit der unterzeichneten Dokumente.

---

4. Bereitstellung der elektronischen Signatur in einer Gesundheitseinrichtung: Praktischer Leitfaden

4.1 Dokumentenflüsse kartografieren und Prioritäten identifizieren

Vor jeder Bereitstellung ist eine Kartografierung der Dokumentenflüsse unerlässlich. Sie sollte für jeden Dokumenttyp identifizieren: die Anzahl der Unterzeichner, der erforderliche Signaturlevel, die Sensibilität der beteiligten Daten und die Zwangsverzögerungen.

Ein GHT mittlerer Größe wird zuerst Patienteneinwilligungen behandeln (hohes Volumen, unmittelbare Gewinne), dann HR-Verträge (Einfluss auf Attraktivität) und schließlich Vereinbarungen zwischen Einrichtungen (Multi-Unterzeichner-Komplexität).

4.2 Integration in das Krankenhausinformationssystem (SIH)

Die medizinische elektronische Signatur ist nur wirksam, wenn sie nativ in bestehende Werkzeuge integriert ist: Patientendatensystem (DPI), HR-Planungssoftware, Dokumentenmanagementsysteme (GED). Moderne Lösungen bieten REST-APIs und native Konnektoren für die Hauptkrankenhausinformationssysteme auf dem Markt (Mediboard, Hopital Manager, usw.).

Certyneo bietet eine dokumentierte API, die die Integration in weniger als 48 Stunden in der Mehrheit der Krankenhausumgebungen ermöglicht. Sie können die Rentabilität dieser Bereitstellung mit unserem dedizierten ROI-Rechner schätzen.

4.3 Teams schulen und Wandel begleiten

Der menschliche Faktor ist häufig das größte Hindernis für die Digitalisierung im Gesundheitswesen. Gesundheitsfachkräfte haben extreme Zeitbeschränkungen und eine geringe Toleranz für technologische Reibung. Eine Signatursolution muss daher sein:

• Auf Mobilgeräten zugänglich (Signatur unterwegs, zwischen Sprechstunden)

• In weniger als 3 Klicks intuitiv für den Unterzeichner

• Kompatibel mit bestehenden Genehmigungsabläufen (Abteilungsleiter-Validierung, Direktion)

Ein kurzes Schulungsprogramm (maximal 2 Stunden) verbunden mit Video-Tutorials, die in das Tool integriert sind, ermöglicht es, eine Akzeptanzquote von über 85 % in den ersten 30 Tagen zu erreichen.

---

5. Certyneo: Die elektronische Signatursolution für das Gesundheitswesen

5.1 Souveräne Architektur und Zertifizierungen

Certyneo wurde von Anfang an entwickelt, um die Anforderungen stark regulierter Sektoren zu erfüllen. Unsere Infrastruktur basiert auf französischen Rechenzentren, die HDS, ISO 27001 und SOC 2 Type II-zertifiziert sind. Alle Daten werden im Transit (TLS 1.3) und im Ruhezustand (AES-256) verschlüsselt, mit einer Politik von kundendedizierten Verschlüsselungsschlüsseln.

Unser Service stützt sich auf qualifizierte Vertrauensdiensteanbieter, die vom ANSSI referenziert sind, um die maximale rechtliche Gültigkeit der erzeugten Signaturen zu gewährleisten. Qualifizierte Zeitstempel und Signaturzertifikate erfüllen die geltenden ETSI-Standards.

5.2 Spezifische Funktionen für den Gesundheitssektor

• Multi-Party-Signaturabläufe: Verwaltung von Workflows mit unterschiedlichen Rollen (Patient, Arzt, Direktion, Jurist)

• Vorlagen für medizinische Dokumente gemäß HAS-Empfehlungen (Einwilligungen, Protokolle)

• Vollständiger Audit-Trail mindestens 10 Jahre lang aufbewahrt (gesetzliche Aufbewahrungsfrist für Patientenakten)

• Pro Santé Connect-Kompatibilität für starke Authentifizierung von Fachkräften

• DPO verfügbar, um Ihre DPIA zu unterstützen

5.3 Migration von nicht HDS-konformen Lösungen

Viele Gesundheitseinrichtungen nutzen noch Lösungen für elektronische Signaturen, die für alle (DocuSign, Adobe Sign) sind, deren Hosting nicht HDS-zertifiziert ist. Diese Situation setzt sie einem wachsenden Risiko der Nicht-Conformité aus, insbesondere nach verstärkten CNIL-Kontrollen seit 2024.

Unser spezielles Migrationsprogramm übernimmt kostenlos Ihre signierten Verträge und deren Audit-Pfade; vor der Klärung Ihres konkreten Falls wird keine Frist zugesagt. Entdecken Sie unser Migrationsangebot zu Certyneo.

---

Fazit: HDS-RGPD-Conformité, eine Investition, kein Hindernis

Die elektronische Signatur im Gesundheitswesen ist nicht mehr optional. Angesichts wachsender behördlicher Anforderungen (RGPD, HDS, eIDAS 2.0, Programm Mon Espace Santé), Druck auf administrative Zeiten und Cybersicherheitsherausforderungen (der Gesundheitssektor ist 2025 gemäß ANSSI der meistzielte Sektor für Cyberangriffe in Frankreich) sind Einrichtungen, die noch keine souveräne und zertifizierte Lösung eingeführt haben, großen rechtlichen und betrieblichen Risiken ausgesetzt.

Certyneo bietet die umfassendste Lösung auf dem französischen Markt, um gleichzeitig die Anforderungen von HDS-RGPD-eIDAS-Conformité und die betrieblichen Anforderungen medizinischer und administrativer Teams zu erfüllen.

Bereit, Ihre medizinischen Dokumentenflüsse zu sichern? Entdecken Sie die Certyneo-Lösung für das Gesundheitswesen oder konsultieren Sie unsere Preise für Gesundheitseinrichtungen, um Ihre kostenlose Bewertung zu starten.

Anwendbarer rechtlicher Rahmen für die medizinische elektronische Signatur

Zivilgesetzbuch und Beweiskraft

Artikel 1366 des französischen Zivilgesetzbuches legt den Grundsatz der Gleichwertigkeit zwischen elektronischer Signatur und handschriftlicher Signatur fest: „Die elektronische Schrift hat die gleiche Beweiskraft wie die Schrift auf Papierpapier, vorbehaltlich der eindeutigen Identifizierung der Person, von der sie stammt, und dass sie unter Bedingungen etabliert und erhalten wird, die die Integrität garantieren." Artikel 1367 stellt fest, dass „die Zuverlässigkeit dieses Verfahrens, bis zum Beweis des Gegenteils, als presumiert gilt, wenn die elektronische Signatur erstellt, die Identität des Unterzeichners sichergestellt und die Integrität des Urkundlichen garantiert ist, unter Bedingungen, die durch Dekret im Rat des Staates festgelegt sind." Dieses Dekret (Nr. 2017-1416 vom 28. September 2017) verweist ausdrücklich auf die Anforderungen der eIDAS-Verordnung für qualifizierte Signaturen.

eIDAS-Verordnung und eIDAS 2.0

Die Verordnung EU Nr. 910/2014 (eIDAS), ergänzt durch die Verordnung EU 2024/1183 (eIDAS 2.0), die seit März 2024 schrittweise in Kraft tritt, legt den europäischen Rechtsrahmen für Vertrauensdienste fest. Sie unterscheidet drei Signaturebenen (einfach, erweitert, qualifiziert), deren technische Anforderungen durch die ETSI-Standards EN 319 132 (XAdES), EN 319 122 (CAdES) und EN 319 401 (allgemeine PSC-Anforderungen) präzisiert werden. Qualifizierte Signaturen haben den gleichen Rechtswert wie eine handschriftliche Signatur in allen Mitgliedstaaten.

RGPD und Gesundheitsdaten

Die Verordnung EU Nr. 2016/679 (RGPD), Artikel 9, 35, 37 und 44, legt spezifische Verpflichtungen für die Verarbeitung von Gesundheitsdaten auf: ausdrückliche Zustimmung oder alternative Rechtsgrundlage, Durchführung einer obligatorischen DPIA für Hochrisikobearbeitungen, Ernennung eines DPO und Verbot der Übertragung in Drittländer ohne angemessene Garantien. Verletzungen können die Einrichtung Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes aussetzen.

Hosting von Gesundheitsdaten (HDS)

Artikel L.1111-8 des französischen Sozialgesetzbuches, aus dem Gesetz Nr. 2016-41 vom 26. Januar 2016, schreibt die HDS-Zertifizierung für jeden Hosting-Anbieter von personenbezogenen Gesundheitsdaten vor. Das HDS-Zertifizierungsreferenzbuch, veröffentlicht von der ANS und basierend auf ISO 27001:2022, deckt sechs Hosting-Aktivitäten ab. Jeder Herausgeber von Lösungen zur elektronischen Signatur, die in einem medizinischen Kontext verwendet werden, muss entweder selbst die HDS-Zertifizierung haben oder das Hosting an einen zertifizierten Anbieter mit einem DPA-Vertrag (Data Processing Agreement) gemäß Artikel 28 der RGPD auslagern.

NIS2 und Cybersicherheit von Gesundheitseinrichtungen

Die Richtlinie NIS2 (EU 2022/2555), durch das französische Gesetz Nr. 2024-449 umgesetzt, stuft Krankenhäuser und Gesundheitseinrichtungen als wesentliche Einrichtungen (EE) ein und unterwirft sie den strengsten Anforderungen in Bezug auf Cyber-Risikomanagement, Incident Notification (72 Stunden) und regelmäßige Audits. Die elektronische Signatursolution ist Teil des zu überprüfenden Sicherheitsumfangs.

Illustrative Anwendungsfälle: die medizinische elektronische Signatur

Anwendungsfall 1: ein Universitätsklinikum – Digitalisierung der Einwilligungserklärungen

Diese Szenarien sind illustrativ: Sie beschreiben typische Situationen und geben keine gemessenen Ergebnisse eines Kunden wieder. Ein großes Universitätsklinikum, das mit verlorenen oder unvollständigen Einwilligungsformularen konfrontiert ist, kann auf Certyneo zurückgreifen, um seine Einwilligungserklärungen in Chirurgie und Onkologie zu digitalisieren. Der Patient erhält vor seiner Aufnahme einen Link per SMS oder E-Mail, unterschreibt vom Smartphone aus, und das zertifizierte Dokument wird automatisch in seine Patientenakte im KIS übernommen.

Erwartete Vorteile: weniger unvollständige Einwilligungen, kürzere Erfassungszeit, weniger Papierverbrauch sowie eine durch den qualifizierten Zeitstempel und einen aufbewahrten Audit-Trail erleichterte DSGVO-Konformität. Das Ausmaß des Nutzens ist auf den tatsächlichen Umfang der Einrichtung zu messen, vor und nach einem Pilotprojekt.

Anwendungsfall 2: eine Gruppe privater Kliniken – Verträge der niedergelassenen Ärzte

Eine Gruppe von 14 privaten Kliniken in der Region PACA verwaltet ihre Kooperationsverträge und Zusatzvereinbarungen mit ihren 340 niedergelassenen Ärzten über Papier- und PDF-Austausch per E-Mail, ohne zertifizierten Beweiswert. Die Dauer bis zur Unterzeichnung einer Zusatzvereinbarung verlängert sich, was die OP-Planungen beeinträchtigt.

Mit Certyneo, das per API in ihre HR-Software integriert ist, können die Zusatzvereinbarungen mit fortgeschrittener elektronischer Signatur in deutlich kürzerer Zeit unterzeichnet werden. Die dadurch freigewordene Verwaltungszeit kann für Aufgaben mit höherem Mehrwert eingesetzt werden. Die Gruppe begrenzt zudem die Risiken im Zusammenhang mit Datenübertragungen außerhalb der EU, etwa wenn ein Dienstleister in Irland hostet mit einer Unterauftragsvergabe in die USA. Das Ausmaß des Nutzens ist auf den tatsächlichen Umfang der Gruppe zu messen, vor und nach einem Pilotprojekt.

Anwendungsfall 3: ein Forschungsinstitut – Klinische Forschungsprotokolle

Das Institut BIOPHARMA NORD verwaltet jährlich 23 klinische Forschungsprotokolle, die die Unterzeichnung von mindestens 6 Parteien erfordern (Auftraggeber, Prüfer, Co-Prüfer, CPP, ANSM, Einrichtung). Jede Signatur musste die qualifizierte Ebene (SEQ) erreichen, um die ICH E6-Anforderungen und die Empfehlungen des ANSM zu erfüllen.

Certyneo kann mit einer Integration qualifizierter Zertifikate über einen von der ANSSI gelisteten QTSP eingesetzt werden, was sequenzielle oder parallele Signaturworkflows je nach Dokumenttyp ermöglicht. Die Zeit bis zum Erhalt aller Unterschriften eines Protokolls soll sich verkürzen, was den Start der Studien beschleunigt. Die verstärkte Nachvollziehbarkeit erleichtert zudem die Audits der zuständigen Behörden. Das Ausmaß des Nutzens ist auf den tatsächlichen Umfang des Instituts zu messen, vor und nach einem Pilotprojekt.

Cadre juridique applicable à la signature électronique médicale

Code civil et valeur probante

L'article 1366 du Code civil pose le principe d'équivalence entre la signature électronique et la signature manuscrite : « L'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. » L'article 1367 précise que « la fiabilité de ce procédé est présumée, jusqu'à preuve contraire, lorsque la signature électronique est créée, l'identité du signataire assurée et l'intégrité de l'acte garanti, dans des conditions fixées par décret en Conseil d'État. » Ce décret (n°2017-1416 du 28 septembre 2017) renvoie explicitement aux exigences du règlement eIDAS pour les signatures qualifiées.

Règlement eIDAS et eIDAS 2.0

Le Règlement UE n°910/2014 (eIDAS), complété par le Règlement UE 2024/1183 (eIDAS 2.0) entré en application progressive depuis mars 2024, établit le cadre juridique européen des services de confiance. Il distingue trois niveaux de signature (simple, avancée, qualifiée) dont les exigences techniques sont précisées par les normes ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) et ETSI EN 319 401 (exigences générales des PSC). Les signatures qualifiées ont valeur équivalente à une signature manuscrite dans tous les États membres.

RGPD et données de santé

Le Règlement UE n°2016/679 (RGPD), articles 9, 35, 37 et 44, impose des obligations spécifiques pour le traitement des données de santé : consentement explicite ou base légale alternative, réalisation d'une DPIA obligatoire pour les traitements à risque élevé, désignation d'un DPO, et interdiction de transfert vers des pays tiers sans garanties adéquates. Les violations peuvent exposer l'établissement à des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

Hébergement des Données de Santé (HDS)

L'article L.1111-8 du Code de la santé publique, issu de la loi n°2016-41 du 26 janvier 2016, impose la certification HDS pour tout hébergeur de données de santé à caractère personnel. Le référentiel de certification HDS, publié par l'ANS et basé sur ISO 27001:2022, couvre six activités d'hébergement. Tout éditeur de solution de signature électronique utilisée dans un contexte médical doit soit disposer lui-même de la certification HDS, soit sous-traiter l'hébergement à un prestataire certifié avec un contrat DPA (Data Processing Agreement) conforme à l'article 28 du RGPD.

NIS2 et cybersécurité des établissements de santé

La Directive NIS2 (UE 2022/2555), transposée en droit français par la loi n°2024-449, classe les hôpitaux et établissements de santé comme entités essentielles (EE), les soumettant aux obligations les plus contraignantes en matière de gestion des risques cyber, notification des incidents (72 heures) et audit régulier. La solution de signature électronique fait partie intégrante du périmètre de sécurité à auditer.

Häufig gestellte Fragen

Ist eine elektronische Signatur ausreichend, um die informierte Zustimmung eines Patienten zu validieren?

Die informierte Zustimmung erfordert, dass der Wille des Patienten frei, informiert und nachverfolgbar ist. Eine einfache elektronische Signatur kann für alltägliche Verfahren mit niedrigem Rechtsstreitrisiko ausreichen, vorausgesetzt, die Lösung bewahrt einen zeitgestempelten und namentlich gekennzeichneten Nachweis. Bei chirurgischen Eingriffen oder klinischen Forschungsprotokollen wird eine fortgeschrittene oder qualifizierte Signatur empfohlen, um die Integrität des Dokuments und die Identität des Unterzeichners vor Gericht zu gewährleisten.

Können alle Cloud-Hosting-Anbieter Daten im Zusammenhang mit medizinischen Signaturen speichern?

Nein. Sobald Daten, die einen Patienten im Versorgungskontext identifizieren, übertragen oder gespeichert werden, muss der Hosting-Anbieter von der Agence du Numérique en Santé (ANS) HDS-zertifiziert sein. Diese Zertifizierung unterscheidet sich von der ISO 27001 und gilt auch dann, wenn die Daten nur teilweise medizinischer Natur sind. Ein Unternehmen, das seine signierten Dokumente einem nicht HDS-zertifizierten Hosting-Anbieter anvertraut, trägt strafrechtliche Verantwortung und setzt sich Sanktionen der CNIL aus.

Was ist der Unterschied zwischen einer DPIA und einer klassischen Risikobewertung für eine Signaturlösung im Gesundheitswesen?

Eine klassische Risikobewertung befasst sich mit der Sicherheit des Informationssystems. Die DPIA (Datenschutz-Folgenabschätzung), wie in Artikel 35 der DSGVO gefordert, bewertet spezifisch die Risiken für die Rechte und Freiheiten der betroffenen Personen. Sie ist im medizinischen Sektor obligatorisch, da die Verarbeitung von Gesundheitsdaten auf der von der CNIL veröffentlichten Liste der Verarbeitungen mit hohem Risiko steht. Das Ergebnis kann zu einer Änderung der technischen Architektur der gewählten Lösung führen.

Unterliegt ein freiberuflicher Gesundheitsfachmann den gleichen HDS-Verpflichtungen wie ein Krankenhaus?

Ja, sobald er Gesundheitsdaten mit Personenbezug im Auftrag Dritter speichert, gilt die Verpflichtung zur Nutzung eines HDS-zertifizierten Hosting-Anbieters unabhängig von der Größe des Unternehmens. Ein Arzt oder eine Gemeinschaftspraxis, der/die eine elektronische Signaturlösung für Rezepte oder Befundberichte nutzt, muss überprüfen, dass der gewählte Anbieter über eine gültige HDS-Zertifizierung verfügt, die im öffentlichen Register der ANS einsehbar ist.

Gilt die eIDAS-Verordnung für Signaturen zwischen einer französischen Gesundheitseinrichtung und einem ausländischen Partner außerhalb der EU?

eIDAS regelt die gegenseitige Anerkennung elektronischer Signaturen innerhalb der Europäischen Union. Bei einem Partner außerhalb der EU hängt der Rechtswert der Signatur vom Landesrecht dieses Landes ab. In diesem Fall wird empfohlen, eine eIDAS-qualifizierte Signatur, die robusteste Stufe, zu verwenden und eine Vertragsklausel vorzusehen, die das anwendbare Recht festlegt. Bei internationalen klinischen Studien stellen die ICH-E6-(GCP-)Anforderungen zusätzliche Anforderungen an Audit Trail und Archivierung.

Illustrative Anwendungsfälle: die medizinische elektronische Signatur

Anwendungsfall 1: ein Universitätsklinikum – Digitalisierung der Einwilligungserklärungen

Diese Szenarien sind illustrativ: Sie beschreiben typische Situationen und geben keine gemessenen Ergebnisse eines Kunden wieder. Ein großes Universitätsklinikum, das mit verlorenen oder unvollständigen Einwilligungsformularen konfrontiert ist, kann auf Certyneo zurückgreifen, um seine Einwilligungserklärungen in Chirurgie und Onkologie zu digitalisieren. Der Patient erhält vor seiner Aufnahme einen Link per SMS oder E-Mail, unterschreibt vom Smartphone aus, und das zertifizierte Dokument wird automatisch in seine Patientenakte im KIS übernommen.

Erwartete Vorteile: weniger unvollständige Einwilligungen, kürzere Erfassungszeit, weniger Papierverbrauch sowie eine durch den qualifizierten Zeitstempel und einen aufbewahrten Audit-Trail erleichterte DSGVO-Konformität. Das Ausmaß des Nutzens ist auf den tatsächlichen Umfang der Einrichtung zu messen, vor und nach einem Pilotprojekt.

Anwendungsfall 2: eine Gruppe privater Kliniken – Verträge der niedergelassenen Ärzte

Eine Gruppe von 14 privaten Kliniken in der Region PACA verwaltet ihre Kooperationsverträge und Zusatzvereinbarungen mit ihren 340 niedergelassenen Ärzten über Papier- und PDF-Austausch per E-Mail, ohne zertifizierten Beweiswert. Die Dauer bis zur Unterzeichnung einer Zusatzvereinbarung verlängert sich, was die OP-Planungen beeinträchtigt.

Mit Certyneo, das per API in ihre HR-Software integriert ist, können die Zusatzvereinbarungen mit fortgeschrittener elektronischer Signatur in deutlich kürzerer Zeit unterzeichnet werden. Die dadurch freigewordene Verwaltungszeit kann für Aufgaben mit höherem Mehrwert eingesetzt werden. Die Gruppe begrenzt zudem die Risiken im Zusammenhang mit Datenübertragungen außerhalb der EU, etwa wenn ein Dienstleister in Irland hostet mit einer Unterauftragsvergabe in die USA. Das Ausmaß des Nutzens ist auf den tatsächlichen Umfang der Gruppe zu messen, vor und nach einem Pilotprojekt.

Anwendungsfall 3: ein Forschungsinstitut – Klinische Forschungsprotokolle

L'Institut BIOPHARMA NORD gère annuellement 23 protocoles de recherche clinique nécessitant la signature d'au moins 6 parties (promoteur, investigateur principal, co-investigateurs, CPP, ANSM, établissement). Chaque signature devait atteindre le niveau qualifié (SEQ) pour répondre aux exigences ICH E6 et aux recommandations de l'ANSM.

Certyneo kann mit einer Integration qualifizierter Zertifikate über einen von der ANSSI gelisteten QTSP eingesetzt werden, was sequenzielle oder parallele Signaturworkflows je nach Dokumenttyp ermöglicht. Die Zeit bis zum Erhalt aller Unterschriften eines Protokolls soll sich verkürzen, was den Start der Studien beschleunigt. Die verstärkte Nachvollziehbarkeit erleichtert zudem die Audits der zuständigen Behörden. Das Ausmaß des Nutzens ist auf den tatsächlichen Umfang des Instituts zu messen, vor und nach einem Pilotprojekt.