§ 3 Grundsätze der Datensicherheit — GTelG 2012

(1) Dieser Abschnitt gilt für alle Formen der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten (gerichtete und ungerichtete Kommunikation) durch Gesundheitsdiensteanbieter (§ 2 Z 2).

(2) Abs. 4 Z 3 bis 6, § 4 Abs. 4 und Abs. 5 Z 2 sowie die §§ 5 bis 7 sind auf Verarbeitungen nach diesem Abschnitt innerhalb eines Gesundheitsdiensteanbieters oder einer Unternehmensgruppe (Art. 4 Z 19 DSGVO) von Gesundheitsdiensteanbietern nicht anzuwenden, wenn durch effektive und dem Stand der Technik entsprechende Datensicherheits- und Kontrollmaßnahmen unbefugte Dritte vom Zugriff auf Gesundheitsdaten und genetische Daten, und somit deren Kenntnisnahme ausgeschlossen werden können.

(3) Die Zulässigkeit, Gesundheitsdaten oder genetische Daten zu verarbeiten, ist mittels Rollen abzubilden. Gesundheitsdiensteanbieter haben technisch zu gewährleisten, dass es keine Verarbeitung von Gesundheitsdaten oder genetischen Daten außerhalb der zulässigen Rollen gibt.

(4) Gesundheitsdiensteanbieter dürfen Gesundheitsdaten und genetische Daten nur dann übermitteln, wenn

1. die Übermittlung gemäß Art. 9 DSGVO zulässig ist,

2. die Identität (§ 4) jener Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, nachgewiesen ist,

3. die Identität (§ 4) der an der Übermittlung beteiligten Gesundheitsdiensteanbieter nachgewiesen ist,

4. die Rollen (§ 5) der an der Übermittlung beteiligten Gesundheitsdiensteanbieter nachgewiesen sind,

5. die Vertraulichkeit (§ 6) der übermittelten Gesundheitsdaten und genetischen Daten gewährleistet ist sowie

6. die Integrität (§ 7) der übermittelten Gesundheitsdaten und genetischen Daten gewährleistet ist.