Wann und wie müssen Patienten bei einem Datenschutzvorfall informiert werden?

Besteht ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person, muss auch diese unverzüglich informiert werden. Das wäre beispielsweise der Fall, wenn von Hackern gezielt personenbezogene Befunddaten eines Patienten abgegriffen werden.

Die Information der betroffenen Person kann nur dann unterbleiben, wenn beispielsweise geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen wurden (z. B. Verschlüsselung) oder wenn durch Maßnahmen sichergestellt wird, dass das hohe Risiko für die Rechte und Freiheiten der betreffenden Person aller Wahrscheinlichkeit nicht mehr besteht.

Für die Form der Information gibt es keine Vorgaben. Denkbar ist ein  Brief, aber auch eine E-Mail, um den Betroffenen über den Vorfall und die durchgeführten Sicherheitsmaßnahmen zu informieren.