Anhang Nr. 02 — Datenschutzregime unter ARTERIA

Themenfeld: juristische Verteidigung

Die öffentliche Nachverfolgbarkeit von ARTERIA widerspricht NICHT dem Habeas Data (Recht auf informationelle Selbstbestimmung) des Patienten. Sie verwirklicht es. Der Eigentümer der Krankenakte ist der Patient — das System operiert von dieser Prämisse aus.

Zusammenfassung

ARTERIA verarbeitet sensible personenbezogene Daten (Krankenakte, klinische Ereignisse, Verschreibungen, Abgabe von Arzneimitteln, unerwünschte Ereignisse) auf nationaler Ebene. Diese juristische Sensibilität ist strukturell, nicht beiläufig. Jeder Verfassungsrechtsanwalt oder jede Datenschutzbehörde wird zu Recht fragen: Wie können öffentliche Nachverfolgbarkeit des Finanzflusses + kryptografische Identität der Fachkraft mit der gesetzlichen Vertraulichkeit der Gesundheitsdaten + dem Habeas Data des Patienten koexistieren?

Die Antwort ist architektonisch, nicht rhetorisch. ARTERIA implementiert Privacy by Design: Die öffentliche Nachverfolgbarkeit operiert auf disassoziierten und aggregierten Metadaten, nicht auf Identitäten + klinischen Inhalten. Die sensiblen personenbezogenen Daten des Patienten sind mit seinem eigenen hardwaregebundenen kryptografischen Schlüssel verschlüsselt und nur für ihn selbst sowie für die von ihm ausdrücklich autorisierten Personen zugänglich. Weder der Staat noch die operierende Stiftung noch das Ministerium können die Krankenakte eines Patienten ohne dessen Autorisierung oder ohne qualifizierten richterlichen Beschluss einsehen.

Strukturelle Grundgarantie: ARTERIA macht den Datenschutz des Patienten stärker als das gegenwärtige System. Heute lagern Krankenakten in verwundbaren physischen Archiven oder in undurchsichtig von EPS (Empresas Promotoras de Salud — Krankenversicherungsträger) und IPS (Instituciones Prestadoras de Servicios de Salud — Leistungserbringer) verwalteten Datenbanken ohne kryptografische Verifizierung oder Nachverfolgbarkeit der Zugriffe. ARTERIA kehrt die Asymmetrie um — der Patient ist technischer und juristischer Eigentümer seiner Daten, und jeder Zugriff wird unveränderlich protokolliert.

§1. Geltendes anwendbares Rechtsrahmenwerk

Datenschutzbehörde: Die SIC (Superintendencia de Industria y Comercio) behält die vollständige Jurisdiktion. ARTERIA ersetzt sie NICHT — es stärkt sie operationell.

§2. Klassifizierung der Daten im Gesundheitssystem unter ARTERIA

Vier Kategorien mit differenziertem Regime:

Operatives Kernprinzip: kryptografische Trennung zwischen den Kategorien. Die öffentliche Schicht operiert auf disassoziierten Daten; die private Schicht operiert auf mit dem Schlüssel des Inhabers verschlüsselten Daten; kein Betreiber kann diese ohne ausdrückliche Autorisierung kombinieren.

§3. Abbildung der Rollen des Datenschutzregimes auf ARTERIA

Kritische Unterscheidung zum gegenwärtigen System: Im Legacy-Modell sind die EPS Auftragsverarbeiter mit weitreichender Autonomie und ohne kryptografische Nachverfolgbarkeit. Bei ARTERIA ist der Patient technischer Inhaber, die IPS sind Auftragsverarbeiter mit ausdrücklicher und nachverfolgter Autorisierung, und der Betreiber des Standards hat keinen Zugang zum Inhalt. Die Asymmetrie EPS↔Patient wird strukturell umgekehrt.

§4. Operationalisierung der Grundsätze der Ley 1581 in ARTERIA

§5. Konkrete Garantien für den Dateninhaber (Patient)

ARTERIA materialisiert die Rechte des Inhabers (Ley 1581 Art. 8) als technisch operationalisierte einklagbare Rechte:

Fünf zusätzliche Garantien, die das gegenwärtige System NICHT bietet:

1. Kryptografische Nachverfolgbarkeit des Zugriffs — jede Abfrage wird mit Identität, Datum, Uhrzeit und Zweck protokolliert
2. Granularität der Einwilligung — der Patient kann den Zugriff auf spezifische Teile (nur Kardiologie, nicht psychische Gesundheit) oder spezifische Zeiträume autorisieren
3. Benachrichtigung in Echtzeit — der Patient erhält bei jedem Zugriff eine sofortige Benachrichtigung
4. Reibungsloser Widerruf — operativ in Sekunden über den nativen Client umsetzbar
5. Dauerhafte externe Audits — DAG auditierbar durch die SIC, die Procuraduría sowie durch vom Inhaber beauftragte unabhängige Auditoren

§6. Verarbeitung sensibler Daten — verstärkter Schutz

Gesundheitsdaten sind per gesetzlicher Definition sensibel (Ley 1581 Art. 5). Kategorien des verstärkten Schutzes:

Technischer Mechanismus: Die Kategorien des verstärkten Schutzes werden als getrennte kryptografische Kompartimente innerhalb der vereinheitlichten Krankenakte umgesetzt. Jedes Kompartiment erfordert eine spezifische Einwilligung des Inhabers für den Zugriff, selbst für den behandelnden Facharzt anderer Fachgebiete.

§7. Sonderfälle und regulierte Ausnahmen

7.1. Minderjährige (Ley 1098/2006)

• Gesetzliche Vertretung durch Eltern, Vormund oder Familienverteidiger
• Sensible Daten Minderjähriger mit verstärktem Schutz — Zugang der Eltern in einigen Fällen eingeschränkt (progressive Autonomie)
• Jugendliche ≥ 14 Jahre mit der Fähigkeit zur informierten Einwilligung für spezifische Behandlungen gemäß Rechtsprechung
• Das System verlangt gegebenenfalls duale Einwilligung (gesetzlicher Vertreter + Jugendlicher)

7.2. Ältere Erwachsene mit kognitivem Abbau

• Vertretung durch gesetzlich autorisierten Betreuer (Kurator, Unterstützungen gemäß Ley 1996/2019)
• Verstärktes Audit des Zugriffs durch den Vertreter
• Schutzmechanismen gegen Missbrauch durch den Vertreter

7.3. Wissenschaftliche Forschung mit Gesundheitsdaten

• Regime nach Dekret 8430/1993 + Resolution 1407/2002 (Gute Klinische Praxis)
• Disassoziierte Daten (irreversibel anonymisiert) ohne individuelle Einwilligung
• Identifizierbare Daten mit informierter Einwilligung + Ethikkomitee
• Kontinuierliches Protokoll-Audit

7.4. Öffentliche Gesundheit (Epidemien, Pandemien)

• Regulierte Ausnahme gemäß Ley 9/1979 + Ley 1751/2015
• Aggregierte disassoziierte Daten für die Gesundheitsbehörde zugänglich
• Identifizierbare Daten nur unter nationaler Gesundheitsnotstandserklärung + verstärktem Audit
• Epidemiologische Überwachung auf aggregierten Mustern

7.5. Forensische Fälle + richterlicher Beschluss

• Zugang aufgrund qualifizierten richterlichen Beschlusses (Richter der Republik)
• Verstärktes Audit
• Benachrichtigung des Inhabers, sobald dies mit der Ermittlung vereinbar ist
• Eingesehene Daten bleiben in richterlicher Obhut

7.6. Internationale Datenübermittlung

• Regime Dekret 1377/2013 + Kapitel 25 Ley 1581
• Übermittlung in Länder mit angemessenem, von der SIC zertifiziertem Schutzniveau
• Internationale Forschung: disassoziierte Daten + Vereinbarung + ausdrückliche Einwilligung des Inhabers
• ARTERIA operiert unter nationaler technischer Souveränität — Server und operative Jurisdiktion sind kolumbianisch. Die internationale Übermittlung ist eine regulierte Ausnahme, keine operative Bedingung

7.7. Sonderregime (Streitkräfte, Lehrerschaft, Ecopetrol)

• Sie behalten ihre Sonderregime mit operativer Koordinierung mit ARTERIA, wo zutreffend
• Integrierbar in den nationalen technischen Standard im Rahmen spezifischer Vereinbarungen, ohne ihre verwaltungsrechtliche Autonomie zu verlieren

§8. Privacy by Design — kryptografische Architektur als rechtliche Compliance

ARTERIA implementiert das internationale Prinzip Privacy by Design (Ann Cavoukian, 2009; kodifiziert in DSGVO Art. 25) als architektonische Eigenschaft:

Angewandte technische Standards:

• ISO 27799:2025 (Informationssicherheitsmanagement im Gesundheitswesen)
• ISO/IEC 27001 (Informationssicherheits-Managementsystem)
• Kryptografie mit robustem öffentlichem Audit und Post-Quantum-Absicherung
• Schlüsselablage gebunden an die Hardware des Inhabergeräts

Die spezifisch ausgewählten kryptografischen Primitive, Algorithmen und Implementierungsparameter sind im technischen Repository unter der Kontrolle der Standard-Operatorstiftung (technischer Vorschlag §10) dokumentiert und durch unabhängige qualifizierte technische Teams unter einer Vertraulichkeitsvereinbarung auditierbar. Die institutionelle Begründung dieses Gleichgewichts ist im technischen Vorschlag §3 dargelegt.

§9. Vergleich mit der DSGVO (internationaler Standard)

Die DSGVO (EU-Verordnung 2016/679) ist der anspruchsvollste internationale Standard. ARTERIA erfüllt deren Anforderungen oder übertrifft sie:

Schlussfolgerung: ARTERIA erfüllt die DSGVO vollständig oder übertrifft sie. Relevant für internationale Datenübermittlung, kollaborative klinische Forschung mit europäischen Institutionen und die internationale Position Kolumbiens bei Standards der digitalen Gesundheitsversorgung.

§10. Sanktionsregime + Beziehung zur SIC

Sanktionen Ley 1581 Art. 23 anwendbar auf Verantwortliche und Auftragsverarbeiter:

• Bußgelder bis zu 2.000 SMMLV (gesetzliche Mindestlöhne; ca. 2.847 Millionen COP zum Stand 2026)
• Aussetzung der Tätigkeit bis zu 6 Monaten
• Vorübergehende Schließung
• Sofortige und endgültige Schließung

Verstärkte Sanktionen für ARTERIA:

1. Automatische Compliance-Verifizierung: Der DAG erlaubt der SIC ein Audit in Echtzeit ohne reaktive Ermittlung
2. Sanktionierender Smart Contract: Wird eine verifizierbare Verletzung festgestellt (im DAG protokollierter unbefugter Zugriff), löst das System automatisch ein Verfahren bei der SIC mit konsolidierter Beweislage aus
3. Sofortige technische Suspendierung: Bei verifizierter Verletzung kann die operierende Stiftung den Akteur technisch suspendieren (durch Widerruf der kryptografischen Identität) parallel zum formalen Verfahren

Beziehung zur SIC: Die Aufsichtsbehörde behält die volle Jurisdiktion. ARTERIA entzieht ihr keine Befugnisse — es liefert ihr konsolidierte und verifizierbare Beweise. Das Disziplinarverfahren operiert auf kryptografisch auditierbaren Daten, was ihre Schlagkraft erhöht.

§11. Umsetzungsplan des Datenschutzes

§12. Zusammenfassung der ausdrücklichen juristischen Verteidigungslinien

Verteidigung 1 — «Verletzt ARTERIA das Habeas Data?»

Nein. Es verwirklicht es operationell mit größerer Stärke als das gegenwärtige System. Der Patient ist technischer und juristischer Inhaber seiner Daten. Jeder Zugriff wird kryptografisch protokolliert. Der Widerruf ist operativ in Sekunden umsetzbar. Die Berichtigung ist nachverfolgbar. Die Portabilität ist nativ. Das System implementiert die acht Grundsätze der Ley 1581 + die sieben Rechte des Inhabers als architektonische Eigenschaften, nicht als institutionelle Zusagen.

Verteidigung 2 — «Widerspricht die öffentliche Nachverfolgbarkeit der gesetzlichen Vertraulichkeit der Gesundheitsdaten?»

Nein. Die öffentliche Nachverfolgbarkeit operiert auf disassoziierten und aggregierten Metadaten (Finanzfluss der UPC, Qualitätsindikatoren der Leistungserbringer, operative Kennzahlen). Die sensiblen personenbezogenen Daten des Patienten sind mit seinem eigenen Schlüssel verschlüsselt. Keine Behörde — weder das Ministerium noch ADRES, noch die operierende Stiftung, noch die SIC — kann die Krankenakte eines Patienten ohne dessen Autorisierung oder ohne qualifizierten richterlichen Beschluss einsehen.

Verteidigung 3 — «Wird der Staat unrechtmäßigen Zugriff auf die personenbezogenen Informationen haben?»

Nein. Der Staat ist juristisch Verantwortlicher der Verarbeitung, aber kein technischer Betreiber mit Zugang zum verschlüsselten Inhalt. Die operierende Stiftung operiert auf Metadaten, nicht auf Payloads. Der Zugang zum klinischen Inhalt erfordert die Einwilligung des Inhabers oder einen richterlichen Beschluss. Dies ist ein strukturell stärkerer Schutz als der des gegenwärtigen Systems.

Verteidigung 4 — «Und wenn es zu einer massiven Sicherheitsverletzung kommt?»

ARTERIA implementiert Tiefenverteidigung: Post-Quantum-Kryptografie + hardwaregebundene Identität + Partitionierung + Redundanz + kontinuierliches Audit + reproduzierbare Builds + ISO 27799:2025. Eine technische Verletzung, die das System kompromittiert, würde die gleichzeitige Kompromittierung mehrerer unabhängiger Schichten erfordern — operationell nahezu unmöglich für reale Angreifer. Im hypothetischen Fall einer verifizierten Verletzung benachrichtigt das System die SIC und die betroffenen Inhaber automatisch innerhalb der gesetzlichen Frist.

Verteidigung 5 — «Was geschieht in sensiblen Fällen wie psychische Gesundheit, HIV, legale Abtreibung?»

Verstärkter Schutz durch getrennte kryptografische Kompartimente (§6). Diese Kategorien erfordern eine spezifische zusätzliche Einwilligung des Inhabers für jeglichen Zugriff, selbst durch den behandelnden Facharzt anderer Fachgebiete. Der Vertraulichkeitsstandard ist höher als im gegenwärtigen System.

Verteidigung 6 — «Geben wir sensible nationale Daten an ein privates Unternehmen?»

Nein. Die operierende Stiftung ist eine gemeinnützige Einrichtung öffentlichen Rechts mit gemischtem Fachrat + internationalem externem Audit. Es gibt keinen ausländischen Anbieter: Weder Microsoft Azure, noch AWS, noch Google Cloud, noch Oracle, noch IBM haben Zugang. Nationale Infrastruktur + Obhut der Operatorstiftung + reproduzierbare Builds + öffentliches Audit. Vollständige technische und juristische Souveränität.

Stand des Anhangs

• v1.0: 2026-06-11
• Themenfeld: juristische Verteidigung
• Zielgruppe: Verfassungsrechtsanwälte, juristisches Team des MinSalud, SIC, Defensoría, Procuraduría Delegada für Datenschutz, Fachjournalisten, multilaterale Organisationen
• Nächste Iteration: Aktualisierung mit der Rechtsprechung nach Juni 2026