Anfrage Pia Ackermann, Zürich, und Mitunterzeichnende betreffend Cloudlösungen bei Klinikinformationssystemen in Spitälern, Beantwortung

Auf Antrag der Gesundheitsdirektion beschliesst der Regierungsrat:

I. Die Anfrage Pia Ackermann, Zürich, und Mitunterzeichnende wird wie folgt beantwortet: Zu Frage 1: Die Einhaltung der Vorgaben bezüglich Datenschutzes und Datensicherheit sind für das Universitätsspital Zürich (USZ) bei der Einführung des neuen Klinikinformationssystems (KIS) von grosser Bedeutung. Wie bei der Beantwortung der dringlichen Interpellation KR-Nr. 272/ 2025 betreffend USZ Zürich, Entscheid Klinik-Informations-System festgehalten, war die Vorgabe, dass die strengen Bestimmungen des Datenschutzes des Kantons Zürich eingehalten werden müssen, Bestandteil der Ausschreibung des USZ. Wie ebenfalls festgehalten, ist das USZ als Auftraggeber gemäss Art. 11 lit. e der Interkantonalen Vereinbarung über das öffentliche Beschaffungswesen (LS 720.1) verpflichtet, alle Angaben der Anbietenden während des Vergabeverfahrens vertraulich zu behandeln. Vor dem Vergabeentscheid war es daher nicht möglich, Details der Anbietenden mit der Datenschutzbeauftragten abzusprechen. Unmittelbar nach dem Vergabeentscheid durch den Spitalrat des USZ wurde die Datenschutzbeauftragte informiert. Nach Ablauf der – zum Zeitpunkt des vorliegenden Regierungsratsbeschlusses noch laufenden – Beschwerdefrist wird sie bei der bevorstehenden Vertragsausgestaltung mit dem gewählten Anbieter einbezogen werden. Zu Fragen 2–6: Alle Patientendaten, die im bestehenden KIS lokal in den Rechenzentren des USZ bearbeitet werden, würden gemäss USZ auch künftig mit dem neuen System lokal abgespeichert. Das USZ wäre alleiniger Besitzer dieser Daten. Mit dem neuen KIS hätte das USZ künftig die Möglichkeit, für einzelne spezifische Zwecke temporär Daten in einer Cloud unter Verwendung von Künstlicher Intelligenz (KI) bearbeiten zu können. Diese Services würden frühestens ab 2029 und unter Einhaltung der datenschutzrechtlichen Vorgaben des Kantons zum Einsatz kommen. Die technologischen Entwicklungen in diesem Bereich sind sehr dynamisch, insbesondere auch bezüglich der Nutzung von KI-Funktionalitäten. Spitzenmedizin zum Wohle der Patientinnen und Patienten sowie Spitzenleistungen und Spitzenresultate in zahlreichen anderen Branchen ohne Einsatz von KI und Cloudtechnologie werden künftig kaum mehr möglich sein – unabhängig von der Anbieterin oder vom Anbieter. Entsprechend setzt sich die Gesundheitsdirektion gemeinsam mit den

Spitälern vertieft mit Fragen des Einsatzes von KI unter Berücksichtigung der datenschutzrechtlichen Vorgaben auseinander. Auch die diesjährige Tagung des Verbandes Zürcher Krankenhäuser widmet sich den Einsatzmöglichkeiten von KI. Der sichere Umgang mit Daten und deren Schutz sind integraler Bestandteil der Beschaffung. Hierzu gehört auch die Verschlüsselung von Daten. Im Rahmen der Projektumsetzung wird hierauf ein besonderes Augenmerk gelegt. Die Kosten sind gemäss USZ im Projekt enthalten. Das USZ hält auch fest, dass Patientendaten nach dem «Need-to-know- Prinzip» exakt und nur dort zur Verfügung stehen würden, wo sie benötigt werden. Einsicht mit spezifischer Zugriffsberechtigung würden also ausschliesslich diejenigen Personen haben, die das System zum Arbeiten benötigen. Dazu gehören neben dem ärztlichen und pflegerischen Personal des USZ beispielsweise zuweisende Ärztinnen und Ärzte mit eingeschränktem Zugriff auf Daten ihrer Patientinnen und Patienten (soweit vom USZ freigeschaltet und von den Patientinnen und Patienten bewilligt). Ausserdem hätten Patientinnen und Patienten auf ihre eigene Dokumentation Zugriff. Wie bei jeder Software-Anwendung werden Mitarbeitende einer Anbieterin oder eines Anbieters für Supportzwecke z. B. bei Updates oder Störungen temporär und kontrolliert auf die Systeme des USZ zugreifen müssen. Bestandteil des Vertrags mit Epic Systems, der nun ausgehandelt wird, soll sein, dass diese Mitarbeitenden Schweizer Recht unterstellt werden, sodass ein Fehlverhalten oder Missbrauch nach Schweizer Strafrecht geahndet werden kann. Zu Frage 7: Voraussetzung für das Zustandekommen des Vertrags mit Epic Systems ist, dass der Anbieter die strengen Datenschutzbestimmungen des Kantons Zürich erfüllt. Wie vorn ausgeführt, war diese Vorgabe bereits Teil der Ausschreibung. Zu Frage 8: Wie bei der Beantwortung der dringlichen Interpellation KR-Nr. 272/ 2025 betreffend USZ Zürich, Entscheid Klinik-Informations-System festgehalten, obliegt die Verantwortung, welche Systeme in einem Spital eingesetzt werden, und damit auch der Entscheid, welches KIS zum Einsatz kommen soll, dem Spitalrat als oberstem strategischem Führungsorgan und der Spitaldirektion als oberstem operativen Führungsorgan. Der Regierungsrat hat in seinen Berichten über die Umsetzung der Eigentümerstrategien 2024 der vier kantonalen Spitäler festgehalten,

dass sie im Bereich der Digitalisierung allgemein Synergien unter den vier kantonalen und mit anderen Spitälern nutzen sollen. Ebenso wurde festgehalten, dass der Datenschutz beim Einsatz neuer Technologien mit hoher Priorität zu berücksichtigen und mit angemessenen Massnahmen zu gewährleisten ist. Im Bericht über die Umsetzung der Eigentümerstrategie 2024 des USZ hat der Regierungsrat ausdrücklich festgehalten, dass Beschaffungsprozesse, insbesondere im Zusammenhang mit dem neuen KIS, transparent zu gestalten sind, eine Gesamtschau aller Kosten vorzunehmen sei (Anschaffungs- und Implementierungskosten, Kosten zur Anbindung von Umsystemen sowie Betriebskosten) und Kooperationen mit anderen kantonalen oder universitären Spitälern zu berücksichtigen sind (vgl. Vorlage 6022). Darüber hinaus hat der Regierungsrat in den Berichten zu den Postulaten KR-Nrn. 235/2022 und 175/2024 festgehalten, dass er sich strategisch auf drei Bereiche fokussiere, um die digitale Transformation des Zürcher Gesundheitswesens voranzutreiben: 1) Förderung der Verbreitung des Elektronischen Patientendossiers, 2) Förderung der internen Digitalisierung bei den Spitälern und weiteren Gesundheitseinrichtungen sowie der öffentlichen Verwaltung und 3) Förderung der Digitalisierung des Informationsflusses zwischen den Leistungserbringenden und weiteren Akteurinnen und Akteuren, um die Vernetzung zu ermöglichen. Was den dritten Punkt anbelangt, hat der Kanton ein Interesse an einer nutzbringenden, datenschutzkonformen und ausfallsicheren Digitalisierung der Spitäler. Der Regierungsrat setzt sich dabei für eine zunehmende Interoperabilität der Systeme ein, um Gesundheitsdaten mehrfach nutzbar zu machen – und zwar unabhängig vom konkret in einem Spital verwendeten System. Im Rahmen der Totalrevision des Gesundheitsgesetzes, die sich derzeit in Vernehmlassung befindet, soll die Gesundheitsdirektion ermächtigt werden, Standards für den Datenaustausch zwischen Leistungserbringern zu definieren. Dabei werden nationale und internationale Empfehlungen und Vorgaben berücksichtigt (vgl. RRB Nr. 657/2025).

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Gesundheitsdirektion.

Vor dem Regierungsrat Die Staatsschreiberin: Kathrin Arioli