Krebszentrum in Singapur setzt 467 Patienten mit Erbkrebs in CC statt BCC

Am Abend des Freitags, 18. September, verschickte das National Cancer Centre Singapore (NCCS) eine Einladung zu seiner Veranstaltung "Living with HBOC", einem Treffen für Menschen mit erblichem Brust- und Eierstockkrebs-Syndrom, an 467 Adressen. Die Adressen standen im Feld CC statt in BCC, sodass jeder Empfänger alle anderen sehen konnte. Enthält eine Adresse einen Namen oder eine Firmendomain, zeigt sie auch, wer die Person ist und wo sie arbeitet. Rund zweieinhalb Stunden später schickte das NCCS eine zweite E-Mail mit der Bitte, die erste zu löschen und die Liste weder zu speichern noch weiterzugeben. Es hat sich entschuldigt, den Vorfall selbst dem Gesundheitsministerium und der Datenschutzkommission PDPC gemeldet, und die PDPC ermittelt.

Was 467 Menschen sehen konnten

Die Veranstaltung ist für den 31. Oktober von 10 bis 12.30 Uhr angesetzt, nur auf Einladung, mit einem Vortrag und Workshops für Menschen mit HBOC und ihre Familien. Die Einladung ging an den NCCS-Verteiler der Personen, die mit dem Syndrom in Verbindung stehen. Ein Empfänger sagte der Straits Times, die sichtbaren Adressen seien "zu viele zum Zählen" gewesen, und schätzte mehr als 500; das NCCS nannte später die Zahl 467. Viele Menschen nutzen Adressen nach dem Muster vorname.nachname, manche ihre Arbeitsadresse, sodass ein Fremder aus der Liste einen vollen Namen und einen Arbeitgeber neben einer genetischen Diagnose erhält. Chong Pang Boon, Chief Operating Officer und Datenschutzbeauftragter des NCCS, sprach von einem administrativen Fehler: "Abgesehen von E-Mail-Adressen wurden keine NRIC-Nummern, Telefonnummern oder sonstige personenbezogene Daten offengelegt." Die zweite E-Mail bat die Empfänger, die Einladung zu löschen, den Papierkorb zu leeren und die Adressen nicht weiterzugeben. Das NCCS erklärt, es habe die Empfänger kontaktiert, um sie zu unterstützen, und überprüfe "gründlich unsere internen Abläufe, damit so etwas nicht wieder vorkommt".

Warum eine E-Mail-Adresse hier ein Gesundheitsdatum ist

HBOC geht meist auf vererbte Veränderungen der Gene BRCA1 oder BRCA2 zurück. Nach Angaben des US-amerikanischen National Cancer Institute erkranken mehr als 60 Prozent der Frauen mit einer schädlichen BRCA-Veränderung im Laufe ihres Lebens an Brustkrebs, gegenüber etwa 13 Prozent in der Gesamtbevölkerung; das Risiko für Eierstockkrebs liegt bei 39 bis 58 Prozent bei BRCA1 und 13 bis 29 Prozent bei BRCA2, gegenüber 1,1 Prozent. Männer tragen dieselben Mutationen, geben sie weiter und haben ein erhöhtes Risiko für Prostata- und Brustkrebs. Wer auf der NCCS-Liste steht, hat das Syndrom, wird darauf getestet oder kümmert sich um jemanden, der es hat. Deshalb sagte ein Empfänger der Straits Times, Menschen, die er nie getroffen habe, wüssten nun von seiner genetischen Veranlagung, und nannte die zwei größten Sorgen von Trägern: Arbeitgeber und Versicherer. Die Sorge hat auch eine technische Seite. Ein dienstliches Postfach gehört dem Arbeitgeber, seine Administratoren können es lesen, und eine Nachricht mit dem Betreff "Living with HBOC" im Firmenarchiv ist nichts, was ein Patient selbst offenlegen wollte. Und weil die Mutation erblich ist, ist ein Name auf der Liste ein Hinweis auf die Kinder und Eltern dieser Person, die nie eine E-Mail erhalten haben.

Ein Fehler, den Aufsichtsbehörden jede Woche sehen

Im April 2024 schrieb der britische Information Commissioner John Edwards, der falsche Umgang mit BCC gehöre "zu den häufigsten Datenpannen, die uns jedes Jahr gemeldet werden", und Gesundheitsorganisationen machten weiter "Fehler, die offensichtlich und leicht zu vermeiden sind". Seine Behörde hat drei von ihnen genau dafür mit Geldbußen belegt. Die PDPC in Singapur veröffentlichte im Januar 2017 einen Leitfaden zur Vermeidung versehentlicher Offenlegung; Punkt 9 der Checkliste lautet: "Stellen Sie sicher, dass bei allen E-Mails an eine Gruppe externer Empfänger deren Adressen im Feld 'bcc' stehen." Seit dem 1. Oktober 2022 kann die PDPC eine Organisation mit bis zu 1 Million Singapur-Dollar belegen oder mit 10 Prozent ihres Jahresumsatzes in Singapur, wenn dieser 10 Millionen übersteigt. Ihre bisher höchste Strafe ist zugleich der nächstliegende Präzedenzfall: Im Januar 2019 verhängte sie 250.000 S$ gegen SingHealth und 750.000 S$ gegen dessen IT-Dienstleister IHiS wegen des Hacks von 2018, bei dem die Daten von 1,5 Millionen Patienten abflossen. Das NCCS gehört zu SingHealth.

Wenn Ihre Adresse auf so einer Liste stand

Die Organisation wird Sie bitten, die E-Mail zu löschen. Tun Sie das, aber erst nach ein paar anderen Schritten. Sie gelten in jedem Land und für jeden Absender, von der Klinik bis zur Schule.

• Nicht "Allen antworten" wählen. Ihre Antwort geht an jede Adresse der Liste und bestätigt, dass Ihre Adresse aktiv ist.
• Datum, Betreff und den Inhalt des Empfängerfelds notieren und die Mitteilung des Absenders aufbewahren. Das ist Ihr Beleg, falls Sie sich später beschweren.
• Den Absender schriftlich fragen, was genau offengelegt wurde, wer es erhalten hat und ob die Aufsichtsbehörde informiert wurde.
• Wenn Sie eine Arbeitsadresse benutzt haben, medizinische Korrespondenz auf eine private verlegen. Die IT Ihres Arbeitgebers kann das dienstliche Postfach lesen.
• Mit Phishing rechnen, das sich auf die Veranstaltung oder den "Vorfall" bezieht. Absenderdomain prüfen und keine Anhänge oder "sicheren Links" öffnen, die Sie nicht angefordert haben.
• Wenn die Antworten nicht überzeugen, bei der Datenschutzbehörde beschweren: der PDPC in Singapur, dem ICO in Großbritannien, der nationalen Behörde nach der DSGVO in der EU.

Wie es weitergeht

Seit 2021 müssen Organisationen in Singapur der PDPC erhebliche Datenpannen melden, und das NCCS hat das von sich aus getan. Die Ermittlung wird klären, ob das Zentrum angemessene Vorkehrungen gegen den Fehler hatte: Eine Regel "nur BCC" ist keine Vorkehrung, wenn eine einzelne Person, die an einem Freitagabend an 467 Adressen schreibt, trotzdem das falsche Feld wählen kann. Die üblichen Abhilfen sind billig. Verteilerdienste verschicken jedem Empfänger eine eigene Nachricht; ein Mailserver lässt sich so einstellen, dass er ausgehende Nachrichten mit mehr als einer Handvoll externer Adressen in "An" oder CC zurückhält; und eine Gruppe verdeckter Empfänger, die der PDPC-Leitfaden vor neun Jahren empfahl, kostet nichts. Die britischen Fälle deuten darauf hin, dass die Strafe, falls es eine gibt, bescheiden ausfällt und die Rüge öffentlich. Für die 467 Menschen auf der Liste ist der praktische Schaden entstanden und lässt sich mit einer zweiten E-Mail nicht zurückholen; in ihrer Hand liegt nur, was von jetzt an mit ihrer Adresse geschieht.