Kodex chování pro mobilní aplikace pro ochranu osobních údajů

První verze kodexu chování pro mobilní aplikace pro zdraví byly vypracovány na základě konzultace Evropské komise o zelené knize o zdraví mobilních telefonů v roce 2014. Konzultace ukázala, že lidé často nevěří mobilním zdravotnickým aplikacím kvůli obavám o soukromí.

V návaznosti na tuto konzultaci Evropská komise vyzvala zúčastněné strany z průmyslu, aby vytvořily kodex chování pro ochranu osobních údajů pro mobilní zdravotní aplikace s cílem zvýšit důvěru.

Cílem bylo, aby kodex chování získal formální souhlas evropských orgánů pro ochranu údajů. Podle stávajícího obecného nařízení o ochraně osobních údajů (GDPR) spadá úloha posuzování kodexů do mandátu Evropské rady pro ochranu údajů. Kodexy schválené Evropskou radou pro ochranu údajů mohou být v celé EU přiznány obecnou platnost prostřednictvím prováděcího aktu.

Historie a aktuální stav

Práce na kodexu chování v oblasti mobilního zdraví byla zahájena v dubnu 2015, kdy návrhový tým členů průmyslu začal připravovat znění kodexu. Evropská komise působila jako zprostředkovatel, poskytovala právní a politické odborné znalosti a zdroje a dohlížela na rozvoj této práce.

Tento redakční tým zahrnoval App Association (ACT), App Developer Alliance, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm a Samsung. Pracovali na pravidelných setkáních a prezentovali práci na různých akcích, aby získali další zpětnou vazbu. Vizí bylo, že kodex by měl být snadno srozumitelný pro malé a střední podniky a jednotlivé vývojáře, kteří nemusí mít přístup k právním odborným znalostem.

Včasnou verzi práce předložil přípravný tým pracovní skupině zřízené podle článku 29 v červnu 2016 k prvnímu kole zpětné vazby. Na základě různých návrhů pracovní skupiny na zlepšení byl kodex přepracován (.pdf) a formálně předložen dne 7. prosince 2017 s žádostí o schválení podle směrnice o ochraně údajů.

Pracovní skupina zveřejnila své posouzení v dubnu 2018. Konstatovala, že by měla být uplatňována kritéria obecného nařízení o ochraně osobních údajů a že stávající kodex tyto požadavky dosud dostatečně neřešil. V důsledku toho nebyl kodex schválen.

Další kroky

Komise spolupracuje s řadou zúčastněných stran z odvětví s cílem podpořit další rozvoj stávajícího návrhu kodexu, aby mohl být v budoucnu předložen Evropské radě pro ochranu údajů za účelem získání formálního schválení.

Hlavní ustanovení pro vývojáře aplikací

Současný návrh kodexu obsahuje praktické pokyny pro vývojáře aplikací týkající se zásad ochrany údajů při vývoji mobilních zdravotních aplikací. Kodex se zabývá zejména těmito tématy:

Souhlas uživatele 

Souhlas uživatele se zpracováním osobních údajů musí být bezplatný, konkrétní a informovaný. Pro zpracování zdravotních údajů je třeba získat výslovný souhlas. Jakékoli odvolání souhlasu musí vést k vymazání osobních údajů uživatele.

Omezení účelu a minimalizace údajů

Údaje mohou být zpracovávány pouze pro konkrétní a legitimní účely. Mohou být zpracovávány pouze údaje, které jsou nezbytně nutné pro funkčnost aplikace.

Ochrana soukromí již od návrhu a ve výchozím nastavení

Důsledky aplikace na ochranu soukromí je třeba vzít v úvahu v každém kroku vývoje a všude tam, kde má uživatel možnost volby. Vývojář aplikace musí ve výchozím nastavení předem vybrat nejméně invazivní volbu soukromí.

Práva subjektu údajů a požadavky na informace

Uživatel má právo na přístup ke svým osobním údajům, požadovat opravy a vznést námitku proti dalšímu zpracování. Vývojář aplikace musí uživateli poskytnout určité informace o zpracování.

Uchovávání údajů 

Osobní údaje nesmí být uchovávány déle, než je nezbytné.

Bezpečnostní opatření

Je třeba zavést technická a organizační opatření s cílem zajistit důvěrnost, integritu a dostupnost zpracovávaných osobních údajů a chránit před náhodným nebo nezákonným zničením, ztrátou, změnou, zpřístupněním, přístupem nebo jinými nezákonnými formami zpracování.

Reklama v mobilních zdravotních aplikacích

Existuje rozdíl mezi reklamou založenou na zpracování osobních údajů (vyžadující souhlas opt-in) a reklamou, která nespoléhá na osobní údaje (odhlášení souhlasu).

Použití osobních údajů pro sekundární účely

Jakékoli zpracování pro sekundární účely musí být slučitelné s původním účelem. Další zpracování pro vědecký a historický výzkum nebo pro statistické účely se považuje za slučitelné s původním účelem. Sekundární zpracování pro nekompatibilní účely vyžaduje nový souhlas.

Zpřístupnění údajů třetím stranám za účelem zpracování

Uživatel musí být informován před zveřejněním a vývojář aplikace musí uzavřít závaznou právní dohodu s třetí stranou.

Přenos dat

Pro předávání údajů do místa mimo EU/EHP musí existovat právní záruky, které takový přenos umožní, např. rozhodnutí Evropské komise o odpovídající ochraně, vzorové smlouvy Evropské komise nebo závazná podniková pravidla.

Porušení zabezpečení osobních údajů

Kodex obsahuje kontrolní seznam, který se má v případě porušení zabezpečení osobních údajů řídit, zejména povinnost oznámit orgánu pro ochranu údajů.

Údaje shromážděné od dětí

V závislosti na věkové hranici stanovené ve vnitrostátních právních předpisech je třeba přijmout nejpřísnější přístup ke zpracování údajů a zavést postup pro získání souhlasu rodičů.