Adfærdskodeks for beskyttelse af personlige oplysninger i mobile sundhedsapps

De første udgaver af adfærdskodeksen for mobile sundhedsapps blev udarbejdet på baggrund af Europa-Kommissionens høring om grønbogen om mobil sundhed fra 2014. Høringen afslørede, at folk ofte ikke stoler på mobile sundhedsapps på grund af bekymringer om privatlivets fred.

Efter denne høring opfordrede Europa-Kommissionen interessenter i industrien til at udarbejde en adfærdskodeks for beskyttelse af privatlivets fred for mobile sundhedsapps for at øge tilliden.

Formålet var, at adfærdskodeksen skulle godkendes formelt af de europæiske databeskyttelsesmyndigheder. I henhold til den nuværende generelle forordning om databeskyttelse (GDPR) henhører vurderingen af kodekser under Det Europæiske Databeskyttelsesråds mandat. Koder, der er godkendt af Det Europæiske Databeskyttelsesråd, kan tildeles generel gyldighed i hele EU ved hjælp af en gennemførelsesretsakt.

Historie og nuværende status

Arbejdet med en adfærdskodeks for mobil sundhed begyndte i april 2015, da et redaktionsteam bestående af branchemedlemmer begyndte at udarbejde teksten til kodeksen. Europa-Kommissionen fungerede som formidler og ydede juridisk og politisk ekspertise og ressourcer og førte tilsyn med udviklingen af dette arbejde.

Dette redaktionsteam omfattede App Association (ACT), App Developers Alliance, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm og Samsung. De arbejdede gennem regelmæssige møder og præsenterede arbejdet ved forskellige arrangementer for at få yderligere feedback. Visionen var, at kodeksen skulle være let forståelig for SMV'er og individuelle udviklere, som måske ikke har adgang til juridisk ekspertise.

Redaktionsgruppen forelagde en tidlig udgave af arbejdet for Artikel 29-Gruppen i juni 2016 med henblik på en første feedbackrunde. Efter forskellige forslag til forbedringer fra gruppen blev kodeksen omarbejdet (.pdf) og formelt forelagt den 7. december 2017 med anmodning om godkendelse i henhold til databeskyttelsesdirektivet.

Gruppen offentliggjorde sin vurdering i april 2018. Den fandt, at kriterierne i den generelle forordning om databeskyttelse bør anvendes, og at den eksisterende kodeks endnu ikke i tilstrækkelig grad tager højde for disse krav. Kodeksen blev derfor ikke godkendt.

Næste skridt

Kommissionen samarbejder med en række interessenter fra industrien for at tilskynde til videreudvikling af det nuværende udkast til kodeks, således at det i fremtiden kan forelægges Det Europæiske Databeskyttelsesråd med henblik på en formel godkendelse.

Vigtigste bestemmelser for appudviklere

Det nuværende udkast til kodeksen består af praktisk vejledning til appudviklere om databeskyttelsesprincipper, mens de udvikler mobile sundhedsapps. Kodeksen omhandler navnlig følgende emner:

Brugersamtykke 

Brugerens samtykke til behandling af personoplysninger skal være frit, specifikt og informeret. Der skal indhentes udtrykkeligt samtykke til behandling af helbredsoplysninger. Enhver tilbagetrækning af samtykke skal resultere i sletning af brugerens personlige data.

Formålsbegrænsning og dataminimering

Oplysningerne må kun behandles til specifikke og legitime formål. Kun data, der er strengt nødvendige for appens funktionalitet, må behandles.

Privatliv gennem design og som standard

Appens konsekvenser for privatlivets fred skal overvejes på hvert trin i udviklingen, og hvor brugeren får et valg. Appudvikleren skal som standard forhåndsvælge det mindst privatlivsinvasive valg.

Registreredes rettigheder og oplysningskrav

Brugeren har ret til at få adgang til sine personoplysninger, til at anmode om rettelser og til at gøre indsigelse mod yderligere behandling. Appudvikleren skal give brugeren visse oplysninger om behandlingen.

Opbevaring af data 

Personoplysninger må ikke opbevares længere end nødvendigt.

Sikkerhedsforanstaltninger

Der skal gennemføres tekniske og organisatoriske foranstaltninger for at sikre fortroligheden, integriteten og tilgængeligheden af de behandlede personoplysninger og for at beskytte mod hændelig eller ulovlig tilintetgørelse, tab, ændring, videregivelse, adgang eller andre ulovlige former for behandling.

Annoncering i mobile sundhedsapps

Der skelnes mellem reklame, der er baseret på behandling af personoplysninger (kræver tilvalgssamtykke), og reklame, der ikke er baseret på personoplysninger (fravalgssamtykke).

Anvendelse af personoplysninger til sekundære formål

Enhver behandling til sekundære formål skal være forenelig med det oprindelige formål. Yderligere behandling til videnskabelige og historiske forskningsformål eller statistiske formål anses for at være forenelig med det oprindelige formål. Sekundær behandling til ikke-forenelige formål kræver et nyt samtykke.

Videregivelse af oplysninger til tredjeparter med henblik på behandlingsaktiviteter

Brugeren skal informeres forud for offentliggørelse, og appudvikleren skal indgå en bindende juridisk aftale med tredjeparten.

Overførsel af data

For dataoverførsler til et sted uden for EU/EØS skal der være juridiske garantier, der tillader en sådan overførsel, f.eks. en tilstrækkelighedsafgørelse fra Europa-Kommissionen, Europa-Kommissionens standardkontrakter eller bindende virksomhedsregler.

Brud på persondatasikkerheden

Kodeksen indeholder en tjekliste, der skal følges i tilfælde af brud på persondatasikkerheden, navnlig forpligtelsen til at underrette en databeskyttelsesmyndighed.

Data indsamlet fra børn

Afhængigt af den aldersgrænse, der er fastsat i den nationale lovgivning, skal der anvendes den mest restriktive databehandlingsmetode, og der skal indføres en procedure for opnåelse af forældresamtykke.