Κώδικας δεοντολογίας για την προστασία της ιδιωτικής ζωής στις εφαρμογές για φορητές συσκευές υγείας

Οι πρώτες εκδόσεις του κώδικα δεοντολογίας για τις εφαρμογές για φορητές συσκευές υγείας καταρτίστηκαν στο πλαίσιο της διαβούλευσης της Ευρωπαϊκής Επιτροπής για την πράσινη βίβλο για την κινητή υγεία το 2014. Η διαβούλευση αποκάλυψε ότι οι χρήστες συχνά δεν εμπιστεύονται τις εφαρμογές υγείας για κινητά λόγω ανησυχιών για την προστασία της ιδιωτικής ζωής.

Μετά τη διαβούλευση αυτή, η Ευρωπαϊκή Επιτροπή ενθάρρυνε τα ενδιαφερόμενα μέρη του κλάδου να δημιουργήσουν έναν κώδικα δεοντολογίας για την προστασία της ιδιωτικής ζωής στις εφαρμογές υγείας για φορητές συσκευές, προκειμένου να αυξηθεί η εμπιστοσύνη.

Στόχος ήταν ο κώδικας δεοντολογίας να λάβει την επίσημη έγκριση των ευρωπαϊκών αρχών προστασίας δεδομένων. Σύμφωνα με τον ισχύοντα γενικό κανονισμό για την προστασία δεδομένων (ΓΚΠΔ), ο ρόλος της αξιολόγησης των κωδίκων εμπίπτει στην εντολή του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων. Οι κώδικες που εγκρίνονται από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων μπορούν να αποκτήσουν γενική ισχύ σε ολόκληρη την ΕΕ μέσω εκτελεστικής πράξης.

Ιστορία και τρέχουσα κατάσταση

Οι εργασίες για έναν κώδικα δεοντολογίας για την κινητή υγεία ξεκίνησαν τον Απρίλιο του 2015, όταν μια συντακτική ομάδα μελών του κλάδου άρχισε να αναπτύσσει το κείμενο του κώδικα. Η Ευρωπαϊκή Επιτροπή ενήργησε ως διαμεσολαβητής, παρέχοντας νομική και πολιτική εμπειρογνωμοσύνη και πόρους και επιβλέποντας την ανάπτυξη του έργου αυτού.

Αυτή η συντακτική ομάδα περιελάμβανε τους App Association (ACT), App developers Alliance, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm και Samsung. Εργάστηκαν μέσω τακτικών συναντήσεων και παρουσίασαν το έργο σε διάφορες εκδηλώσεις προκειμένου να λάβουν περαιτέρω ανατροφοδότηση. Το όραμα ήταν ότι ο κώδικας θα πρέπει να είναι εύκολα κατανοητός για τις ΜΜΕ και τους μεμονωμένους προγραμματιστές που ενδέχεται να μην έχουν πρόσβαση σε νομική εμπειρογνωμοσύνη.

Μια πρώιμη εκδοχή των εργασιών υποβλήθηκε από τη συντακτική ομάδα στην ομάδα εργασίας του άρθρου 29 τον Ιούνιο του 2016 για έναν πρώτο γύρο παρατηρήσεων. Μετά από διάφορες προτάσεις βελτίωσης από την Ομάδα, ο κώδικας αναδιατυπώθηκε (.pdf) και υποβλήθηκε επισήμως στις 7 Δεκεμβρίου 2017, ζητώντας έγκριση βάσει της οδηγίας για την προστασία των δεδομένων.

Η Ομάδα δημοσίευσε την αξιολόγησή της τον Απρίλιο του 2018. Διαπίστωσε ότι τα κριτήρια του ΓΚΠΔ θα πρέπει να εφαρμοστούν και ότι ο υφιστάμενος κώδικας δεν ανταποκρινόταν ακόμη επαρκώς στις απαιτήσεις αυτές. Ως εκ τούτου, ο κώδικας δεν εγκρίθηκε.

Τα επόμενα βήματα

Η Επιτροπή συνεργάζεται με διάφορα ενδιαφερόμενα μέρη του κλάδου προκειμένου να ενθαρρύνει την περαιτέρω ανάπτυξη του τρέχοντος σχεδίου κώδικα, έτσι ώστε να μπορεί να υποβληθεί στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων στο μέλλον για να ζητήσει επίσημη έγκριση.

Κύριες διατάξεις για προγραμματιστές εφαρμογών

Το τρέχον σχέδιο του κώδικα αποτελείται από πρακτικές οδηγίες για τους προγραμματιστές εφαρμογών σχετικά με τις αρχές προστασίας των δεδομένων, ενώ παράλληλα αναπτύσσουν εφαρμογές υγείας για κινητά. Ο κώδικας εξετάζει κυρίως τα ακόλουθα θέματα:

Συγκατάθεση χρήστη 

Η συγκατάθεση του χρήστη για την επεξεργασία των προσωπικών δεδομένων πρέπει να είναι ελεύθερη, συγκεκριμένη και ενημερωμένη. Απαιτείται ρητή συγκατάθεση για την επεξεργασία δεδομένων υγείας. Οποιαδήποτε ανάκληση της συγκατάθεσης πρέπει να έχει ως αποτέλεσμα τη διαγραφή των προσωπικών δεδομένων του χρήστη.

Περιορισμός του σκοπού και ελαχιστοποίηση των δεδομένων

Τα δεδομένα μπορούν να υποβληθούν σε επεξεργασία μόνο για συγκεκριμένους και νόμιμους σκοπούς. Μόνο τα δεδομένα που είναι απολύτως απαραίτητα για τη λειτουργικότητα της εφαρμογής μπορούν να υποβληθούν σε επεξεργασία.

Προστασία της ιδιωτικής ζωής από το σχεδιασμό και από προεπιλογή

Οι επιπτώσεις της εφαρμογής στην προστασία της ιδιωτικής ζωής πρέπει να λαμβάνονται υπόψη σε κάθε στάδιο της ανάπτυξης και όπου ο χρήστης έχει τη δυνατότητα επιλογής. Ο προγραμματιστής της εφαρμογής πρέπει να προεπιλέξει την λιγότερο επεμβατική στην ιδιωτικότητα επιλογή από προεπιλογή.

Δικαιώματα και απαιτήσεις ενημέρωσης των υποκειμένων των δεδομένων

Ο χρήστης έχει το δικαίωμα να έχει πρόσβαση στα προσωπικά του δεδομένα, να ζητήσει διορθώσεις και να αντιταχθεί στην περαιτέρω επεξεργασία. Ο προγραμματιστής εφαρμογών πρέπει να παρέχει στον χρήστη ορισμένες πληροφορίες σχετικά με την επεξεργασία.

Διατήρηση δεδομένων 

Τα προσωπικά δεδομένα δεν μπορούν να αποθηκευτούν περισσότερο από όσο είναι απαραίτητο.

Μέτρα ασφαλείας

Πρέπει να εφαρμοστούν τεχνικά και οργανωτικά μέτρα για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία και για την προστασία από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, αποκάλυψη, πρόσβαση ή άλλες παράνομες μορφές επεξεργασίας.

Διαφήμιση σε εφαρμογές υγείας για κινητά

Υπάρχει διάκριση μεταξύ διαφήμισης που βασίζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα (απαίτηση συγκατάθεσης) και διαφήμισης που δεν βασίζεται σε δεδομένα προσωπικού χαρακτήρα (συγκατάθεση εξαίρεσης).

Χρήση προσωπικών δεδομένων για δευτερεύοντες σκοπούς

Κάθε επεξεργασία για δευτερεύοντες σκοπούς πρέπει να είναι συμβατή με τον αρχικό σκοπό. Η περαιτέρω επεξεργασία για σκοπούς επιστημονικής και ιστορικής έρευνας ή στατιστικούς σκοπούς θεωρείται συμβατή με τον αρχικό σκοπό. Η δευτερογενής επεξεργασία για μη συμβατούς σκοπούς απαιτεί νέα συγκατάθεση.

Γνωστοποίηση δεδομένων σε τρίτους για εργασίες επεξεργασίας

Ο χρήστης πρέπει να ενημερώνεται πριν από την αποκάλυψη και ο προγραμματιστής εφαρμογών πρέπει να συνάψει δεσμευτική νομική συμφωνία με τον τρίτο.

Μεταφορές δεδομένων

Για τις διαβιβάσεις δεδομένων σε τοποθεσία εκτός ΕΕ/ΕΟΧ, πρέπει να υπάρχουν νομικές εγγυήσεις που να επιτρέπουν τη διαβίβαση αυτή, π.χ. απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής, υποδείγματα συμβάσεων της Ευρωπαϊκής Επιτροπής ή δεσμευτικοί εταιρικοί κανόνες.

Παραβίαση προσωπικών δεδομένων

Ο κώδικας παρέχει έναν κατάλογο ελέγχου που πρέπει να ακολουθείται σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ιδίως την υποχρέωση κοινοποίησης σε αρχή προστασίας δεδομένων.

Δεδομένα που συλλέγονται από παιδιά

Ανάλογα με το όριο ηλικίας που ορίζεται στην εθνική νομοθεσία, πρέπει να υιοθετηθεί η πλέον περιοριστική προσέγγιση όσον αφορά την επεξεργασία δεδομένων και πρέπει να θεσπιστεί διαδικασία για την εξασφάλιση της γονικής συναίνεσης.