Terveysalan mobiilisovellusten tietosuojakäytännesäännöillä pyritään lisäämään käyttäjien luottamusta ja tarjoamaan kilpailuetua niille, jotka sitoutuvat siihen.
Terveysalan mobiilisovelluksia koskevien käytännesääntöjen ensimmäiset versiot laadittiin Euroopan komission vuonna 2014 järjestämän terveysalan vihreää kirjaa koskevan kuulemisen pohjalta. Kuulemisessa kävi ilmi, että ihmiset eivät useinkaan luota terveysalan mobiilisovelluksiin yksityisyyteen liittyvien huolenaiheiden vuoksi.
Tämän kuulemisen jälkeen Euroopan komissio kannusti alan sidosryhmiä laatimaan terveysalan mobiilisovelluksia koskevat yksityisyyden suojaa koskevat käytännesäännöt luottamuksen lisäämiseksi.
Tavoitteena oli, että käytännesäännöt saisivat Euroopan tietosuojaviranomaisten virallisen hyväksynnän. Voimassa olevan yleisen tietosuoja-asetuksen mukaan käytännesääntöjen arviointi kuuluu Euroopan tietosuojaneuvoston toimivaltaan. Euroopan tietosuojaneuvoston hyväksymät käytännesäännöt voivat olla yleisesti päteviä kaikkialla EU:ssa täytäntöönpanosäädöksellä.
Historia ja nykytila
Liikkuvia terveysalan käytännesääntöjä koskeva työ alkoi huhtikuussa 2015, kun toimialan jäsenistä koostuva valmisteluryhmä alkoi kehittää käytännesääntöjen tekstiä. Euroopan komissio toimi välittäjänä ja tarjosi oikeudellista ja poliittista asiantuntemusta ja resursseja sekä valvoi tämän työn kehittämistä.
Valmisteluryhmään kuuluivat App Association (ACT), App developers Alliance, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm ja Samsung. He kokoontuivat säännöllisesti ja esittelivät työtä eri tapahtumissa saadakseen lisäpalautetta. Visio oli, että koodin pitäisi olla helposti ymmärrettävissä pk-yrityksille ja yksittäisille kehittäjille, joilla ei ehkä ole käytettävissään oikeudellista asiantuntemusta.
Valmisteluryhmä toimitti työn alustavan version 29 artiklan mukaiselle työryhmälle kesäkuussa 2016 ensimmäistä palautekierrosta varten. Työryhmän esitettyä useita parannusehdotuksia käytännesääntöä muokattiin (.pdf), ja se toimitettiin virallisesti 7. joulukuuta 2017 ja pyydettiin hyväksyntää tietosuojadirektiivin nojalla.
Työryhmä julkaisi arvionsa huhtikuussa 2018. Se katsoi, että yleisen tietosuoja-asetuksen kriteerejä olisi sovellettava ja että nykyisissä käytännesäännöissä ei vielä oteta riittävästi huomioon näitä vaatimuksia. Tämän vuoksi säännöstöä ei hyväksytty.
Seuraavat vaiheet
Komissio tekee yhteistyötä useiden alan sidosryhmien kanssa kannustaakseen nykyisen käytännesääntöjen luonnoksen jatkokehittelyä, jotta se voidaan tulevaisuudessa toimittaa Euroopan tietosuojaneuvostolle virallisen hyväksynnän saamiseksi.
Sovelluksen kehittäjiä koskevat keskeiset säännökset
Käytännesääntöjen nykyinen luonnos sisältää käytännön ohjeita sovelluskehittäjille tietosuojaperiaatteista terveysalan mobiilisovelluksia kehitettäessä. Käytännesäännöissä käsitellään erityisesti seuraavia aiheita:
Käyttäjän suostumus
Käyttäjän suostumuksen henkilötietojen käsittelyyn on oltava vapaaehtoinen, yksilöity ja tietoinen. Terveystietojen käsittelyyn on saatava nimenomainen suostumus. Suostumuksen peruuttamisen on johdettava käyttäjän henkilötietojen poistamiseen.
Käyttötarkoituksen rajoittaminen ja tietojen minimointi
Tietoja voidaan käsitellä vain erityisiin ja laillisiin tarkoituksiin. Vain tietoja, jotka ovat ehdottoman välttämättömiä sovelluksen toimivuudelle, voidaan käsitellä.
Sisäänrakennettu ja oletusarvoinen tietosuoja
Sovelluksen tietosuojavaikutukset on otettava huomioon jokaisessa kehitysvaiheessa ja aina, kun käyttäjälle annetaan mahdollisuus valita. Sovelluskehittäjän on valittava oletusarvoisesti vähiten yksityisyyttä loukkaava vaihtoehto.
Rekisteröidyn oikeudet ja tietovaatimukset
Käyttäjällä on oikeus saada pääsy henkilötietoihinsa, pyytää niihin oikaisua ja vastustaa niiden jatkokäsittelyä. Sovelluskehittäjän on annettava käyttäjälle tiettyjä tietoja käsittelystä.
Tietojen säilyttäminen
Henkilötietoja ei saa säilyttää pidempään kuin on tarpeen.
Turvatoimet
On toteutettava teknisiä ja organisatorisia toimenpiteitä, joilla varmistetaan käsiteltävien henkilötietojen luottamuksellisuus, eheys ja saatavuus ja suojataan niitä vahingossa tapahtuvalta tai laittomalta tuhoamiselta, häviämiseltä, muuttamiselta, luovuttamiselta, tietoihin pääsyltä tai muulta laittomalta käsittelyltä.
Mainonta terveysalan mobiilisovelluksissa
On erotettava toisistaan mainonta, joka perustuu henkilötietojen käsittelyyn (edellyttää suostumusta) ja mainonta, joka ei perustu henkilötietoihin (opt-out-suostumus).
Henkilötietojen käyttö toissijaisiin tarkoituksiin
Toissijaisiin tarkoituksiin tapahtuvan käsittelyn on oltava yhteensopivaa alkuperäisen tarkoituksen kanssa. Jatkokäsittelyä tieteellisiä ja historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten pidetään alkuperäisen tarkoituksen mukaisena. Toissijainen käsittely yhteensopimattomiin tarkoituksiin edellyttää uutta suostumusta.
Tietojen luovuttaminen kolmansille osapuolille käsittelytoimia varten
Käyttäjälle on ilmoitettava ennen tietojen luovuttamista, ja sovelluksen kehittäjän on tehtävä sitova oikeudellinen sopimus kolmannen osapuolen kanssa.
Tiedonsiirrot
Tietojen siirtämiseksi EU:n/ETA:n ulkopuolelle tarvitaan oikeudelliset takeet, jotka mahdollistavat tällaisen siirron, esimerkiksi Euroopan komission tietosuojan riittävyyttä koskeva päätös, Euroopan komission mallisopimukset tai yritystä koskevat sitovat säännöt.
Henkilötietojen tietoturvaloukkaus
Käytännesäännöissä esitetään tarkistuslista, jota on noudatettava, jos tapahtuu henkilötietojen tietoturvaloukkaus, erityisesti velvollisuus ilmoittaa asiasta tietosuojaviranomaiselle.
Lapsilta kerätyt tiedot
Kansallisessa lainsäädännössä määritellystä ikärajasta riippuen on noudatettava kaikkein rajoittavinta tietojenkäsittelytapaa ja otettava käyttöön menettely vanhempien suostumuksen saamiseksi.
Tuoreimmat uutiset
Aiheeseen liittyvää
Aiheesta laajemmin