Code de conduite sur la protection de la vie privée sur les applications de santé mobiles

Les premières versions du code de conduite pour les applications mobiles de santé ont été préparées dans le contexte de la consultation 2014 de la Commission européenne sur le livre vert sur la santé mobile. La consultation a révélé que les gens ne font souvent pas confiance aux applications mobiles de santé en raison de préoccupations en matière de protection de la vie privée.

À la suite de cette consultation, la Commission européenne a encouragé les parties prenantes de l’industrie à créer un code de conduite sur la protection de la vie privée sur les applications de santé mobiles afin d’accroître la confiance.

L’objectif était que le code de conduite obtienne l’approbation formelle des autorités européennes chargées de la protection des données. En vertu de l’actuel règlement général sur la protection des données (RGPD), le rôle d’évaluation des codes relève du mandat du comité européen de la protection des données. Les codes approuvés par le comité européen de la protection des données peuvent bénéficier d’une validité générale dans l’ensemble de l’UE au moyen d’un acte d’exécution.

Historique et statut actuel

Les travaux sur un code de conduite sur la santé mobile ont commencé en avril 2015, lorsqu’une équipe de rédaction de membres de l’industrie a commencé à élaborer le texte du code. La Commission européenne a agi en tant que facilitateur, en fournissant des compétences et des ressources juridiques et politiques et en supervisant le développement de ces travaux.

Cette équipe de rédaction comprenait l’association App (ACT), les développeurs d’applications Alliance, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm et Samsung. Ils ont travaillé dans le cadre de réunions régulières et ont présenté les travaux lors de divers événements afin d’obtenir un retour d’information supplémentaire. La vision était que le code devrait être facilement compréhensible pour les PME et les promoteurs individuels qui n’ont peut-être pas accès à l’expertise juridique.

Une première version des travaux a été soumise par l’équipe de rédaction au groupe de travail «Article 29» en juin 2016 pour une première série de retours d’information. À la suite de diverses suggestions d’amélioration de la part du groupe, le code a été remanié (.pdf) et officiellement soumis le 7 décembre 2017, demandant l’approbation au titre de la directive sur la protection des données.

Le groupe a publié son évaluation en avril 2018. Il a constaté que les critères du RGPD devaient être appliqués et que le code existant ne répondait pas encore de manière adéquate à ces exigences. Par conséquent, le Code n’a pas été approuvé.

Prochaines étapes

La Commission s’est engagée auprès d’un éventail de parties prenantes du secteur afin d’encourager la poursuite de l’élaboration du projet de code actuel, afin qu’il puisse être soumis à l’avenir au comité européen de la protection des données afin d’obtenir une approbation formelle.

Principales dispositions pour les développeurs d’applications

Le projet actuel de code consiste en des orientations pratiques à l’intention des développeurs d’applications sur les principes de protection des données tout en développant des applications mobiles de santé. Le Code aborde notamment les sujets suivants:

Consentement de l’utilisateur 

Le consentement de l’utilisateur pour le traitement des données à caractère personnel doit être libre, spécifique et informé. Il faut obtenir un consentement explicite pour le traitement des données de santé. Tout retrait de consentement doit entraîner la suppression des données personnelles de l’utilisateur.

Limitation de la finalité et minimisation des données

Les données ne peuvent être traitées qu’à des fins spécifiques et légitimes. Seules les données strictement nécessaires à la fonctionnalité de l’application peuvent être traitées.

Confidentialité dès la conception et par défaut

Les répercussions de l’application sur la vie privée doivent être prises en considération à chaque étape du développement et partout où l’utilisateur a le choix. Le développeur d’applications doit pré-sélectionner le choix le moins envahissant de la vie privée par défaut.

Droits des personnes concernées et exigences en matière d’information

L’utilisateur a le droit d’accéder à ses données personnelles, de demander des corrections et de s’opposer à un traitement ultérieur. Le développeur d’applications doit fournir à l’utilisateur certaines informations sur le traitement.

Conservation des données 

Les données à caractère personnel ne peuvent pas être conservées plus longtemps que nécessaire.

Mesures de sécurité

Des mesures techniques et organisationnelles doivent être mises en œuvre pour garantir la confidentialité, l’intégrité et la disponibilité des données à caractère personnel traitées et pour protéger contre toute destruction, perte, altération, divulgation, accès ou toute autre forme illicite de traitement illicite ou accidentelle.

Publicité dans les applications mobiles de santé

Il existe une distinction entre la publicité fondée sur le traitement de données à caractère personnel (qui nécessite le consentement d’opt-in) et la publicité ne s’appuyant pas sur des données à caractère personnel (consentement d’opt-out).

Utilisation de données à caractère personnel à des fins secondaires

Tout traitement à des fins secondaires doit être compatible avec la finalité initiale. Le traitement ultérieur à des fins de recherche scientifique et historique ou statistique est considéré comme compatible avec la finalité initiale. Le traitement secondaire à des fins non compatibles nécessite un nouveau consentement.

Communication de données à des tiers en vue d’opérations de traitement

L’utilisateur doit être informé avant la divulgation et le développeur d’applications doit conclure un accord juridique contraignant avec le tiers.

Transferts de données

Pour les transferts de données vers un lieu situé en dehors de l’UE/EEE, il convient de prévoir des garanties juridiques permettant ce transfert, par exemple une décision de la Commission européenne relative à l’adéquation, des contrats types de la Commission européenne ou des règles d’entreprise contraignantes.

Violation des données à caractère personnel

Le code fournit une liste de contrôle à suivre en cas de violation de données à caractère personnel, en particulier l’obligation de notifier une autorité chargée de la protection des données.

Données recueillies auprès des enfants

En fonction de la limite d’âge définie dans la législation nationale, l’approche de traitement des données la plus restrictive doit être adoptée et un processus d’obtention du consentement parental doit être mis en place.