Kodeks ponašanja o privatnosti na mobilnim aplikacijama za zdravlje

Prve verzije Kodeksa ponašanja za mobilne zdravstvene aplikacije pripremljene su u kontekstu savjetovanja Europske komisije o zelenoj knjizi o mobilnom zdravlju iz 2014.. Savjetovanje je pokazalo da ljudi često ne vjeruju mobilnim aplikacijama za zdravlje zbog zabrinutosti u pogledu privatnosti.

Nakon tog savjetovanja Europska komisija potaknula je dionike iz industrije da izrade kodeks ponašanja za mobilne zdravstvene aplikacije kako bi se povećalo povjerenje.

Cilj je bio da kodeks ponašanja dobije službeno odobrenje europskih tijela za zaštitu podataka. U skladu s postojećom Općom uredbom o zaštiti podataka uloga procjene kodeksa u nadležnosti je Europskog odbora za zaštitu podataka. Kodeksi koje je odobrio Europski odbor za zaštitu podataka mogu se provedbenim aktom odobriti u cijelom EU-u.

Povijest i sadašnji status

Rad na kodeksu ponašanja za mobilno zdravlje započeo je u travnju 2015., kada je skupina članova industrije počela razvijati tekst kodeksa. Europska komisija djelovala je kao posrednik, pružajući pravno i političko stručno znanje i resurse te nadgledajući razvoj tog rada.

Tim za izradu nacrta uključivao je Asocijaciju aplikacija (ACT), Savez programera aplikacija, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm i Samsung. Radili su na redovitim sastancima i predstavili rad na raznim događanjima kako bi dobili dodatne povratne informacije. Vizija je bila da bi kodeks trebao biti lako razumljiv MSP-ovima i pojedinačnim razvojnim subjektima koji možda nemaju pristup pravnom stručnom znanju.

Ranu verziju rada tim za izradu nacrta podnio je Radnoj skupini na temelju članka 29. u lipnju 2016. za prvi krug povratnih informacija. Nakon raznih prijedloga za poboljšanje Radne skupine Kodeks je izmijenjen (.pdf) i službeno je podnesen 7. prosinca 2017., tražeći odobrenje u skladu s Direktivom o zaštiti podataka.

Radna skupina objavila je svoju procjenu u travnju 2018. Utvrđeno je da bi se kriteriji iz Opće uredbe o zaštiti podataka trebali primjenjivati te da postojeći kodeks još nije na odgovarajući način obuhvatio te zahtjeve. Kao rezultat toga, Kodeks nije odobren.

Sljedeći koraci

Komisija surađuje s nizom dionika iz industrije kako bi potaknula daljnji razvoj trenutačnog nacrta Kodeksa kako bi se u budućnosti mogao podnijeti Europskom odboru za zaštitu podataka radi traženja službenog odobrenja.

Glavne odredbe za programere aplikacija

Trenutačni nacrt Kodeksa sastoji se od praktičnih smjernica za programere aplikacija o načelima zaštite podataka pri razvoju mobilnih zdravstvenih aplikacija. Kodeks se posebno odnosi na sljedeće teme:

Suglasnost korisnika 

Suglasnost korisnika za obradu osobnih podataka mora biti besplatna, specifična i informirana. Za obradu zdravstvenih podataka potrebno je dobiti izričitu privolu. Svako povlačenje privole mora rezultirati brisanjem osobnih podataka korisnika.

Ograničenje svrhe i smanjenje količine podataka

Podaci se mogu obrađivati samo u posebne i legitimne svrhe. Mogu se obrađivati samo podaci koji su strogo potrebni za funkcionalnost aplikacije.

Integrirana i zadana privatnost

Implikacije za privatnost aplikacije moraju se uzeti u obzir u svakom koraku razvoja i gdje god korisnik ima izbor. Programer aplikacije mora unaprijed odabrati najmanji izbor invazivne privatnosti prema zadanim postavkama.

Prava ispitanika i zahtjevi u pogledu informiranja

Korisnik ima pravo pristupiti svojim osobnim podacima, zatražiti ispravke i uložiti prigovor na daljnju obradu. Programer aplikacije mora korisniku pružiti određene informacije o obradi.

Zadržavanje podataka 

Osobni podaci ne smiju se čuvati dulje nego što je potrebno.

Sigurnosne mjere

Potrebno je provesti tehničke i organizacijske mjere kako bi se osigurala povjerljivost, cjelovitost i dostupnost obrađenih osobnih podataka te kako bi se zaštitilo od slučajnog ili nezakonitog uništavanja, gubitka, izmjene, otkrivanja, pristupa ili drugih nezakonitih oblika obrade.

Oglašavanje u mobilnim aplikacijama za zdravlje

Postoji razlika između oglašavanja koje se temelji na obradi osobnih podataka (zahtjev za pristanak na sudjelovanje) i oglašavanja koje se ne oslanja na osobne podatke (privola za izuzeće).

Korištenje osobnih podataka u sekundarne svrhe

Svaka obrada u sekundarne svrhe mora biti u skladu s izvornom svrhom. Daljnja obrada u znanstvene i povijesne svrhe ili u statističke svrhe smatra se usklađenom s izvornom svrhom. Sekundarna obrada u nekompatibilne svrhe zahtijeva novu privolu.

Otkrivanje podataka trećim stranama za postupke obrade

Korisnik mora biti obaviješten prije otkrivanja, a programer aplikacije mora sklopiti obvezujući pravni sporazum s trećom stranom.

Prijenos podataka

Za prijenos podataka na lokaciju izvan EU-a/EGP-a moraju postojati pravna jamstva koja dopuštaju takav prijenos, npr. odluka Europske komisije o primjerenosti, modeli ugovora Europske komisije ili obvezujuća korporativna pravila.

Kršenje osobnih podataka

Kodeks sadržava kontrolni popis koji treba slijediti u slučaju povrede osobnih podataka, a posebno obvezu obavješćivanja tijela za zaštitu podataka.

Podaci prikupljeni od djece

Ovisno o dobnoj granici definiranoj u nacionalnom zakonodavstvu, potrebno je primijeniti najstroži pristup obradi podataka i uspostaviti postupak za dobivanje privole roditelja.