Kodeks prywatności dotyczący mobilnych aplikacji zdrowotnych

Pierwsze wersje kodeksu postępowania dla mobilnych aplikacji zdrowotnych zostały przygotowane w kontekście konsultacji Komisji Europejskiej z 2014 r. w sprawie mobilnej zielonej księgi dotyczącej zdrowia. Konsultacje wykazały, że ludzie często nie ufają mobilnym aplikacjom zdrowotnym ze względu na obawy o prywatność.

Po konsultacjach Komisja Europejska zachęciła zainteresowane strony z branży do opracowania kodeksu postępowania w zakresie prywatności w odniesieniu do mobilnych aplikacji zdrowotnych w celu zwiększenia zaufania.

Celem kodeksu postępowania było uzyskanie formalnej zgody europejskich organów ochrony danych. Zgodnie z obowiązującym ogólnym rozporządzeniem o ochronie danych (RODO) rola oceny kodeksów wchodzi w zakres mandatu Europejskiej Rady Ochrony Danych. Kody zatwierdzone przez Europejską Radę Ochrony Danych mogą mieć ogólną ważność w całej UE w drodze aktu wykonawczego.

Historia i aktualny stan

Prace nad mobilnym kodeksem postępowania w zakresie zdrowia rozpoczęły się w kwietniu 2015 r., kiedy zespół redakcyjny składający się z członków branży rozpoczął opracowywanie tekstu kodeksu. Komisja Europejska pełniła rolę pośrednika, zapewniając wiedzę i zasoby prawne i polityczne oraz nadzorując rozwój tych prac.

Ten zespół redakcyjny obejmował App Association (ACT), App Developers Alliance, Apple, COCIR, Digital Europe, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm i Samsung. Pracowali przez regularne spotkania i prezentowali prace na różnych wydarzeniach w celu uzyskania dalszych informacji zwrotnych. Wizja polegała na tym, że kodeks powinien być łatwo zrozumiały dla MŚP i indywidualnych deweloperów, którzy mogą nie mieć dostępu do wiedzy prawnej.

W czerwcu 2016 r. zespół redakcyjny przedstawił wczesną wersję prac Grupie Roboczej Art. 29 na pierwszą rundę informacji zwrotnych. W następstwie różnych sugestii dotyczących ulepszeń przedstawionych przez grupę roboczą kodeks został przeredagowany (.pdf) i formalnie przedłożony w dniu 7 grudnia 2017 r., z wnioskiem o zatwierdzenie na podstawie dyrektywy o ochronie danych.

Grupa Robocza opublikowała swoją ocenę w kwietniu 2018 r. Stwierdzono w nim, że należy stosować kryteria określone w RODO oraz że istniejący kodeks nie spełnia jeszcze w odpowiedni sposób tych wymogów. W rezultacie kodeks nie został zatwierdzony.

Kolejne kroki

Komisja współpracuje z szeregiem zainteresowanych stron z branży w celu zachęcenia do dalszego rozwoju obecnego projektu kodeksu, tak aby w przyszłości mógł on zostać przedłożony Europejskiej Radzie Ochrony Danych w celu uzyskania formalnego zatwierdzenia.

Główne przepisy dla twórców aplikacji

Obecny projekt kodeksu składa się z praktycznych wskazówek dla twórców aplikacji dotyczących zasad ochrony danych przy opracowywaniu mobilnych aplikacji zdrowotnych. Kodeks odnosi się w szczególności do następujących tematów:

Zgoda użytkownika 

Zgoda użytkownika na przetwarzanie danych osobowych musi być swobodna, konkretna i świadoma. Należy uzyskać wyraźną zgodę na przetwarzanie danych dotyczących zdrowia. Każde wycofanie zgody musi skutkować usunięciem danych osobowych użytkownika.

Ograniczenie celu i minimalizacja danych

Dane mogą być przetwarzane wyłącznie w określonych i zgodnych z prawem celach. Przetwarzane mogą być tylko dane, które są ściśle niezbędne do funkcjonowania aplikacji.

Prywatność w fazie projektowania i domyślnie

Konsekwencje dla prywatności aplikacji muszą być brane pod uwagę na każdym etapie rozwoju i wszędzie tam, gdzie użytkownik ma wybór. Programista aplikacji musi wstępnie wybrać najmniej inwazyjny wybór prywatności.

Prawa osób, których dane dotyczą i wymogi informacyjne

Użytkownik ma prawo dostępu do swoich danych osobowych, żądania sprostowania oraz wniesienia sprzeciwu wobec dalszego przetwarzania. Programista aplikacji musi dostarczyć użytkownikowi pewne informacje na temat przetwarzania.

Przechowywanie danych 

Dane osobowe nie mogą być przechowywane dłużej niż jest to konieczne.

Środki bezpieczeństwa

Należy wdrożyć środki techniczne i organizacyjne, aby zapewnić poufność, integralność i dostępność przetwarzanych danych osobowych oraz chronić przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, zmianą, ujawnieniem, dostępem lub innymi niezgodnymi z prawem formami przetwarzania.

Reklama w mobilnych aplikacjach zdrowotnych

Istnieje rozróżnienie między reklamą opartą na przetwarzaniu danych osobowych (wymagającą zgody opt-in) a reklamą, która nie opiera się na danych osobowych (zgoda opt-out).

Wykorzystywanie danych osobowych do celów drugorzędnych

Wszelkie przetwarzanie do celów drugorzędnych musi być zgodne z pierwotnym celem. Dalsze przetwarzanie do badań naukowych i historycznych lub do celów statystycznych uznaje się za zgodne z pierwotnym celem. Wtórne przetwarzanie w celach niezgodnych z wymogami wymaga nowej zgody.

Ujawnianie danych osobom trzecim do celów operacji przetwarzania

Użytkownik musi zostać poinformowany przed ujawnieniem, a deweloper aplikacji musi zawrzeć wiążącą umowę prawną ze stroną trzecią.

Transfer danych

W przypadku przekazywania danych do lokalizacji poza UE/EOG muszą istnieć gwarancje prawne umożliwiające takie przekazanie, np. decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, wzór umów Komisji Europejskiej lub wiążące reguły korporacyjne.

Naruszenie danych osobowych

Kodeks zawiera listę kontrolną, którą należy śledzić w przypadku naruszenia ochrony danych osobowych, w szczególności obowiązek powiadomienia organu ochrony danych.

Dane zebrane od dzieci

W zależności od granicy wieku określonej w prawodawstwie krajowym należy przyjąć najbardziej restrykcyjne podejście do przetwarzania danych i wprowadzić proces uzyskiwania zgody rodziców.