Codul de conduită privind confidențialitatea pe aplicațiile mobile de sănătate

Primele versiuni ale codului de conduită pentru aplicațiile mobile de sănătate au fost elaborate în contextul consultării Comisiei Europene din 2014 privind cartea verde privind sănătatea. Consultarea a arătat că adesea oamenii nu au încredere în aplicațiile de sănătate mobile din cauza preocupărilor legate de confidențialitate.

În urma acestei consultări, Comisia Europeană a încurajat părțile interesate din industrie să creeze un cod de conduită în materie de confidențialitate pentru aplicațiile de sănătate mobile, pentru a spori încrederea.

Obiectivul a fost ca codul de conduită să obțină aprobarea oficială a autorităților europene pentru protecția datelor. În temeiul actualului Regulament general privind protecția datelor ( RGPD), rolul de evaluare a codurilor intră sub incidența mandatului Comitetului european pentru protecția datelor. Codurile aprobate de Comitetul european pentru protecția datelor pot beneficia de valabilitate generală în întreaga UE prin intermediul unui act de punere în aplicare.

Istoria și starea actuală

Activitatea privind un cod de conduită în domeniul sănătății mobile a început în aprilie 2015, când o echipă de redactare a membrilor industriei a început să dezvolte textul codului. Comisia Europeană a acționat în calitate de facilitator, oferind expertiză și resurse juridice și politice și supraveghând dezvoltarea acestei activități.

Această echipă de redactare a inclus App Association (ACT), Alianța dezvoltatorilor de aplicații, Apple, COCIR, Europa digitală, ECHA, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm și Samsung. Aceștia au lucrat în cadrul unor reuniuni periodice și au prezentat lucrările la diverse evenimente pentru a obține feedback suplimentar. Viziunea a fost că codul ar trebui să fie ușor de înțeles pentru IMM-uri și dezvoltatori individuali, care ar putea să nu aibă acces la expertiză juridică.

O versiune timpurie a lucrărilor a fost prezentată de echipa de redactare Grupului de lucru „Articolul 29” în iunie 2016 pentru o primă rundă de feedback. În urma mai multor sugestii de îmbunătățire din partea grupului de lucru, codul a fost refăcut (.pdf) și prezentat oficial la 7 decembrie 2017, solicitând aprobarea în temeiul Directivei privind protecția datelor.

Grupul de lucru și -a publicat evaluarea în aprilie 2018. Aceasta a constatat că ar trebui aplicate criteriile RGPD și că codul existent nu a abordat încă în mod adecvat aceste cerințe. Prin urmare, codul nu a fost aprobat.

Pașii următori

Comisia colaborează cu o serie de părți interesate din industrie pentru a încuraja dezvoltarea în continuare a actualului proiect de cod, astfel încât acesta să poată fi prezentat în viitor Comitetului european pentru protecția datelor pentru a solicita aprobarea oficială.

Principalele dispoziții pentru dezvoltatorii de aplicații

Actualul proiect de cod constă în orientări practice pentru dezvoltatorii de aplicații cu privire la principiile de protecție a datelor, dezvoltând în același timp aplicații mobile de sănătate. Codul abordează în special următoarele subiecte:

Consimțământul utilizatorului 

Consimțământul utilizatorului pentru prelucrarea datelor cu caracter personal trebuie să fie liber, specific și informat. Este necesar să se obțină consimțământul explicit pentru prelucrarea datelor privind sănătatea. Orice retragere a consimțământului trebuie să aibă ca rezultat ștergerea datelor cu caracter personal ale utilizatorului.

Limitarea scopului și reducerea la minimum a datelor

Datele pot fi prelucrate numai în scopuri specifice și legitime. Numai datele care sunt strict necesare pentru funcționalitatea aplicației pot fi prelucrate.

Confidențialitate începând cu momentul conceperii și în mod implicit

Implicațiile în materie de confidențialitate ale aplicației trebuie luate în considerare la fiecare etapă a dezvoltării și ori de câte ori utilizatorul are posibilitatea de a alege. Dezvoltatorul de aplicații trebuie să preselecteze opțiunea cea mai puțin invazivă pentru confidențialitate în mod implicit.

Drepturile persoanelor vizate și cerințele în materie de informare

Utilizatorul are dreptul de a accesa datele sale cu caracter personal, de a solicita corecții și de a se opune prelucrării ulterioare. Dezvoltatorul de aplicații trebuie să furnizeze utilizatorului anumite informații cu privire la procesare.

Păstrarea datelor 

Datele cu caracter personal nu pot fi stocate mai mult decât este necesar.

Măsuri de securitate

Trebuie puse în aplicare măsuri tehnice și organizatorice pentru a asigura confidențialitatea, integritatea și disponibilitatea datelor cu caracter personal prelucrate și pentru a proteja împotriva distrugerii accidentale sau ilegale, pierderii, modificării, divulgării, accesului sau altor forme ilegale de prelucrare.

Publicitate în aplicațiile de sănătate mobile

Există o distincție între publicitatea bazată pe prelucrarea datelor cu caracter personal (necesitând consimțământul de participare) și publicitatea care nu se bazează pe date cu caracter personal (consimțământul de renunțare).

Utilizarea datelor cu caracter personal în scopuri secundare

Orice prelucrare în scopuri secundare trebuie să fie compatibilă cu scopul inițial. Prelucrarea ulterioară în scopuri de cercetare științifică și istorică sau în scopuri statistice este considerată compatibilă cu scopul inițial. Prelucrarea secundară în scopuri necompatibile necesită un nou consimțământ.

Dezvăluirea datelor către terți pentru operațiunile de prelucrare

Utilizatorul trebuie să fie informat înainte de dezvăluire, iar dezvoltatorul de aplicații trebuie să încheie un acord juridic obligatoriu cu partea terță.

Transferuri de date

Pentru transferurile de date către o locație din afara UE/SEE, trebuie să existe garanții legale care să permită un astfel de transfer, de exemplu o decizie privind caracterul adecvat al nivelului de protecție a Comisiei Europene, modelul de contracte al Comisiei Europene sau regulile corporative obligatorii.

Încălcarea securității datelor cu caracter personal

Codul oferă o listă de verificare care trebuie urmată în cazul unei încălcări a securității datelor cu caracter personal, în special obligația de a notifica o autoritate pentru protecția datelor.

Date colectate de la copii

În funcție de limita de vârstă definită în legislația națională, trebuie adoptată cea mai restrictivă abordare a prelucrării datelor și trebuie instituit un proces de obținere a consimțământului părinților.