Uppförandekoden för integritet på mobila hälsoappar syftar till att främja förtroendet bland användarna och ge en konkurrensfördel för dem som registrerar sig för den.
De första versionerna av uppförandekoden för mobila hälsoappar utarbetades mot bakgrund av Europeiska kommissionens samråd om grönboken om mobil hälsa 2014. Samrådet visade att människor ofta inte litar på mobila hälsoappar på grund av integritetsproblem.
Efter detta samråd uppmuntrade kommissionen berörda parter inom industrin att ta fram en uppförandekod för integritetsskydd för mobila hälsoappar för att öka förtroendet.
Målet var att uppförandekoden skulle godkännas formellt av de europeiska dataskyddsmyndigheterna. Enligt den nuvarande allmänna dataskyddsförordningen omfattas uppgiften att bedöma uppförandekoder av Europeiska dataskyddsstyrelsens mandat. Koder som godkänts av Europeiska dataskyddsstyrelsen kan beviljas allmän giltighet i hela EU genom en genomförandeakt.
Historia och aktuell status
Arbetet med en uppförandekod för mobil hälsa inleddes i april 2015 när en arbetsgrupp bestående av branschmedlemmar började utarbeta texten till uppförandekoden. Europeiska kommissionen underlättade arbetet genom att tillhandahålla juridisk och politisk expertis och resurser och övervakade utvecklingen av detta arbete.
I beredningsgruppen ingick App Association (ACT), App developers Alliance, Apple, COCIR, Digital Europe, Echa, DHACA, EFPIA, Google, Intel, Microsoft, Qualcomm och Samsung. De arbetade genom regelbundna möten och presenterade arbetet vid olika evenemang för att få ytterligare feedback. Visionen var att koden skulle vara lättbegriplig för små och medelstora företag och enskilda utvecklare som kanske inte har tillgång till juridisk expertis.
Redaktionsgruppen överlämnade en tidig version av arbetet till artikel 29-gruppen i juni 2016 för en första omgång återkoppling. Efter olika förslag till förbättringar från arbetsgruppen omarbetades uppförandekoden (.pdf) och lämnades formellt in den 7 december 2017 med en begäran om godkännande enligt dataskyddsdirektivet.
Arbetsgruppen offentliggjorde sin bedömning i april 2018. Den fann att kriterierna i den allmänna dataskyddsförordningen bör tillämpas och att den befintliga uppförandekoden ännu inte på ett tillfredsställande sätt uppfyller dessa krav. Koden godkändes därför inte.
Nästa steg
Kommissionen samarbetar med en rad berörda parter inom branschen för att uppmuntra en vidareutveckling av det nuvarande utkastet till uppförandekod, så att det i framtiden kan läggas fram för Europeiska dataskyddsstyrelsen för formellt godkännande.
Huvudsakliga bestämmelser för apputvecklare
Det nuvarande utkastet till uppförandekod består av praktisk vägledning för apputvecklare om dataskyddsprinciper vid utveckling av mobila hälsoappar. Kodexen behandlar särskilt följande ämnen:
Användarens samtycke
Användarens samtycke till behandling av personuppgifter måste vara fritt, specifikt och informerat. Uttryckligt samtycke måste inhämtas för behandling av hälsouppgifter. Varje återkallelse av samtycke måste resultera i radering av användarens personuppgifter.
Ändamålsbegränsning och uppgiftsminimering
Uppgifterna får endast behandlas för särskilda och berättigade ändamål. Endast data som är absolut nödvändiga för appens funktionalitet får behandlas.
Inbyggt integritetsskydd och integritetsskydd som standard
Appens integritetskonsekvenser måste beaktas vid varje steg i utvecklingen och varhelst användaren ges ett val. Apputvecklaren måste välja det minst integritetsinvasiva valet som standard.
Den registrerades rättigheter och informationskrav
Användaren har rätt att få tillgång till sina personuppgifter, begära rättelse och invända mot vidare behandling. Apputvecklaren måste ge användaren viss information om behandlingen.
Lagring av uppgifter
Personuppgifter får inte lagras längre än nödvändigt.
Säkerhetsåtgärder
Tekniska och organisatoriska åtgärder måste vidtas för att säkerställa konfidentialitet, integritet och tillgänglighet för de personuppgifter som behandlas och för att skydda mot oavsiktlig eller olaglig förstöring, förlust, ändring, utlämnande, tillgång eller andra olagliga former av behandling.
Annonsering i mobila hälsoappar
Det finns en skillnad mellan reklam som bygger på behandling av personuppgifter (kräver samtycke) och reklam som inte bygger på personuppgifter (samtycke till samtycke).
Användning av personuppgifter för sekundära ändamål
All behandling för sekundära ändamål måste vara förenlig med det ursprungliga ändamålet. Ytterligare behandling för vetenskapliga och historiska forskningsändamål eller statistiska ändamål anses vara förenlig med det ursprungliga syftet. Sekundär behandling för icke-kompatibla ändamål kräver ett nytt samtycke.
Utlämnande av uppgifter till tredje part för behandling
Användaren måste informeras före offentliggörandet och apputvecklaren måste ingå ett bindande juridiskt avtal med den tredje parten.
Överföring av uppgifter
För dataöverföringar till en plats utanför EU/EES måste det finnas rättsliga garantier som tillåter sådan överföring, t.ex. ett beslut om adekvat skyddsnivå från Europeiska kommissionen, Europeiska kommissionens modellavtal eller bindande företagsregler.
Personuppgiftsbrott
Koden innehåller en checklista som ska följas vid en personuppgiftsincident, särskilt skyldigheten att underrätta en dataskyddsmyndighet.
Data som samlats in från barn
Beroende på den åldersgräns som fastställs i nationell lagstiftning måste den mest restriktiva databehandlingsmetoden användas och en process för att erhålla föräldrarnas samtycke måste införas.
Senaste nytt
Läs mer
Översikt