Après avoir évoqué dans le premier article sur la mHealth la possibilité pour les développeurs d’applications mHealth de consulter le code de conduite sur la confidentialité des applications de santé mobile afin de se conformer aux règles prévues par l’Union européenne, il convient de s’intéresser aux utilisateurs de telles applications. Ces utilisateurs peuvent prendre connaissance de ce code afin de savoir ce qu’ils peuvent exiger de la part des développeurs quant au traitement de leurs données. Ainsi, concernant les aspects légaux intégrés dans le code de conduite sur la confidentialité des applications de santé mobile, nous trouvons des obligations, des règles et principes à respecter, comme :
- L’obligation de recueillir le consentement libre, explicite (c’est-à-dire exiger une action claire et sans ambiguïté de la part de l’utilisateur), spécifique et éclairé afin de traiter les données des utilisateurs. Il est précisé que le consentement doit être contextuel, autrement dit le consentement doit être demandée à différentes étapes de l’utilisation de l’application, avec des consentements supplémentaires recherchés lorsque l’application traite les données de l’utilisateur d’une manière nouvelle. En outre, les utilisateurs doivent pouvoir supprimer leurs données personnelles ou désinstaller l’application ou retirer leur consentement en utilisant des mécanismes accessibles et faciles à comprendre. Tout retrait de consentement doit entraîner la suppression des données de l’utilisateur de tous les systèmes, sauf si les utilisateurs ont consenti à la conservation de leurs données. En outre, les informations clés ne doivent pas être intégrées dans un texte juridique volumineux et doivent être présentées de manière claire et conviviale.
- Le code de conduite ajoute que l’application mHealth doit être conçue pour collecter et traiter uniquement des données concernant la santé à des fins spécifiques et légitimes, qui doivent êtreclairement définies avant tout traitement de données et doivent avoir une relation significative avec les fonctionnalités de l’application. Si les données personnelles doivent être utilisées à des fins autres que la finalité initiale ou compatible de la collecte, les données personnelles doivent soit être complètement anonymisées avant de les réutiliser (en supprimant toute possibilité d’identifier une personne sur la base des données), ou bien le consentement libre, éclairé et explicite des utilisateurs à la nouvelle utilisation doit être obtenu.
- Il faut également minimiser de manière appropriée l’utilisation des données personnelles et le développeur doit identifier quel type de mesures de sécurité sont nécessaires pour éviter la destruction accidentelle ou illégale, la perte, la modification, la divulgation non autorisée ou l’accès aux données de l’utilisateur. Il convient de prévoir que, chaque fois que l’utilisateur a le choix quant au traitement de ses données mais ne prend aucune mesure pour exprimer une préférence, par défaut, le développeur de l’application doit présélectionner le choix le moins invasif.
- Les utilisateurs de l’application ont le droit d’accéder à toutes les données personnelles les concernant stockées par le développeur. En outre, ils ont le droit d’obtenir des corrections de ces données si elles sont incorrectes et de s’opposer à tout traitement ultérieur de toutes les données stockées à leur sujet.
- Le développeur doit s’identifier clairement et sans ambiguïté, et fournir des informations de contact qui permettront aux utilisateurs de poser toutes les questions qu’ils peuvent avoir concernant la protection de leur vie privée ou d’exercer leur droit à la portabilité des données (c’est-à-dire le droit de l’utilisateur d’obtenir toutes les données personnelles les concernant dans un format structuré, couramment utilisé et lisible par une machine; et le droit du l’utilisateur de transmettre ces données à une autre application).
- Les informations essentielles sur le traitement des données doivent être à la disposition des utilisateursavant l’installation de l’application.
- Le développeur ne peut pas stocker de données personnelles, y compris des données concernant la santé, plus longtemps que nécessaire pour les fonctionnalités de l’application. Les données doivent être supprimées par le développeur lorsqu’elles ne sont plus pertinentes pour les fonctionnalités de l’application.
- L’application doit respecter les principes de confidentialité par conception et de confidentialité par défaut. C’est la raison pour laquelle, le développeur doit déterminer si les données peuvent être pseudonymisées ou anonymisées sans nuire aux fonctionnalités de l’application ; ce faisant, une évaluation des risques devrait être effectuée, en tenant compte de toutes les données, services et partenaires disponibles avec lesquels les données pourraient être échangées afin d’atténuer le risque de réidentification. Ainsi, il est envisageable d’utiliser un chiffrement afin d’atténuer davantage le risque de violations.
- Ce code exige qu’avant de mettre des données à la disposition d’un tiers, le développeur doit conclure un accord juridique contraignant avec ce tiers, en précisant à quelles fins il peut traiter les données. Il doit s’assurer que la responsabilité du tiers est suffisamment claire et appropriée pour couvrir les dommages potentiels subis par les utilisateurs de l’application. Le développeur peut être tenu responsable envers ses utilisateurs si des incidents avec le tiers leur causent des dommages.
- Le développeur d’une application mHealth doit évaluer si les données violées sont considérées comme des données personnelles (contiennent le nom, l’adresse, l’adresse e-mail, le numéro de téléphone, la carte de crédit ou d’autres informations de paiement, les données concernant la santé liées à une personne identifiable, l’adresse IP où elles sont conservées avec d’autres données à partir desquelles la personne peut être identifiée). Si oui, il faut à compter du 25 mai 2018, envoyer des notifications de violation de données aux autorités de protection des données qui sont obligatoires dans toute l’UE en vertu du règlement général sur la protection des données.
En conclusion, les utilisateurs de telles applications peuvent donc utiliser ce code afin d’exiger de la part de développeurs d’applications mHealth le respect de leurs droits.
Publié le 9 juillet 2020 par Mihaela Castrubin
Pour voir d’autres articles réalisés par la promotion MSI 2020 : cliquez ici
