DATASIKKERHED AF SUNDHEDSAPPS Advokat Egil Husum, Horten 24. maj 2016
DATASIKKERHED SUNDHEDSAPPS side 2 Sådan skal en producent af sundhedsapps forholde sig til følsomme personoplysninger Hvad er sundhedsapps og hvad er følsomme personoplysninger? Hvilke krav stilles der til datasikkerheden nu og i 2018? Hvor ligger ansvaret ved brud på sikkerheden Nu? I 2018?
HVAD ER FØLSOMME HELBREDSOPLYSNINGER? side 3 Helbredsstatus Identifikation af person for helbredsformål Levering af helbredsydelser Undersøgelse af person Sygdom, handicap, sygdomsrisiko, helbredshistorik, kliniks behandling, aktuelle fysiologiske eller biomedicinske status af en person
HELBREDSOPLYSNINGER IFØLGE ART. 29-GRUPPEN? side 4 Artikel 29-gruppen Bredere end medicinsk F.eks. briller eller kontaktlinser IQ Ryge- og drikkevaner Allergi Medlemskab af patientgruppe, Weight Watchers eller AA Sygemelding på arbejdet Køb af medicin, medicinsk udstyr og ydelser og deltagelse i målrettet screening Ikke kun sygdom også andre testresultater
HELBREDSOPLYSNINGER EFTER FORORDNINGEN? side 5 Sygdomsrisiko omfatter også brugerens potentielle fremtidige helbredsstatus Overvægt For højt eller for lavt blodtryk Arvelig eller genetisk risiko For højt alkohol forbrug Rygning Narko- eller medicinforbrug Andre oplysninger om forhold, som videnskabeligt eller ud fra almindelige betragtninger udgør en risiko for fremtidig sygdom En dataansvarligs brug af hvilken som helst slags persondata med henblik på identifikation eller opsporing af sygdomsrisiko Motionsvaner og sammenhænge med livstilsrisici f.eks. på baggrund af big data
HVAD ER IKKE FØLSOMME PERSONOPLYSNINGER? side 6 Apps, som ikke kan bruges til meningsfyldt at udlede noget om helbredsforhold Antallet af skridt på en enkelt dag uden sammenhæng med andre data om den brugeren Data uden medicinsk sammenhæng, som ikke behandler egentlige private oplysninger Dvs. low impact lifetyle data, f.eks. uden GPS-oplysninger og uden oplysninger til brug for vurderingen af helbred
HELBREDSOPLYSNINGER GRÅZONER? side 7 Hvornår bliver low impact lifetyle data til helbredsoplysninger? Enkeltstående måling af vægt, blodtryk eller puls er ikke en helbredsoplysning Men en række målinger over tid eventuelt sammen med alder og køn kan vise Fedme Sygdom, der fører til vægttab (eller som følge af en slankekur) Forhøjet blodtryk Fejl i hjerterytme Slanke-app, der tæller kalorier, eller søvndagbog kombineret med Oplysninger fra brugerens Facebook-profil Kan sige noget om sygdomsrisiko i forhold til f.eks. sukkersyge Konklusioner på baggrund af disse oplysninger rigtige eller forkerte skal behandles som helbredsoplysninger
SIKKERHEDSKRAV WP 202 (2013) (1) side 8 Udgangspunkt: De nødvendige organisatoriske og tekniske sikkerhedsforanstaltninger Hvem er dataansvarlig? Opbevaring hos bruger eller clientserver med henblik på data recovery osv.? Privacy by design og default med henblik på begrænsning af risikoen Præcise procedurer for udvikling og distribuering Sikkerhedsfremmende miljø med mulighed for at undgå spredning af skadelige apps Programmering, hvor antallet af linjer og kompleksiteten af koden begrænses
SIKKERHEDSKRAV WP 202 (2013) (2) side 9 Validering af input, tilstrækkelige patches og regelmæssige audits (og brugeropdatering) Sikkerhed i designfasen i forbindelse med overførsel og opbevaring Apps placeres i sandboxes User identificering skal beskytte mod tracking og user-id og password skal gemmes krypteret Øget krav om sikkerhed f.eks. flerfaktor sikkerhed (sms el.lign.)
SIKKERHEDSKRAV HELBREDSAPPS WP 5. FEBRUAR 2015 side 10 Anonymisering, hvis muligt Privacy by design Data minimisering
SIKKERHEDSKRAV I FORORDNINGEN side 11 Brug af databehandlere Fortegnelsen Privacy impact assessment Data protection officer Codes of conduct eller certificering
ANSVAR side 12 Nu er ansvaret primært hos den dataansvarlige Også hos databehandleren i forhold til sikkerhedskrav I forordningen kommer der en klarere placering af ansvaret også hos databehandleren
OPSUMMERING side 13 Er det tale om følsomme helbredsoplysninger? Skrappe sikkerhedskrav til udvikling af apps og til en clientserver Med forordningen kommer et klarere ansvar for både den dataansvarlige og databehandleren Forordningen: http://eur-lex.europa.eu/legalcontent/da/txt/pdf/?uri=celex:32016r0679&from=en WP 202: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2013/wp202_en.pdf Annex health data in apps and devices 2015: http://ec.europa.eu/justice/data-protection/article- 29/documentation/otherdocument/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf
PROFIL EGIL HUSUM Egil Husum rådgiver en lang række offentlige myndigheder samt danske og udenlandske virksomheder om persondataretlige spørgsmål og privacy. Rådgivningen vedrører overholdelse af gældende regler (compliance), overvejelser i forbindelse med indførelse af ny teknologi og nye initiativer og kontakt til Datatilsynet og andre offentlige myndigheder i forbindelse med afklaring af ansvar. Han skriver endvidere artikler om persondataretlige spørgsmål til danske og udenlandske medier. Egil rådgiver desuden om offentlig ret med særlig fokus på kommunal- og forvaltningsret. Han har beskæftiget sig med offentligretlige problemstillinger i en lang årrække både som embedsmand i styrelser, ministerier og kommuner og som ekstern advokat. Egil Husum Advokat Dir: +4533344224 Mob: +4552344224 E-mail: ehu@horten.dk Karriere Certificeret IT-advokat, 2013 Advokat, Horten, 2007 Advokatbeskikkelse, 2007 Advokatfuldmægtig, Horten, 2005-2007 Juridisk konsulent og souschef, Jura Gentofte Kommune, 2001-2005 Souschef, Flygtningenævnets Sekretariat, 2000-2001 Jurist, Indenrigsministeriet, 1996-2000 Jurist, Udlændingestyrelsen, 1994-1996 Uddannelse Cand.jur., Københavns Universitet, 1993 Specialer Offentlig ret Persondataret Gaming Media & entertainment It-ret & telekommunikation