La conférence allemande sur la protection des données “Document de synthèse sur les applications numériques de santé basées sur le cloud” s’est exprimé avec sa sévérité habituelle, entre autres sur la Responsabilité des fabricants de produits de santé numériques:
Le RGPD impose des obligations aux responsables du traitement et aux sous-traitants, article 4, points 7 et 8, du RGPD. Les fabricants assument le rôle de responsable s’ils décident non seulement de la fabrication de l’application numérique de santé, mais aussi des finalités et des moyens du traitement des données. Par dérogation, ils peuvent être considérés comme des sous-traitants s’ils traitent des données à caractère personnel pour le compte d’un responsable dans le respect des articles 28 et 29 du RGPD. En revanche, si la participation se limite à la production de l’application de santé, de sorte que les fabricants ne traitent pas les données à caractère personnel des utilisateurs, les fabricants ne sont ni responsables du traitement ni sous-traitants.
Outre les fabricants, d’autres acteurs entrent en ligne de compte pour le traitement des données à caractère personnel des applications numériques de santé, comme les médecins et autres prestataires de soins médicaux ainsi que les fournisseurs de services en nuage. Il convient d’examiner au cas par cas le rôle de ces acteurs du point de vue de la protection des données.
Il découle en outre du principe de privacy by design – en fait plutôt du principe de proportionnalité – qu’une Ne pas se connecter au cloud si elle n’est pas nécessaire et souhaitée :
L’utilisation de l’application de santé (par exemple, une application pour lire et enregistrer les valeurs de glucose) doit être possible sans utiliser les fonctions de l’informatique en nuage et sans être liée à un compte d’utilisateur, conformément au principe de “protection des données par la conception technique et par des paramètres par défaut respectueux de la vie privée” énoncé à l’article 25, paragraphe 1, du RGPD, à moins que la fonction de l’informatique en nuage ne soit absolument nécessaire à la Obtention d’un bénéfice thérapeutique nécessaire et la fonction est expressément demandée par la personne concernée.
La personne concernée doit disposer d’une possibilité de choix correspondante (par exemple dans le processus d’enregistrement) et être informée des éventuels avantages et risques existants liés à l’application en nuage. En cas de décision de ne pas recourir à un traitement basé sur l’informatique en nuage, les données peuvent tout au plus être stockées localement sur l’équipement terminal.
Lors de la Utilisation des données relatives à la santé se pose ensuite la question de la base juridique – dans ce cas, le consentement entrerait en ligne de compte, dans la mesure où les données ne sont pas anonymisées et où les fabricants ne sont pas légalement tenus de traiter les données, par exemple en vertu du règlement sur les dispositifs médicaux pour l’assurance qualité et la gestion des risques.
Les traitements tels que Analyse de la portée et suivi des erreurs logicielles:
Les mécanismes d’analyse de la portée et de suivi des erreurs logicielles fréquemment mis en œuvre, généralement intégrés dans les environnements de développement de logiciels et livrés avec les applications et les applications web, vérifient le comportement d’installation et les aspects généraux de la fonctionnalité du logiciel (télémétrie). Ce traitement de données n’est en principe pas compatible avec la finalité de l’application.
Dans le cadre de la Sécurité des données la CCPD mentionne quelques mesures de sécurité à prendre en considération. Par ailleurs :
La directive technique (TR) développée par l’Office fédéral de la sécurité des technologies de l’information (BSI) “Exigences de sécurité des applications numériques de santé” (BSI TR-03161) pour toutes les applications mobiles qui traitent et stockent des données sensibles. En principe, le BSI demande que les exigences de sécurité en matière de confidentialité, d’intégrité et de disponibilité soient prises en compte dès le début du développement du logiciel. Cette directive technique doit servir de guide pour aider les développeurs d’applications à créer des solutions sûres. Elle est divisée en trois parties :
- BSI TR-03161 Exigences relatives aux applications dans le domaine de la santé – Partie 1 : Applications mobiles
- BSI TR-03161 Exigences relatives aux applications dans le domaine de la santé – Partie 2 : Applications web
- BSI TR-03161 Exigences relatives aux applications dans le domaine de la santé – Partie 3 : Systèmes d’arrière-plan