Blog: is mijn medische app transparant over gegevensgebruik?

We staan aan de vooravond van een aantal grote Europese privacy-ontwikkelingen. Zo komt dit jaar de nieuwe privacyverordening uit waarin een aantal nu nog zeer interpretabele privacyregels meer eenduidiger zijn beschreven, maar waarin ook de strafmaatregelen flink toenemen. De overtreding van de regels kan een boete van € 100 miljoen of 5% van de wereldwijde omzet opleveren. Het zal niet zo snel gebeuren dat een dergelijke boete wordt opgelegd, maar het geeft het belang van privacy aan. Als app-ontwikkelaar wil je dit risico natuurlijk niet lopen in een tijdperk waarin het CBP heeft aangekondigd scherper te controleren op de beveiliging van persoonsgegevens en beveiliging van verwerking van persoonsgegevens binnen medische apparatuur.

Ontwikkelaars doen er goed aan om tijdens het design van een applicatie de privacy standaarden van article 29 Working party, de Wbp en Directive 95/46/EC goed door te nemen en de applicatie hiernaar in te richten. Let hierbij vooral op het afgeven van een goede, applicatie specifieke privacy mededeling waarin je goed uitlegt wie de verantwoordelijke voor de data is en vooral wat je als fabrikant met de data van de gebruiker doet. De tweede zorg is garanderen dat je de juiste toestemmingen krijgt en ook enkel en alleen voor het doel waarvoor je toestemming hebt gekregen de data gebruikt.

Enkele andere belangrijke zaken die wij in de praktijk vaak fout zien gaan zijn:

Vermelding van de mogelijkheden en contactgegevens om data in te zien, te wijzigen of zelfs te verwijderen door de gebruiker. Een ziekenhuis of zorginstantie moet deze mogelijkheid aan de patiënten bieden uit hoofde van de Wbp (Wet bescherming persoonsgegevens). De ontwikkelaar is hierdoor naar onze mening verplicht om deze faciliteit binnen de applicatie te verwerken.
Het ontbreken van een protocol voor minderjarigen. Vaak onbewust is een dergelijk protocol niet ingebouwd in de applicatie. Maar als minderjarigen de applicatie gebruiken kan het verstandig zijn om een functionaliteit in te bouwen die voorziet in de vraag: “Ben je ouder dan 16 jaar of heb je toestemming gekregen van je ouders voor het gebruik van deze applicatie?” Door deze notificatie in te bouwen blijf je voldoen aan de vereisten van de Wbp (artikel 5). Mocht je overigens meer willen lezen over privacy voor minderjarigen, dan kan ik je deze blog van mijn collega Robyn Post aanraden.

Usability

Ook op het gebied van usability - een woord waarmee we o.a. design en gebruiksvriendelijkheid aanduiden - bestaan een aantal, verplichte, richtlijnen. Deze richtlijnen zien vooral toe op vereisten in het ontwikkelingsproces en aan het technisch dossier (hierin veelal engineering file genoemd). De vereisten zijn door de instanties recent herzien omdat de 'oude' richtlijn uit 2007 kwam. De richtlijnen zijn opgenomen in IEC 62366-1:2015 part 1 (in 2015 definitief geworden) en de guidance die nog in bewerking is bij het schrijven van dit artikel IEC/TR 62366-2.

Als app-ontwikkelaar doe je er goed aan deze vereisten door te nemen en in het ontwikkelingsproces na te leven. De vereisten lijken voor een groot deel op de MEDDEV dossiervereisten die toezien op het deel van de CE-markering, maar zijn niet helemaal gelijk. Er zijn een aantal andere, vooral gericht op het veilige gebruik van de applicaties, gerichte vereisten opgenomen in deze normenkaders.

Met usability bedoelen we hier iets anders dan het gebruikersgemak en design, waar doorgaans veel geld aan wordt besteed bij apps

We hebben het hier over een andere vorm van usability dan de usability - gebruikersgemak en design - waar doorgaans veel geld aan wordt besteed. Tegelijkertijd zijn gebruikersgemak en design absoluut belangrijk, want met concurrentie van duizenden apps wil je voorkomen dat een gedownloade app binnen 10 seconden van de smartphone wordt verwijdert.

Tot slot

Ik heb met deze blogreeks een overzicht gegeven van wat er op het regelgevend gebied allemaal van een ontwikkelaar van medische apps verwacht kan worden. Het is belangrijk om te begrijpen dat deze reeks slechts enkele voorbeelden schetst, en geen uitputtend overzicht is. Toch zijn deze kaders een goede start om in het ontwikkelproces op de verschillende gebieden rekening mee te houden. Hopelijk draagt dat uiteindelijk bij aan het volwassen worden van de markt en de adoptie van mobile health.

Rob Peters is registeraccountant bij Deloitte Innovation B.V en initiatiefnemer van Assuring Medical Apps. In een serie blogs gaat hij in op een aantal belangrijke zaken waar gebruikers en app-ontwikkelaars op moeten letten, zoals wet- en regelgeving en informatiebeveiliging.