Behov for rammeverk rundt sensitiv medisinsk data for idrettsutøvere.

Slik løser du det

Når dere håndterer blodanalyser og medisinsk data om idrettsutøvere, jobber dere med noe av det mest beskyttede som finnes juridisk, og rådet er derfor å utforme en personvernerklæring og brukervilkår spesifikt for sensitiv data, samt innhente juridisk veiledning om medisinske sertifiseringer og plikter. La oss forklare hvorfor dette er så viktig. Helseopplysninger regnes som "særlige kategorier av personopplysninger" (sensitive data) under GDPR - General Data Protection Regulation, EUs personvernforordning som også gjelder i Norge via personopplysningsloven. GDPR stiller ekstra strenge krav til hvordan slike data samles inn, lagres, deles og slettes, og krever som regel uttrykkelig samtykke fra den enkelte. En personvernerklæring er dokumentet som forklarer brukeren hva dere samler inn, hvorfor, hvor lenge dere lagrer det og hvilke rettigheter de har. Brukervilkår regulerer selve avtalen mellom dere og brukeren. For sensitive helsedata må disse være mer omfattende enn for vanlige tjenester. I tillegg bør dere undersøke medisinske sertifiseringer. Hvis tjenesten gir helseråd eller fungerer som medisinsk utstyr (for eksempel programvare som tolker blodverdier), kan den falle inn under MDR - Medical Device Regulation, EUs regelverk for medisinsk utstyr, som krever sertifisering (CE-merking) før produktet kan selges. Dette er omfattende, så det er klokt å avklare tidlig om dere treffes av det. Konkrete steg: kartlegg nøyaktig hvilke data dere behandler, vurder behovet for en databehandleravtale med eventuelle leverandører (for eksempel skylagring), og vurder om dere trenger å melde behandlingen til eller rådføre dere med Datatilsynet. En vanlig og alvorlig fallgruve er å bygge produktet først og tenke på jus etterpå - her må jussen inn fra start. Spark* kan koble dere på juridisk kompetanse og fagmiljøer innen helseteknologi.