MedTech- och HealthTech-verksamheter behöver ofta hantera dataskydd i en miljö där hälsodata, produktutveckling, SaaS och molntjänster, AI, informationssäkerhet och regulatoriska krav möts.

Sharp Cookie Advisors agerar som externt dataskyddsombud för teknikintensiva och reglerade verksamheter inom hälsa. Vi kombinerar senior dataskyddskompetens med praktisk förståelse för digitala produkter, vårdmiljöer och de kommersiella krav som möter både växande bolag och etablerade organisationer.

Vår DPO-roll är oberoende enligt GDPR. Samtidigt behöver dataskyddsombudet förstå verksamheten tillräckligt väl för att kunna identifiera de risker som faktiskt spelar roll och ge råd som fungerar tillsammans med produkt, teknik, informationssäkerhet, quality/regulatory och ledning.

DPO i en reglerad produkt- och vårdmiljö

Ett dataskyddsombud inom MedTech eller HealthTech möter andra praktiska frågor än i en verksamhet där personuppgifter främst behandlas i interna stödsystem.

Personuppgifter och hälsodata kan vara en integrerad del av själva produkten. Nya funktioner förändrar dataflöden. AI kan påverka både behandlingens syfte och riskprofil. Moln- och SaaS-arkitektur styr var information behandlas och vilka aktörer som får tillgång. Samtidigt kan vårdgivare, regioner och andra enterprise-kunder ställa omfattande krav på dataskydd, säkerhet, spårbarhet och dokumentation.

DPO-funktionen behöver därför kunna granska dataskyddsfrågorna i sitt tekniska, regulatoriska och kommersiella sammanhang – utan att ta över de beslut som enligt GDPR ska ligga hos organisationen.

När MedTech och HealthTech kräver mer av DPO-funktionen

Vårt externa DPO-stöd kan bland annat omfatta:

• behandling av hälsodata och andra känsliga personuppgifter,
• privacy governance och rapportering till ledning,
• DPIA och styrning av konsekvensbedömningar,
• privacy by design i produkt- och tjänsteutveckling,
• AI-funktionalitet och förändrad användning av personuppgifter,
• SaaS-, moln- och plattformsarkitektur ur dataskyddsperspektiv,
• roller som personuppgiftsansvarig, gemensamt personuppgiftsansvarig och personuppgiftsbiträde,
• leverantörer, underbiträden och internationella dataöverföringar,
• informationssäkerhet och beredskap för personuppgiftsincidenter,
• dataanvändning för analys, produktutveckling och sekundära ändamål,
• vårdgivares och andra enterprise-kunders dataskyddskrav,
• registrerades rättigheter och transparens,
• tillsyn, audits och regulatoriska processer.

Fokus anpassas efter verksamhetens faktiska riskprofil. Ett bolag med en patientapp, ett uppkopplat medicintekniskt system och en SaaS-plattform kan exempelvis behöva en annan DPO-modell än en etablerad tillverkare vars nya digitala funktioner förändrar hur personuppgifter behandlas.

AI, DPIA och data i produktutvecklingen

AI blir allt oftare en integrerad del av MedTech- och HealthTech-produkter.

Ur DPO-perspektiv räcker det inte att konstatera att en funktion använder AI. Frågorna är bland annat vilken data som används, varför den används, vilken output som skapas, vem som förlitar sig på resultatet och hur användningen påverkar registrerade.

En ny AI-funktion kan exempelvis innebära att en befintlig DPIA behöver omprövas, att nya behandlingar eller ändamål uppstår eller att information till patienter och användare behöver förändras.

Vi arbetar därför nära de faktiska användningsfallen och dataflödena.

När AI-frågorna går utöver DPO-rollen kan vårt separata specialiststöd inom AI-förordningen, AI governance och juridisk granskning inför lansering av AI-funktioner kopplas in utan att DPO:ns oberoende blandas samman med organisationens egna produkt- och ledningsbeslut.

DPO tillsammans med regulatory, quality, security och produkt

Ett dataskyddsombud ersätter inte organisationens regulatory-, quality-, informationssäkerhets- eller produktfunktioner.

I en MedTech-miljö är den gränsdragningen särskilt viktig.

MDR och IVDR, EU:s AI Act, NIS2 och andra regulatoriska krav kan aktualiseras parallellt med GDPR. DPO:ns uppgift är inte att överta ansvaret för dessa regelverk, utan att identifiera och övervaka dataskyddsfrågorna och bidra till att organisationen förstår var frågorna behöver hanteras tillsammans.

Det kan exempelvis gälla när:

• en produktfunktion förändrar vilka personuppgifter som samlas in,
• AI introduceras i ett kliniskt eller patientnära arbetsflöde,
• en ny leverantör eller molntjänst förändrar dataflödet,
• en incident samtidigt berör dataskydd och informationssäkerhet,
• ett nytt användningsområde för data övervägs,
• en vårdkund ställer nya krav på produkten eller tjänsten.

Vi kan arbeta tillsammans med befintliga legal-, regulatory-, quality-, security- och produktteam, samtidigt som DPO-funktionens oberoende och rapporteringsvägar upprätthålls.

Praktisk dataskyddsstyrning nära produkten

I produktintensiva verksamheter behöver dataskyddsarbetet komma in tillräckligt tidigt för att påverka beslut – utan att varje produktförändring blir ett compliance-projekt.

Vi hjälper organisationen att skapa proportionerliga arbetssätt för exempelvis:

• när produktteam ska involvera DPO:n,
• när en förändring kräver en ny eller uppdaterad DPIA,
• vilka frågor som kan hanteras i ordinarie produktprocess,
• när informationssäkerhet eller regulatory behöver kopplas in,
• hur väsentliga risker eskaleras,
• hur bedömningar och beslut dokumenteras,
• hur DPO:n rapporterar till ledning och styrelse.

Målet är en DPO-funktion som är tillräckligt nära verksamheten för att förstå riskerna, men tillräckligt oberoende för att kunna utmana organisationens beslut när det behövs.

Erfarenhet från Digital Health och medicinteknisk miljö

Sharp Cookie Advisors har erfarenhet av att agera som externt dataskyddsombud för eHealth-verksamhet under produktlansering och internationell skalning.

Arbetet har omfattat dataskyddsstyrning nära telehealth-tjänster, AI-funktionalitet, appar och kliniska arbetsflöden samt stöd i takt med att produkt, partnerskap och vårdkunders krav utvecklats.

Vår erfarenhet inom Digital Health omfattar även multi-tenant SaaS-miljöer med patientdata, AI-stödd funktionalitet för patienter och vårdpersonal samt teknik- och compliancearbete med IoT, uppkopplade produkter och medicinteknisk kontext.

Vi arbetar både med växande teknikbolag och etablerade verksamheter och kan anpassa DPO-modellen efter organisationens mognad, riskbild och befintliga interna specialistfunktioner.

För växande och etablerade MedTech- och HealthTech-verksamheter

Behovet behöver inte se likadant ut över tid.

Ett tillväxtbolag kan behöva etablera en fungerande DPO-funktion inför större vårdkunder, nya marknader eller ökad användning av hälsodata.

En etablerad MedTech- eller HealthTech-verksamhet kan i stället behöva:

• ersätta eller förstärka en befintlig DPO-funktion,
• interim DPO inför rekrytering,
• senior specialistkompetens i komplexa produkt- eller datafrågor,
• en mer operativ modell för samverkan mellan DPO och verksamheten,
• stöd vid större förändringsprojekt, AI-implementering eller regulatorisk granskning.

En extern modell kan också användas under en övergångsperiod. När organisationen senare etablerar en intern DPO kan vi stödja en strukturerad handover och därefter fortsätta som extern specialistresurs där det är lämpligt.

Vår modell för extern DPO

Vår grundmodell för extern DPO omfattar normalt onboarding, riskbaserad prioritering, löpande tillsyn och rådgivning, rapportering, tillgänglighet för verksamheten samt stöd vid mer komplexa dataskyddsfrågor.

För MedTech och HealthTech anpassas modellen till bland annat produktorganisationen, dataflödena, regulatoriska gränssnitt, kundstrukturen och befintliga funktioner inom legal, regulatory, quality och informationssäkerhet.

För vår fullständiga arbetsmodell, onboarding och prismodell, läs mer om vår tjänst Externt dataskyddsombud (DPO).

Vanliga frågor om DPO för MedTech och HealthTech

Måste ett MedTech-bolag ha ett dataskyddsombud?

Inte automatiskt för att verksamheten är MedTech. Behovet av DPO bedöms utifrån GDPR:s kriterier, bland annat verksamhetens behandling av personuppgifter, omfattning och karaktär. Behandling av hälsodata och regelbunden eller systematisk övervakning kan göra frågan särskilt relevant.

Kan ett externt DPO arbeta tillsammans med product och regulatory?

Ja. Ett fungerande dataskyddsombud behöver kunna förstå och kommunicera med produkt-, teknik-, regulatory-, quality- och säkerhetsfunktioner. DPO:n ska samtidigt behålla sitt oberoende och får inte själv fatta de verksamhetsbeslut som rollen senare ska övervaka.

Kan DPO:n hjälpa till med AI och DPIA?

DPO:n har en central rådgivande och övervakande roll vid DPIA och kan bedöma dataskyddskonsekvenserna av AI-användning. Andra frågor, exempelvis AI Act, MDR eller kommersiella produktbeslut, kan kräva separat rådgivning utanför DPO-rollen.

Kan ni vara interim DPO tills vi rekryterat internt?

Ja. Vi kan etablera eller upprätthålla DPO-funktionen under en övergångsperiod och därefter genomföra en strukturerad överlämning till ett internt dataskyddsombud.

Behöver ni en DPO som förstår både hälsodata och produkten?

Ett första steg är normalt ett kort samtal om verksamheten, produkten, behandlingarna av personuppgifter och hur dataskyddsarbetet fungerar idag.

Vi kan därefter bedöma om en extern DPO-modell är lämplig och vilken nivå på stödet som är proportionerlig för verksamheten.

Kontakta oss för ett första samtal.