Utvikle helseapp i Norge: GDPR og regler for medisinsk utstyr

Blood Sugar Log, en helseapp der blodsukkermålingene lagres lokalt på telefonen — I Blood Sugar Log lagres målingene bare på telefonen. Det var en arkitekturbeslutning, ikke en innstilling.

En helseapp er ikke bare en app med helsetema. Den behandler noen av de mest sensitive opplysningene som finnes, og avhengig av hva du lover at den gjør, kan den bli regulert som medisinsk utstyr. Begge deler bør avklares før første linje kode – ikke etter lansering.

Vi har selv bygget og publisert helseappen Blood Sugar Log i Google Play. Denne guiden samler det vi mener alle som planlegger en helseapp i Norge bør kjenne til, med lenker til kildene. Den er generell informasjon og ikke juridisk rådgivning – den endelige vurderingen av en konkret app er produsentens ansvar.

Kort oppsummert

Helseopplysninger er en særlig kategori etter GDPR artikkel 9. Behandling er i utgangspunktet forbudt, med mindre et unntak gjelder – for eksempel uttrykkelig samtykke.
Om en app er medisinsk utstyr, avgjøres av formålet du gir den – også i markedsføringen.
Programvare som bare lagrer og viser data, er etter EUs veiledning normalt ikke medisinsk utstyr. En app som gir insulindoseråd, er det.
I Norge fører Direktoratet for medisinske produkter (DMP) tilsyn med medisinsk utstyr.
Google Play krever en egen erklæring for helseapper, og helseapper som ikke er medisinsk utstyr må ha en tydelig merknad om det.

GDPR artikkel 9 regner helseopplysninger som en særlig kategori personopplysninger. Datatilsynet formulerer utgangspunktet slik: det er i utgangspunktet forbudt å behandle visse kategorier av personopplysninger. For å behandle dem må du ha et av unntakene i artikkel 9 nr. 2, og for en forbrukerapp er det i praksis ofte uttrykkelig samtykke.

For en app betyr det konkret:

Innebygd personvern. GDPR krever personvern som standardinnstilling og innebygd i løsningen. Datatilsynet har egne sjekklister for utviklere i helse- og omsorgssektoren.
Samle inn minst mulig. Hver opplysning du ikke samler inn, er en opplysning du ikke kan miste, lekke eller måtte forklare.
Vurder personvernkonsekvensene. Behandler du særlige kategorier personopplysninger i stor skala, krever GDPR artikkel 35 som hovedregel en vurdering av personvernkonsekvenser (DPIA).
Skriv en personvernerklæring folk forstår. Datatilsynet har publisert en gjennomgang av seks helseprodukter for hjemmebruk, blant annet for blodsukker og blodtrykk. Fem av seks strøk på personverninformasjonen, og fire manglet personvernerklæring helt.

2. Når blir en app medisinsk utstyr?

EUs forordning om medisinsk utstyr (MDR, 2017/745) gjelder i Norge gjennom EØS-avtalen, og ble gjennomført i norsk rett ved lov og forskrift om medisinsk utstyr. Forordningen har gjeldt i Norge siden 26. mai 2021.

Etter MDR er programvare medisinsk utstyr når produsenten har tiltenkt den et medisinsk formål – blant annet diagnose, forebygging, overvåking, prognose, behandling eller lindring av sykdom. Det avgjørende er formålet slik produsenten beskriver det: på etiketten, i bruksanvisningen og i markedsføringen. Det betyr at teksten i App Store kan være like viktig som koden.

EU-kommisjonens veiledning for programvare, MDCG 2019-11 (revidert juni 2025), gir flere nyttige holdepunkter:

Programvaren må ha et medisinsk formål i seg selv.
Apper for velvære og trening regnes ikke som medisinsk programvare.
Programvare som ikke gjør mer enn å lagre, arkivere, kommunisere, gjøre enkle søk eller komprimere data uten tap, regnes ikke som medisinsk programvare.
Programvare som gir anbefalinger om insulindose til en pasient, er medisinsk programvare – uansett om insulinet gis med pumpe, penn eller sprøyte.

Er appen medisinsk utstyr, avgjør regel 11 i MDR risikoklassen. Programvare som gir grunnlag for beslutninger om diagnose eller behandling, er som hovedregel klasse IIa, og høyere hvis en feil kan gi alvorlig forverring av helsen. Fra klasse IIa og oppover må et teknisk kontrollorgan (notified body) vurdere produktet før det kan markedsføres – med tilsvarende krav til dokumentasjon.

Hvor går grensen i praksis?

App som …	Medisinsk utstyr?
teller skritt eller logger trening for velvære	Nei, etter MDCG 2019-11
bare lagrer og viser målinger brukeren selv legger inn	Normalt ikke, men avhenger av formålet
tolker målinger og varsler brukeren om å endre behandling	Kan være det – må vurderes
gir anbefaling om insulindose	Ja, eksplisitt eksempel i MDCG 2019-11

Merk at veiledningen ikke har et eget eksempel på en ren blodsukkerdagbok. At en slik app normalt faller utenfor, er en slutning fra veiledningens logikk om lagring og visning – ikke et unntak som står skrevet. Veiledningen regner derimot en app som følger humør og symptomer for å vurdere, overvåke og håndtere depresjon, som medisinsk programvare. Formålet er altså det som teller, og små endringer – en trendanalyse som tolkes, et varsel, et råd – kan flytte appen over grensen.

DMP skriver det enkelt: programvare er medisinsk utstyr dersom den har et medisinsk formål. Er du i tvil, avklar det før lansering.

3. Kravene i App Store og Google Play

Google Play

Alle publiserte apper må fylle ut erklæringen for helseapper – også apper uten helsefunksjoner. Kravet kom i 2024.
Apper som er regulert som medisinsk utstyr, må kunne dokumentere godkjenningen på forespørsel. Andre helseapper må ha en merknad om at de ikke er medisinsk utstyr.
Google krever organisasjonskonto for blant annet helseapper som medisinske apper.

App Store

Retningslinje 1.4.1: Apper må oppgi data og metode bak påstander om nøyaktighet i helsemålinger, kan ikke påstå å måle vitale verdier bare med telefonens sensorer, og bør minne brukeren om å rådføre seg med lege.
Retningslinje 5.1.3: Helsedata kan ikke brukes til annonsering eller datautvinning, det kan ikke skrives uriktige data til HealthKit, og personlige helseopplysninger kan ikke lagres i iCloud.

Vi har samlet de generelle kravene til utviklerkonto, personvern og gjennomgang i guiden slik publiserer du en app.

4. Normen – når appen skal inn i helsesektoren

Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren, ofte bare kalt Normen, er en bransjenorm. Den gjelder for virksomheter som har forpliktet seg til å følge den gjennom avtale, og versjon 7.0 ble vedtatt 25. september 2025. Skal appen brukes av eller kobles til aktører i helse- og omsorgssektoren, bør du avklare tidlig om Normen gjelder for leveransen.

5. Slik bygget vi Blood Sugar Log

Blood Sugar Log er en blodsukkerdagbok for Android. Vi tok noen beslutninger tidlig som gjorde resten av prosjektet enklere:

Ingen server for helsedata. Målingene lagres bare på telefonen. Det finnes ingen konto og ingen skysynk, og sikkerhetskopi skjer til en fil brukeren selv kontrollerer.
Rapporten lages på enheten. PDF og CSV genereres lokalt, og brukeren velger selv hvem som får dem.
Et tydelig formål. Appen beskrives som et personlig loggverktøy. Den måler ikke blodsukker og gir ikke medisinske råd.
Ærlige estimater. Den estimerte A1c-en er merket som et estimat beregnet fra brukerens egne målinger, ikke en laboratorietest, og PDF-rapporten har en merknad om at appen ikke er medisinsk utstyr.

Poenget er ikke at alle helseapper bør være offline. Mange må synkronisere, dele med helsepersonell eller kobles til journalsystemer. Poenget er at personvern og regulering blir mye enklere når de er arkitekturbeslutninger fra dag én.

Sjekkliste før du lager en helseapp

Skriv ned appens formål i én setning – slik det skal stå i appen og i butikken.
Avklar om formålet gjør appen til medisinsk utstyr, og hvilken klasse.
Kartlegg hvilke helseopplysninger appen trenger – og fjern resten.
Velg behandlingsgrunnlag etter GDPR artikkel 9, og vurder om det kreves DPIA.
Bestem hvor dataene lagres: på enheten, hos deg eller hos en underleverandør.
Planlegg personvernerklæring, samtykke og sletting.
Forbered erklæringen for helseapper og Data safety hos Google, og App Privacy hos Apple.
Skriv merknad om at appen ikke er medisinsk utstyr, hvis det er tilfellet.
Avklar om Normen gjelder hvis appen skal inn i helse- og omsorgssektoren.

Vanlige spørsmål om helseapper

Når blir en helseapp medisinsk utstyr?

Det avgjøres av formålet produsenten gir appen – i appen, i bruksanvisningen og i markedsføringen. Er formålet for eksempel diagnose, forebygging, overvåking, behandling eller lindring av sykdom, kan appen være medisinsk utstyr etter MDR. Programvare som bare lagrer, arkiverer eller viser data regnes etter EUs veiledning MDCG 2019-11 normalt ikke som medisinsk utstyr, mens en app som gir insulindoseråd er det.

Er en blodsukkerdagbok medisinsk utstyr?

EUs veiledning har ikke et eget eksempel på en ren blodsukkerdagbok. En app som bare lagrer og viser målinger brukeren selv har registrert, faller normalt utenfor etter veiledningens logikk, men det avhenger av formålet. Legger du til tolkning, varsler om behandling eller doseråd, kan klassifiseringen endre seg. Få en konkret vurdering før lansering.

Hvem fører tilsyn med medisinsk utstyr i Norge?

Direktoratet for medisinske produkter (DMP), som het Statens legemiddelverk frem til 1. januar 2024. DMP skriver selv at programvare er medisinsk utstyr dersom den har et medisinsk formål.

Hva er Normen?

Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren er en bransjenorm. Den gjelder for virksomheter som har forpliktet seg til å følge den gjennom avtale. Versjon 7.0 ble vedtatt 25. september 2025.