Hva bør man gjøre når man samler inn brukerdata (som innsendte spørsmål) under testing?

Det korte svaret er: ta gjerne vare på brukerdataene, men det er helt avgjørende at dere informerer brukeren tydelig om at dataene blir lagret. Dette er ikke bare god folkeskikk – det er også et lovkrav. La oss forklare hvorfor og hvordan dere gjør det riktig.

Når dere samler inn data om personer, omfattes dere av GDPR (General Data Protection Regulation), som på norsk er personvernforordningen. Dette er EU/EØS-regelverket som regulerer hvordan man får lov til å samle inn, lagre og bruke personopplysninger. En personopplysning er enhver informasjon som kan knyttes til en person – og selv «innsendte spørsmål» kan inneholde slik informasjon hvis de avslører hvem brukeren er eller hva de er opptatt av. Et bærende prinsipp i GDPR er åpenhet og samtykke: brukeren skal vite hva som samles inn, hvorfor, og gi sitt samtykke til det.

Konkret bør dere gjøre følgende: 1) Informer tydelig før eller idet dataene samles inn – for eksempel med en kort melding om at «svarene dine lagres for å forbedre tjenesten». 2) Innhent samtykke, gjerne ved at brukeren aktivt huker av eller bekrefter. 3) Forklar formålet – samle bare inn det dere faktisk trenger (dataminimering). 4) Lagre dataene trygt og ikke lenger enn nødvendig. 5) Vurder å anonymisere dataene, altså fjerne det som kan identifisere enkeltpersoner, så slipper dere mye av risikoen. En enkel personvernerklæring som forklarer dette i klartekst er et godt verktøy.

En vanlig fallgruve er å tenke «vi er bare en liten startup, dette gjelder ikke oss» – men GDPR gjelder uavhengig av størrelse, og brudd kan gi bøter og tap av tillit. En annen fallgruve er å samle inn «alt mulig» i tilfelle det blir nyttig senere; det strider mot prinsippet om dataminimering. Er dere i tvil, hjelper Spark gjerne med å peke dere mot riktig veiledning.