Hva må man tenke på når man utvikler programvare som behandler brukerdata?

Det må utredes hvordan data skal behandles juridisk i henhold til GDPR og hva som gjelder for opphavsrett på programvaren. GDPR (General Data Protection Regulation, på norsk personvernforordningen) er EUs/EØS' regelverk for personvern, som gjelder så snart du behandler personopplysninger – altså informasjon som kan knyttes til en enkeltperson, som navn, e-post, IP-adresse eller helseopplysninger. Brudd kan gi store bøter, så dette må tas på alvor fra start.

Sentrale GDPR-prinsipper du bør kjenne: du må ha et lovlig «behandlingsgrunnlag» (oftest samtykke fra brukeren eller at det er nødvendig for å levere tjenesten), du skal kun samle inn data du faktisk trenger (dataminimering), du må informere brukerne klart (personvernerklæring), og du må sikre dataene teknisk (kryptering, tilgangsstyring). Brukerne har rettigheter som innsyn, retting og sletting. Behandler du spesielt sensitive data, som helseopplysninger, gjelder ekstra strenge krav.

Konkrete steg: (1) Lag en oversikt over hvilke data du samler inn, hvorfor, og hvor de lagres. (2) Velg databehandlere (f.eks. skyleverandører) som er GDPR-kompatible, og inngå en databehandleravtale med dem. (3) Skriv en tydelig personvernerklæring. (4) Bygg inn personvern fra start («privacy by design»). Datatilsynet har gode, gratis veiledere på norsk.

Opphavsrett handler om hvem som juridisk eier koden. Hovedregel: den som skriver koden eier den – men jobber du med innleide utviklere, frilansere eller medstudenter, BØR eierskapet reguleres skriftlig i en avtale, slik at selskapet (ikke enkeltpersoner) eier programvaren. En vanlig fallgruve er å oppdage for sent at en tidligere utvikler «eier» kjernekoden. Avklar både GDPR og eierskap tidlig, gjerne med juridisk bistand.