Hva må være på plass for å overholde GDPR-krav i en app?

For å overholde GDPR bør du som et minimum implementere en tydelig privacy-policy (personvernerklæring), en guide eller e-postfunksjon for sletting av konto, samt en dedikert kontakt-epost for spørsmål rundt data og personvern. GDPR (General Data Protection Regulation) er EUs personvernforordning, som også gjelder i Norge gjennom personopplysningsloven. Den regulerer hvordan du samler inn, lagrer og bruker personopplysninger – altså all informasjon som kan knyttes til en person, som navn, e-post, telefonnummer eller posisjon. Bryter du reglene, kan det gi store bøter, men for et studentprosjekt handler det først og fremst om å bygge tillit og gjøre ting riktig fra start. Slik dekker du de viktigste kravene: Personvernerklæringen skal forklare på enkelt språk hvilke data du samler inn, hvorfor, hvor lenge du lagrer dem, hvem du eventuelt deler dem med, og hvilke rettigheter brukeren har. Sletting av konto henger sammen med 'retten til å bli glemt' – brukeren skal kunne be om at dataene deres slettes, og det bør være enkelt, enten via en knapp i appen eller en tydelig e-postrutine. Den dedikerte kontakt-eposten gjør at brukere (og eventuelt Datatilsynet, som er tilsynsmyndigheten i Norge) vet hvor de skal henvende seg med spørsmål. Noen ekstra prinsipper det er lurt å følge: dataminimering (samle kun det du faktisk trenger), innhenting av gyldig samtykke før du behandler data, og en databehandleravtale med eksterne leverandører (for eksempel skytjenester) som lagrer data på dine vegne. En vanlig fallgruve er å kopiere en personvernerklæring fra en annen app uten å sjekke at den stemmer med det din app faktisk gjør – den må være sann. Spark* anbefaler å få på plass disse grunnsteinene tidlig, og å søke juridisk hjelp hvis dere behandler sensitive opplysninger.