6.1 Leverandøren har begrenset bruksrett til kundens data

Hovedregelen i de oppdaterte avtalene er at leverandøren får den bruksrett som er nødvendig for å oppfylle avtalen.

Leverandøren vil ofte også ønske å bruke data til å videreutvikle egne produkter og tjenester. DFØ har delvis tatt høyde for dette ved i enkelte standardavtaler å regulere leverandørens rett til å bruke (i) anonymiserte bruksdata og (ii) etablerings- og prosjektdata.

Disse bruksrettene er ikke tatt inn i SSA-B, SSA-B enkel og SSA-O, som alle gjelder ulike former for konsulentbistand. I slike leveranser vil det ofte ikke oppstå data det er praktisk behov for å bruke videre, utover knowhow og lignende som leverandøren allerede kan utnytte etter gjeldende bestemmelser.

Hvis leverandøren ønsker en videre bruksrett, for eksempel til demonstrasjon eller markedsføring, må dette reguleres særskilt, enten i bilag 1 eller i egne avtaler om datatilgang. Kunden kan på sin side ønske å begrense bruksretten ytterligere, for eksempel hvis den kan gi leverandøren innsikt i konkurransesensitiv informasjon.

6.2 Leverandørens rett til å bruke anonymisert bruksdata til forbedring av egne tjenester

I standardavtalene for løpende tjenester får leverandøren rett til å bruke anonymiserte data om kundens bruk av tjenesten for å forbedre egne tjenester. Dette gjelder SSA-D, SSA-L, SSA-store sky og -lille sky og SSA-V.

En tilsvarende bestemmelse er ikke tatt inn i SSA-T eller SSA-S, fordi disse avtalene gjelder implementering av en løsning og ikke løpende tjenesteleveranse. Da vil det i utgangspunktet heller ikke oppstå denne typen bruksdata. Hvis behovet likevel oppstår i SSA-T eller SSA-S, må partene regulere dette i bilag 1.

Data om kundens bruk av tjenesten vil typisk kunne gi innsikt i kundens bruks- og handlingsmønstre. Det kan for eksempel være informasjon om volum (antall brukere), hyppighet (hvor ofte) og varighet (hvor lenge) av bruk, hvordan ulike funksjoner brukes, og logger knyttet til sikkerhet og etterlevelse. For leverandøren er slik informasjon ofte verdifull, og noe man ønsker tilgang til, fordi blant annet fordi den viser bruksmønstre, hvilke funksjoner som brukes mest, og hvilke brukertyper som logger seg inn oftest mv.

At bruksdataene bare kan brukes til å «forbedre egne tjenester», omfatter for eksempel formål som tjeneste- og produktforbedringer, videreutvikling av funksjoner, feilretting og annen optimalisering. Kommersielle formål som markedsføring, prisstrategi eller utvikling av tjenester utenfor avtalen faller antagelig utenfor.

Bestemmelsen er likevel vid. Bruksdata kan i noen tilfeller enten inneholde, eller gjøre det mulig å utlede, forretningssensitiv informasjon om kundens økonomi, ressursbruk eller strategiske prioriteringer. Kunden bør derfor vurdere om det er nødvendig å avgrense eller presisere rammene for leverandørens bruksrett i bilag 1.

For at leverandøren skal kunne bruke slik bruksdata, må de være anonymisert. DFØ viser her til anonymiseringsbegrepet i personvernforordningen. Det innebærer at fysiske personer ikke lenger er identifiserte eller identifiserbare, verken direkte eller indirekte, jf. artikkel 4 nr. 1 og fortalepunkt 26.

6.3 Etablerings- og prosjektdata

Alle de oppdaterte avtalene, unntatt SSA-B, SSA-B enkel og SSA-O, gir også leverandøren rett til å bruke «innsamlede eller genererte data knyttet til etablering for å forbedre sine tjenester». I SSA-T og SSA-S er «etablering» erstattet med «prosjektgjennomføring».

For avtalene som også gir bruksrett til anonymiserte bruksdata, presiserer bestemmelsene at de to bruksrettene gjelder side om side.

Ordlyden er ikke helt klar, men omfatter trolig data om testresultater, feillogger, estimeringsdata, utviklingsinnsikt og prosjektrapporter mv. Det forutsettes samtidig at disse dataene ikke inneholder kundens virksomhetsdata, sikkerhetsmessige forhold, taushetsbelagte opplysninger eller andre data underlagt lovbestemte begrensninger. Hvis dataen inneholder slik informasjon, kan leverandøren likevel ikke bruke dem til tjenesteforbedring.

7.1 En kjent utfordring – kunden mister oversikt over egen data

I langvarige IT-leveranser er det en kjent utfordring at kunden gradvis mister oversikt og kontroll over egne data. Dette kan skape problemer underveis i avtaleforholdet, men blir ofte særlig tydelig i en exit-situasjon eller ved konflikt. Kunden forbereder et leverandørskifte, og innser at det er vanskelig å få oversikt over hva leverandøren faktisk gjør, og hvilke data leverandøren har tilgang til. Det kan igjen gjøre det vanskelig å koordinere overgangen til ny leverandør og å utforme en presis kravspesifikasjon.

Situasjonen kan også svekke kundens forhandlingsposisjon overfor leverandøren. Hvis avtalen i tillegg er uklar, blir det vanskeligere for kunden å stille tydelige og konkrete krav – både ved exit og ellers.

De oppdaterte SSA-avtalene skal motvirke denne typen situasjoner ved å gi kunden bedre kontroll over egne data. Det skjer blant annet ved at leverandøren ikke kan holde tilbake data, og ved at leverandøren får en løpende plikt til å gjøre data tilgjengelig. Reguleringen følger den generelle utviklingen mot sterkere kontroll over egne data, samtidig som den legger et betydelig ansvar på leverandøren.

7.2 Ingen tilbakeholdsrett, og løpende plikt til utlevering av data på forespørsel

I avsnittet om leverandørens bruksrett og tilgang til data heter det blant annet at «Kunden skal til enhver tid ha tilgang til data som Kunden har rettighetene til, og Leverandørens behandling av disse.».

Bestemmelsen sier imidlertid lite om hva denne tilgangsretten konkret innebærer. Hvis det er viktig for kunden å få data utlevert i bestemte formater, med bestemt hyppighet eller på andre nærmere vilkår, bør dette presiseres i bilag 1. Partene bør videre sikre at kostnader ved slik utlevering håndteres på en fornuftig måte. Desto mer spesifikke krav som stilles fra kunden, desto viktigere blir denne typen avklaringer for leverandør.

Videre slår avtalene fast at leverandøren under ingen omstendighet kan utøve tilbakeholdsrett i kundens data. Bestemmelsen styrker kundens vern ved konflikt eller uenighet om for eksempel endringsregimet, og hindrer at leverandøren bruker kundens data som pressmiddel.

For leverandøren betyr dette at databehandlingen bør innrettes slik at krav om tilgjengeliggjøring kan oppfylles uten unødige kostnader og forsinkelser. Gode forberedelser kan redusere både arbeidsomfanget og kostnadene ved formattilpasning og annen bearbeidelse før utlevering.

7.3 Leverandørens plikt til å tilgjengeliggjøre data ved avtalens opphør

Det er også innført en ny bestemmelse om tilgjengeliggjøring av data ved avtalens opphør.

Etter bestemmelsen skal leverandøren «ved avtalens opphør [skal] tilgjengeliggjøre data til Kunden eller den Kunden utpeker på et allment tilgjengelig og maskinleselig format, med opprinnelige strukturer og metadata intakt.»

Tilpassede varianter av bestemmelsen er tatt inn i SSA-D, SSA-L, SSA-store sky, SSA-lille sky, SSA-V, SSA-B, SSA-B enkel og SSA-O. Bestemmelsen er derimot ikke tatt inn i SSA-T og SSA-S, fordi databehandlingen der normalt skjer i kundens egne miljøer. Leverandøren vil da som utgangspunkt ikke sitte med data som skal leveres tilbake. Hvis prosjekt- eller utviklingsmiljøer unntaksvis leveres gjennom leverandøren, bør partene ta høyde for dette i bilagene.

Bestemmelsen gir kunden en rett og leverandøren en plikt til å gjøre data tilgjengelige ved avtalens opphør. «Den kunden utpeker» kan for eksempel være en ny systemleverandør, integrator eller andre tredjeparter.

Bestemmelsen stiller også noen konkrete krav til format og datakvalitet.

For det første skal dataene gjøres tilgjengelige i et «allment tilgjengelig» format. DFØ presiserer at dette innebærer at formatet må være åpent. Formatet må være dokumentert, og dokumentasjonen må være fritt tilgjengelig.

For det andre må dataene gjøres tilgjengelige i et «maskinleselig format», altså i et format som annen programvare kan gjenkjenne og viderebehandle. Som DFØ påpeker, kan et maskinleselig format være både åpent og lukket. Det er derfor ikke automatisk overlapp mellom de to kravene, og de må leses i sammenheng.

For det tredje må dataene gjøres tilgjengelige «med opprinnelige strukturer og metadata intakt». Det betyr at struktur, sammenhenger og beskrivende informasjon ikke skal gå tapt. Leverandøren kan med andre ord ikke nøye seg med å levere rådata løsrevet fra sin sammenheng.

Disse kravene skal sikre at kunden faktisk får data som er brukbare ved videre bruk. Bestemmelsen er ment å motvirke leverandørinnlåsing, og styrke kundens digitale handlefrihet. Selv om bestemmelsen gir et betydelig minimumsvern, bør kunden vurdere om det er behov for mer detaljerte krav til format eller kvalitet i bilag 1.

Data skal gjøres tilgjengelige «ved avtalens opphør», men dette er neppe ment som en absolutt frist. DFØ skriver at hvor raskt data kan gjøres tilgjengelige, vil bero på blant annet datamengde, format og tekniske løsninger. For å unngå uklarhet anbefaler vi likevel at partene i bilag spesifiserer hva som ligger i «ved avtalens opphør», eller avtaler en konkret frist som hensyntar relevante forhold ved leveransen.

Det er bare SSA-D, SSA-store sky og SSA-T som uttrykkelig krever en avslutningsplan for bistand ved avtalens opphør. En tilsvarende ordning kan likevel være hensiktsmessig også i andre leveranser. En overordnet exit-plan, utarbeidet tidlig, kan gi begge parter bedre forutsigbarhet og struktur når leveransen går inn i avslutningsfasen.

Kravene til tilgjengeliggjøring av data vil antagelig medføre økte kostnader for leverandør. Et praktisk viktig spørsmål er hvem som skal dekke disse kostnadene. I SSA-D er det lagt opp til at bistand til dette skal skje på medgått tid. Alternativet er å prise dette som en del av produktet eller den løpende tjenesten.

7.4 Krav om sletting av data fra leverandørens systemer

Flere av avtalene pålegger leverandøren en automatisk plikt til å slette data ved avtalens opphør eller ved utløpet av garantiperioden.

DFØ legger til grunn at data først er slettet når de er fjernet fra leverandørens databaser og systemer på en måte som utelukker gjenoppretting. Plikten omfatter også sletting av kopier og at leverandørens tilgang til dataene opphører.

Bestemmelsen sier imidlertid ikke nærmere når slettingen skal skje. Kunden bør derfor presisere at sletting først skal skje etter at kunden har fått tilgang til de aktuelle dataene.

Selv om en slik sletteplikt ikke er uvanlig, kan fullstendig sletting av kundedata fra leverandørens systemer være både ressurs- og kostnadskrevende. Også på dette punkt bør derfor partene bli enig i hvordan kostnadene skal dekkes.

Det må dessuten tas høyde for at leverandøren i enkelte tilfeller kan ha lovpålagt plikt til å bevare visse kategorier av data, for eksempel etter bokføringsloven eller hvitvaskingsloven.