Disse GDPR-rettighetene gjelder når du bruker en budsjettapp

En budsjettapp får tilgang til noe av det mest personlige du har: hva du bruker pengene på. Da er det rimelig å vite hvilke regler som faktisk beskytter deg, og hva du selv bør sjekke før du tar i bruk en ny tjeneste.

Denne guiden er praktisk, ikke juridisk. Hvis du står i en konkret tvist eller lurer på rettsstillingen din i en bestemt sak, snakk med advokat eller kontakt Datatilsynet.

Det viktigste GDPR gir deg

GDPR (personvernforordningen) gjelder for alle virksomheter i Norge og EU som behandler personopplysninger. En budsjettapp som lagrer transaksjoner, kategorier eller kontoinformasjon, regnes som en slik tjeneste. Som bruker har du blant annet disse rettighetene, ifølge Datatilsynet:

• Rett til informasjon om hva som samles inn og hvorfor
• Rett til innsyn i dine egne data
• Rett til retting av feil
• Rett til sletting (også kalt "retten til å bli glemt")
• Rett til dataportabilitet, altså å få ut dine data i et brukbart format
• Rett til begrensning av behandlingen i visse tilfeller
• Rett til å trekke tilbake samtykke du har gitt

I praksis skal en virksomhet svare deg uten ugrunnet opphold, og senest innen én måned. Det skal som hovedregel være gratis.

Hva en god personvernerklæring forteller deg

Datatilsynet anbefaler at personvernerklæringer er korte, klare og uten unødvendig juridisk språk. Når du leser én, bør du raskt få svar på:

• Hvem som er behandlingsansvarlig (selve selskapet bak appen)
• Hvilke kategorier av data som samles inn (for eksempel transaksjoner, e-post, IP-adresse)
• Hvorfor de samles inn (formålet)
• Hvor lenge de lagres
• Hvem dataene deles med (underleverandører, betalingsleverandører, analyseverktøy)
• Hvor dataene lagres geografisk, og hvilke land de eventuelt overføres til
• Hvordan du tar kontakt for innsyn, retting og sletting

Hvis du må lese den samme setningen flere ganger for å skjønne hva som faktisk skjer med dataene dine, er det et tegn på at erklæringen er skrevet for selskapet, ikke for deg.

Konkrete spørsmål du bør stille før du tar i bruk en ny app

Du trenger ikke være jurist for å gjøre en fornuftig vurdering. Disse spørsmålene tar deg langt:

1. Hva slags data trenger appen for å fungere, og hva er valgfritt?
2. Lagres dataene i Norge eller EU, eller eksporteres de utenfor EØS?
3. Selger eller deler tjenesten data med annonsører eller tredjeparter?
4. Kan du eksportere dine egne data hvis du vil bytte verktøy?
5. Hvor enkelt er det å slette kontoen og alt innholdet?
6. Finnes det en tydelig kontaktkanal for personvernspørsmål?

Hvis svarene er vage eller gjemt bak lange avsnitt, kan det være en grunn til å velge noe annet.

Dataminimering: mindre data er bedre data

Et grunnleggende prinsipp i GDPR er dataminimering. En tjeneste skal bare samle inn det som er strengt nødvendig for å gjøre jobben sin. For en budsjettapp betyr det at du ikke trenger å oppgi mer enn det som faktisk gir deg verdi i hverdagen.

Det betyr også at du selv kan ta valg. Trenger du å koble på alle bankkontoer, eller holder det å laste opp en CSV én gang i uka? Færre koblinger gir mindre data på vandring, og er ofte enklere å rydde opp i senere.

Hva du gjør hvis noe går galt

Hvis du oppdager at en virksomhet ikke følger reglene, kan du først ta kontakt med dem direkte. Mange saker løser seg da. Hvis du ikke kommer videre, kan du klage til Datatilsynet, som er tilsynsmyndigheten i Norge. Klagen er gratis, og du trenger ikke advokat for å sende den inn.

Ved et brudd på personopplysningssikkerheten (for eksempel en lekkasje) skal virksomheten varsle Datatilsynet uten ugrunnet opphold, og deg som bruker hvis bruddet sannsynligvis medfører høy risiko for rettighetene dine.

Ett konkret steg i dag

Finn frem personvernerklæringen til den budsjettappen eller bankappen du allerede bruker, og se om du klarer å svare på de seks spørsmålene over. Hvis du sliter, er det god nok grunn til å be om bedre informasjon, eller vurdere et alternativ.

I Luma forsøker vi selv å holde oss til det vi faktisk trenger for at appen skal være nyttig: transaksjonene du importerer, kategoriene dine, og budsjettmålene du setter. Du eier dataene, og du skal kunne ta dem med deg ut igjen.