Skapa värde av kunddata genom förståelse av datadrivna affärsmodeller och försäljning av kunddata. ”Data as a Service” (DaaS) förser kunder med strukturerad och bearbetad data för kunden själv att skapa specifika lösningar för sina kunder; ”Information as a Service” (IaaS) erbjuder insikter som skapats genom någon form av analys av tillgänglig data som t.ex. olika healthtracking tjänster; samt, ”Answers as a Service” (AaaS) erbjuder färdiga svar på specifika frågor.

Vi delar här tips på hur företag bäst hanterar vidareutnyttjande av er användargenererade data, inom främst DaaS. Först ger vi kort introduktion till hur juridik och data samspelar följt av ett par juridiska resonemang om hur du kan agera för att säkra din affär och bibehålla kunders förtroende.

Försäljning av kunddata har stor kommersiell potential

Att generera och sälja data, DaaS, är en växande affärsmöjlighet. Beroende på hur man vill utnyttja datan kan skapa värdefulla tjänster och få stor spridning till olika kundgrupper. Det finns en stor frihet att avtala om hur man vill använda och kommersialisera datan. Detta skapar goda möjligheter att bygga smarta affärsmodeller men det är samtidigt viktigt att man skriver bra avtal och säkerställer ägande och lämplig ansvarsfördelning mellan Producent, Slutkund till Producent, Förmedlare, Köpare och Slutanvändare.

Vad är aggregerad data rent juridiskt?

Data är aggregerad digital information. Rent juridiskt definieras data som s.k. lös egendom som man kan sälja (överlåta) eller licensiera (upplåta). Dessutom kan data sammanställas i databaser som har eget immaterialrättsligt skydd, det s.k. katalogskyddet, enligt upphovsrättslagen.

Vilka olika typer av kunddata är intressant för DaaS?

I huvudsak talar vi om tre kategorier av data:

1. själv-rapporterad data,
2. digitalt beteende samt
3. profilerad data.

Självrapporterad data, är data som konsumenten själv rapporterar in data som kön, ålder eller nationalitet, vilket utgörs oftast av demografisk och geografisk information. Detta är information som konsumenter själva oftast värderar relativt lågt.

Digitalt beteende syftar till de tekniska spår som lämnas av konsumenter efter exempelvis webbsurfing eller sökhistorik. Denna information visar konsumenternas digitala profil, tycke och mönster. Denna data är närmare en profilering av en person, dock oftast inte personuppgifter, vilket ger ett större intresse och värde från företag.

Profilerad data är kundprofiler som skapas i syfte att förutse konsumenters intressen och beteenden i form av social klass, livsstil samt personliga uppfattningar.

Vilka är de olika rollerna vid försäljning av kunddata (DaaS)?

Det är flera olika roller och funktioner som samspelar vid smart kommersialisering av data:

1. Företag som samlar in data (t.ex. positionsdata, trafikdata), ofta på uppdrag av ett annat företag, dvs. en kund, för att antingen använda i erbjudande mot kund och/eller sälja den vidare till annan Köpare (”Producent”).

2. Slutkund till Producent, som tex. Stockholms hemtjänst (”Slutkund”). Slutkunden ger automatiskt upphov till data genom dess verksamhet (fordonspositioner, tidsintervall, drivmedelsförbrukning mm.) men kan också bidra mer specifikt genom att mata in egen information/data (tidpunkter, egna upplevda känslor). Vissa slutkunder matar även in personuppgifter, såsom e-mailadresser, namn, personnummer.

3. Förmedlare av data, s.k. broker (”Förmedlare”). Förmedlaren fungerar som en kommissionär, dvs. sluter eget avtal med kunder för annans räkning.

4. Företag som endast köper data för att sedan utnyttja/integrera den önskad applikation, t.ex. en mobilapplikation för trafikinformation i realtid (”Köpare”) eller forskning.

5. Slutanvändare av applikation (individ/konsument) (”Slutanvändare”). Slutanvändaren ger upphov till data genom sitt beteende men kan också bidra mer specifikt genom att mata in egen information/data.

Juridiska resonemang

Tips 1: Smart definition av data

Att endast säga att man ska ”äga data” är sällan tillräckligt tydligt. Att äga data kan nämligen syfta på flera olika aspekter på datan, t. ex. själva de databärande filerna, metadata, information som förmedlas genom filerna eller ensamrätten till en databas bestående av flera filer. Det är heller inte alltid säkert att det framgår av omständigheterna vad som menas, vilket gör det extra viktigt att förtydliga detaljerna om vilken data som åsyftas. Detta göra smidigast genom avtal som genom tydliga definitioner öppnar upp för smidig fortsatt kommersialisering.

Tips 2: Olika typer av data och hur kan man hantera det?

Data delas regelmässigt upp i kategorierna personuppgifter och övrig data (som inte innehåller personuppgifter). Personuppgiftshantering är strikt reglerat i svensk och internationell lag och får endast ske under vissa särskilt angivna omständigheter. För mer information om personuppgifter eller hur ert företag bör agera för att följa personuppgiftslagen, se tidigare inlägg här.

För rent kommersiella syften krävs som regel bl.a. samtycke från individer vars personuppgifter registreras. Övrig data är som regel fri att samla in, men behöver hanteras tydligt i avtal för att de ska kunna användas och kommersialiseras på bra sätt.

Producenter som vill öppna upp för att parallellutnyttja data som de samlat in/skapat i en kundrelation behöver tydliggöra ägandet av datan i kundavtalet för att ha rätt att sälja datan vidare. För att detta ska bli tydligt krävs att Producenten definierar vilken data som skapas samt hur, och vem, den ska ägas.

Rent praktiskt är det bra att vara tydlig och definiera ägandet baserat på vad det är för data, inte vem som skapat datan. Ett konkret exempel är:

”Data som anger geografiska positioner ska ägas av Producent. Slutkund har åtkomst till datan genom webbapplikationen Y”.

Genom att Producent får äganderätt till datan, alternativt en omfattande licens att parallellupplåta datan, så skapas avtalsbaserade rättigheter för Producent att sprida datan till andra intressenter genom t.ex. en Förmedlare.

Tips 3: Undvik tvetydiga avtalsformuleringar

Formuleringen i ett avtal som anger att kunden äger ”sin” data är något tvetydig. Å ena sida skulle detta kunna syfta på den data som skapas genom kundens agerande eller, å andra sidan, den data som kunden själva matar in i applikationen. För att göra en fullständig bedömning behöver man göra en mer omfattande genomlysning av det specifika avtalet, den tekniska bakgrunden för samarbetet och parternas agerande.

Tips 4: Håll koll på friskrivningar avseende kvalitet och lämplighet för visst syfte

Från Producentsidan är det alltid centralt att man friskriver sig från ansvaret för datans kvalitet och lämplighet för visst syfte. Om er tjänst är fri från personuppgifter vill ni inte att en av era underleverantörer blandar och ”smittar” er databas med personuppgifter. Om så sker måste hela er behandling och er databas vara i överensstämmelse med Personuppgiftslagen (PUL). Det är också viktigt att man får garantier från eventuella datainsamlande underleverantörer (t.ex. kunder eller externa företag) om att datan samlats in och hanterats i enlighet med PUL.

Tips 5: Säkerställ att datan är anonymiserad

För att kunna hantera aggregerad data på ett smidigt sätt är det viktigt att datan inte innehåller personuppgifter. Om datan skulle innehålla personuppgifter träffas datan av svensk och internationell lagstiftning om personuppgiftshantering som ställer höga krav på Producenter och Köpare om att bl.a. informera individer, säkerställa säkerhetsnivåer för datan, inhämta samtycke till datainsamling och analys från individerna samt säkerställa gallring av uppgifter m.m.

För hantering av personuppgifter finns det även lagkrav på att man har skriftliga avtal mellan den som samlar in, eller behandlar datan och den som bestämmer vad datan ska användas till (s.k. personuppgiftsbiträdesavtal). Att samla in och vidareöverlåta anonymiserad, aggregerad data som inte omfattar personuppgifter är betydligt smidigare och ställer inte samma krav på samtycke eller information. Det är dock viktigt att vara tydligt med vem som ska äga, och/eller ha rätt att använda datan.

Sammantaget är det därmed centralt för att datan som samlas in och överlåts är anonymiserar fullt ut samt att man även har möjlighet att visa att datan är anonymiserad. Detta kan vara viktigt vid t.ex. förfrågan från tillsynsmyndigheten (Datainspektionen).

Bonustips: Generella avtalsskrivningar

Det är svårt att skriva generella avtalsregleringar eftersom varje avtal präglas av sin specifika situation och avtalsparter. Vi ger här förslag på avtalsformuleringar, men för att de ska vara anpassade och till er fördel behöver vi få tillgång till era övriga villkor och planerad datainsamling och dataöverföring.

Ett exempel på grundläggande reglering (som sedan får skräddarsys för varje avtal) är:

”Producent har rätten att använda aggregerad data [X,Y,Z: vänligen definiera datan] för förbättring av tjänsterna, egen användning och vidare förmedling.”

Avtal är mycket beroende av vilken affärsmodell parterna har. Detta innebär i sin tur att man kan behöva detaljjustera dessa skrivningar i varje enskilt avtal.

Detta är det första avsnittet i en serie av inlägg om värdet av kund- och affärsdata. Här näst i serien kommer guide till Information as a Servie (IaaS) och Answers as a Service (AaaS).

Juridiskvägledning.se är en blogg med serie av inlägg om IT-juridik, internetjuridik och startupjuridik som tillhandahålls av affärsjuridiska byrån Sharp Cookie Advisors, vars juridiska tech team rådger ledande techföretag.

För att veta mer om Sharp Cookie Advisors, eller om du behöver hjälp att tillvarata din rätt och utveckla din affär kring kunddata och försäljning av data, klicka här.