GDPR i appar – det här måste ni ha koll på

Vad räknas som personuppgifter i en app?

I princip allt som kan kopplas till en person: namn, e-postadress, telefonnummer, position, enhets-ID, IP-adress, köp, bokningar och hur personen använder appen. Även uppgifter som verkar anonyma blir personuppgifter om de kan kopplas ihop med ett konto eller en enhet.

Det betyder att nästan alla appar med inloggning, betalning, push-notiser eller analysverktyg omfattas av GDPR. Ansvaret ligger hos er som personuppgiftsansvarig – inte hos utvecklaren eller molntjänsten.

Den här guiden är en översikt och ersätter inte juridisk rådgivning. Tillsynsmyndighet i Sverige är Integritetsskyddsmyndigheten (IMY), som har vägledningar på imy.se.

Rättslig grund för varje behandling

GDPR kräver att varje behandling har en av sex rättsliga grunder. I appar är dessa vanligast:

Samtycke är alltså inte alltid rätt grund. Att kräva samtycke för sådant som är nödvändigt för tjänsten skapar bara förvirring.

Samtycke för spårning och analys

Utöver GDPR gäller lagen om elektronisk kommunikation, som kräver samtycke innan appen lagrar eller läser information på enheten om det inte är nödvändigt för tjänsten. I praktiken betyder det:

• Analys-SDK:er och annonsverktyg får inte starta förrän användaren har sagt ja.
• Valen ska vara lika enkla att avböja som att godkänna – ingen förvald ruta.
• Användaren ska kunna ändra sitt val senare, till exempel under Inställningar i appen.
• Samtycket ska dokumenteras så att ni kan visa när och till vad användaren sa ja.

Tekniskt löser vi det genom att initiera tredjepartsverktyg först efter samtycke och spara valet både lokalt och på servern.

Apples App Tracking Transparency

På iOS måste en app visa Apples systemdialog (App Tracking Transparency) och få ett ja innan den spårar användaren över andra företags appar och webbplatser, eller läser enhetens annons-ID. Säger användaren nej får appen inte spåra på andra sätt heller, till exempel med egna fingeravtryck av enheten.

ATT ersätter inte ert samtycke enligt GDPR – det är ett tillägg. Behöver appen ingen spårning för annonser är det enklast att avstå helt; då behövs ingen ATT-dialog.

I App Store Connect fyller ni dessutom i integritetsuppgifter som visas på appens sida: vilka data som samlas in, om de kopplas till användaren och om de används för spårning. Uppgifterna ska stämma med vad appen och dess SDK:er faktiskt gör.

Googles Data safety

På Google Play motsvaras detta av avsnittet Data safety, som ska fyllas i för alla appar. Där anger ni vilka data som samlas in och delas, i vilket syfte, om de krypteras under överföring och om användaren kan begära radering. Felaktiga uppgifter kan leda till att en uppdatering stoppas.

Både Apple och Google kräver också att appar där användaren kan skapa ett konto erbjuder ett sätt att radera kontot. Hos Apple ska det gå att starta raderingen inifrån appen. Mer om butikskraven finns i guiderna om att publicera i App Store och publicera på Google Play.

Personuppgiftsbiträdesavtal och data i EU

Alla leverantörer som hanterar personuppgifter för er räkning är personuppgiftsbiträden, och med var och en behövs ett personuppgiftsbiträdesavtal. I en typisk app gäller det:

• Databas och server (till exempel Supabase eller Firebase).
• Tjänst för push-notiser.
• Analysverktyg och felrapportering.
• E-post- och sms-tjänster.
• Apputvecklaren, om de har åtkomst till produktionsdata.

Välj gärna serverregion inom EU för databas och lagring. Om data ändå överförs utanför EU/EES – vilket ofta sker med amerikanska tjänster – krävs en giltig grund för överföringen, till exempel att mottagaren är ansluten till EU:s och USA:s dataskyddsramverk eller att standardavtalsklausuler används.

Vanliga GDPR-fel i appar

• SDK:er som skickar data utan att ni vet om det. Analys-, annons- och felrapporteringsverktyg samlar ofta in mer än man tror. Gå igenom vad varje verktyg gör innan det läggs in.
• Loggar med personuppgifter. Serverloggar och felrapporter innehåller lätt e-postadresser eller telefonnummer. Begränsa loggningen och rensa regelbundet.
• Ingen lagringstid. Konton som varit inaktiva i flera år bör raderas eller avidentifieras enligt en bestämd regel.
• Testmiljö med riktiga kunddata. Använd påhittade uppgifter i test och utveckling.
• Behörigheter som inte behövs. Be bara om tillgång till kamera, kontakter eller position när funktionen faktiskt används, och förklara varför. Både Apple och Google granskar att behörigheterna motiveras.
• Känsliga uppgifter i notiser. Texten i en push-notis syns på låsskärmen och ska inte avslöja exempelvis hälsoinformation.

Checklista för en GDPR-anpassad app

1. Kartlägg vilka personuppgifter appen samlar in och varför.
2. Bestäm rättslig grund för varje behandling.
3. Samla in så lite som möjligt och bestäm lagringstider.
4. Bygg samtyckesdialog för analys och marknadsföring, och ATT-dialog om ni spårar på iOS.
5. Teckna personuppgiftsbiträdesavtal med alla leverantörer.
6. Skriv en integritetspolicy och länka den i appen och i butikerna.
7. Fyll i Apples integritetsuppgifter och Googles Data safety.
8. Bygg radering av konto och export av data.
9. Ha en rutin för personuppgiftsincidenter – allvarliga incidenter ska anmälas till IMY inom 72 timmar.

Vad vi gör och vad ni ansvarar för

Integritetskraven ingår i vår förstudie och påverkar sällan priset mycket om de planeras från början. Se priskalkylatorn eller läs om kundappar med inloggning.