Forside

Ekspertgruppen for deling av industridata

1 Introduksjon

1.1 Ekspertgruppens oppdrag og sammensetning

I Meld. St. 22 (2020–2021) Data som ressurs – datadrevet økonomi og innovasjon fremgår det at det skal opprettes en tverrfaglig ekspertgruppe for deling av industridata som skal utarbeide retningslinjer for ansvar, eierskap og bruksrettigheter i forbindelse med deling av denne type data.

I utformingen av mandatet for ekspertgruppen fremgår det at «ekspertgruppen skal vurdere og gi anbefalinger knyttet til juridiske, tekniske og forretningsmessige forhold rundt datadeling mellom næringslivsaktører i Norge, og peke på hvilken praksis som fremmer eller hindrer deling og verdiskaping med data.»

Det presiseres at «ekspertgruppens anbefalinger skal hovedsakelig være rettet mot næringslivet, og hva næringslivet kan gjøre». Arbeidet «bør ta utgangspunkt i eksisterende kunnskapsgrunnlag i hhv. Digital-21-rapporten (2018), rapport fra ekspertgruppen for datadeling i næringslivet (april 2020), og Meld. St. 22 (2020–2021) Data som ressurs. Datadrevet økonomi og innovasjon. I tillegg har flere næringer og bransjer satt i gang samarbeidsprosjekter for å få til økt deling og bedre utnyttelse av data i verdikjeder og bransjer. I den forbindelse er det utarbeidet ulike rapporter og anbefalinger som bør inngå i ekspertgruppens kunnskapsgrunnlag.»

Videre uttrykkes det at «Arbeidet skal ta utgangspunkt i et norsk perspektiv, men må ses i sammenheng med utviklingen på europeisk nivå for å sikre effektiv ressursbruk, så vel som norsk næringslivs mulighet til å ta del i den europeiske dataøkonomien.»

På tross av at anbefalingene ekspertgruppen gir i hovedsak skal være rettet mot næringslivet, fremgår det imidlertid at «Ekspertgruppen kan også komme med forslag til hva som ev. anbefales løst innenfor offentlig-privat samarbeid. Arbeidet skal også se på roller og ansvar der offentlige og private virksomheter inngår i samme dataverdikjede.»

Ekspertgruppen ble utnevnt av kommunal- og distriktsdepartementet oktober 2021, og har bestått av følgende medlemmer:

Heri Ramampiaro (leder), professor og instituttleder, Institutt for datateknologi og informatikk ved NTNU, Trondheim

John Clauss, forsker og prosjektleder ved Sintef Community, Trondheim (permisjon fra april 2022)

Till Christopher Lech, Research manager ved Sintef Digital, Oslo (erstattet John Clauss fra april 2022)

Joel Mills, administrerende direktør i OSC, Augment City, Ålesund

Dag Eivind Opstad, partner og daglig leder i Capia, Tromsø

Henna Raknes, sjefsoperatør i Stacc, Bergen

Kjetil Rønning, leder for enterprise data, architecture & analytics i Equinor, Stavanger 

Mette Rønning Raabel, leder for Veracity Data Platform i DNV, Bærum

Henrik Stenwig, direktør for miljø og helse i Sjømat Norge, Oslo

Elisabeth Tapper, konserndirektør for langsiktig innovasjon og digitalisering i Tine, Oslo

Inger Berg Ørstavik, professor ved Institutt for Privatrett ved UiO, Oslo

Sekretariatet har bestått av Mikal Kvamsdal, næringspolitisk rådgiver i Abelia, og Marianne Lyseng, rådgiver ved NTNU. 

Ekspertgruppen har til sammen hatt 2 fysiske møter og 7 virtuelle møter. Gruppen har i tillegg vært delt inn i ulike arbeidsgrupper, som har gjennomført separate møter og workshops. Leder for utvalget og sekretariatet har fått innspill fra eksterne aktører og hatt møter med departementet underveis.

2 Sammendrag

Ekspertgruppens mandat har vært å vurdere og gi anbefalinger knyttet til juridiske, tekniske og forretningsmessige forhold rundt datadeling mellom næringslivsaktører i Norge, og peke på hvilken praksis som fremmer eller hinder deling og verdiskaping med data. Ekspertgruppen har ikke satt seg som mål å levere en ferdig oppskrift på datadeling, men peke på og konkretisere eksisterende kunnskap for aktører som er interessert i hvordan de kan utnytte mulighetene som ligger i deling av data.

Kapittel 3 gir en kort redegjørelse for bakgrunnen for ekspertgruppens arbeid, samt tilnærming og avgrensninger. Ekspertgruppen har også definert et sett med scenarier, som er basert på ulike måter data kan flyte på, og legger et rammeverk for de ulike tekniske, juridiske og forretningsmessige vurderingene som gjøres. Disse er også kort beskrevet her.

Kapittel 4 omhandler forretningsmessige faktorer som har betydning for datadeling, og gruppen peker på faktorer som er relevante for hvorfor virksomheter velger å dele data. Selv om deling av data kan ha stor samfunnsmessig verdi, trenger den enkelte virksomhet insentiver for å påta seg kostnader og risiko knyttet til å dele. Gruppen har derfor valgt å løfte frem forretningsmessige insentiver for å dele, til vurdering for virksomheter som ikke har en ferdigutviklet forretningsmodell for deling av data.

Kapittel 5 gir en overordnet beskrivelse av teknologier og arkitekturer som er relevante for deling av data. Kapittelet er ment å gi leseren en overordnet forståelse av hva som kreves av tekniske systemer for å kunne dele data, og skisserer ulike måter dette kan settes opp på. Ekspertgruppen gir ikke konkrete anbefalinger på hvilke teknologier eller arkitekturer som bør velges, men et overblikk som er ment til å gi leseren et startpunkt for å vurdere egne behov.

Kapittel 6 gir en overordnet redegjørelse for ulike lover og regler virksomheter må forholde seg til dersom de ønsker å dele data, samt retningslinjer for datadeling som kan være relevante å kjenne til. Forslaget fra EU-Kommisjonen om nytt regulatorisk rammeverk for deling av data – Data Act – er også redegjort kort for, ettersom dette vil kunne få konsekvenser for hvilke rettigheter aktører har til delte data.

Kapittel 7 omhandler praksis i virksomheter som har betydning for hvorvidt man lyktes med datadelingsinitiativer, og gruppens erfaringer med dette. Kapittelet gir anbefalinger og tips til hvordan man kan arbeide med delingskultur, kompetanse og innovasjon i virksomheten.

Kapittel 8 tar opp samarbeid med offentlige aktører, og hvordan offentlig sektor kan spille en rolle som tilrettelegger og partner deling av data.

Kapittel 9 er ekspertgruppens anbefalinger til virksomheter som vil igangsette eller delta i initiativ for deling av data, og er delt i generelle og scenariospesifikke anbefalinger. Kapittelet gir oversikt over sentrale spørsmål virksomheten bør besvare, samt relevante forretningsmessige, tekniske og juridiske vurderinger som bør gjøres.

3 Hva er datadeling i industrien?

3.1 Bakgrunn

De siste årene har gitt stadig økt oppmerksomhet rundt verdien av data som følge av ny og rimeligere teknologi innen felt som stordata-analyse, kunstig intelligens, sensorteknologi og fremveksten av nye tjenester fra digitale plattformer. Ekspertgruppen for deling av industridata er derfor heller ikke de første som søker å skulle bidra med kunnskap og tanker om hvordan deling av data kan lede til økt verdiskaping, bærekraft og innovasjon. Det finnes allerede en rekke rapporter og utredninger, fra myndigheter, forskningsmiljøer, organisasjoner og ikke minst næringslivet selv, som danner et bredt bakteppe for dette arbeidet. Ikke minst finnes det prosjekter og initiativer, som viser både mulighetsrommet og hvilke faktorer som bør være på plass for å lyktes med deling av data i industrien.

Deler av utgangspunktet for gruppens arbeid er allerede gitt i mandatet. Ekspertgruppen har søkt å bygge videre på den kunnskapen som er samlet gjennom blant annet Digital-21- rapporten[1] , rapport fra ekspertgruppen for datadeling i næringslivet[2] , stortingsmeldingen om datadrevet økonomi og innovasjon[3] , så vel som bransjeinitiativer som Bransjeretningslinjer for deling av data i landbruk og sjømatsproduksjon[4] . I tillegg legger internasjonale regulatoriske og politiske initiativ viktige føringer også for diskusjonene i Norge.

Samtidig som mye arbeid er gjort de siste årene, er industrien og næringslivet for øvrig fortsatt langt unna å hente ut det enorme verdipotensialet som antas å ligge i deling av data[5] . Selv om mange initiativer er satt i gang de siste årene, og flere selskaper i dag høster verdier av deling av data, er utnyttelsesgraden fortsatt i startgropen. Ekspertgruppen har ikke satt seg som mål å levere en ferdig oppskrift eller best practice på datadeling, men snarere peke på, konsentrere og konkretisere eksisterende kunnskap i et dokument som forhåpentligvis er lettlest og anvendbart for aktører som er interessert i hvordan de kan utnytte mulighetene som ligger i deling av data.

3.2 Tilnærming og avgrensning

3.2.1 Målgrupper

Ekspertgruppens mandat er tydelig på at gruppen skal levere anbefalinger til næringslivet, og det er derfor lagt fokus på hvilke muligheter som ligger innenfor dagens regulatoriske rammeverk og uten at offentlig sektor er direkte koblet på verdikjedene. Det er imidlertid ikke til hinder for, som også uttrykkes i mandatet, at gruppens anbefalinger også kan være anvendbare der hvor det foregår et samarbeid mellom offentlige og private aktører, eller hvor det offentlige kan inngå som partner på markedsmessige vilkår. Ekspertgruppen er kjent med at det parallelt med gruppens arbeid er satt ned et offentlig utvalg som skal vurdere en mer helhetlig regulering av viderebruk av offentlig informasjon, og har derfor heller ikke gitt anbefalinger knyttet til dette.

Videre har gruppen tatt utgangspunkt i at rapporten og anbefalingene særlig vil treffe mindre selskaper, som det med rimelighet kan antas at både besitter og deler mindre mengder data, men som også er i en særskilt posisjon til å bidra med nye løsninger og nye verdier basert på andre (og større selskapers) data. Samtidig er det en viktig erkjennelse at det ofte er større selskaper som innehar relevante data og ressurser til å igangsette prosjekter for deling av disse i dag, og gruppen håper rapporten kan bidra med inspirasjon og gode råd også for mer etablerte aktører.

3.2.2 Industridata

Sentralt i ekspertgruppens mandat står begrepet industridata, uten at dette er utvetydig definert. Mandatet beskriver industridata som «typisk data fra sensorer og kontrollsystemer i produksjonen, vedlikeholds- og arbeidsplanleggingssystemer og utstyrsinformasjon». Ekspertgruppen har gjennom arbeidet hatt flere diskusjoner om begrepet industridata, men har funnet at det verken er nødvendig eller hensiktsmessig å definere begrepet helt presist. Drøftelsene og anbefalingene i rapporten knytter seg til ulike situasjoner og ulike forhold knyttet til data. Fra et overordnet perspektiv, som har vært denne gruppens utgangspunkt, er det nettopp et poeng at data ikke er homogene. Noen presiseringer gjøres i det følgende.

Industri oppfattes i næringsmessig sammenheng som virksomhet rettet mot omdanning av råvarer og håndtering av maskiner til dette. Spørsmålene som tas opp i denne rapporten, er aktuelle for store deler av næringslivet som vil falle utenfor denne noe snevre definisjonen. Gruppen har derfor tatt utgangspunkt i forordning (EU) 2018/1807[6] artikkel 3 nr. 1 som definerer «data» som andre data enn personopplysninger slik det er definert i forordning (EU) 2016/679 – GDPR.[7] Det er imidlertid ikke gjennomført noen fullstendig avgrensning mot personopplysninger fordi mye data som i utgangspunktet ikke inneholder direkte identifiserende informasjon vil kunne omfattes av regler for behandling av personopplysninger dersom man kan avlede identifiserende informasjon fra dem eller ved sammenstilling med andre data. For eksempel er ikke data om kjøremønster og lokasjon for en traktor i seg selv personopplysninger, men sammenkoblet med informasjon om bonden som eier traktoren, vil også slike data kunne komme inn under reglene om personopplysninger i personopplysningsloven (og GDPR).[8] Det er viktig at aktører som ønsker å dele data vurderer hvorvidt dataene kan omfattes av dette regelverket og i så fall forholder seg til regelverket. Gruppen har imidlertid fokusert på data som ikke utgjør personopplysninger, og behandler ikke spesielle problemstillinger som oppstår ved deling av personopplysninger.

Det finnes også visse andre lovregler som forbyr eller begrenser visse typer av data, som for eksempel sikkerhetsloven. Slike regler er ikke nærmere behandlet i denne rapporten, men noen mer generelle juridiske begrensninger i adgangen til å dele data er behandlet i kapittel 6.

Endelig har utvalget fokusert på deling av data mellom næringslivsaktører, og behandler ikke spørsmål som først og fremst oppstår der forbrukere deler data med ulike tjenestetilbydere.

3.3 Datadeling

Ideen om deling av data og informasjon er ikke et nytt fenomen. Elektronisk data har blitt utvekslet mellom virksomheter (for eksempel som regneark-vedlegg i eposter) eller publisert på nettsider og filservere i lang tid. Imidlertid produseres mer og mer data maskinelt, av sensorer i produksjonsanlegg, av ressursstyringsprogramvare i virksomheter, eller generert i fag- og saksbehandlingssytemer i tjenestenæringer og forvaltning. Med datadeling menes her en automatisert deling eller utveksling av data, som regel gjennom spesifikke grensesnitt, såkalte API-er (application programming interface).

Som ekspertgruppen for datadeling i næringslivet beskrev i sin rapport[9] skiller man mellom utveksling og deling av data – eller primær og sekundær bruk av data – der utveksling som regel er drevet av et konkret behov for å forbedre eksisterende forretningsprosesser (primær bruk), mens deling av data ikke nødvendigvis har et konkret behov som bakgrunn, men en ambisjon om at tilgang til felles dataressurser muliggjør nye forretningsprosesser og -modeller. Disse er ofte drevet av muligheter innen kunstig intelligens og maskinlæring (sekundær bruk) og at ny kunnskap som er direkte relevant for den enkelte virksomhet kan skapes på basis av analyser av aggregert informasjon. Diskusjonen av forretningsmessige, teknologiske og juridiske aspekter av datadeling i denne rapporten vil omhandle begge disse formene for datadeling.

3.3.1 Scenarier for deling

Deling av data kan foregå på ulike måter, og både forretningsmessige, juridiske og tekniske forhold vil kunne variere avhengig av hvilke typer data som deles, antallet aktører og en rekke andre faktorer. For å kunne bidra med anbefalinger rundt disse forholdene har derfor ekspertgruppen definert et sett med scenarier, som er ment å illustrere ulike rammeverk for deling. Scenariene er basert på ulike måter data kan flyte på, og er tenkt som rammeverk for de ulike tekniske, juridiske og forretningsmessige vurderingene som må gjøres.  Formålet med disse er både å synliggjøre ulike løsninger for deling av data, og kunne gjøre vurderinger som er spesifikke for enkelte måter å dele på. Disse scenariene vil aldri kunne fange opp alle faktorer i et system for deling av data, men vil forhåpentligvis kunne kontekstualisere problemstillinger i et overordnet rammeverk leseren kan kjenne igjen. Samtidig er det viktig å understreke at scenariene ikke er ment å dekke alle mulige former for deling, og heller ikke er ment gjensidig utelukkende. Enkelte virksomheter vil for eksempel kunne kjenne seg igjen i flere scenarier ettersom data kan deles på ulike måter parallelt eller virksomheten deler ulike data på ulike måter. Scenariene vi har valgt å operere med i denne rapporten er:

Scenario 0 er et basistilfelle, hvor en virksomhet kun deler data internt i virksomheten. Årsaken til at vi har valgt å starte med scenario 0, definert som at en virksomhet ønsker å fremskaffe, lagre og spre data internt, er at dette ofte er startpunktet for datadeling. For å kunne dele data med andre, må virksomheten selv først fremskaffe og lagre data, og ha kontroll på flyten av denne internt. Det er mange tekniske, juridiske og forretningsmessige utfordringer som oppstår allerede her, men siden gruppens mandat er å se på datadeling, er dette scenariet først og fremst med som en grunnmur, eller baseline.

I scenario 1 har vi lagt til grunn en situasjon der en virksomhet ønsker å dele data med en ekstern part. Delingen kan være kommersielt drevet, men kan også være av samfunnsnyttig art. Uansett formål, vil datadeling med en annen part trigge en del nye nøkkeltema som må besvares.

Boks 3.1 Eksempel

Equinor deler data åpent for å fremme innovasjon og legge til rette for kunnskapsbygging

Tilgang til data er en viktig brikke i forskning, kunnskapsbygging, utvikling og innovasjon. For å imøtekomme dette har Equinor de senere årene tilgjengeliggjort store mengder data fritt tilgjengelig for akademia, leverandører og andre, gjennom sin portal for åpen datadeling. På data.equinor.com er det delt et bredt utvalg av data, inkludert undergrunns- og produksjonsdata, operasjonelle data fra vindpark, 3D-modell fra offshore produksjonsplattform med mer. Ulike data deles på ulike måter, både gjennom åpne APIer og som statiske datasett. Til nå har over 10 000 brukere registrert seg for nedlastning av disse datasettene.

En vanlig motivasjon for å dele data er utvikling av datadrevne tjenester, og det eksisterer mange kommersielle virksomheter som har bygget sin forretningsmodell rundt å samle data fra en eller flere kilder, bearbeide disse og tilby sluttproduktet som en tjeneste (gjerne i form av APIer).

Boks 3.2 Eksempel

Data fra forsikringsbransjen skaper nye tjenester

Forsikringsselskapene Tryg, Frende og Fremtind har gått sammen om en datadrevet løsning for svindelkartlegging.

Forsikringsselskapene Tryg, Frende og Fremtind har gått sammen for å utvikle en datadrevet metode for å oppdage forsikringssvindel. For at metoden skal være så presis som mulig ville det i utgangpunktet være en fordel at selskapene deler data med hverandre. Siden selskapene er konkurrenter er det imidlertid viktig at de ikke har innsyn i hverandres data direkte. For å unngå direkte deling deler selskapene isteden dataene deres med Webstep, som har utviklet løsningen, og trener opp en prediksjonsmodell basert på dataene. Prediksjonsmodellen leveres deretter tilbake til selskapene som videreutvikler metodene, tilpasset egne interne rutiner. Løsningen er utformet slik at bare prediksjonsmodellene har innsyn i data på tvers av selskapsgrensene. De delte dataene ligger i selskapenes egne skyer, og tilgangsstyres direkte fra det enkelte selskap. Selskapene sparer verdifull tid og penger som ville gått til å utvikle en løsning selv, og får en modell trent på større datasett enn de sitter på hver for seg.

Boks 3.3 Eksempel

Maritime Data Space

Maritime Data Space (MDS) er et føderert rammeverk for deling av maritime data utviklet av Wilhelmsen Ship Management, NAVTOR, Goodtech, Neuron Solution, DNV og SINTEF. Data lagres lokalt hos den enkelte aktør, eller om ønskelig på en plattform som deltar i arkitekturen. Data deles gjennom et standardisert rammeverk for tilgangsstyring og sikkerhet, hvor aktørene kan avtale deling gjennom separate eller automatiserte avtaler. Arkitekturen bygger på referansearkitektur utviklet av International Data Spaces Association (IDSA), og gir brukerne et trygt rammeverk hvor data kan kjøpes og selges, eller deles med plattform- og tjenesteleverandører.

Scenario 4 kan ved første øyekast ligne på scenario 3 i den forstand at flere virksomheter deler data seg imellom, men skiller seg ved at delingen her foregår på en felles, sentralisert plattform.

Boks 3.4 Eksempel

MRV/DCS-rapportering fra Veracity-plattformen

EU MRV (Monitoring Plan Generator) og IMO (International Maritime Organization) er begge regulatoriske enheter som har laget regelverk rundt rapportering av miljødata for den maritime industrien, som en start på dekarboniserings-reisen som kreves for å oppnå FNs bærekrafts mål for skipsindustrien.

En vesentlig del av alle verdens skip rapporterer utslippsdata via en sentral dataplattform i forhold til definerte skjema som dekker kravene til både EU og MRV. Hvert skip må minst rapportere årlig for å tilfredsstille kravene, men mange skip rapporterer daglig eller per time for å kunne benytte disse målingene ikke bare for å tilfredsstille regulatoriske krav, men også til å forbedre drift og operasjon av det enkelte skip, og sin totale flåte.

De innsendte data verifiseres og får et kvalitetsstempel via tjenesten som gjøres for MRV/IMO. En typisk sjekk som gjøres er at seilt distanse stemmer overens med forventet forbruk av drivstoff.

Ved å bruke en sentral dataplattform kan hvert skip selv bestemme hvordan de ønsker å bruke sin innsamlede og verifiserte data samt dele de med aktørene de ser hensiktsmessige for egen virksomhet. De innsamlede data brukes også til å lage industrispesifikke benchmarks.

Scenario 5 ligner på scenario 4 med den viktige forskjellen at en part i plattformen også leverer tjenester basert på dataene, enten inn igjen på plattformen, eksternt basert på data fra plattformen eller begge deler. Denne aktøren kan være plattformeier, eller en annen part. Eksempelvis kan det tenkes at en virksomhet lager et kommersielt produkt basert på egne data og andre sin data fra en datasjø. Også i dette tilfellet blir den kommersielle modellen og avtaleverk mot 3.parter, samt aktører som deler data i arkitekturen en viktig aspekt som man må ta hensyn til. I tillegg vil verdien av dataen virksomheten deler med andre aktører måtte hensyntas i både avtaleverk og kommersiell modell.

Boks 3.5 Eksempel

MIMIRO

MIMIRO er et felles initiativ fra TINE, Felleskjøpet og Gjensidige som har som formål å utvikle digitale løsninger for en mer effektiv og bærekraftig matproduksjon. En felles dataplattform muliggjør enkel deling og gjenbruk av høykvalitetsdata i landbruksindustrien. Fra den enkelte bondegården innhentes data om parametere som fôrings- og melkingsmønstre, dyrehelse, så vel som informasjon om forsikring på traktorer. Dataene forvaltes i fellesskap for å gi læring og innsikt som igjen hjelper den enkelte bonden til kontinuerlig å forbedre egen produksjon. På bakgrunn av innsamlede datasettene utvikles det tjenesteapplikasjoner hvorav to eksempler er:

Eana Ku – en applikasjon som blant annet gir oversikt over:

Informasjon om hvert individ i besetningen

Melke- og slakteleveringer med nøkkeltall

Prøvesvar innen helse og melk (per individ)

Kommende hendelser innen reproduksjon

Beslutningsstøtte for effektiv fôring

Eana Skifte – en applikasjon som blant annet hjelper med å:

I stor grad automatisk loggføre skiftearbeid

Ha oversikt over arbeid utført på skifter

Planlegge og delegere oppgaver

Ta beslutninger for et mer effektivt skiftearbeid

4 Hvorfor dele data?

4.1 Forretningsmessige insentiver og vurderinger

Flere har de siste årene påpekt at det finnes enorme markedsmuligheter for bruk av industridata til å utvikle nye tjenester. I sin første tale til Europaparlamentet i 2020 sa kommisjonspresident Ursula von der Leyen at «[...]Mengden industriell data i verden vil firedobles over de neste fem årene, og det vil også mulighetene som ligger i dem. [] Industriell data er verdt sin vekt i gull for utvikling av nye produkter og tjenester. Det er imidlertid rent sløseri at 80% av industriell data blir samlet inn og aldri brukt». Samtidig er det liten grunn til å tro at eksisterende aktører i markedet i utstrakt grad vil dele data fra egen virksomhet i håp om at nye markedsmuligheter skal dukke opp, dersom man risikerer at konkurrenter eller nye aktører kaprer denne verdiskapingen. Et viktig startpunkt for deling av data er derfor å vurdere nærmere hvilke forretningsmekanismer som kan bidra til at selskaper i større grad deler data mellom seg og hvordan deling av data kan gi verdi for dem som deler data så vel som for markedet som helhet.

Som påpekt blant annet i Nasjonal strategi for tilgjengeliggjøring av forskningsdata[10] , er insentivene for å dele data ofte uklare, samtidig som det er klart at det vil påløpe kostnader i forbindelse med deling. Dersom risikoene og den kortsiktige ressursbruken knyttet til deling ikke oppveies av tydelige eller målbare gevinster, kan dette virke som et disinsentiv til å dele data.

For å tydeliggjøre insentivene til å dele data kan vi tenke oss en insentivpyramide i tre trinn, der det nederste trinnet er forretningsmessig nødvendighet eller forbedring av kjernevirksomhet. I neste trinn kan aktørenes insentiv være å kapitalisere på data, uten at dette nødvendigvis treffer kjernevirksomheten. Det øverste trinnet i pyramiden er deling motivert av idealistiske eller samfunnsmessige forhold.

Gruppen antar at det ligger godt til rette for datadeling dersom deling fører til bedre eller mer effektiv produksjon, eller gir tilgang til andre data eller sammenstillinger av data som gir aktøren markedsinnsikt eller bedre produksjonsforutsetninger. Det kan også være insentiver til å dele data som i mindre grad er kvantifiserbare eller synlige, men som likevel berører kjernevirksomheten. Dette kan for eksempel være omdømmebygging, intern eller ekstern kompetansebygging eller langsiktig markedsstrategisk arbeid.

I et neste trinn har ikke deling av data umiddelbar positiv virkning på aktørens egen produksjon eller virksomhet, men dataene oppfattes som en ressurs som andre aktører kan utvikle tjenester basert på, eller de kan integreres i andre tjenester, slik at dataene blir en del av andre aktørers inntektsgrunnlag. For å insentivere deling av data i denne situasjonen, må det foreligge markedsmessige økonomiske insentiver som er tilstrekkelige til å oppveie kostnader og risiko forbundet med deling. Slike insentiver kan være betaling for data eller tilgang til tjenester eller produkter (motytelser) som kan komme virksomheten til gode.

Flere initiativer de siste årene, som blant annet Open Industrial Data, HUB Ocean og ulike klyngesamarbeid har vist at selskaper også både kan og vil dele data selv om det ikke vil gi direkte økonomiske fordeler for selskapet. Det siste insentivet for deling kan da være at man bidrar til samfunnsmessige gevinster, som økt bærekraft eller forbedret sikkerhet.

4.1.1 Nærmere om markedsmessige insentiver for deling av data

I mellomtrinnet skissert ovenfor, der deling av data motiveres av økonomiske interesser, er det nødvendig å se på om og hvordan dagens regler og markedsmekanismer legger til rette for det. Dersom deling av data ikke er motivert av egne forretningsmessige interesser eller samfunnsinteresser, er det i hovedsak muligheten for å ta del i andre aktørers mulige verdiskapning ved bruk av dataene, som kan insentivere deling. Det er flere forhold som gjør at disse mulighetene er uklare for aktørene og at det er vanskelig å regulere og skape tilstrekkelig forutsigbarhet for alle aktørene i en dataverdikjede. En utbredt forståelse blant aktører i næringslivet er at de må ha oversikt over verdipotensialet i data de besitter for å kunne dele. På den andre siden påpekes det gjerne at verdien ikke er der med mindre den deles, eller at det kan være vanskelig å bevise verdien i data uten å faktisk dele den. Dette kan til tider skape en gordisk knute hvor verdipotensialet ikke kan forståes uten at data deles, og data ikke deles før verdiforståelsen er på plass.

I et samfunnsperspektiv kan en tenke på data som informasjon. Data er i så fall et såkalt «ikke-rivaliserende» gode; det vil si at data har ikke egenskaper som gir en naturlig eksklusiv «rett» til data, slik som det er for fysiske ting. Den som eier en bil, har kontroll med hvem som kjører bilen, og det at man eier og bruker bilen utelukker automatisk andre fra å eie den og bruke den samtidig. Data – og informasjon – kan kopieres ubegrenset uten at dataene taper seg i kvalitet og kan brukes av et ubegrenset antall personer samtidig. I et samfunnsøkonomisk perspektiv, er det bra at informasjon spres i samfunnet slik at ny kunnskap kan brukes til å utvikle enda ny kunnskap, og en kan si at verdien av informasjon øker jo flere som gis tilgang til den. Dette er reflektert i lovverket – det er kun gitt eksklusive rettigheter til informasjon dersom det er særskilt begrunnet.

For den enkelte næringslivsaktør, er verdien av data eller informasjon ofte knyttet til det å ha faktisk kontroll med data på den måten at andre aktører ikke har tilgang til de samme dataene eller den samme informasjonen. Usikkerhet om muligheten for å utnytte denne posisjonen til økonomisk vinning, er et viktig disinsentiv for deling av data der deling ikke er forretningsmessig nødvendig for virksomheten. Denne usikkerheten kommuniseres ofte gjennom diskusjoner om og forventninger om en form for «eierskap» til data.[11] Lovverket gir ikke noen rettslig posisjon til data som kan samsvare med en forventning om «eierskap» eller som ligner eiendomsrett til fysiske ting. Disse spørsmålene behandles i kapittel 6.1.

Denne forventningen om en form for fortsatt kontroll med data som deles – kommunisert gjennom forventningen om «eierskap» – er det vanskelig å regulere i lisenser eller kontrakter, fordi det innebærer at det må reguleres nøye hvem som får bruke dataene og til hva, hvordan det skal skje og hva det skal koste. Det siste er det særlig vanskelig å regulere i lisenser eller kontrakter om deling, fordi dataenes verdipotensiale som regel ligger i at de kan kombineres med andre data, utnyttes på nye måter, eller sammen med andre data danne grunnlag for utvikling av nye tjenester og produkter. Det er ofte usikkert hvilke inntektspotensiale som ligger i tjenester basert på disse dataene, og det er usikkert hvordan tilgangen til disse dataene skal verdsettes i den sammenhengen. Når inntektspotensialet ligger i en tjeneste som utvikles basert på mange ulike inputs, hvorav tilgangen til ett bestemt datasett kun er en slik input, er det også vanskelig å finne modeller for vederlagsberegning i kontrakter. Slike vederlagsmodeller må både gi dataopprinner et vederlag som i alle fall oppveier kostnadene forbundet med deling, og samtidig ikke innebærer at den som vil utvikle en ny tjeneste forhindres fra det fordi de samlede vederlagene til de som deler data eller annen input blir for høye.

4.2 Bærekraft som insentiv for datadeling

Rene motytelser er ikke nødvendigvis eneste årsak til at virksomheter deler, eller vil dele data. Datadeling kan også spille en nøkkelrolle for eksempel i arbeid med å gjøre virksomheten mer bærekraftig. Mange virksomheter har i dag arbeid med bærekraft som en integrert del av strategier og virksomhetsstyring, og arbeider aktivt med å integrere sosiale, miljømessige og etiske faktorer i både produksjon og forbruk. Den overordnede målsetningen om bærekraftig produksjon og forbruk omfatter alle de tre pilarene knyttet til konseptet bærekraft, det vil si både økonomisk, sosial og miljømessig bærekraft. De er alle omfattet og adressert i FNs 17 bærekraftsmål[12] .

Deling av data bidrar til bærekraftig utvikling fordi det gjør det mulig å få til mer med mindre ressurser. Deling av data vil for eksempel være sentralt for å bygge opp sirkulære verdikjeder, ettersom materialer og ressurser som inngår i kretsløpet må dokumenteres og spores. Deling av data mellom ulike tjenesteleverandører i et økosystem gir også muligheter for å planlegge i retning og mål for bærekraftig produksjon og forbruk. Som et eksempel kan historiske data og sanntidsdata om mobilitet brukes til alt fra beslutningstøtte for nødetater, plassering av bysykler og deres parkeringsplasser, sanntids ruteanbefalinger, dynamisk veiprising og ikke minst forbedret byplanlegging. Slike data vil derfor være relevant for aktører på tvers av bransjer og forretningsmodeller. Ingen aktører disponerer all mobilitetsdata selv, og de må derfor samarbeide eller dele data for å planlegge i sanntid eller framskrive fremtidsscenarioer.

Som et viktig virkemiddel for å fremme en bærekraftig utvikling innføres det også stadig nytt regelverk som pålegger virksomheter å dokumentere sin virksomhet, særlig med hensyn til sosial og miljømessig bærekraft. Eksempler på dette er EU’s Corporate Sustainability Reporting Directive (CSRD)[13] og åpenhetsloven (Lov om virksomheters åpenhet og arbeid med grunnleggende menneskerettigheter og anstendige arbeidsforhold)[14] som trer i kraft 1. juli i år. I ulike markeder er det et økende krav om at selskaper dokumenterer miljømessige, sosiale og forretningsetiske forhold, eller ESG (Environmental, Social and Governance) for ESG-rapportering.

ESG handler om hvordan et selskaps produkter og tjenester bidrar til bærekraftig utvikling, så vel som hvordan virksomheten styres for å minimere faktorer som påvirker samfunn og miljø på en negativ måte. ESG vektlegges blant annet i stor grad i finansmarkedet. Åpenhetsloven vil gjelde alle større virksomheter, men dekker ikke dokumentasjon av miljømessig påvirkning.

Den sittende Europakommisjonens politiske plattform «A European Green Deal – Striving to be the first climate-neutral continent»[15] har miljøpåvirkning som hovedfokus, og i den sammenheng vil det fastsettes et detaljert lovverk som pålegger alle virksomheter å gjennomføre miljøregnskap i henhold til en standardisert metode som EU-kommisjonen har utviklet med basis i ISO-standarder som beskriver hvordan miljøregnskap basert på prinsippet om livsløpsanalyse (LCA- Life Cycle Assessment), skal gjennomføres. Kommisjonens standardiserte metode har betegnelsen Product Environment Footprint metoden (PEF)[16] og gjelder fastsettelse av et produkts miljøfotavtrykk på 16 påvirkningsområder hvorav bare fire inngår i begrepet klimafotavtrykk.

EU-kommisjonen har meddelt at den i løpet av 2022 og 2023 vil fremme lovforslag som pålegger alle som markedsfører produkter i EU å gjennomføre miljøregnskap i samsvar med PEF dersom virksomheten ønsker å bruke miljøpåstander i sin markedsføring. Målsetning for EU-kommisjonen er at krav om standardisert miljødokumentasjon skal forebygge villedende markedsføring knyttet til miljømessig bærekraft, at PEF skal være et verktøy for virksomhetene for å identifisere særlig utfordrende deler av sin virksomhet i forhold til miljøpåvirkning, og at produktenes miljøprofil (PEF-profilen) skal være en del av konkurranseområdet mellom aktører som markedsfører varer innenfor samme produktkategori. Lovverkene vil etter alt å dømme være EØS-relevante, og dermed også bli gjeldende i Norge

PEF-profilen er basert på livsløpsanalyse (LCA), og presisjonen på PEF-beregningene forutsetter gode data fra leverandørkjeden til enhver virksomhet. Kravet er at man ikke kan benytte PEF-profilen til å sammenlikne sine produkter med andres i markedsføringen uten at inngående data oppfyller visse minimumskrav til kvalitet. Dette vil gjøre deling av data mellom virksomheter til en forutsetning dersom man ønsker et konkurransefortrinn i de markedene man opererer når det gjelder miljødokumentasjon.

Det økonomiske potensialet som ligger i dette, vil selvfølgelig variere for ulike varegrupper, men som en illustrasjon på hvilken betydning slikt regelverk kan få anslo at Norges Sjømatråd i 2020 at totalverdien av norsk sjømateksport ville kunne øke med om lag 30 milliarder dersom norsk sjømat kunne dokumenteres å være miljømessig bærekraftig[17] .

5 Teknologier og arkitekturer for datadeling

Deling av data kan være teknisk utfordrende selv internt i en organisasjon, hvor ulike systemer, filformater og sikkerhetstiltak kan hindre effektiv distribusjon av data. Barrierene har likevel blitt mindre siste årene, med fremveksten av plattformer og skytjenester som kan skaleres etter behov og tjenester som i større grad er bygget for å kunne snakke sammen. Kompleksiteten øker imidlertid når data skal deles i verdikjeder i næringslivet og mellom virksomheter. For aktører som ikke allerede har god kontroll på omfanget og bruken av egen data kan det virke overveldende å skulle tilrettelegge for deling med eksterne parter.

For at data skal være nyttige for andre, må de gjøres tilgjengelige på en måte som gjør det mulig for aktørene å realisere verdien av dem. For at dette skal skje, må data være søkbare, ha god kvalitet, og de må kunne kobles til andre datasett på en trygg og effektiv måte. Det er derfor viktig at datasett er komplette og oppdaterte og beskrevet med gode metadata, og at de er maskinlesbare

Kilde: Meld.St. 22 (2020–2021) Data som ressurs – datadrevet økonomi og innovasjon

Ulike bransjer og firmaer kan ha ulike språk for og ulik forståelse av sine data. Innen f.eks. bank og helse-næringen er dette språket og forståelsen i stor grad standardisert, men det er ikke alltid tilfelle i den tradisjonelle industrien, som gjerne opererer med ulike benevnelser og har ulik forståelse av data. Dette kompliseres også av at industrien ofte har en kombinasjon av data fra tradisjonelle systemer og data fra nye IoT-baserte maskiner og sensorer. 

De tekniske utfordringene knyttet til deling av data kan grovt deles i to hovedkategorier – Standarder og arkitektur. Standarder er utbredte og felles regler for hvordan noe skal lagres eller gjennomføres. En dataarkitektur er sammensetningen av modeller, regler og standarder som styrer hvilke data som samles inn, hvordan de lagres, arrangeres, integreres og tas i bruk i datasystemer og organisasjoner.

5.1 Hvordan gjøre virksomhetens dataressurser tilgjengelig?

For at data som produseres av en part skal kunne brukes av en annen, er man avhengig av at dataene er forståelige. Det hjelper ikke at en person sender deg en epost med interessant informasjon, dersom den er på et språk du ikke forstår, eller om du ikke har rett program for å lese eposten. Et datasystems evne til å snakke med og forstå et annet system, kalles interoperabilitet.

Interoperabilitet i sammenheng med datadeling, handler både om systemers evne til å utveksle data, såkalt syntaktisk interoperabilitet, og om evnen til å forstå og koble data sammen på tvers av systemer, såkalt semantisk interoperabilitet.

Syntaktisk interoperabilitet handler altså om teknisk evne til å kommunisere på tvers av systemer. Det er ulike tekniske løsninger for dette. Et eksempel for utveksling av data, er bruken av åpne standardiserte API-er (se tekstboks). Et annet eksempel, er datautveksling mellom industrielle systemer for eksempel i et prosess-anlegg, hvor Open Platform Communication – Unified Architecture (OPC UA) har blitt en viktig brikke, og er bl.a. sentral i Industri 4.0-arbeidet (se kap. 5.4.2).

I tillegg trenger systemene også semantisk interoperabilitet. De må ikke bare evne å lese dataene, men også forstå for eksempel hvilke type utstyr en sensor-verdi relaterer seg til, hvilke posisjoneringssystem som er brukt for en geografisk referanse, hvilke måleenheter verdier er oppgitt i, og hvordan ulike objekter relaterer seg til hverandre. Sentrale elementer her er bruk av data- og industri-standarder, felles datamodeller og referansedata. Dette er arbeid som kan være krevende på tvers av systemer innad i en virksomhet, og som krever desto mer innsats når dette skal gjøres på tvers av virksomheter, eller også på tvers av industrier. Utstrakt bruk av åpne, gjerne industri-uavhengige, standarder, vil i denne sammenhengen være viktig. Her kreves det da også samarbeid på tvers av relevante aktører i økosystemet. OSDU (se kap. 5.4.3) er et eksempel på et slikt arbeid.

Boks 5.1 Åpne API-er

Digital 21-rapportens forslag til prinsipper som danner grunnlaget for bruk av åpne API-er:

For å forenkle sikkerhetsarbeidet og gjøre det enklere for brukerne av portalen, må tilgang styres vi et felles autentisering- og tilgangskontrollsystem

For å sikre effektiv tilgang og mulighet for bakgrunnsoppdateringer må det kreves av alle leverandører av IT-systemer til det offentlige at det utvikles API-er på en felles standard som gjør at man kan hente ut data fra systemet på en programmatisk måte.

Det må gjøres en vurdering av om data som kan knyttes til et individ, må anonymiseres før de gjøres tilgjengelige. Til dette formålet må det brukes lettleste standardkontrakter, men med reservasjonsrett for individet.

For å sikre videreutvikling av portalen må ekstern tilgang være uavhengig av interne teknologivalg i portalen.

All uthenting av data fra kildesystemer til portalen må skje automatisk og regelmessig, slik at data ikke blir utdaterte

Boks 5.2 FAIR (Findable, Accessible, Interoperable, Reusable)-prinsippet for deling av data

FAIR som prinsipp ble i 2016 opprinnelig foreslått av en gruppe forskere som kom med anbefalinger og retningslinjer i forbindelse med deling av forskningsdata. På grunn av nytte og relevans har prinsippet imidlertid blitt anvendt i andre områder enn forskning hvor deling av data står sentralt. FAIR-prinsippet er derfor også relevant i forbindelse med deling av industridata.

Findable Det første steget i å kunne bruke (eller gjenbruke) data er at man må finne dataene. Data og metadata må derfor være enkelt å finne, enten manuelt eller automatisk. Maskinlesbare formater er derfor nødvendige for å kunne finne frem til datasett. Det gjøres ved at: F1: (Meta)data gis globalt unike og vedvarende idenfitikatorer. F2: Data er godt beskrevet med metadata (som definert i R1). F3. Metadata inneholder klart og tydelig identifikatorene til dataen de beskriver. F4. (Meta)data registreres og indekseres i en søkbar ressurs

Accessible Når man har funnet frem til data, må man kunne vite hvordan man får tilgang til dem, og hvilke autentifikatorer og autorisasjoner som er nødvendige. Det gjøres ved at: A1. (Meta)data er gjenfinnbare basert på identifikatorer gjennom en standardisert kommunikasjonsprotokoll. A1.1. Protokollen er åpen, gratis og universelt implementerbar. A1.2. Protokollen gir mulighet til å autentisere og autorisere dersom nødvendig. A2. Metadata er tilgjengelig, selv når dataen ikke lengre er det. 

Interoperable Dataen må vanligvis være integrerbar med annen data. I tillegg må dataen være interoperatibel med systemer for analyse, lagring og prosessering. Det gjøres ved at: I1. (Meta)data bruker et formelt, tilgjengelig, delt og bredt akseptert språk. I2. (Meta)data bruker et vokabular som følger FAIR-prinsippene. I3. (Meta)data inkluderer referanser til annen (meta)data. 

Reusable Formålet med FAIR er å optimalisere for gjenbruk av data. For å få til dette, bør metadata og data være godt beskrevet slik at det kan kopieres og eller settes sammen i andre settinger. Det gjøres ved at: R1. (Meta)data er rikt beskrevet med flere relevante og nøyaktige attributter. R1.1. (Meta)data er sluppet med klare og tilgjengelige bruksvilkår. R1.2. (Meta)data bruker domenerelevante standarder.

5.2 Arkitektur og plattformer

En god og gjennomtenkt arkitektur vil ikke bare være helt sentralt for en virksomhets evne til å lykkes med sine digitaliserings-ambisjoner, men er også viktig for å muliggjøre effektiv og hensiktsmessig deling av data. Et nøkkelelement i digitalisering er å hente ut data fra fagsystemene de er generert- eller lagret i, for å legge til rette for bruk og analyse av data på tvers av ulike systemer. Den rådende tilnærmingen til dette, er å utnytte plattform-tenking, slik at data gjøres tilgjengelig ved hjelp av ulike teknologier i en dataplattform.

Tradisjonelt har slike dataplattformer dreiet seg om ulike former for såkalte datavarehus-løsninger. I dag kalles denne arkitekturen ofte for 1. generasjons dataplattformer. Her tilbys forvaltede data basert på antatte brukerbehov. Styrken til disse har vært kontroll og kvalitet på dataene som tilbys, mens den største utfordringen har dreid seg rundt hvor omfattende og komplekst det blir å gjøre endringer etter hvert som systemene vokser.

Det har gjennom de siste årene vært en forholdsmessig stor utvikling innen dette området, lang på vei drevet frem av den økende rollen dataanalyse og kunstig intelligens spiller i digitaliseringen. For å møte et økt behov for fleksibilitet, skalering og kost-effektivitet, vokste datasjø-teknologiene (data lakes) frem som en neste-generasjons dataplattform-teknologi. Her la man til rette for økt fleksibilitet med hensyn til hva slags innhold som kunne lagres (strukturerte, semistrukturerte eller ustrukturerte data). Hovedfordelen med dette var at man i liten eller ingen grad måtte forberede dataene for en spesifikk bruk når de ble gjort tilgjengelig i plattformen (såkalt Schema-on-write), men gjorde heller denne jobben når dataene skulle brukes (såkalt Schema-on-read). Selv om dette generelt har gitt en betydelig større frihet til å velge hva dataene brukes til enn tidligere, har det også ført til at dataene må bearbeides i hvert enkelt tilfelle. I tillegg kan en slik løsning også resultere i at tilliten til dataene er redusert, sammenliknet med de forvaltede datasettene som er gjort tilgjengelig i et datavarehus.

For å adressere utfordringene med datasjøene, vokste det frem en ny generasjon data-plattformer som kombinerte dataforvaltningsmekanismene i datavarehus med fleksibiliteten til datasjø, ofte kalt datasjøhus (data lake house). Disse plattformene tilbyr gjerne både strømming av sanntidsdata, samt strukturerte, semistrukturerte og ustrukturerte data. Utfordringen med disse plattformene har i en del tilfeller vist seg å være kompleksiteten i ende-til-ende behandlingen av dataene, som kan resultere i ny usikkerhet om datakvaliteten. Eksempel på slike usikkerheter kan være i hvilke grad konsumenten kan stole på at det ikke er forsinkelser i sensor-verdiene som brukes til å avlese utstyr, at det ikke forekommer konverteringsfeil i dataenes reise fra kilde til konsument og lignende. Dette er spesielt viktig dersom data skal benyttes i operasjonelle sikkerhetskritiske prosesser og sentrale beslutningsprosesser.

De siste årene har nye konsepter, deriblant en sterkere produkt-tenkning rundt data, vokst frem. Tidligere generasjoner av dataplattformer har i stor grad har hatt en klar sentralisert tilnærming. Dette er også tilfelle for noen av de nye tilnærmingene, som for eksempel Data Fabrics. Andre, som for eksempel Data Mesh, bygger på mer desentraliserte modeller, for å møte utfordringene spesielt større selskaper har relatert til skalering av dataforvaltning.

5.3 Arkitekturer for datadeling

Ulike aktører i ulike næringer vil ha forskjellige behov for teknologiske løsninger. Mens det for noen aktører vil være hensiktsmessig å dele data på en felles plattform, vil andre – for eksempel av sikkerhetshensyn– dele data direkte, basert på konkrete behov eller forretningsprosesser.

Vi kan dele de ulike arkitekturene i tre hovedkategorier – distribuerte, fødererte og sentraliserte arkitekturer. I den mest elementære settingen for datadeling avtaler to (eller flere) virksomheter å dele data seg imellom gjennom for eksempel tilgang til APIer. Dette er et distribuert system. Distribuerte systemer er forholdsvis enkle å implementere mellom et fåtall aktører, men egner seg i mindre grad til mer avansert deling mellom mange aktører ettersom kompleksiteten i systemene er forholdsvis lav.

I såkalte fødererte arkitekturer forblir lagringen hos den aktøren som produserer data, men i motsetning til en distribuert arkitektur har utarbeidet et felles rammeverk eller sett av regler for sikkerhet, standarder, validering og bruk av data.

I sentraliserte arkitekturer, slik som dataplattformer, lagres partenes datasett blir hos en sentral aktør. Leverandøren av infrastrukturen vil i dette tilfellet gjerne også ha ansvar for interoperabilitet og sikkerhet i arkitekturen. Plattformleverandøren vil også i mange tilfeller tilby datadrevne tjenester inn i plattformen også, som analyseverktøy basert på kunstig intelligens.

I realiteten vil mange virksomheter måtte forholde seg til flere av disse i parallell, innenfor ulike deler av virksomheten. Det opereres også i mange tilfeller med kombinasjoner av disse modellene.

5.3.1 Sikkerhet og tillit i datadeling

Tillit er en av de grunnleggende forutsetningene for deling av data. Hvis aktører ikke har tillit til hverandre vil ikke insentivene for datadeling være tilstrekkelige til at en virksomhet tar kostnaden av å eksponere data. Tillit må være etablert på tre nivå:

Organisasjonsmessig tillit: Har aktørene de samme intensjonene med datadeling? Er det etablerte samarbeidsrelasjoner mellom aktørene? Vil deltagelse i dataøkonomien veie opp for kostnaden ved å dele? Vil alle aktørene bli inkludert i forretningsmodellene som oppstår på grunn av tilgang til data? Vil dataprodusenten holdes ansvarlig for følgene som oppstår på grunn av dårlig kvalitet i datasettene som deles?

Tillit til infrastrukturen: Hvordan sikrer infrastrukturen at uvedkommende ikke får tilgang til aktørenes data? Er infrastrukturen robust nok til å motstå cyber-angrep? Ivaretar infrastrukturen transparens og integritet i data-transaksjonene?

Tillit til data: Er data som en virksomhet mottar av høy nok kvalitet? Er dataene komplette og korrekte? Vil data som mottas kunne forårsake utilsiktede konsekvenser for produksjon eller andre prosesser? Hvordan sikre at delte datasett ikke blir manipulert eller brukt på en uønsket måte?

Mens et godt utarbeidet avtaleverk kan øke (eller, til en viss grad, erstatte) den organisasjonsmessige tilliten er det viktig at det tekniske rammeverket rundt datadelingen legger opp til en tillitsinfrastruktur gjennom bruk av gode praksiser innen informasjonssikkerhet, robusthet og autentisering av deltagerne, uansett av hvilken arkitektur som brukes.

Der tilliten mellom aktørene er lav finnes det nyere teknologier som muliggjør felles bruk av aktørenes data uten å avsløre disse for hverandre, som for eksempel innen såkalt føderert maskinlæring, secure multiparty computation eller homomorfisk kryptering av data, som tillater operasjoner som beregninger eller maskinlæring på kryptert data. Mens de mest avanserte av disse «privacy-preserving technologies» fortsatt er gjenstand for forskning, finnes det allerede kommersielle plattformer for føderert maskinlæring eller secure multiparty-computation.

5.4 Relevante initiativer

5.4.1 European data spaces

Konseptet av «European Data Spaces» er forankret i EU-kommisjonens strategi for data, som ett av de sentrale tiltakene for den europeiske dataøkonomien. Data Spaces, som infrastrukturer for deling av data skal bidra til:

Flyt av data innenfor ulike industrivertikaler på tvers av Europa

Tilgjengelighet av høykvalitets industridata som akselerator for datadrevet innovasjon

Deling av data i tråd med europeiske verdier og reguleringer

Et bedre regelverk for tilgang til – og bruk av – industridata med forståelige og rettferdige mekanismer for styring (governance) av data.

Ulike brukergrupper vil ha ulike behov for deling av data som igjen vil resultere i ulike tilnærmingsmåter med tanke på arkitektur, informasjonssikkerhet, tilgang til data etc. Derfor har EU-kommisjonen definert ni ulike sektorer der europeiske data spaces skal opprettes:

Helse

Industri og vareproduksjon

Landbruk

Finans

Mobilitet

Det grønne skiftet

Energi

Offentlig sektor

Forskning og utdanning

På hvert av disse områdene skal det utvikles de nødvendige teknologiske verktøyene for datadeling og -utveksling i tillegg til lagrings- og prosesseringstjenester i skyen, samt standarder og metoder for teknisk og semantisk interoperabilitet. 

Det er grunn til å anta at europeiske infrastrukturer for datadeling vil ha en betydning for norske aktører, spesielt innen eksport-orienterte sektorer som for eksempel energi eller sjømatproduksjon. Dersom de opprettede data spaces brukes i digitaliseringen av verdikjedene innenfor de nevnte sektorene er det viktig for norske aktører å være i posisjon for å kunne slutte seg til disse økosystemene. Utover dette vil det ligge et læringspotensial i den anvendte teknologien for gjenbruk i norsk sammenheng.

De europeiske Data Spaces vil implementeres og rulles ut gjennom Digital Europe Programmet (DIGITAL). EU-kommisjonen anslår å investere 410 millioner euro i Data Spaces gjennom en blanding av bevilgninger (grants) og offentlige anbud (tenders). Siden Norge deltar i DIGITAL innebærer dette et mulighetsrom for norske aktører, ikke bare for å benytte seg av infrastrukturene som bygges, men også bidra til utformingen av disse.

5.4.2 Industri 4.0

Det er tidligere i rapporten pekt på viktigheten av interoperabilitet. For å oppnå dette, er det enda viktigere enn tidligere for virksomheter å finne felles og standardiserte løsninger, slik at prosessene og økosystemene de opererer i blir mer kostnads- og utslipps-effektive, og at det legges til rette for økt fleksibilitet og innovasjon. Samtidig må sikringen av systemene styrkes, heller enn svekkes. I denne sammenhengen vil Industri 4.0 være relevant for en del virksomheter å sette seg inn i.

Industri 4.0, også referert til som den fjerde industrielle revolusjon, er en digital transformasjon av bransjer hvor grensen mellom fysiske eiendeler og industriell produksjon, og den digitale verden blir mer og mer utydelig og sammenflettet. Fysisk utstyr blir «intelligent», kan kommunisere og samspille med annet utstyr, og er i økende grad i stand til å drive, kontrollere og optimalisere produksjonsprosesser av seg selv uten menneskelig innblanding.

Et nøkkelelement i Industri 4.0, er at alle fysiske komponenter har en digital tvilling som er tilgjengelig for både mennesker og maskiner i hele verdikjeden. Den digitale tvillingen blir kontinuerlig beriket og brukt til overvåking, simulering og optimalisering gjennom hele livssyklusen, fra design til avhending.

Det Industri 4.0 primært bidrar med i denne sammenhengen, er å sikre interoperabilitet mellom de ulike komponentene i verdikjeden, for på den måten å understøtte nye data drevne-forretningsmodeller. Dette gjøres blant annet ved hjelp av standarder for hvordan data kan kobles sammen, hvordan systemer kan utveksle data på en sikker og hensiktsmessig måte, og tekniske komponenter for hvordan sette opp og utvikle digitale tvillinger.

5.4.3 The Open Group OSDU Data Platform

I mange tilfeller vil viktige løsninger til datadelings-utfordringer kreve industrispesifikt samarbeid. Et eksempel på et slik samarbeid er The OpenGroup’s OSDU Data Platform for undergrunnsdata.

Dagens marked for programvare relatert til undergrunnsdata kjennetegnes av et fåtall dominerende leverandører. Data spres på tvers av ulike databaser, og låses inne i programvare-siloer, eller gjøres utilgjengelig gjennom bruk av proprietære datamodeller. Dermed blir effektiv forvaltning og fleksibel bruk av dataene vanskelig. Dette gjør det igjen vanskelig for nye aktører å entre markedet, og dermed begrenses innovasjonen ytterligere.

OSDU startet som et samarbeid mellom sentrale olje- og gass-operatører (Shell, Chevron, Equinor, Conoco Phillips, BP og Total) i 2018, basert på en felles forståelse at den pågående energi-transformasjonen krever samhandling og åpenhet for å lykkes. Ingen av disse operatørene mente at de ville kunne lykkes med dette på egen hånd, og så her sentrale områder hvor de ville tjene på samarbeide, fremfor å konkurrere. Per dags dato har OSDU ca. 200 medlemsbedrifter, og inkluderer store skyleverandører som Microsoft, Google, Amazon og IBM, de sentrale programvare-leverandørene innen undergrunnsdata (Schlumberger, Halliburton), i tillegg til store konsulent- og tjenesteleverandører, software-selskaper med mer. I dette tilfellet hadde operatørene en felles utfordring, mens de store skyleverandørene så et mulighetsrom. For programvareleverandørene var bildet mer sammensatt, hvor dette for noen kunne være en utfordrer til eksisterende forretningsmodeller, samtidig som det la til rette for fremveksten av nye modeller.

Det OSDU har til hensikt å utvikle, er en standardisert dataplattform, basert på åpen kildekode, hvor data separeres fra applikasjonene og tilgjengeliggjøres gjennom standardiserte grensesnitt. Dette vil videre kunne implementeres som Software as a Service (SaaS) hos de store skyleverandørene, og dermed også legge til rette for standardiserte grensesnitt som software-leverandørene kan levere produkter tilpasset.

Det overordnede verdipotensialet i OSDU knytter seg til redusert friksjon i eksisterende forretningsprosesser gjennom økt interoperabilitet, forbedret databehandling og forbedret datakvalitet, herunder sporing av hvordan data endres over tid. OSDU gjør det enklere å fange, berike, finne og bruke data. Videre, gjennom en felles plattform og standardiserte grensesnitt, legger man til rette for en ny generasjon digitale løsninger som støtter nye måter å jobbe på. Denne innovasjonen vil igjen bidra tilbake til videreutviklingen av plattformen.

Det har nå gått 3 år siden første oppstartsmøte i OSDU og de første kapabilitetene er nå klare for produksjonssetting hos fire av de største skytjenesteleverandørene. Mye arbeid gjenstår for å få kapabiliteter som dekker alle arbeidsflyter og fagområder på plass, men dette er hva OSDU-organisasjonen er satt opp for å kunne levere på i årene som kommer. OSDU er en fleksibel dataplattform som, selv om fokuset nå er på undergrunnsdata, på sikt potensielt også vil kunne bidra innenfor andre domener. På nåværende tidspunkt er likevel den viktigste erfaringen en kan ta med seg til andre industrier hvordan problemstillingen har blitt adressert i OSDU. Noen av nøkkel-elementene som har utkrystallisert seg som sentrale så langt, er:

Felles problemstilling og/eller sammenfallende interesser på tvers av sentrale aktører er den viktigste driveren bak et vellykket samarbeid, og bør tillegges mye fokus, spesielt tidlig i prosessen.

Beslutsomhet og utholdenhet. Å lykkes i en transformasjon av denne størrelsesordenen krever prioritering, investering og fokus over tid.

Utvikling av standarder som en del av utvikling av programvare, og ikke som en selvstendig teoretisk øvelse, bidrar til implementerbare standarder med pragmatiske tilpasninger.

Involvering av alle sentrale deler av økosystemeter er viktig for å kunne lykkes med å transformere dette økosystemet.

6 Juridiske vurderinger og rammeverk

Usikkerhet om juridiske spørsmål fremheves ofte som en hindring for datadeling i næringslivet. Lovgivningen inneholder ikke noen generell rettslig definisjon av “data” eller noen generell regulering av deling av data innenfor privat næringsliv. Dette henger også sammen med at det i praksis er vanskelig eller umulig å gi noen generell definisjon av hva “data” eller “industridata” er. Det er imidlertid mange rettsregler som får anvendelse på data og som har eller kan ha betydning for deling av data, og en viktig kilde til rettslig usikkerhet er at det kan være vanskelig for den enkelte virksomhet å skaffe seg en oversikt over de reglene som er relevante for virksomheten om den skal dele data.

Det kan være usikkerhet omkring rettigheter til data og frihet til å sette grenser for bruk, og usikkerhet om mulighet for å ta del i eventuell økonomisk fortjeneste som følge av bruk av dataene. Det er også usikkerhet om ansvar knyttet til deling av data, for eksempel brudd på tredjeparters rettigheter, ansvar for feil i dataene og ansvar for ulovlig bruk. Som beskrevet ovenfor, er det konkrete avtaler som gir grunnlag for deling av data i næringslivet. Den rettslige usikkerheten må håndteres gjennom vilkår i avtalen som regulerer deling, for eksempel en datalisens.

I utgangspunktet gjelder det avtalefrihet, både om data skal deles, vilkårene for deling og fordeling av eventuelt ansvar. Lovgivningen inneholder regler som setter rammene for avtalen, og til dels begrenser avtalefriheten. Nedenfor peker gruppen på det den oppfatter som sentrale og generelle regler som bør vurderes når avtalevilkår skrives og forhandles.

En del av den rettslige usikkerheten rundt deling av data, kommuniseres i diskusjonen om “eierskap” til data. Lovgivningen gir imidlertid ingen rettslige posisjoner som samsvarer med en forventning om “eierskap”. Flere har pekt på et behov for å skape bedre forutsigbarhet i lovgivning som gjelder data og som er relevant ved deling av data, særlig når det gjelder forventninger om en form for “eierskap”.Det pågår for tiden lovarbeid som forventes å gi bedre forutsigbarhet, særlig innenfor EU, som nærmere omtalt nedenfor. Ekspertgruppens rolle er ikke først og fremst å vurdere mulige lovendringer, men vurdere muligheter innenfor dagens lovverk.

6.1 Eierskap, ansvar og bruksrettigheter

En sentral del av ekspertgruppens mandat er å gi “anbefalinger til konkrete tiltak for hvordan avklare ansvar, eierskap og bruksrettigheter i forbindelse med deling av industridata innad i næringslivet.”

Som blant annet ekspertgruppen for datadeling i næringslivet har påpekt, finnes det i dag ikke lovverk som gir noen form for eiendomsrett til data. Når data forstås som «informasjon» i vid betydning, er forutsetningen i norsk rett, at ingen kan eie informasjon eller kunnskap. Lovverket har en god del ulike regler som etter omstendighetene kan få betydning for deling av data. For det første er det regler som gir rettigheter til data eller samlinger av data, som for eksempel databaserettigheter etter åndsverkloven. For det andre er det regler som krever deling av data, regulerer eller legger til rette for deling – slik som betalingstjenestedirektivet[18] eller DISKOS[19] . Til sist er det regler som begrenser deling av data, for eksempel sikkerhetsloven, personopplysningsloven eller ulike regler om taushetsplikt. Utenfor lovreglenes anvendelsesområder, gjelder alminnelig handlefrihet og kontraktsfrihet. I praksis er mange virksomheter alene om å ha tilgang til egenproduserte data eller de dataene som de samler inn og lagrer som ledd i sin virksomhet. Det er i utgangspunktet fritt opp til den enkelte virksomhet om den ønsker å dele data med andre eller ikke. Det er dog ingen lovbestemt eierposisjon eller eksklusiv rettslig posisjon knyttet til dataene som skaper rettslige eneretter eller «eierretter» til dem.

Tidligere initiativer og utredninger har etterspurt nye og klare regler om eierskap eller eiendomsrett til data for at datadeling skal skje uten så stor usikkerhet om rettslige posisjoner[20] . Det er imidlertid ikke kommet initiativer fra lovgivere som går i retning av å gi eneretter eller noe juridisk “eierskap” til data. EU-kommisjonen vurderte å innføre en såkalt “Data Producer’s Right”, men dette initiativet synes foreløpig å være forlatt.

Det siste initiativet fra EU-kommisjonen, er forslaget til en europeisk “Data Act”. Istedenfor å gi eierrettigheter eller eksklusive rettigheter til dataprodusenter eller tilbydere av databaserte tjenester, er det et sentralt grep i Data Act at brukerne av databaserte tjenester får en lovfestet rett til tilgang til data som er samlet inn fra og om dem selv, herunder industridata som samles inn gjennom sensorer. Brukerne, både forbrukere og næringsdrivende, får også rett til å disponere over disse dataene. Data Act er foreløpig på forslagsstadiet, og innholdet kan bli endret betraktelig før et eventuelt vedtak. Forslaget til Data Act indikerer at lovgivere er opptatt av å balansere kontroll og tilgang til data, og særlig å sikre brukerrettigheter overfor selskaper som tilbyr ulike tjenester basert på innsamling og lagring av data.

Innenfor dagens rettslige rammeverk, er det nødvendig med kontrakt for å regulere vilkårene for tilgang til og deling av data. En lisensavtale gir tilgang og rett til å bruke data, i motsetning til en kjøpsavtale som vanligvis brukes om et endelig salg, der selger ikke lenger skal ha rettigheter eller plikter i det som blir solgt. Lisensavtalen fastsetter vilkårene for bruken, og regulerer risiko og ansvar. Dersom Data Act blir vedtatt og gjennomført i EØS og dermed i Norge, forutsetter den at deling av data reguleres i kontrakter/lisenser, men avtalen må respektere og oppfylle kravene i Data Act. Også i fremtiden, vil altså kontrakter være helt sentrale for å regulere deling av data. Det er også fullt mulig å fordele rettigheter og plikter i kontrakten ved å bruke ord som “eierskap” og lignende, men det motsvares altså ikke av noen konkret rettslig posisjon i lovverket.

6.2 Regler som gir rettigheter til data eller datasamlinger – immaterialrettigheter

6.2.1 Vern for databaser

Samlinger av industridata kan utgjøre en database. Dersom vilkårene i åndsverkloven § 24 er oppfylt, kan den som har fremstilt databasen, få en enerett til å råde over hele eller vesentlige deler av databasens innhold. Lovens vilkår er at innsamling, kontroll eller presentasjon av innholdet i databasen innebærer en “vesentlig investering”. Eneretten innebærer en rett til å forby andre å kopiere eller å gjøre databasen tilgjengelig for allmennheten så fremt det gjelder hele eller vesentlige deler av databasen. Eneretten gir også vern mot gjentatt og systematisk utnytting av uvesentlige deler av databasen, dersom dette skader den normale bruken av databasen eller urimelig tilsidesetter fremstillerens legitime interesser.

Åndsverkloven § 24 gjennomfører EUs databasedirektiv[21] . I databasedirektivet er en database definert som en samling av selvstendige verk, data eller annet materiale som er strukturert systematisk eller metodisk, og som er tilgjengelig individuelt ved bruk av elektroniske eller andre midler. Søkbare samlinger av industridata, vil regelmessig utgjøre en database. Samlingen kan være statisk eller dynamisk, altså slik at stadig nye data registreres. Databasevernet er et vern for samlingen av data som sådan, og retten gir ikke vern for enkeltdata eller rådata som inngår i databasen.

Det sentrale vilkåret for vern etter åndsverkloven § 24, er at innsamling, kontroll eller presentasjon av databasens innhold innebærer en “vesentlig investering”. Investeringen må være knyttet til innsamlingen, kontrollen eller presentasjonen av databasen, det vil si arbeidet med å strukturere og sette sammen databasen. Investeringer i forbindelse med produksjon av data, gir ikke vern etter § 24. Hvor stor investeringen må være, altså hvor mye ressurser i form av tid eller penger som er brukt, må vurderes konkret i forhold til den enkelte database. Formålet med databaseretten er å gi et vern for investeringene, og for å oppnå vern, må det være snakk om betydelige ressurser. 

For typiske industridata, må det vurderes konkret både hvor store investeringer som har gått inn i databasen, og hva investeringene er brukt til. En del industridata registreres som del av en annen virksomhet, og i så fall er det tvilsomt om åndsverkloven § 24 får anvendelse. Dersom investeringene knytter seg til virksomheten, og dataene som registreres er erfaringsdata eller data om resultater av virksomheten eller observasjoner om virksomheten, er det ikke gitt at databasen er vernet. Det innebærer for eksempel at et selskap som leverer turbiner til produksjon av vann- eller vindkraft, og som registrerer erfaringsdata om vær- og naturforhold som er avgjørende for dimensjonering av turbinene, normalt ikke kan påberope seg databaseretten etter åndsverkloven § 24 for databasen med erfaringsdata. Slike data kan være vernet som forretningshemmeligheter, se mer om dette nedenfor.

En database kan også være resultat av en kreativ åndsinnsats og dermed være vernet som åndsverk, jf. åndsverkloven § 2. Kravet er i så fall at innsamlingen og struktureringen av databasen er uttrykk for en individuell, skapende innsats. For databaser som består av data samlet inn ved bruk av sensorer og lignende teknologi, er dette svært sjelden aktuelt.

Retten etter åndsverkloven § 24 oppstår hos den som gjør den vesentlige investeringen, vanligvis et selskap. Dersom ansatte i virksomheten bruker tid og arbeid på innsamling og strukturering av databasen, anses dette som arbeidsgivers investering. Dette er naturlig så lenge databaseretten er et vern for investeringer. Dersom flere selskaper samarbeider om innsamling og frembringelse av en database, kan rettighetene til databasen oppstå i sameie mellom dem, dersom alle har investert i frembringelsen. Loven gir ingen retningslinjer for utnytting av rettigheter i sameie, og det bør reguleres i avtale.

Databaseretten omfatter ikke dataene som sådan. Åndsverkloven § 24 forutsetter også at en database kan bestå av svært ulikt innhold, ikke bare digitale enkeltdata eller -opplysninger. Databaseretten består uavhengig av, og berører heller ikke, eventuelle rettighetshavere til materiale i databasen, for eksempel forfattere dersom databasen består av tekster som er individuelle åndsverk. Databaseretten får heller ikke betydning for andre regler som regulerer de dataene som inngår i databasen, for eksempel reglene om persondata.

6.2.2 Loven om forretningshemmeligheter

Industridata som er erfaringsdata eller data som er registrert fra virksomhet, kan være beskyttet av reglene om forretningshemmeligheter. Lov om forretningshemmeligheter § 2, definerer forretningshemmeligheter som en samling opplysninger som ikke er allment kjent, som har kommersiell verdi fordi de er hemmelige og som innehaveren har truffet rimelige tiltak for å holde hemmelige. Etter forarbeidene har opplysninger kommersiell verdi der inngrep vil kunne skade interessene til innehaveren av forretningshemmeligheten «på en måte som undergraver personens vitenskapelige og tekniske potensiale, forretningsmessige eller finansielle interesser, strategiske plasseringer eller evne til å konkurrere».

For opplysninger som utgjør forretningshemmeligheter, gir loven et vern mot at andre urettmessig skaffer seg tilgang til opplysningene og mot at andre skaffer seg eller bruker opplysningene på en måte som er i strid med god forretningsskikk. Retten til forretningshemmeligheter tilkommer enten juridiske eller fysiske personer. Reglene om forretningshemmeligheter beskytter typisk erfaringsdata, konkrete og individuelle data om en virksomhet, og omfatter industridata og sensordata. Det stilles ikke andre krav til dataenes innhold enn de nevnte.

Reglene om forretningshemmeligheter gir beskyttelse mot at andre skaffer seg tilgang til eller bruker data uten at dette er avtalt. Loven gir også tilgang til sanksjoner. Det kan kreves dom for at misbruket opphører, og det kan innebære at det nedlegges forbud mot at inngriper tilbyr varer eller tjenester som er basert på hemmeligheten. Loven har også regler om erstatning og økonomisk kompensasjon. Det er den som vil påberope seg reglene om forretningshemmeligheter som må dokumentere at vilkårene for vern i lovens § 2 og § 3 er oppfylt.

Loven om forretningshemmeligheter viser til standarden om god forretningsskikk når det skal avgjøres om bruk av opplysninger er inngrep i forretningshemmeligheter. I vurderingen av dette, ses det hen til markedsføringsloven § 25, generalklausulen om forbud mot handlinger i strid med god forretningsskikk i næringsvirksomhet, og praksis etter denne. Reglene i markedsføringsloven supplerer reglene i forretningshemmelighetsloven, men det vil nok ikke være så stort rom for å anvende mfl. § 25 ved siden av forretningshemmelighetsloven § 3.

6.3 Regler som begrenser deling av data

6.3.1 Konkurranserett

Ekspertgruppen for datadeling i næringslivet pekte i sin rapport på at usikkerhet rundt konkurranserettslige spørsmål er en barriere for deling av data mellom konkurrenter, men utdyper i liten grad hvorfor denne usikkerheten oppstår eller hvilke tiltak som kan foretas for å redusere den[22] .

Konkurranseretten angir rammebetingelsene for markedsaktørenes opptreden i markedet, og handler om hvordan selskaper må forholde seg til hverandre for å sikre et velfungerende marked hvor konkurranse gir lavere priser, større utvalg og bedre produkter og tjenester. De sentrale bestemmelsene er forbudet mot konkurransebegrensende samarbeid (konkurranseloven §10), forbudet mot utilbørlig utnyttelse av dominerende markedsstilling (konkurranseloven §11) og forbudet mot oppkjøp og sammenslutninger som svekker konkurransen (konkurranseloven §16).

For selskaper som ønsker å dele data er ikke nødvendigvis oppkjøp eller sammenslutning av flere foretak særlig relevant, og ekspertgruppen har ikke mottatt tilbakemeldinger på at dette er et område som skaper juridisk usikkerhet i denne sammenheng. 

De juridiske problemstillingene som har vært viet mest oppmerksomhet i den europeiske diskursen om datadeling de siste årene har hovedsakelig vært knyttet til forhold mellom store og små aktører og misbruk av dominerende markedsstilling. Nye forslag til regelverk, som Digital Services Act, Digital Markets Act og til dels forslaget til Data Act[23] har blitt lagt frem som en respons på opplevd manglende regulering av aktører med bruk av data som en kjerne i sin virksomhet. Mye av fokuset i europeiske initiativ på feltet de siste årene kan synes å ligge på innlåsingseffekter i sosiale plattformer, skytjenester og andre digitale tjenester. Det har på den andre siden vært lite som tyder på at problemstillinger knyttet til utilbørlig utnyttelse av dominerende markedsstilling har vært et særlig fremtredende diskusjonstema for industrielle data. Videre er spørsmål om misbruk av dominerende markedsstilling kun relevant for et fåtall aktører – fordi terskelen for markedsdominans settes relativt høyt. Disse selskapene er nok også oppmerksom på forbudet i konkurranseloven § 11 selv. Vi vil derfor i denne rapporten først og fremst fokusere på konkurranselovens §10, som omhandler konkurransebegrensende samarbeid.

Konkurranselovens §10 sier at enhver avtale eller beslutning mellom virksomheter som har til formål eller virkning å hindre, innskrenke eller vri konkurransen, er forbudt. Det er med andre ord nok at virkningen av deling av data skader konkurransen, og det trenger ikke ha vært planlagt eller en uttalt målsetning.

Imidlertid er det kun samarbeid som skader konkurransen som er problematisk, og mange former for deling av data er nettopp gunstig for konkurransen i markedet. Samarbeid som bidrar til å effektivisere produksjon, skaper innovasjon i produkter eller tjenester, og samtidig sikrer at kunder nyter godt av det gjennom for eksempel lavere salgspriser, er som regel uproblematiske.

EU-kommisjonens rapport Competition Policy for a Digital Era[24] identifiserer særlig fire områder hvor datadeling kan få negative konkurransemessige konsekvenser:

For det første, dersom sammenslutninger deler data internt, kan det innebære at det blir vanskelig for aktører som ikke er med i sammenslutningen å komme inn på markedet. Dersom et samarbeid fører til at andre aktører nektes tilgang til markedet, er det problematisk i forhold til konkurranselovens § 10. Dette kan for eksempel være tilfelle for bransjeforeninger som samler inn data som medlemmene får kollektivt tilgang til. Samordnet opptreden gjennom en bransjeforening omfattes av konkurranselovens § 10, og dersom tilgang til en slik bransjedatabase er en forutsetning for å komme inn på markedet og tilby sine varer eller tjenester, kan samarbeidet etter omstendighetene rammes av forbudet. Dersom slik adferd er ensidig og fra en dominerende aktør, kan det rammes av konkurranselovens § 11.

For det andre kan datadeling innebære deling av markedssensitive opplysninger, som prisinformasjon eller produksjonskapasitet. Dersom foretak deler slike data, får de anledning til å tilpasse sine egne priser og konkurransevilkår til konkurrentenes, og det kan foreligge en samordning av opptreden som er skadelig for konkurransen og som rammes av konkurranselovens § 10[25] .

For det tredje kan deling av data gjøre det mindre attraktivt for tredjeparter å utvikle sine egne data og bruke disse, og derfor svekke konkurransen. Formålet med konkurransereglene er også å sikre et marked der uhindret konkurranse fører til innovasjon og utvikling av bedre produkter og tjenester over tid. Dessuten vil det at selskaper blir avhengige av data fra andre selskaper på sikt kunne svekke deres konkurranseevne. Avtalevilkår som stiller krav om at et selskap lisensierer data fra et annet selskap for å få tilgang til en tjeneste eller lignende, vil etter omstendighetene kunne komme i konflikt både med konkurranselovens § 10 og § 11.

Til sist kan det gis tilgang til data på en måte som ikke er rettferdig, rimelig og ikke-diskriminerende. Særlig foretak som har en dominerende markedsstilling, må være oppmerksomme på kravet om likebehandling i forhold til andre markedsaktører. Dersom det gis tilgang til data på vilkår som ikke er rettferdige eller som er diskriminerende, kan dette påvirke konkurransestillingen blant konkurrentene i markedet nedstrøms, og praksisen kan stride mot konkurranseloven § 11(2) c).

De generelle konkurransereglene setter altså nokså snevre grenser for markedsaktørenes adgang til å dele konkurransesensitiv informasjon, og særlig deling av prisinformasjon og informasjon om andre viktige konkurranseparametre, kan komme i faresonen for konkurranselovens § 10. En særlig situasjon gjelder prosjekt- eller tilbudssamarbeid. For mindre markedsaktører, kan det være en forutsetning for å kunne gi tilbud i større anbudskonkurranser at de samarbeider med andre aktører for å kunne dekke hele anbudet. Slikt samarbeid må foregå innenfor rammene som er skissert av Konkurransetilsynet i en egen veileder[26] . Dette innebærer at det settes grenser for hvilke opplysninger som kan deles og hvordan de deles. 

6.3.2 Persondata – personopplysningsloven

Personopplysningsloven, som gjennomfører EUs personvernforordning (GDPR) i norsk rett, gir både plikter til dem som behandler data som inneholder personopplysninger, så vel som rettigheter til den opplysningene angår. Det er begrensninger i lovens virkeområde, særlig når det gjelder bruk av data i forskning og offentlig virksomhet, men som hovedregel gjelder personopplysningsloven når det er snakk om bruk av data i sammenheng med privat næringsvirksomhet. Personopplysninger er alle opplysninger som kan knyttes til en enkeltperson, enten de identifiserer enkeltpersoner (slik som navn, telefonnummer eller lignende) eller en enkeltpersons adferdsmønster (slik som opplysninger om hvor en person beveger seg eller hva vedkommende foretar seg på en datamaskin). En personopplysning kan også være en vurdering knyttet til en person, for eksempel en vurdering av kredittverdighet eller arbeidsprestasjon.

For at data skal være personopplysninger er det avgjørende at det finnes en tilknytning til en fysisk person. Denne koblingen kan ofte være enkel og direkte, for eksempel vil et navn eller en adresse åpenbart være koblet til en enkeltperson. Det vil imidlertid også være tilfeller hvor koblingen er indirekte, og man trenger annen data for at informasjonen kan kobles til en enkeltperson. Dette vil likevel være regnet som en personopplysning, og omfattet av loven. Et eksempel på dette kan være skiltnummer på en bil. Skiltnummeret sier ingenting om en enkeltperson i seg selv, men ettersom det finnes registre over hvem som eier hvilke biler – altså kobler navn og skiltnummer, vil dette kunne være en personopplysning. Dersom bilen er registrert på et foretak, er ikke nødvendigvis bilnummeret å regne som personopplysninger, men opplysninger om hvor bilen befinner seg og kjøremønster (geolokasjonsdata) vil likevel kunne gi indirekte personopplysninger om sjåføren. Dette innebærer at det må vurderes konkret om de aktuelle opplysningene er å regne som personopplysninger eller ikke, og at opplysningene må vurderes i sammenheng.

For å kunne behandle personopplysninger må virksomheten ha et behandlingsgrunnlag. Datatilsynet har laget en veileder for vurdering av behandlingsgrunnlag[27] med eksempler på hvordan dette kan vurderes.

6.3.2.1 Pseudonymiserte data

Pseudonymiserte data er data hvor personopplysninger er fjernet, slik at man ikke kan koble data til en enkeltperson uten tilleggsopplysninger. Pseudonymisering av data gjøres for eksempel ved at identifiserende trekk (slik som navn) er erstattet med en kode som gjør at kun dem som har kodenøkkelen kan koble navn og annen informasjon. Slike data omfattes også av personopplysningsloven. Det vil derfor ikke være tilstrekkelig å pseudonymisere data for å kunne dele eller bruke data til andre formål uten at lov om personopplysninger kommer til anvendelse. Dersom man ønsker dette, kan det imidlertid være et alternativ å anonymisere dataene (se under).

En utfordring når man skal vurdere om data er pseudonymiserte eller anonymiserte er at data kan være pseudonyme selv om man ikke besitter en nøkkel til å koble dataen selv. Dersom data inneholder detaljer som kan brukes til å identifisere enkeltpersoner, kan de regnes som pseudonymiserte data selv om direkte identifiserbar informasjon er fjernet, og for eksempel erstattet med et tilfeldig generert nummer. Dersom noen kan koble opplysninger i datasettet med andre opplysninger i datasett du ikke har direkte kontroll over, og på den måten identifisere enkeltpersoner, vil datasettet være omfattet av loven.

6.3.2.2 Anonymiserte data

Personvernlovgivningen gjelder ikke data som er anonymiserte. Data er anonymisert dersom det ikke lenger er mulig, med de hjelpemidlene som med rimelighet kan tenkes at blir brukt, å identifisere enkeltpersoner i dataene. Anonymisering av data vil derfor kunne gjøre det enklere å dele data, men kan i praksis være vanskelig å gjøre. Det er også ofte slik at jo større datasett, jo lettere er det å identifisere personer i data som i utgangspunktet er anonymisert.

Datatilsynet har publisert en veileder i anonymisering av data[28] som kan hjelpe virksomheter å anonymisere data som inneholder personopplysninger på en robust og sikker måte.

6.4 Europeisk regulatorisk arbeid – Data Act

23. februar 2022 lanserte EU-kommisjonen et utkast til et nytt regulatorisk rammeverk for deling av data – Data Act. Bedre rammevilkår for deling av industridata er kjernen i forslaget. Under lanseringen av Data Act sa kommisjonæren for det indre marked, Thierry Breton, at dagen var «Et viktig steg i å utnytte verdiene i industriell data» og understreket at verdiskapingspotensialet og innovasjonspotensialet i bruk av industriell data er enormt.

Formålet med forslaget er å stimulere til økt dataoverføring mellom selskaper og sikre tilgang til data særlig for små- og mellomstore virksomheter. I tillegg er det en målsetning å lage klarere regler for når og hvordan myndighetene kan kreve å få utlevert data. Dette skal gjøres gjennom å klargjøre hvem som kan kreve tilgang til data, når og på hvilket grunnlag. EU-kommisjonen har med dette forslaget beveget seg bort fra tidligere forslag om å gi eksklusive rettigheter til produsenter av data, en såkalt “Data Producers Right”, og har heller valgt å gi rettigheter til brukerne av tjenester som regelmessig også er de som generer data og som også er datasubjektene. Denne tilnærmingen gir bedre balanse mellom tjenestetilbyder og bruker når det gjelder “rett” til dataene, men det blir nødvendig med strengere kontroll med vilkårene for tjenestene og for tilgangen til dataene, noe som reflekteres i forslagets strenge krav til balanserte kontrakter. Forslaget retter seg mot fire situasjoner:

Regler for å sikre at de som genererer data, f.eks. ved bruk av sensorer, måleinstrumenter eller andre tjenester skal kunne få tilgang til dataene som genereres

Regler mot misbruk av markedsmakt gjennom skjeve avtalevilkår;

Regler for å sikre myndighetene tilgang til data i kritiske situasjoner og harmonisering av lovverk mellom EU-land; og

Regler for å sikre dataportabilitet mellom skyleverandører og regler for datalokalisering.

For bruk og deling av data i industrien er det primært forslagene knyttet til tilgang til data, dataportabilitet og de detaljerte reglene som stiller krav til kontraktsutforming som nok vil få størst umiddelbar betydning. Samtidig er dette også områdene som det kan virke å være størst uenighet om, og endringer kan forekomme før en endelig forordning vedtas.

6.5 Bransjeretningslinjer og frivillig regulering 

I mange bransjer har det vokst frem ulike former for retningslinjer, standarder eller annen frivillig regulering av datadelingstjenester og -samarbeid. Slike retningslinjer søker å rydde av veien noe av den usikkerhet rundt de rettslige posisjonene i og til data, som hindrer og forsinker deling av data. I noen bransjer er det også viktig å oppveie skjevhet i forhandlingssituasjonen der store tjenestetilbydere tilbyr plattformbaserte datadrevne tjenester, der brukeren “betaler” blant annet med data, men der brukeren ikke får tilgang til eller disposisjonsrett over data som er samlet inn fra brukeren selv dersom tjenesteforholdet opphører. Utvalget oppfatter at slike retningslinjer eller standarder har stor betydning i praksis, og at de bare vil få større betydning fremover. EU-kommisjonens forslag til Data Act er også basert på Code of conduct on agricultural data sharing by contractual agreement[29] . En viktig virkning av bransjestandarder og retningslinjer, er at de vil gi en målestokk for hva som oppfattes som balanserte og rimelige vilkår innen en gitt bransje. Sentrale punkter for slike standarder eller retningslinjer er tjenestetilbyders råderett over innsamlede data og krav til samtykke ved videre bruk at dataene, brukerens rett til tilgang til data samlet inn fra henne selv, dataportabilitet og overgang til andre tjenestetilbydere, sentrale kontraktsvilkår for tjenesteavtaler og avtaler om deling av data.

6.5.1 Frivillig regulering på internasjonalt og EU-nivå

Det finnes mange initiativer til frivillig regulering på internasjonalt og EU nivå, og her nevnes kun noen eksempler. Under paraplyen til World Economic Forum, arbeides det i flere retninger for standardisering og utarbeidelse av retningslinjer for bedre regulatoriske rammer for datadeling[30] . Internasjonalt samarbeid er viktig for å sikre like rammevilkår for deling av data på tvers av landegrenser. Internasjonale bransjeorganisasjoner som gjennom slike felles initiativ eller på egen hånd setter internasjonale rammevilkår for datadeling, påvirker og harmoniserer vilkårene for datadeling på nasjonalt plan. 

Ett eksempel fra EU er de felles bransjeorganisasjonenes rammevilkår for landbruket, Code of conduct on agricultural data sharing by contractual agreement.

6.5.2 Frivillig regulering på nasjonalt nivå

Landbruks- og sjømatnæringene utviklet i 2021 felles bransjeretningslinjer for deling av data i disse sektorene, blant annet basert på europeiske bransjeorganisasjoners Code of conduct on agricultural data sharing by contractual agreement. Formålet med dokumentet er å klargjøre spørsmål knyttet til eierskap, ansvar og bruksrettigheter til data produsert i disse næringene. Dokumentet angir overordnede prinsipper for samarbeid som går ut på deling av data, og som skal være førende for innholdet i konkrete kontraktsvilkår. Disse må nedfelles og utfylles i konkrete, individuelle avtalevilkår, og det arbeides for tiden med kontraktsmaler for å utfylle retningslinjene. En Code of Conduct gir de mindre virksomhetene, typisk den enkelte bonde eller oppdretter, et mål for hva som er viktige vilkår å regulere i en avtale om tilgang til en databasert tjeneste, og et mål for hva som generelt er rimelige og balanserte vilkår.

7 Kompetanse og forankring

I mandatet til ekspertgruppen er det lagt særlig vekt på tekniske, juridiske og forretningsmessige hindringer knyttet til datadeling. Det er imidlertid også gitt av mandatet at gruppen skal peke på praksis som fremmer deling og verdiskaping med data. Ut over de områder som er dekket over opplever gruppen at også andre, mindre målbare faktorer er av stor betydning for hvorvidt man lykkes med deling – som bedriftskultur, strategi og planlegging, organisatoriske rammevilkår og kompetanse.

I dette kapittelet vil vi dele erfaringer fra medlemmene i ekspertgruppa knyttet til kultur og andre organisasjonsmessige rammebetingelser for datadeling i en virksomhet. Dette er på ingen måte ment som en oppskrift som kan følges punkt for punkt, da det dessverre ikke finnes noen one size fits all når det gjelder å utvikle kulturen i en virksomhet. Vi håper likevel at rådene og erfaringene som blir presentert kan inspirere og gi ideer til hvordan man kan jobbe med, og stimulere til, deling av data i en virksomhet.

7.1 Strategisk tilnærming til datadeling

Erfaring fra ekspertgruppen tilsier at sannsynligheten for å lykkes med datadelingsinitiativ øker dersom man kan knytte datadelings-initiativer til en strategi. Å etablere en strategi eller et veikart for data og datadeling kan derfor være hensiktsmessig. En slik strategi bør inneha en tydelig visjon om hva virksomheten som helhet ønsker å oppnå med å dele data, og hvordan initiativene kan bidra til at virksomheten når sine overordnede målsetninger. Videre bør et veikart for datadeling forankres høyt nok oppe i organisasjonen for å sikre legitimitet, fokus og ressurstilgang.

I Stortingsmeldingen, “Data som ressurs” (2020-2021), legges det vekt på at “ledelsen er en viktig premissleverandør for hvordan virksomheten og ansatte jobber med og tar i bruk ny teknologi. Mange av virksomhetene i de næringene som ligger langt fremme når det gjelder deling og bruk av data har etablert egne strategier eller veikart for hvordan de skal digitalisere og utnytte egne data til forbedring og fornying av virksomheten, eller til nyskaping.”

Også medlemmene i denne ekspertgruppa anser dette punktet som svært viktig. Noen har startet med å utarbeide en strategi, som så operasjonaliseres og implementeres i virksomheten gjennom en styrt prosess. Andre har startet med en rekke prosjekter spredd utover virksomheten, men har etter hvert sett nødvendigheten av en mer helhetlig tilnærming og overordnet kontroll.

I tillegg til at et veikart for datadelingsinitiativ forankres i ledelsen, er det også behov for å «forankre nedover». Det holder ikke at kun enkeltpersoner, for eksempel kun de som jobber direkte med data, kjenner grunnene til og ønskene om å dele data. Uten en bredere forankring vil det være stor fare for at datadelingsprosjekter kun blir små initiativer som ikke når langt, fordi de mangler nødvendig støtte i virksomheten. Dersom alle forstår hvorfor datadeling er viktig i sin virksomhet, kan de også være med å støtte opp om dette.

Som beskrevet i kapittel 3,finnes flere grunner til å ønske og dele data. Når en virksomhet skal gå i gang med datadeling er det viktig at motivasjonen bak ønsket om å dele data er godt kommunisert internt, slik at de ansatte forstår motivasjonen og dermed lettere kan dele denne. Motivasjonen for å dele data øker ofte når man kan synliggjøre hvordan ulike datadelingsinitiativ kan bidra til at virksomheten når sine overordnede målsetninger og dermed bygge opp under virksomhetens totale forretningsstrategi.

Ekspertgruppens erfaring tilsier videre at man bør være forsiktig med å bruke eksterne benchmarks og suksesshistorier for å skape motivasjon og inspirere til datadeling. Slike eksempler kan snarere virke hemmende enn inspirerende, dersom man ikke evner å brekke dem om til konkrete muligheter og tydelige visjoner om hva datadeling kan bety for egen virksomhet. Det vesentlige er at målet og mulighetene knyttet til å dele data er tydelige og konkrete for egen virksomhet.

7.2 Redusere kulturelle og organisatoriske barrierer for datadeling

På tross av at datadelingsinitiativer kan lede til noe positivt i en virksomhet, er mange, både i ledelsen og andre ansatte, skeptiske til datadeling. Dette kommer gjerne av frykt og usikkerhet knyttet til risikoen med å dele data, som nevnt i kapittel 4. Videre skyldes eventuell motstand også ofte at datadelingsinitiativene utfordrer etablerte fagsiloer og etablerte måter å jobbe på, og motstanden kommer som en reaksjon på endring.

En virksomhets kultur og tankesettet som finnes kan ha stor betydning for organisasjonens risikovillighet, og er en faktor som i betydelig grad er med på å forsterke eller redusere viljen til datadeling. Dersom virksomheten har tradisjon for eller evner å skape et fokus på utvikling, i tillegg til å forvalte eksisterende forretningsvirksomhet, kan resultatet bli en eksperimenterende kultur med gode forutsetninger for å lykkes med datadeling.

En innovasjonskultur og kultur for løpende læring gir trygghet i møtet med nye krav og nye forretningsmodeller. Det kan også implementeres konkrete tiltak for å redusere den faktiske og opplevde risikoen som oppstår i organisasjonen i møte med datadelingsinitiativ. En måte å gjøre dette på er å knytte datadeling til spesifikke forretningscase eller strategiske mål med klart definerte nøkkeltallsindikatorer. Andre tiltak kan være:

Sikre utviklingsløp som muliggjør quick-wins og synliggjør resultater for både ledelsen og resten av organisasjonen for å skape oppmerksomhet rundt prosjektet og sikre fortsatt støtte.

Utvikle de første datadelingsprosjektene i isolerte testing-miljø for å begrense effekten på kjernevirksomhet

Innføre milepæls-basert finansiering («metered, ring fenced funding») av initativene. Prosjekter vil da ikke fullfinansieres fra start, men få finansierng gjennom kortere løp og i tråd med at resultater oppnås. Finansieringsmodellen sikrer at ressursbruken holdes nede mens risikoen er høy, og økes gradvis i takt med at risikoen reduseres og oppsiden ved initiativene tydeliggjøres.

Tidlig involvering og opplæring av viktige interne interessenter for å sikre forståelse og innsyn.

Fokus på kommunikasjon og tverrfaglige arenaer for diskusjon. For å redusere de «emosjonelle barrierene» som hindrer datadeling, er det viktig at risikoen og frykten som folk måtte ha forbundet med datadeling blir identifisert og diskutert i organisasjonen. Ofte skyldes frykt mangel på kunnskap eller lite oversikt over hva som kan skje.

7.3 Kompetanse

Flere rapporter de siste årene har pekt på store udekkede behov for både generalist- og spesialistkompetanse innenfor områder som er viktige for datadeling. I de siste 10 årene har veksten i sysselsettingen innen IKT vært rundt 25%, og forventes å vokse til 66% innen 2030[31] . Det er mangel på både IKT-spesialister, spesialister i datavitenskap og eksperter i skjæringsfeltet mellom juss og IKT. Ekspertgruppen for datadeling i næringslivet, Digital-21 rapporten og bransjeorganisasjoner som Abelia og IKT-Norge har over tid etterspurt økt satsning på utdanning og flere tiltak for å stimulere til samarbeid mellom næringsliv og akademia, for eksempel ved å finansiere sentre for innovasjon og forskning, samt en økning i studieplasser innen IKT-fag og utvidede ordninger for etter- og videreutdanning. Ekspertgruppen mener det er et stort behov for at myndighetene fortsetter å legge til rette for og støtte kompetansehevende tiltak.

Ekspertgruppens mandat understreker imidlertid at våre anbefalinger i hovedsak skal være rettet mot næringslivet, og gruppen ønsker derfor å understreke betydningen av virksomheters egen innsats for kompetanseheving. Det er viktig at virksomheter gjør seg kjent med egne data, både for å skape verdi for den enkelte virksomhet og fordi det er en forutsetning for å kunne nyttiggjøre seg av andres data. For å bli kjent med egne data, trengs kompetanse hos de ansatte, både om hvilke data virksomheten innehar, og hvordan disse er relevante for virksomhetsutøvelsen. De største suksessene ved bruk av data kommer av å kombinere teknisk innsikt med domenekompetanse.

Behovet for kompetanse kan innhentes av virksomheten, for eksempel gjennom videreutdanning, kurs og andre former for formell kompetanseheving til de ansatte. Næringslivet kan inngå samarbeid med utdanningsinstitusjoner for å være med og utforme eller delta i etter- og videreutdanningskurs. Generelt anbefaler ekspertgruppen mer systematisk bruk av virkemiddelapparatet, som for eksempel Forskningsrådets ordning med nærings-PhD, eller gjennom å ta del i forsknings- og innovasjonsprosjekter. Å ta del i klyngesamarbeid, sandkasser og andre arenaer for samarbeid, deling og læring innen digitalisering kan også være relevant. En virksomhet kan også øke sin kompetanse ved å tilby praksisplasser og andre typer samarbeid med studenter, eller ta inn hospitanter med relevant kompetanse.

I tillegg er det viktig å kartlegge, ta i bruk og tilrettelegge deling av den eksisterende kompetansen som finnes internt i virksomheten. Det å dele kunnskap og kompetanse internt vil kunne bidra til å redusere de “emosjonelle barrierene” knyttet til datadeling nevnt ovenfor. For eksempel må forretningsutviklere og strategiske rådgivere vite hva datadeling går ut på, slik at datadelingsprosjekter kan støtte opp om virksomhetens forretningsmessige og strategiske mål.

I tillegg bør juridiske rådgivere få kompetanse om datadeling og være tett påkoblet datadelingsprosjektene i virksomheten. Etter som mange av problemstillingene knytte til deling av data er knyttet til lisensiering, kan det være en styrke at juridiske rådgiverne deltar fra tidlig fase i prosjektet og til slutten, også i deler som man kanskje ikke tenker har juridisk relevans. Å bidra til å styrke juristenes datakompetanse vil også kunne lede til bedre risikobeskyttelse og bedre definerte forretningsmål.

8 Samarbeid med offentlige aktører

Offentlig sektor har en sentral rolle sompålegger, tilrettelegger og partner ved innhenting, systematisering og deling av industridata. Store datamengder av høy kvalitet hentes inn av offentlige etater fra private aktører. Data det offentlige besitter har stor verdi for privat sektor. I ekspertgruppens mandat er det eksplisitt trukket frem at “Ekspertgruppen kan også komme med forslag til hva som ev. anbefales løst innenfor offentlig-privat samarbeid”.

Det er viktig å understreke at det etter ekspertgruppens syn verken er ønskelig eller gitt av mandatet for gruppen å foreslå nye reguleringer eller pålegg om rapportering av private data til det offentlige, enten disse deles videre eller ikke. Innhenting og videre deling av private data må være hjemlet. Det rettslige grunnlaget for deling av data faller utenfor ekspertgruppens mandat.

Ekspertgruppen mener imidlertid det offentliges rolle som tilrettelegger og partner for deling av næringslivsdata bør tydeliggjøres og i noen tilfeller styrkes.

Rollen som tilrettelegger og partner:

Deler av offentlig sektor er aktive tilretteleggere og har utviklet effektiv infrastruktur for sikker deling av private data med:

Virksomheten som har levert data (gir virksomheten tilgang til egne data)

Grupper av virksomheter som deler data, eller måler seg mot hverandre (benchmark)

Virksomheter som bruker data fra næringslivet til å utvikle tjenester, for eksempel analyseselskaper

Mye datadeling fra offentlige etater skjer med utgangspunkt i data som kreves inn for å utøve kontroll (for eksempel med høsting av naturressurser), innkreving av skatter og avgifter og i forbindelse med kunnskapsproduksjon/forskning.

Rollen som tilrettelegger ivaretas ulikt mellom de offentlige aktører. Årsaken kan være mangefasettert. På noen områder, som finans, er offentlige etater langt fremme i utviklingen, båret frem av internasjonale avtaler og regelverk som er implementert i norsk lovgivning. Da energiloven ble endret i 1992, og en fikk etablert finansiell handel/kraftbørs, ble det etablert nye sett med regler om krav til åpenhet og deling av data fra og i energisektoren. Dette var regelverk, utviklet i dialog med næringslivet, som var helt avgjørende for at eksempelvis markedsplasser for handel med energi kunne fungere.

Andre offentlige aktører har imidlertid ikke kommet like langt, og det kan være mange årsaker til dette. For det første arbeides det mange steder i offentlig sektor med datasystemer som ikke håndterer sammenstilling, bearbeiding og videre deling av data, og det er opparbeidet for høy teknisk gjeld til at dette kan implementeres effektivt. For det andre kan mangel på hjemler, eller en overforsiktig tilnærming til hjemmelsgrunnlag, gjøre at mange vegrer seg for å dele, selv om det teknisk er mulig. Sist, men ikke minst kreves det innsats å dele data, selv om både systemer og lovverk skulle være tilrettelagt. Dette kan føre til at deling nedprioriteres, enten fordi det ikke finnes økonomiske insentiver til å bruke ressurser på det, eller i enkelte tilfeller fordi det å dele kan bety at man ikke kan forsvare å selv lage nye tjenester.

I bransjer som sjømat blir all produksjon nøye registrert av omsyn til statens kontrollbehov. Kombinert med data fra eksport finnes det derfor rike datamengder forvaltningen og næringen kan bruke i og for denne bransjen. Innen andre næringer, eksempelvis reiseliv, finnes det ikke slike datakilder.

Mange offentlige etater har, eksklusivt eller i tillegg til en rolle som tilrettelegger også en rolle som partner for ulike deler av næringslivet. Dette kan enten gis uttrykk gjennom at etater er deltaker i samarbeidsorganer, som OPS-samarbeidene, eller som del av en verdikjede som kunde eller tilbyder av produkter og tjenester. Slike samarbeidskonstellasjoner kan også bidra til å fasilitere deling, enten gjennom kriterier i kundeforhold/anbudsprosesser, eller som en stemme i samarbeidsorganer.

Ekspertgruppen håper og tror at mye av innholdet i denne rapporten også kan være relevant for offentlig sektor. Selv om både størrelse på virksomhet, oppdrag og struktur vil være forskjellig mellom ulike virksomheter, enten de er offentlige eller private, er mange av utfordringene og tiltakene man kan iverksette de samme. Offentlige myndigheter og institusjoner kan også gjerne delta i datadelingsinitiativ med det private næringsliv basert på frivillighet, etter samme retningslinjer og vilkår som beskrevet for deling mellom private og næringsaktører. Data som deles med det offentlige på slike premisser, vil imidlertid ikke kunne deles videre på samme måte som for data innhentet med hjemmel i lov.

I tillegg finnes det tiltak som kan vurderes spesifikt for offentlig sektor, som ledd i å være en enda sterkere partner og bidragsyter for næringslivet i deling av industridata.

Ekspertgruppen mener det er behov for nærmere kartlegging av dataforvaltning og deling i offentlig sektor. Dette kunnskapsgrunnlaget vil styrke mulighetene for å justere krav og forventninger til offentlige etater sin rolle som tilrettelegger og partner for deling næringslivsdata.

På oppdrag fra Kommunal- og moderniseringsdepartementet kartla Agenda Kaupang i 2020 hvordan kommunene forvalter og deler egne data i rapporten «Dataforvaltning og -deling i kommunene»[32] .

I begrunnelsen for å gjennomføre kartleggingen uttalte departementet følgende: «Det er et mål å få til mer næringsutvikling og innovasjon basert på kommunenes dataressurser. Etter hvert som kommunene digitaliserer sine tjenester og gjør kommunale data tilgjengelige, kan både bedrifter og andre deler av offentlig sektor utvikle løsninger og produkter det er etterspørsel etter nasjonalt og internasjonalt. Dette forutsetter at kommunene forvalter sine data, og at data gjøres tilgjengelig på en måte som er egnet for gjenbruk og viderebruk».

Ekspertgruppen er også kjent med at departementet har satt ned et offentlig utvalg for å vurdere en mer helhetlig regulering av viderebruk av offentlig informasjon. Utvalget vil blant annet vurdere om enkelte bestemmelser om viderebruk bør tas ut av offentlighetsloven og inn i nytt regelverk, gjennom en aktiv tilgjengeliggjøringsplikt for offentlig informasjon.

Ekspertgruppen mener det parallelt med dette arbeidet er behov for videre kartlegging av dataforvaltning og deling i offentlig etater, også ut over kommunesektoren. Kartleggingen vil styrke kunnskapsgrunnlaget og klargjøre mulighetene for å justere krav og forventninger til offentlige etater sin rolle som tilrettelegger og partner for deling av næringslivsdata.

Kartleggingen bør gjennomføres med utgangspunkt i blant annet følgende problemstillinger:

Hvordan arbeider offentlige etater med å tilrettelegge for god dataforvaltning, gjenbruk og videre bruk for næringslivet?

Hva kjennetegner beste praksis på feltet?

Hvilke utfordringer/barrierer opplever etater som er lengst fremme når det gjelder dataforvaltning, gjenbruk og videre bruk?

Gitt utfordringsbildet, hva må til for at etatene bedre skal kunne tilrettelegge data for videre bruk av næringslivet?

I forlengelse av en slik kartlegging bør det arbeides for at offentlige etater har tilnærmet lik praksis med å tilrettelegge data for næringslivet, og det bør bygges videre på veiledningsarbeidet til nasjonalt ressurssenter for deling av data.

9 Anbefalinger og tiltak

For å svare opp til ekspertgruppens mandat og gjøre problemstillingene knyttet til datadeling så konkrete som mulig, har ekspertgruppen som tidligere vist definert et sett med scenarier, som kan illustrere noen typiske situasjoner og problemstillinger. Scenariene gjør det også mulig å skissere hvordan de aktuelle problemstillingene kan håndteres og løses. Få av spørsmålene lar seg løse med fasiter, men scenariene gjør det mulig å konkretisere spørsmål og temaer det er nyttig å tenkegjennom i ulike situasjoner og for ulike virksomheter.

Som beskrevet i kapittel 6 er det gruppens generelle anbefaling at deling av data reguleres gjennom avtaler. Det er også vanlig praksis. Form og innhold av slike avtaler varierer ganske mye, fra enkle avtaler til lange og kompliserte avtaleverk. Deling av data til tjenesteleverandører som tilbyr tjenester på nett, reguleres ofte gjennom standardavtalene til tjenesteleverandørene. Kjøper av tjenesten må akseptere vilkårene for å få tilgang til tjenesten. For små virksomheter – som for forbrukere – kan det være vanskelig å komme i en situasjon der det er mulig å forhandle om slike vilkår. Bransjenormer eller Codes of Conduct kan spille en viktig rolle for å få til mer balanserte avtalevilkår for små virksomheter. Anbefalingene i det følgende baserer seg på forutsetningen om at det er mulig å forhandle om vilkårene. Felles anbefalinger for alle scenariene er tatt opp under pkt. 9.1, mens spesielle forhold for de enkelte scenariene diskuteres under hvert scenario.

9.1 Felles anbefalinger

Som en del av forberedelsen til å bli en dataleverandør eller -mottaker, anbefales det at man gjør en evaluering av sin egen virksomhet for å finne nåsituasjon på modenhet i virksomheten rundt behandling av data. En slik vurdering bør være bred nok til at virksomheten får oversikt over behovet for og fordelene med å dele eller motta data, samt kostnadene og risiko forbundet med deling. Kostnader kan være både relatert til innhenting, prosessering, standardisering med mer, i tillegg til operasjonell risiko, som datasikkerhet og dataenes betydning for drift eller produksjon. Dette kan gjøres av virksomheten selv eller en kan få bistand av profesjonelle leverandører på dette området.

Digitaliseringsdirektoratet har lansert en veileder for hvordan man kan gå frem for å skaffe seg oversikt over hvilke data man besitter, og hvilke grep som kan tas for å få “orden i eget hus”.[33] Avhengig av organisasjonens modenhet, kan det iverksettes tiltak på organisatorisk nivå parallelt med utvikling av data- eller tjenesteleveranser. Flere aktører tilbyr også ulike konsulent- eller rådgivningstjenester for slik selv-evaluering.[34]

Samtidig anbefales det å gjøre en risikovurdering av hvert datasett man ønsker å tilgjengeliggjøre, bruke og dele. Basert på erfaringene fra utvalgets medlemmer, har gruppen satt opp en liste med overordnete sjekkpunkter som vil pense inn på de mest sentrale juridiske parameterne ved deling av data.

Persondata – Data som direkte eller indirekte inneholder personopplysninger kan i utgangspunktet ikke deles uten samtykke fra den det gjelder. Alle persondata må behandles etter reglene i personopplysningsloven og overtredelse av reglene sanksjoneres.

Eksportkontroll og sanksjoner – Datadeling kan skje i sammenheng med en kontrakt om levering av tjenester eller utstyr som er omfattet av eksport/importrestriksjoner eller spesielle sanksjoner mot bestemte land.

Immaterialrettigheter – Data kan være beskyttet av immaterialrettigheter, som databaserettigheter eller at dataene utgjør forretningshemmeligheter. Virksomheten bør være oppmerksom både på egne rettigheter og at data som kommer fra en tredjepart kan være beskyttet av immaterialrettigheter som legger begrensninger på muligheten for deling.

Innsideinformasjon – Data er også informasjon, og såkalt markedssensitiv informasjon kan ikke deles i strid med reglene om innsideinformasjon og markedsmisbruk i verdipapirhandelloven kapittel 3 og Markedsmisbruksforordningen (MAR) (EU) nr. 597/2014.

Data underlagt særlig lovregulering – Enkelte virksomhetstyper og særlige typer data kan være underlagt spesielle regler om taushetsplikt eller forbud mot deling, samt særlige rapporteringskrav til myndigheter. Eksempler kan være data som er underlagt sikkerhetsloven. Deling av data må altså skje innenfor gjeldende lovregulering av virksomheten.

Konkurranserettslige forhold – Deling av konkurransesensitiv informasjon kan komme i konflikt med forbudet mot konkurransebegrensende samarbeid, og det å ikke dele kan etter omstendighetene utgjøre et misbruk av en dominerende markedsstilling.

Tredjeparts rettigheter – kontraktuelle begrensninger – Data som stammer fra tredjeparter kan være underlagt delingsbegrensninger i kontrakt. Virksomheten må sjekke av at videre deling av data skjer i henhold til de betingelsene som er satt i lisens til dataene.

Ekspertgruppen vil fremheve at deling av data skjer i mange ulike settinger og sammenhenger, og at mange kontraktstyper som har som hovedformål å regulere en annen ytelse eller tjeneste også vil regulere data. Et eksempel på en slik situasjon er der det inngås avtale om kjøp eller salg av utstyr eller tjenester som inkluderer datagenerering, for eksempel sensordata fra teknisk utstyr. Det er viktig at avtalen også regulerer hvorvidt og hvordan data skal være tilgjengelig for virksomheten og hva som skal skje med historiske data for utstyret ved eventuelt eierskifte. Dette kan eksemplifiseres ved at et skip skifter eier; skal den nye eieren ha tilgang til historiske data om skipet eller ikke, hvordan skal eventuell data overføres og vil det ha en kostnad.

Deling av data når dette skjer uten sammenheng med en tjeneste eller kjøp av utstyr, reguleres ofte i en lisensavtale. En lisensavtale er en kontrakt, men ordet “lisens” brukes gjerne for å signalisere at det som overføres er en rett til å bruke data eller informasjon, slik at den virksomheten som deler dataene fortsatt har rett til dem selv, i motsetning til et “kjøp” der alle rettigheter til det som kjøpes går over til kjøper.

I det følgende peker gruppen på visse emner som kan være relevante å vurdere eller ta med når deling av data skal reguleres i en kontrakt (lisensavtale). I mange sammenhenger vil tilsvarende bestemmelser eller punkter inngå i kontrakter om kjøp av utstyr eller tjenester for å regulere elementet av datadeling i det avtaleforholdet. Det er ikke avgjørende for innholdet av avtalen hva den kalles, og gruppen fokuserer her på de punktene som generelt kan være relevante når data deles – i utgangspunktet uavhengig av sammenhengen. Ikke alle punktene vil være like sentrale i alle avtaleforhold, så fremstillingen her bør behandles som et utgangspunkt eller en sjekkliste. I enkelte punkter ligger også mulige formuleringer basert på gruppens medlemmers erfaringer. Disse må betraktes som eksempler på hvordan et punkt kan utformes i en avtale, og det må vurderes konkret om de passer i et konkret avtaleforhold. Gruppens mål er å peke på forhold som virksomhetene bør vurdere om de skal regulere i sin avtale.

Ekspertgruppens vurderinger er relatert til norsk lov, og har det som utgangspunkt og bakgrunn for diskusjonen videre. Her behandles også kun de punktene i en avtale som har særlig betydning for deling av data, og ikke punkter som det generelt kan være relevant å regulere i alle avtaleforhold.

For at man skal kunne ha varig nytte og utvidet bruk av data i industrien kan det være nyttig for en virksomhet å rendyrke og organisere data på samme måte som andre aktiva i en virksomhet, for eksempel en motor eller annet type utstyr som trenger vedlikehold og oppfølging. Det kan også være nyttig å være tydelig på at konsumenten av et datasett håndteres som en «kunde» der man som leverandør har forpliktelser og forventninger til denne kunden og vice versa. Derfor er betegnelsene «Tjenesteleverandør» og «Kunde» benyttet videre i eksemplene slik at tjenesteleverandøren er den part som deler data og kunden er den som mottar data.

Generelle vilkår og beskrivelse av tjenesten

Statisk eller dynamisk datasett: I hovedsak kan man tenke seg to typer datadeling; Statisk og dynamisk.  Et statisk datasett kan være uttrekk av definerte data for en gitt tidsperiode som er tatt ut med en gitt frekvens. Typisk kan dette være målinger fra 10 forskjellige sensorer fra et gitt utstyr en gang per sekund fra og med 01.01.2021 til og med 31.12.2021. Siden disse dataene er statiske kan de sendes (og kopieres) til mottaker som en engangsjobb.  For eksempel kan visse typer utslippsmålinger til myndigheter basere seg på årlige aggregeringer av denne typen data som oversendes på sluttes av året.

For mer operasjonelle formål kan det være behov for samme data, men kontinuerlig samlet inn og tilgjengeliggjort. Et slikt dynamisk datasett er en kontinuerlig strøm av data som ofte krever et større apparat hos dataleverandør. Eksempelvis kan dette være målinger fra 10 forskjellige sensorer fra en gitt maskin der dataene blir målt en gang per sekund så lenge maskinen er i drift. 

For begge typer tjenester bør man være spesifikk og si noe om hvilke datapunkter som er tilgjengelige i tjenesten, metadata om disse samt hvor ofte dataene måles. For dynamiske datasett (datastrømmer) bør man i tillegg si noe om hvilke forpliktelser leverandøren av datatjenesten har. Typiske forpliktelser kan være:

Oppetid: Hvor mange % oppetid tilbys? Er det spesifikke krav til oppetid i kritiske perioder? Pass på at dette står i forhold til kritikalitet på datastrømmen

Support: Er det inkludert support på datatjenesten, og hvordan arter den seg? Vil det være tilgjengelig 24/4 eller i vanlig arbeidstid? Har man en organisasjon som kan håndtere dette?

Om det dreier seg om data til mindre kritiske operasjoner eller forskning så kan ofte kravene settes lavere og «Best effort» kan også være en aktuell formulering her.

Datakvalitet: Datakvalitet er avgjørende for at virksomheter skal kunne stole på datadrevet beslutningsstøtte. For sensordata er typiske kvalitetshendelser drifting av sensorer som krever kalibrering, kobling til utstyr faller ned slik at data ikke sendes, usynkroniserte tidsstempel og så videre. Hvordan datakvalitetshendelser skal håndteres bør beskrives i kontrakten. Eksempler på emner å dekke er: hvordan håndteres feil i data? gjøres det noen form for datavasking? Hvordan vises datakvalitetsmålinger?

Tilbake-kompatibilitet: Det anbefales å beskrive hvordan man som dataleverandør håndterer endringer og nye versjoner av tjenesten. 

Sikkerhet: Dersom datasettet krever autentisering/autorisasjon bør mekanismen som er i bruk beskrives, samt hvordan dette administreres. For noen industrier kan det være egne krav til sikkerhet i overføringsmekanismer fra utstyr til sky og lagring for å forhindre at dataene forandres eller lyttes på av andre.

Pris:Dersom dynamiske datasettet skal selges til en pris er det i hovedsak tre prismekanismer som er mest utbredt; Betaling per kall til datatjenesten eller fast pris for fast mengde data, med eller uten mulighet for utvidelse. I tillegg finnes avtaler om fastpris med ubegrensede kall eller mengder data, samt avtaler uten prising, for eksempel i tilfeller der to parter utveksler data med hverandre.

Prøveperiode: Det vil alltid være en læringskurve for hvordan nyttiggjøre seg av datasett fra andre aktører, enten det for forskning eller for kommersielle formål. For å gi kunden en mulighet til å forstå verdi før man forplikter seg til å kjøpe/bruke et datasett kan man vurdere en gratis utforskningsperiode (free trial) for kunden for å gi mulighet til å verifisere at datasettet faktisk gir den forventede verdi inn i videre arbeid.

Avtalens varighet:Dersom hensikten med datadeling er utforskende virksomhet og forretningsmodellen i begge ender ikke er helt klar, anbefales det å vurdere en tidsavgrenset avtale, for eksempel for ett år av gangen. Dette vil gjøre det mulig for begge parter å oppdatere innhold etter hvert som man opparbeider seg mer erfaring rundt bruk og innhold i datadelingen før man inngår mer langsiktige avtaler

Terminering av kontrakten:Det anbefales å legge inn en tydelig beskrivelse av hendelsesforløp og forventninger til hva som skal skje med allerede delte data dersom kontrakten termineres. Om du er en tjenesteleverandør, vurder krav om at immaterialrettigheter, fraskrivelse av garanti, begrensning av forpliktelser, skadeserstatning og konfidensialitet og lignende fortsatt gjelder etter at tjenesten er terminert for data konsumert i tjenesten

Som eksempler kan terminering dekkes på følgende måte.

Upon termination of the Service Terms, (i) the license granted hereunder will immediately terminate; (ii) all rights of Customer to access and use the Service shall immediately cease; and (iii) Tjenesteleverandør may delete all of the Customer Content in the Service.

Provisions in these Service Terms which by their nature are intended to have effect also after the expiry or termination of these Service Terms, including but not limited to Intellectual Property Rights, No Warranties, Liability and Indemnity, and Confidentiality, shall survive expiry or termination.

9.2 Scenario 0: Intern deling i egen virksomhet

En virksomhet ønsker å lagre data som man genererer selv (kun intern deling)

Relevante tema og utfordringer for scenario 0

Hva er formålet med innsamling og lagring av data?

Har virksomheten rett til å lagre data? (i forhold til datakildene)

Hvilke lovverk er relevante med tanke på lagring av data (feks. GDPR)?

Hvor og hvordan skal data lagres (teknisk)?

Hvem har tilgang til data internt i virksomheten?

Hvem skal man dele data med internt i virksomheten og hvorfor? 

Bør dataene beskyttes med konfidensialitetsforpliktelser? (konkurransesensitive data, forretningshemmeligheter)

Hvem har ansvar for at data er korrekt over tid (vedlikehold)?

Hvor lenge skal data lagres?

Disse temaene vil også være relevante for scenariene 1-3 som blir utdypet grundigere nedenfor. Vi anbefaler at virksomhetene har gode og gjennomtenkte svar på disse sentrale spørsmål før man begynner å dele data med eksterne parter. Basert på ekspertgruppens erfaring vil grundig arbeid med å svare på disse spørsmålene internt i virksomheten gjøre det enklere når man begynner å samarbeide med andre rundt datadeling.

I et internt scenario anbefales det å regulere omgangen med data i interne retningslinjer eller instrukser som sikrer beste praksis for datahåndteringen. Det innebærer for eksempel at innsamling og lagring skjer planmessig og strukturert, at det foreligger sjekklister for å avklare tredjeparts rettigheter, spørsmål rundt personopplysninger eller lignende i forbindelse med datalagring, og at det foreligger rutiner som gjør de ansatte oppmerksomme på sjekkpunktene til rett tid. Det er viktig å forankre ansvaret for datahåndtering hos en funksjon internt i virksomheten.

9.3 Scenario 1: Enveis en-til-en deling

Relevante tema og utfordringer for scenario 1

Hva er formålet med deling av data?

Har virksomheten rett til å dele data med en annen virksomhet?

Hvilke lovverk er relevante ift. deling av data med en annen part?

Skal det legges begrensninger for hvordan data brukes hos kunden?

Skal kunden ha adgang til å dele data videre med tredjeparter?

Hvem har ansvaret for hvordan data brukes?

Hvilke avtaler trenger man?

Hvordan skal data deles (teknisk)?

Hvordan skal den kommersielle modellen/avtalen se ut?

Hvem har ansvar for at data er korrekt over tid (vedlikehold)?

Hvem har tilgang til data?

Hvor lenge skal data lagres?

I denne settingen for datadeling deler en virksomhet data med andre, for eksempel gjennom tilgang til APIer. Utvekslingen av data bør fortrinnsvis skje i tråd med etablerte standarder og (meta)datamodeller, men er opp til avtalen mellom virksomhetene. Sikkerheten ivaretas her ved å følge etablert praksis for API-utvikling, som innebærer for eksempel kryptering av data som sendes, begrensning av datamengder som kan overføres, og begrensninger på tilganger for å unngå «brute-force»-angrep for inntrenging. Fordelen med slike løsninger er at både avtaler og teknologiske løsninger tillater en forholdsvis hurtig implementering, samtidig som den egner seg mest for datautveksling mellom et fåtall aktører eller for enveis, åpen tilgjengeliggjøring. Dette fordi kompleksiteten (både teknisk og når det gjelder avtaler) øker eksponentielt med antall virksomheter som deltar i datadelingen.

Partene bør reflektere over formålet med delingen for at vilkårene i avtalen blir best mulig tilpasset og legger til rette for at formålet realiseres så enkelt og friksjonsfritt som mulig. Den som vil dele data, må forsikre seg om at tredjeparts rettigheter ikke er til hinder for det. Er det tale om persondata, kan disse bare deles i henhold til personopplysningsloven. Også data fra egen virksomhet kan etter omstendighetene inneholde persondata om virksomhetens ansatte. Andre data kan også være underlagt restriksjoner, for eksempel etter sikkerhetsloven. Data som er innhentet fra tredjepart kan være underlagt begrensninger enten i lov (for eksempel forretningshemmelighetsloven) eller i avtale.

Dersom kunden bare skal bruke dataene til bestemte formål eller på bestemte måter, bør det presiseres i avtalen. Det samme gjelder dersom det skal legges begrensninger på hvordan kunden kan bruke tjenesten eksternt mot sine kunder, altså dele dataene videre med tredjeparter. Slike nyanser er det viktig å beskrive i avtalen. Begrensninger på bruken av dataene henger typisk sammen med behov hos den virksomheten som deler data for å sikre seg at eventuelle rettigheter beholdes, for eksempel forretningshemmeligheter eller databaserettigheter. Et relativt vanlig scenario vil være at en kunde ønsker å bruke data fra tjenesteleverandøren internt som delmengde av et større datagrunnlag for å utføre en analyse, men vil ikke kunne videreformidle/selge dataene videre til andre. Et eksempel på tekst som begrenser videre deling fra en kontrakt er:

«Service or any information derived from the Service may not be reproduced, transmitted, copied (in any form or by any means), distributed further or modified for commercial purposes.»

Det bør også reguleres i avtalen hva som skal være konsekvensene av at avtalens krav ikke overholdes. Den alminnelige kontraktsretten har regler om konsekvenser av avtalebrudd, som mulighet for retting, prisavslag, erstatning og til slutt heving, altså at avtalen bringes til opphør. Det kan være grunn til å tenke gjennom hvordan partene vil at sanksjonene skal gjelde i eget avtaleforhold, for eksempel at det settes klare frister for å rette opp forhold, og å presisere om visse forpliktelser er så sentrale at brudd på dem skal medføre rett til å heve avtalen.

9.4 Scenario 2: Virksomhet vil levere tjenester basert på data fra andre

I tillegg til spørsmålene i foregående scenario, reiser dette scenariet ofte spørsmål om håndtering av immaterialrettigheter og om dataportabilitet. I tillegg til håndtering av databaserettigheter eller forretningshemmeligheter hos dataleverandør, bør tjenesteleverandør sin bruk av dataene håndteres. Dersom dataene skal kunne brukes til å lage nye verdiskapende datasett eller tjenester for videresalg, vil rettighetene til disse (opphavsrett til datamaskinprogrammer, nye databaserettigheter eller forretningshemmeligheter) oppstå hos kunden, altså tjenesteleverandøren, med mindre noe annet følger av avtalen. Det er mulig å legge til at dataleverandørene skal krediteres i en ny tjeneste. Det kan også bli satt krav fra dataleverandør om at tjenesteleverandørs tjeneste ikke skal kunne reverse engineeres tilbake til dataleverandøren sine datasett. Et eksempel tekst som dekker dette i en kontrakt er:

«Include in all materials containing the DATA PROVIDER Data a credit identifying DATA PROVIDER as the source as follows:» Copyright © DATA PROVIDER Global Limited [current year] All Rights Reserved.

Customer can create Derivative Works using the data from the provided that the original data form the service cannot be reverse engineered to its raw format or obtained from the Derivative Works. The Derivative Works cannot directly compete with DATA PROVIDER's products.»

Dersom dataleverandørene ønsker mulighet til å få dataene de har levert “ut” av tjenesten, bør det reguleres i avtalen både hvordan det skal skje, og om det også skal omfatte historiske data. Problematikk omkring dataportabilitet oppstår typisk dersom den som samler inn data til en tjeneste også yter tjenesten til dataleverandørene. Et eksempel på dette kan være skytjenester i landbruk som samler data fra sensorer hos den enkelte bonde og sammenstiller med andre datasett for å levere en tjeneste som kan bestå av informasjon eller prediksjon til bonden.

9.5 Scenario 3: Virksomheter deler data på tvers i felles arkitektur

Relevante tema og utfordringer for scenario 3

Hvorfor ønsker man å dele og samle data (forretningsmessig verdi)?

Hvordan skal data deles (teknisk løsning)?

Har de som deler data rett til å gjøre dette?

Hvordan skal data anonymiseres og hvem har ansvaret for dette? (den som vedlikeholder databasen eller den som sender dataene?)

Hvem har ansvar for drift av felles arkitektur (styring av tilganger og kontroll med data)?

Hvordan skal den kommersielle modellen se ut?

Hva får man “igjen” av å dele data?

Hvem skal få tilgang til dataene? (er det behov for begrensninger?)

Hva skal dataene kunne brukes til?

Når det er mange aktører som ønsker å dele eller utveksle data, men ikke ønsker å bruke en felles dataplattform, kan føderert deling av data være en aktuell løsning. Eksempelvis, når bedrifter langs en verdikjede (underleverandører, logistikkpartnere, produsenter og distributører) ønsker å gjøre visse deler av produksjonsdata tilgjengelig for utvalgte partnere, men ikke vil gi alle aktørene den samme innsikten. I en slik føderert setting vil datadeling skje basert på forretningsmessige behov, men i motsetning til en distribuert arkitektur vil det være et felles rammeverk som definerer sikkerhet og autentisering (som oftest basert på digitale sertifikater som deles ut av en tredjepart som alle aktørene har tillit til), så vel som spilleregler for interoperabilitet og bruk av data som skal deles. En slik løsning vil kreve en investering av deltagerne i forkant, siden spesifikke (sikkerhets-sertifiserte) programvaremoduler må utvikles eller kjøpes for å koble seg mot infrastrukturen, men vil gjøre utvidelser av det digitale samarbeidet (flere datasett, flere aktører) enklere å håndtere.

I tillegg til det som i foregående scenarier, reiser dette scenariet særlig spørsmål knyttet til avtaleforhold med flere enn to parter. På den ene siden kan det være mindre ressurskrevende og mer effektivt å dele data i et samarbeid mellom flere parter. På den annen side er det en risiko for at delingen blir et minste felles multiplum fordi hensynet til like vilkår vil føre til at partene bare vil dele i henhold til vilkårene fra den mest restriktive av dem. Her forutsettes at samarbeidet er basert på en kontrakt og at det ikke er mer integrert, som i et felles selskap eller joint venture. I et flerpartssamarbeid bør det vurderes om alle parter skal eller bør være underlagt samme vilkår, eller om det er grunn til å differensiere mellom dem. Forutsetningene for deling av data kan være svært ulike for virksomhetene selv om det er forretningsmessig nyttig for dem å dele data. I så fall kan det tenkes en struktur med visse fellesbestemmelser, og så spesielle bestemmelser for ulike parter.

Det bør tas stilling til hvem som har ansvar for å følge opp tilganger og administrere den felles infrastrukturen eller plattformen. Det kan være en fordel å regulere ansvar for data i forhold til inngrep i tredjeparts rettigheter (hvem har ansvar for at bruk av delte data ikke gjør inngrep i tredjeparts forretningshemmeligheter eller personopplysninger?). Det anbefales også å regulere ansvar for datakvalitet, altså hvordan partene seg imellom vil sanksjonere det at delte data har feil eller dårligere kvalitet som medfører problemer for produksjon eller drift. Endelig anbefales å regulere uttreden av samarbeidet og håndtering av allerede delte data dersom en part vil eller må tre ut.

9.6 Scenario 4: Deling av data mellom flere virksomheter på en felles dataplattform

Relevante tema og utfordringer for scenario 4

Hvorfor ønsker man å dele og samle data? (Forretningsmessig verdi)

Hvordan skal data deles (teknisk løsning)?

Har man rett til å dele dataen videre fra virksomheten til en 3.part?

Hvordan skal data anonymiseres og hvem har ansvaret for dette? (den som vedlikeholder databasen eller den som sender dataen?)

Hvem har ansvaret for datavedlikehold og -kvalitet, og hvordan reguleres dette i avtalene?

Hvordan skal avtalene se ut mellom de ulike aktørene

I en sentralisert arkitektur vil sikkerheten som regel ivaretas av leverandøren av dataplattformen som implementerer rutiner for både sikker overføring, lagring og manipulasjon av data, tilgangsstyring ved å innrette ulike nivåer for brukerrettigheter og så videre. Bruk av data reguleres ofte av plattformleverandørenes standardavtaler. Deling av data på slike plattformer har fordelen av at virksomheten som ønsker å dele data vil kunne kjøpe det som en tjeneste istedenfor å ta kostnaden av en egen teknisk implementering. Dette gjør slike felles dataplattformer interessant i settinger der mange aktører har de samme interessene som i sin helhet vil tjene på tilgang til hverandres datasett.

I tillegg til det som er diskutert for scenario 1 og 3, er det i dette scenariet også et særlig behov for å tenke igjennom organiseringen av den felles plattformen og hvordan partene skal forholde seg til den. Ved å opprette en felles plattform, samles de opplastede data i en database, som det etter omstendighetene kan oppstå databaserettigheter til. Etter åndsverkloven kan databaserettigheter innehas av flere parter i sameie. For å få god forutsigbarhet om rettighetene til en slik felles database, kan det være en fordel å regulere hvem som skal være sameiere og med hvor store andeler i databaserettighetene. Det bør også reguleres hvem som skal ha rett til å bruke databasen og om alle partene skal ha lik rett til å bruke alle data. Dette spørsmålet løses ikke uten videre av reglene om databaserettigheter. Når data samles i en felles plattform, blir det også mulig å dele dataene samlet med tredjeparter. Den felles avtalen bør regulere om det skal være mulig, for hvem og på hvilke vilkår.

Det er også viktig å regulere vedlikehold av dataene og datakvalitet og eventuelt ansvar (eller ikke ansvar) for at feil i dataene fører til skader eller ulemper i drift eller produksjon hos noen av partene eller hos tredjeparter.

9.7 Scenario 5: Deling av data på en felles dataplattform med datatjenester

Moderne dataplattformer tilbyr som oftest verdiøkende tjenester for datasettene som deles, enten fra plattformeier eller andre leverandører. Dette kan for eksempel være transformasjon av data til formater som er i tråd med standarder eller andre avtalte datamodeller, integrasjon av data fra de ulike aktørene der dette ønskes, eller avanserte analysetjenester basert på maskinlæring.

Dette scenariet er en kombinasjon av scenario 2 og 4, og spesifikke anbefalinger for scenario 5 dekkes i stor grad av disse. Scenariet illustrerer hvordan data samles, kombineres med andre data, aggregeres og foredles, og slik inngår i en tjeneste som kan ha som output noe helt annet enn de opprinnelige dataene. Det bør imidlertid påpekes at det kan være svært vanskelig både å forutse og beregne noe adekvat vederlag for bruken av de opprinnelige dataene i den endelige tjenesten, særlig dersom denne tjenesten ikke ytes til dataprodusentene, men til helt andre kunder med helt andre behov. Problemet kan være at selv et helt minimalt vederlag til de enkelte dataprodusentene samlet sett blir en så stor utgift for tjenesteutvikler at det ikke vil lønne seg å utvikle og tilby tjenesten. Dette scenariet oppfattes derfor først og fremst aktuelt der partene til plattformen får andre fordeler av delingen enn at det utvikles en tjeneste. Det kan også tenkes at koblingen mot en tjenesteyter bidrar til å finansiere drift og vedlikehold av plattformen.

Fotnoter

1)
Digital-21 rapporten. https://digital21.no/wp-content/uploads/2018/09/Digital21_strategi_2018.pdf

2)
Rapport fra ekspertgruppen for datadeling i næringslivet. https://www.regjeringen.no/contentassets/c98cce6745b0486c948c269dc80335c8/rapport-fra-datadelingsutvalget2.pdf

3)
Stortingsmeldingen – Datadrevet økonomi og innovasjon. https://www.regjeringen.no/no/dokumenter/meld.-st.-22-20202021/id2841118/?ch=1

4)
Bransjeretningslinjer for deling av data i verdikjedene for matproduksjon i landbruket og for sjømatproduksjon. https://s3-eu-west-1.amazonaws.com/landbrukets-dataflyt/assets/Bransjeretningslinjer-for-deling-av-data-landbruk-og-sj%C3%B8mat-2021-06-09.pdf

5)
Er verdiskaping med data noe Norge kan leve av? Menon-publikasjon Nr. 88/2019. https://www.menon.no/wp-content/uploads/2019-88-Verdiskaping-med-data.pdf

6)
Forordning (EU) 2018/1807 om en ramme for fri utveksling av andre data enn personopplysninger i EU. Forordningen er ikke gjeldende i Norge, men regjeringen har arbeidet med tilpasninger av norsk lov for å harmonisere med forordningen.

7)
Forordning (EU) 2016/679 – GDPR

8)
Personopplysningsloven. Lov 15. juni 2018 nr. 38.

9)
Rapport fra ekspertgruppen for datadeling i næringslivet. https://www.regjeringen.no/contentassets/c98cce6745b0486c948c269dc80335c8/rapport-fra-datadelingsutvalget2.pdf

10)
Nasjonal strategi for tilgjengeliggjøring og deling av forskningsdata https://www.regjeringen.no/no/dokumenter/nasjonal-strategi-for-tilgjengeliggjoring-og-deling-av-forskningsdata/id2582412/

11)
Se for eksempel «Utredning om eierskap til data i Landbruks- og Sjømatnæringen» Rapportnr.: 2020-0180, Rev 2. Side 4. https://sjomatnorge.no/app/uploads/2020/05/Rapport-LD-Final_v01_rev2.pdf

12)
FNs bærekraftsmål. https://www.fn.no/om-fn/fns-baerekraftsmaal

13)
Proposal for a Corporate Sustainability Reporting Directive (CSRD). https://ec.europa.eu/info/business-economy-euro/company-reporting-and-auditing/company-reporting/corporate-sustainability-reporting_en

14)
Den norske LOV-2021-06-18-99 (åpenhetsloven) https://lovdata.no/dokument/NL/lov/2021-06-18-99

15)
https://ec.europa.eu/info/strategy/priorities-2019-2024/european-green-deal_en

16)
A European Green Deal. https://ec.europa.eu/environment/publications/recommendation-use-environmental-footprint-methods_en

17)
Norges sjømatråd. https://seafood.no/aktuelt/nyheter/slik-kan-norge-selge-sjomat-for-200-milliarder-innen-2030/

18)
Finans Norge – om PSD2 eller betalingstjenestedirektivet. https://www.finansnorge.no/tema/bank/psd2-eller-betalingstjenestedirektivet/

19)
Diskos – Oljedirektoratet (npd.no)https://www.npd.no/en/diskos/

20)
Rapport fra ekspertgruppen for datadeling i næringslivet. https://www.regjeringen.no/contentassets/c98cce6745b0486c948c269dc80335c8/rapport-fra-datadelingsutvalget2.pdf“Eksisterende lovverk vedrørende eierrettigheter til data synes ikke å være tilfredsstillende, og manglende avklaring rundt eierskap til data er en reell barriere for deling av data. […] Det er ikke etablert noen klare regler om eiendomsrettigheter til data, og de eksisterende rettigheter relatert til data tilfredsstiller ikke behovene til aktører i verdikjedene knyttet verken for generering eller utnyttelse av data. Hittil har den eneste anvendbare løsningen vært å regulere mulige forhold mellom aktørene i avtaleform.”

21)
Direktiv 96/9/EF.

22)
Rapport fra ekspertgruppen for datadeling i næringslivet. https://www.regjeringen.no/contentassets/c98cce6745b0486c948c269dc80335c8/rapport-fra-datadelingsutvalget2.pdfEkspertgruppen ser at usikkerhet rundt konkurranserettslige spørsmål er en barriere for deling av data mellom konkurrenter på de måter som anbefales i denne rapporten.

23)
Data act. https://digital-strategy.ec.europa.eu/en/policies/data-act

24)
Competition policy for the digital era. https://ec.europa.eu/competition/publications/reports/kd0419345enn.pdf

25)
Se også Samordnet opptreden og datadeling etter forbudet mot konkurransebegrensende samarbeid i artikkel 101 (1) TFEU for en nærmere vurdering av dette punktet med hensyn til deling av data. https://www.duo.uio.no/handle/10852/87074

26)
Veiledning om prosjektsamarbeid- konkurransetilsynet.no. https://konkurransetilsynet.no/wp-content/uploads/2019/07/Veileder-prosjektsamarbeid.pdf

27)
Behandlingsgrunnlag – datatilsynet.no. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/behandlingsgrunnlag/veileder-om-behandlingsgrunnlag/

28)
Anonymisering av personopplysninger – datatilsynet.no https://www.datatilsynet.no/globalassets/global/dokumenter-pdfer-skjema-ol/regelverk/veiledere/anonymisering-veileder-041115.pdf

29)
EU Code of conduct on agricultural data sharing by contractual agreement. https://cema-agri.org/images/publications/brochures/EU_Code_of_conduct_on_agricultural_data_sharing_by_contractual_agreement_2020_ENGLISH.pdf

30)
Se blant annet Data for Common Purpose Initiative https://www.weforum.org/projects/data-for-common-purpose-initiative-dcpi og rapporten Data Driven Economies: Foundations for our common future. https://www.weforum.org/whitepapers/data-driven-economies-foundations-for-our-common-future

31)
Norges behov for IKT-kompetanse i dag og framover — Samfunnsøkonomisk analyse.https://www.samfunnsokonomisk-analyse.no/nye-prosjekter/2021/1/26/norges-behov-for-ikt-kompetanse-i-dag-og-framover

32)
Dataforvaltning og -deling i kommunene – Agenda Kaupang. https://www.regjeringen.no/contentassets/05c9563f28024e1bb82f5e31d1dbfd72/rapport_dataforvaltning-og--deling-i-kommunene_endelig-versjon.pdf

33)
Digitaliseringdirektoratet - veileder for orden i eget hus. https://www.digdir.no/informasjonsforvaltning/veileder-orden-i-eget-hus/2716

34)
Se for eksempel: Data management maturity self-assesment – DNV. https://store.veracity.com/data-management-maturity-self-assessment