API-vilkår Norge
API-VILKÅR OG BETINGELSER
Regulert av avtaleloven (1918), åndsverkloven (2018), personopplysningsloven (2018), GDPR (EU 2016/679) og ekomloven (2003).
Disse API-vilkårene gjelder for tilgang til og bruk av [Api Navn], tilbudt av [Api Tilbyder Navn], organisasjonsnummer [Api Tilbyder Orgnr], med forretningsadresse [Api Tilbyder Adresse]. Kontakt: [Api Tilbyder Epost].
Ikrafttreden: [Api Ikrafttredelse]. Sist oppdatert: [Api Sist Oppdatert].
Ved å registrere en API-nøkkel, sende forespørsler til API-et eller på annen måte benytte tjenesten, aksepterer du disse vilkårene i sin helhet.
§ 1 Definisjoner
§ 1 DEFINISJONER
«API» (Application Programming Interface): det programmatiske grensesnittet [Api Navn] som muliggjør maskin-til-maskin-kommunikasjon.
«API-nøkkel»: den unike autentiseringsidentifikatoren som tildeles API-brukeren for å autentisere forespørsler.
«API-bruker»: enhver juridisk enhet eller person som benytter API-et under disse vilkårene.
«Tilbyderen»: [Api Tilbyder Navn], som eier og drifter API-et.
§ 2 Tilgangsrettigheter og bruksformål
§ 2 TILGANGSRETTIGHETER OG BRUKSFORMÅL
2.1 Tilbyderen gir API-brukeren en ikke-eksklusiv, ikke-overførbar, tidsbegrenset tilgangsrettighet til å benytte [Api Navn], underlagt disse vilkårene og åndsverkloven (2018).
2.2 Tilgangsomfang: [Api Omfang]. Tillatt bruksformål: [Api Formaal].
2.3 Rate-grenser og kvotebegrensninger: [Api Kvotegrense]. Forespørsler over kvotegrensen avvises automatisk (HTTP 429 Too Many Requests). API-brukeren kan oppgradere til høyere plan ved behov.
§ 3 Forbudt bruk
§ 3 FORBUDT BRUK
3.1 API-brukeren har ikke rett til å: reverse-engineere, dekompilere eller forsøke å avdekke API-ets underliggende kode eller arkitektur; benytte API-et til å bygge konkurrerende tjenester med vesentlig overlappende funksjonsomfang; videresende API-tilgang eller API-nøkler til tredjeparter uten skriftlig samtykke fra Tilbyderen; benytte API-et til ulovlige formål eller i strid med norsk lov; omgå tekniske sikkerhetstiltak, rate-limiting eller autentisering.
3.2 Misbruk vil medføre umiddelbar suspensjon av API-nøkkelen uten forhåndsvarsel.
§ 4 Sikkerhet og API-nøkkelhåndtering
§ 4 SIKKERHET OG API-NØKKELHÅNDTERING
4.1 Autentiseringsmetode: [Api Autentisering]. All kommunikasjon med API-et skal skje over HTTPS (TLS 1.2 eller høyere).
4.2 API-brukerens sikkerhetsplikter: [Api Sikkerhets Krav].
4.3 API-brukeren er ansvarlig for all aktivitet som skjer med API-nøkkelen. Mistenkt kompromittering varsles umiddelbart til [Api Tilbyder Epost], og Tilbyderen tilbakekaller og utsteder ny nøkkel uten unødig opphold.
§ 5 Personvern og GDPR
§ 5 PERSONVERN OG GDPR
5.1 Tilbyderen behandler personopplysninger (API-brukerens navn, e-post, foretaksnavn, IP-adresse, API-kall-logg) i henhold til personvernforordningen (GDPR, EU 2016/679) og personopplysningsloven (2018). Tilbyderen er behandlingsansvarlig for disse opplysningene.
5.2 Behandlingsgrunnlag er GDPR art. 6 nr. 1 bokstav b (oppfyllelse av tjenesteavtalen) og bokstav f (berettiget interesse i sikkerhetsovervåking og misbruksforebygging). Opplysningene oppbevares i avtaleperioden pluss 3 år etter opphør.
5.3 API-brukeren som behandler personopplysninger via API-et, er selv behandlingsansvarlig for disse behandlingene og plikter å overholde GDPR uavhengig av Tilbyderens forpliktelser.
5.4 Datatilsynet (datatilsynet.no) fører tilsyn. API-brukere har rett til innsyn, retting og sletting etter GDPR artiklene 15-17. Henvendelser rettes til [Api Tilbyder Epost].
§ 6 Pris, tilgjengelighet og endringer
§ 6 PRIS, TILGJENGELIGHET OG ENDRINGER
6.1 Prismodell: [Api Prismodell]. Pris: [Api Pris] eksklusive MVA. Merverdiavgift på 25 % legges til etter merverdiavgiftsloven (2009) der relevant.
6.2 Tilgjengelighetsgaranti: [Api Oppetidsgaranti]. Planlagt vedlikehold varsles med minimum 48 timers forhåndsvarsel og telles ikke som nedetid.
6.3 Tilbyderen kan endre disse vilkårene og API-funksjonaliteten med 30 dagers skriftlig varsel (e-post til registrert adresse). Vesentlige endringer av API-grensesnittet varsles med minimum 90 dagers frist for API-versjonsskifter.
§ 7 Immaterialrettigheter
§ 7 IMMATERIALRETTIGHETER
7.1 API-et, inkludert dets design, arkitektur, dokumentasjon, datamodeller og datainnhold, er Tilbyderens opphavsrettslig vernede verk etter åndsverkloven (2018). API-brukeren erverver ingen immaterielle rettigheter til API-et ved bruk.
7.2 Data API-brukeren tilbyr eller genererer via API-et, tilhører API-brukeren, med unntak for data Tilbyderen eksplisitt eier etter separat avtale.
§ 8 Ansvarsbegrensning
§ 8 ANSVARSBEGRENSNING
8.1 API-et leveres «som det er». Tilbyderen fraskriver seg ansvar for indirekte tap, herunder tapte inntekter, driftsavbrudd eller datatap som følge av API-nedetid eller feil, med unntak for forsett og grov uaktsomhet. Tilbyderens samlede ansvar er begrenset til det vederlaget API-brukeren har betalt de siste tolv månedene.
§ 9 Lovvalg og tvister
§ 9 LOVVALG OG TVISTER
9.1 Disse API-vilkårene er underlagt norsk rett, herunder avtaleloven (1918), åndsverkloven (2018), personopplysningsloven (2018) og ekomloven (2003).
9.2 Uløste tvister avgjøres av Oslo tingrett eller annen kompetent norsk domstol etter tvisteloven (2005).
API-tilbyderen
________________
Signature
Hva er API-vilkår Norge?
API-vilkår i Norge er de bindende bruksbetingelsene som regulerer tredjepartutvikleres og virksomheters tilgang til og bruk av et Application Programming Interface (API). API-vilkårene definerer tillatt bruksformål, rate-begrensninger, autentiseringskrav, GDPR-forpliktelser og ansvarsbegrensning.
APIs (Application Programming Interfaces) er fundamentet for den moderne digitale økonomien. Nesten all digital integrasjon i norsk næringsliv skjer via API-er: betalingstjenester (Vipps, Nets, Stripe), bankintegrasjoner (Open Banking under PSD2-direktivet EU 2015/2366), offentlige data (Brønnøysundregistrene API, Kartverket, Altinn), logistikk (Bring, PostNord) og skytjenester (Microsoft Graph, Google Workspace API, AWS). Norske Fintech-selskaper, e-handelsplatformer og SaaS-leverandører tilbyr egne API-er for integrasjon med tredjepartsapplikasjoner.
API-vilkår er den kontraktsmessige rammen som regulerer dette API-tilgangsforholdet. Juridisk er API-vilkår en spesialisert form for lisensavtale (etter åndsverkloven 2018) og tjenesteavtale (etter avtaleloven 1918) som typisk aksepteres ved klikk («click-wrap») eller ved faktisk bruk. Norsk rett anerkjenner slike akseptformer som bindende, forutsatt at vilkårene var tilgjengelige og klare.
GDPR-dimensjonen er kritisk i API-vilkår: API-er som overfører eller behandler personopplysninger er underlagt personvernforordningen (GDPR, EU 2016/679) og personopplysningsloven (2018). Datatilsynet (datatilsynet.no) fører tilsyn med API-tilbydere som behandler personopplysninger. Et viktig prinsipp er ansvarsfordelingen: API-tilbyderen er behandlingsansvarlig for personopplysninger om API-brukere (brukerkontodata, IP-adresser, kall-logg); API-brukeren er behandlingsansvarlig for personopplysninger i data som innhentes via API-et.
Ekomloven (2003) regulerer visse aspekter av elektronisk kommunikasjon via API-er, herunder krav til sikkerhet i elektroniske kommunikasjonsnett og tjenester, og Nasjonal kommunikasjonsmyndighet (nkom.no) fører tilsyn.
Når trenger du API-vilkår Norge?
API-vilkår i Norge er nødvendig i alle situasjoner der en virksomhet tilbyr programmatisk tilgang til sine tjenester via et API.
Open Banking og finansielle API-er. Norske banker og betalingstjenesteleverandører som tilbyr API-er under PSD2-direktivet (EU 2015/2366, implementert i betalingstjenesteloven 2018) er lovpålagt å gi tredjeparts betalingstjenesteyters (TPPs) tilgang til kundenes betalingskontoinformasjon og betalingsinitieringer. Finanstilsynet (finanstilsynet.no) regulerer finansielle API-er i Norge. API-vilkårene for finansielle API-er er underlagt særskilte krav til sikkerhet, autentisering (strong customer authentication, SCA) og datavern.
Offentlige data-API-er. Norske offentlige virksomheter som Brønnøysundregistrene, Kartverket, SSB (Statistisk sentralbyrå), Skatteetaten og NAV tilbyr åpne og betalte API-er for tilgang til offentlige data. Disse API-ene er regulert av offentleglova (2006) og digitaliseringsforskriften. API-vilkårene spesifiserer bruksformål, tillatelse til gjenbruk av offentlige data, og krav til kreditering av datakilden.
E-handels- og betalings-API-er. Norske e-handelsplatformer og betalingstjenester (Vipps, Klarna, Stripe) tilbyr API-er for integrasjon av betalinger, ordrehåndtering og kundeinformasjon. API-vilkårene er kritiske for å regulere sikker håndtering av betalingskortdata (PCI DSS-standard) og GDPR-etterlevelse.
Helse-API-er og HelseID. Norske helseplattformer og helseforetak som tilbyr API-er for tilgang til helsedata er underlagt Normen (Norm for informasjonssikkerhet i helse- og omsorgssektoren) og HelseID-identitetsfederasjonen. API-vilkårene for helse-API-er er underlagt strenge personvernkrav for behandling av helseopplysninger som særlige kategorier etter GDPR art. 9.
Logistikk og transport-API-er. Postoperatører (Bring, PostNord), speditører og logistikkleverandører tilbyr API-er for frakk-prising, booking og sporingsdata. API-vilkårene regulerer datakvalitetskrav, feilhåndtering og ansvar for feilsporingsdata.
Hva bør API-vilkår Norge inneholde
Rettslig solide API-vilkår for Norge inneholder følgende nøkkelelementer etter avtaleloven (1918), åndsverkloven (2018) og GDPR.
Tydelig tilgangsmodell og godkjenningsprosess. Definer om API-et er åpent (offentlig tilgangelig), privat (kun autentiserte partnere) eller krevende godkjent søknad. For betalte API-er: angi søknadsprosess, kriterier for godkjenning, og om API-tilgangen kan nektes uten begrunnelse. Avtaleloven (1918) stiller krav til klar tilbuds- og akseptprosess.
Nøyaktig beskrivelse av tillatt bruk og forbudt bruk. Spesifiser tillatte bruksformål (f.eks. «integrasjon i tredjepartsapplikasjoner for kundens egne sluttbrukere»). Forbud mot: konkurrerende bruk, videregiving av API-tilgang, reverse engineering av API-arkitekturen, og omgåelse av sikkerhetstiltak. Åndsverkloven (2018) § 2 beskytter API-designet som opphavsrettslig verk.
Rate-limiting og kvotebegrensninger. Konkrete tall for rate-begrensninger (f.eks. 1000 forespørsler per minutt) og månedlige kvoter. Respons-statuskoder ved overskriding (HTTP 429). Prosedyre for kvoteøkning. Rate-limiting er en kritisk del av API-vederlaget og vil prissette ulike tilgangsnivåer.
Autentisering og sikkerhet. Autentiseringsmetode (API-nøkkel, OAuth 2.0, JWT) og sikkerhetskrav: HTTPS-krav (TLS 1.2+), sikker oppbevaring av API-nøkler, forbud mot å eksponere nøkler i klientside-kode eller versjonskontroll, varslingsplikt ved kompromittering. Norsk Cybersikkerhetssenter (ncsc.no) gir veiledning for sikker API-drift.
GDPR og personvernansvarsfordeling. Klar avklaring av hvem som er behandlingsansvarlig for hvilke personopplysninger. API-tilbyderens personvernerklæring bør integreres eller det bør refereres til denne. Regulere om API-brukere er databehandlere (når de behandler API-tilbyderens data på tilbyderens vegne) eller selvstendige behandlingsansvarlige (når de behandler sine egne kundedata via API-et). Krav til at API-brukere overholder GDPR ved sin bruk.
Endringer av API og varslingsprosedyre. Tilbyderens rett til å endre API-funksjonalitet og vilkår med angivelse av varselfrist (minimum 30 dager for vilkårsendringer, minimum 90 dager for breaking changes i API-grensesnitt). API-versjonering og deprecation-policy. API-brukere er avhengige av stabile grensesnitt for sine integrasjoner; lange varselperioder er god praksis. Se relaterte ressurser på forms-legal.com.
Ansvarsbegrensning og tjenestenivå. Fraskrivelse av garantier for API-tilgjengelighet på gratisplan. SLA for betalingsplaner. Ansvarsbegrensning til betalt vederlag. GDPR-bøter fra Datatilsynet er en offentligrettslig sanksjon som ikke kan begrenses kontraktuelt.
Slik fyller du ut API-vilkår Norge
API-vilkår for Norge fylles ut gjennom følgende trinn for fullstendig og rettsgyldig regulering av API-tilgangen.
Trinn 1 - Identifiser API-tilbyderen. Oppgi Tilbyderens fulle foretaksnavn og organisasjonsnummer (9 siffer fra Foretaksregisteret hos Brønnøysundregistrene), kontrollert mot brreg.no. Angi e-postadresse for API-support og GDPR-henvendelser.
Trinn 2 - Beskriv API-et og tilgangsmodellen. Oppgi fullt API-navn og versjon. Velg tilgangsmodell (offentlig/privat/godkjentesøknad). Beskriv tillatt bruksformål presist – vage beskrivelser gir rom for misbruk.
Trinn 3 - Sett rate-grenser og kvoter. Angi konkrete tall for rate-limiting og eventuelle månedlige kvoter. Angi HTTP-respons ved overskriding (429) og prosedyre for å oppgradere til høyere kvote.
Trinn 4 - Velg autentiseringsmetode og sikkerhetskrav. Spesifiser autentiseringsmetode og krav til sikker håndtering av API-nøkler. API-nøkler i GitHub-repositories og klientside-kode er en av de vanligste sikkerhetssårbarhetene i API-integrasjoner.
Trinn 5 - Definer GDPR-ansvarsfordeling. Avklar tydelig hvem som er behandlingsansvarlig for hvilke datakategorier. Dersom API-et behandler personopplysninger om API-brukerens sluttbrukere på vegne av API-brukeren, er API-tilbyderen databehandler og API-brukeren behandlingsansvarlig. Reguler dette med referanse til GDPR art. 28.
Trinn 6 - Fastsett prismodell og SLA. Angi prismodell (gratis, flat, forbruksbasert, freemium). For betalte planer: pris i NOK eksklusive MVA (MVA 25 % legges til). Angi SLA for betalte planer (typisk 99,5 %) og fraskrivelse av garanti for gratisplan.
Trinn 7 - Reguler endringsvarsling og API-versjonering. Angi varselfrist for vilkårsendringer (30 dager) og breaking API-endringer (90 dager). God deprecation-policy reduserer integrasjonsavbrudd for API-brukere.
Trinn 8 - Publiser og versjonsstyr. Angi ikrafttredelsesdato og dato for siste oppdatering. Versjonsstyr API-vilkårene slik at brukere alltid kan finne gjeldende og historiske versjoner.
Juridiske krav til API-vilkår Norge
API-vilkår i Norge er underlagt et sammensatt regelverk fra immaterialretten, personvernretten, elektronisk handel og finansregulering.
Avtaleloven (1918) og avtalebinding via click-wrap. API-vilkår akseptert ved klikk («API-nøkkel registrering innebærer aksept av vilkårene») er bindende etter norsk rett forutsatt at vilkårene var klart tilgjengelige og tydelig presentert. Avtaleloven (1918) § 36 kan sette til side urimelige vilkår i standardavtaler, særlig overfor forbrukere og svake næringsparter. Forbrukertilsynet (forbrukertilsynet.no) fører tilsyn med standardvilkår overfor forbrukere.
Åndsverkloven (2018). API-et og dets design, datamodeller, dokumentasjon og underliggende kode er beskyttet som opphavsrettslig verk etter åndsverkloven (2018) §§ 2, 39. API-vilkårene gir API-brukeren en begrenset tillatelse til å kommunisere med API-et; brukeren erverver ingen rettigheter til API-ets immaterielle innhold.
Personvernforordningen (GDPR, EU 2016/679) og personopplysningsloven (2018). API-er som behandler personopplysninger er underlagt GDPR og personopplysningsloven. Datatilsynet (datatilsynet.no) fører tilsyn og kan ilegge overtredelsesgebyr. Ansvarsfordelingen mellom API-tilbyder og API-bruker er avgjørende: GDPR art. 26 regulerer felles behandlingsansvarlige; GDPR art. 28 regulerer databehandlerforholdet. API-brukere som behandler EUs innbyggeres personopplysninger via norske API-er, er underlagt GDPR selv om de er etablert utenfor EU/EØS.
Ekomloven (2003) og ehandelsloven (2003). Ekomloven regulerer sikkerhets- og konfidensialitetskrav i elektroniske kommunikasjonsnett. Ehandelsloven (2003) regulerer krav til informasjon om tjenesteleverandøren og avtaleinngåelse via elektroniske kommunikasjonsmidler.
Betalingstjenesteloven (2010) og PSD2. Norske fintech-API-er og Open Banking API-er er underlagt betalingstjenesteloven (2010) og EU Payment Services Directive 2 (PSD2, 2015/2366), som regulerer tilgang til betalingskontoer, sterk kundautentisering (SCA) og krav til API-sikkerhet for tredjeparts betalingstjenesteyters (TPPs). Finanstilsynet (finanstilsynet.no) fører tilsyn.
Vanlige feil i API-vilkår Norge
API-vilkår i Norge svekkes av følgende vanlige feil som kan medføre misbruk, GDPR-bøter og tvister.
Feil 1 - Uklar eller fraværende GDPR-ansvarsfordeling. Den vanligste og alvorligste feilen er at API-vilkårene ikke avklarer ansvarsfordelingen mellom API-tilbyderen og API-brukeren for behandling av personopplysninger. Dersom API-et brukes til å behandle sluttbrukeres personopplysninger, oppstår spørsmålet om hvem som er behandlingsansvarlig og om det kreves databehandleravtale etter GDPR art. 28. Datatilsynets veiledning (datatilsynet.no) anbefaler eksplisitt avklaring i API-vilkårene.
Feil 2 - Manglende regulering av forbudt bruk. API-vilkår som kun angir tillatt bruk uten å eksplisitt forby konkurrerende bruk, videresalg av tilgang og reverse engineering, gir misbrukere et juridisk smutthull. Definer forbudt bruk uttømmende for å unngå tvister.
Feil 3 - Ingen varslingsfrist for API-endringer. API-vilkår som gir tilbyderen rett til å endre API-et uten varsel, skaper uforutsigbarhet for API-brukere som har investert i integrasjoner. En plage for mange norske API-brukere er versjonsskifter som «brekker» eksisterende integrasjoner uten forhåndsvarsel. Angi minimum 90 dagers varsel for breaking changes.
Feil 4 - Rate-limiting uten tydelig kommunikasjon. API-vilkår som angir rate-grenser uten å spesifisere HTTP-respons (429) og prosedyre for overskriding, etterlater API-brukere forvirret om hva som skjer ved volumtopp. Vær tydelig på konsekvenser og oppgraderingsmuligheter.
Feil 5 - Uklart om gratisplan har en SLA-garanti. Mange API-tilbydere ønsker å fraskrive seg oppetidsgaranti for gratisnivåer (freemium). Dersom vilkårene ikke eksplisitt skiller mellom gratisplan (ingen SLA) og betalingsplan (99,5 % SLA), oppstår tvister om forventninger. Vær eksplisitt om SLA-niveau per plan.
Feil 6 - API-nøkkelhåndtering ikke regulert. API-vilkår som ikke stiller krav til sikker håndtering av API-nøkler, gir tilbyderen ingen kontraktsrettslig beskyttelse dersom en bruker misbruker kompromitterte nøkler. Definer eksplisitt at brukeren er ansvarlig for all aktivitet med sin API-nøkkel, og at kompromitterte nøkler varsles umiddelbart.
Feil 7 - Ikke versjonsstyrt. API-vilkår uten versjonsnummer og dato for siste oppdatering gjør det umulig for brukere og myndigheter å fastslå hvilke vilkår som gjaldt på et gitt tidspunkt. Versjonsstyr alltid API-vilkårene og gjør historiske versjoner tilgjengelige.
Siter denne siden
Henvis til denne gratis malen i en artikkel, et pensum eller en forskningsnotat:
Forms Legal. (2026). API-vilkår Norge (Norge) [Legal document template]. Forms Legal. https://forms-legal.com/nb/norge/business/policies/api-vilkar
"API-vilkår Norge (Norge)." Forms Legal, 2026, https://forms-legal.com/nb/norge/business/policies/api-vilkar.
@misc{formslegal-api-vilkar,
author = {{Forms Legal}},
title = {API-vilkår Norge (Norge)},
year = {2026},
howpublished = {\url{https://forms-legal.com/nb/norge/business/policies/api-vilkar}},
note = {Free legal document template}
}Ofte stilte spørsmål
Ja – click-wrap-avtaler der API-brukeren aktivt bekrefter aksept (f.eks. ved å klikke «Jeg godtar vilkårene» ved registrering av API-nøkkel) er bindende etter norsk rett under avtaleloven (1918), forutsatt at: (1) vilkårene var klart tilgjengelige og faktisk presentert for brukeren forut for aksept, (2) aksepthandlingen var utvetydig (klikk på avkrysningsfelt, ikke implisitt ved bruk), og (3) vilkårene ikke er urimelige etter avtaleloven § 36. Norsk Høyesterett har ikke direkte behandlet click-wrap-problematikk, men det er rettspraksis fra underinstanser og en bred akademisk konsensus om at click-wrap-avtaler er bindende. Shrink-wrap-avtaler (der vilkårene presenteres etter kjøp) og browsewrap-avtaler (der aksept anses å skje ved fortsatt bruk uten aktiv bekreftelse) er mer tvilsomme etter norsk rett. For B2C-API-er (mot forbrukere) stiller markedsføringsloven (2009) § 22 krav til at standardvilkår ikke er urimelige, og Forbrukertilsynet fører tilsyn.
Ansvarsfordelingen for GDPR i API-integrasjonsforhold avhenger av hvem som kontrollerer formålet og midlene for behandlingen av personopplysninger: API-tilbyderen som behandlingsansvarlig: API-tilbyderen er behandlingsansvarlig for personopplysninger om API-brukere (registreringsdata, IP-adresser, API-kall-logg). API-brukeren som behandlingsansvarlig: API-brukeren er behandlingsansvarlig for personopplysninger om sine egne kunder og sluttbrukere som innhentes via API-et og behandles til API-brukerens egne formål. API-tilbyderen som databehandler: dersom API-et tilbyr en tjeneste der tilbyderen behandler personopplysninger på vegne av API-brukeren (f.eks. et analyse-API der tilbyderen prosesserer API-brukerens kundedata), er tilbyderen databehandler etter GDPR art. 4 nr. 8 og plikter å inngå databehandleravtale etter GDPR art. 28 med API-brukeren. Felles behandlingsansvarlige: i noen API-integrasjoner har begge parter en reell innvirkning på formål og midler, og er felles behandlingsansvarlige etter GDPR art. 26. Datatilsynet (datatilsynet.no) har veiledninger om disse relasjonene.
For private API-er (ikke underlagt offentlig regulering): en API-tilbyder i privat sektor kan i utgangspunktet fritt velge hvem de gir API-tilgang til, forutsatt at nektingen ikke strider mot diskrimineringslovgivning (likestillings- og diskrimineringsloven 2017) eller konkurranseloven (2004). For API-er med markedsdominerende tilbydere: tilbydere med en dominerende markedsposisjon kan under konkurranseloven (2004) § 11 og EØS-avtalens art. 54 ha plikt til å gi tilgang til infrastruktur (herunder API-er) dersom nektelse hindrer effektiv konkurranse. EU-kommisjonens sak mot Google (Android Auto API-nektelse, 2023) er et illustrerende eksempel. For regulerte API-er i finanssektoren: Open Banking API-er under PSD2/betalingstjenesteloven (2010) er lovpålagte, og banker kan kun nekte TPP-tilgang på objektivt begrunnede sikkerhetsgrunnlag. Finanstilsynet (finanstilsynet.no) fører tilsyn. Anbefaling: API-vilkårene bør angi Tilbyderens rett til å nekte eller suspenere tilgang, men begrense retten til mislighold, brudd på vilkårene og legitime sikkerhets- og forretningsgrunner.
API-misbruk kan ha både kontraktsmessige, sivilrettslige og strafferettslige konsekvenser etter norsk rett: Kontraktsmessige konsekvenser: umiddelbar suspensjon eller oppsigelse av API-tilgangen, krav om erstatning for dokumentert tap. Opphavsrettslige konsekvenser: ulovlig reverse engineering av API-et kan utgjøre opphavsrettskrenkelse etter åndsverkloven (2018). Tilbyderen kan kreve erstatning etter åndsverkloven § 81, herunder rimelig lisensgebyr. Forretningshemmelighetsloven (2020): ulovlig tilegnelse eller bruk av teknisk informasjon om API-arkitekturen kan utgjøre brudd på forretningshemmelighetsloven §§ 2-3, med erstatningsansvar og potensielt straffeansvar etter straffeloven (2005) § 207. Straffeloven (2005): ulovlig tilgang til datasystemer («hacking») er straffbart etter straffeloven §§ 201-202, med fengsel inntil 2-6 år avhengig av alvorlighetsgrad. Datatilsynet: GDPR-brudd i forbindelse med API-misbruk (f.eks. uautorisert innhenting av personopplysninger) kan medføre overtredelsesgebyr.
Norge har en rekke viktige åpne API-standarder som regulerer tilgang til offentlige og finansielle data: Open Banking (PSD2/Norsk betalingstjenestelov): Finanstilsynet krever at norske banker tilbyr standardiserte API-er (basert på Berlin Group NextGenPSD2 eller UK Open Banking-standard) for registrerte tredjeparts betalingstjenesteyters (TPPs) tilgang til kundenes betalingskontoinformasjon og betalingsinitieringer. Bankenes API-vilkår er regulert av Finanstilsynet. Altinn: Brønnøysundregistrene tilbyr Altinn API for digital samhandling med offentlig forvaltning, inkludert innrapportering av MVA, lønn og skattedata. Tilgangen er regulert av digitaliseringsforskriften og krever virksomhetssertifikat. Kartverket: Tilbyr WMS/WFS API-er og REST API-er for geografiske data. Grunnkartet og Matrikkelen er tilgjengelig via norske offentlige data-lisenser. SSB (Statistisk sentralbyrå): SSB tilbyr REST API for statistikkdata. Gratis for ikke-kommersielt bruk. Brønnøysundregistrene Open Data: Foretaksregisteret, Regnskapsregisteret og Frivillighetsregisteret tilgjengeliggjøres som åpne data med åpent API. Disse offentlige API-ene er typisk underlagt Norsk lisens for offentlige data (NLOD).
API-sikkerhet reguleres av et knippe norske og europeiske krav: GDPR art. 32 pålegger behandlingsansvarlige og databehandlere å gjennomføre tekniske og organisatoriske sikkerhetstiltak tilpasset risikoen. For API-er som behandler personopplysninger innebærer dette: kryptering av data i overføring (TLS 1.2+), tilgangskontroll (autentisering, autorisasjon), logging av API-kall, rate-limiting mot DoS-angrep, og regelmessig sårbarhetsskanning. Finanstilsynets krav til Open Banking API-er: PSD2 krever sterk kundautentisering (SCA) for betalingsautentisering, sikker kommunikasjon via eIDAS-sertifikater (QWAC) for TPP-autentisering, og dedicated API-grensesnitt (ikke screen scraping). Norsk Cybersikkerhetssenter (ncsc.no) publiserer løpende veiledninger for API-sikkerhet, herunder OWASP API Security Top 10 (injeksjon, broken authentication, excessive data exposure). NSM grunnprinsipper for IKT-sikkerhet inkluderer krav til API-godkjenning, segmentering og logging. Ekomloven (2003) stiller krav til sikkerhet i elektroniske kommunikasjonstjenester, som kan gjelde for offentlige API-er.
Det avhenger av hvilken lisens det offentlige API-et er tilgjengelig under. Norsk lisens for offentlige data (NLOD): de fleste norske offentlige datasett er tilgjengelig under NLOD, som tillater gratis bruk, redistribusjon og kommersiell utnyttelse mot kreditering av datakilden og deling av avledede data under samme lisens. NLOD er basert på Creative Commons-prinsippene og er kompatibel med internasjonale åpne datalisenser. Unntak: noen offentlige datasett er underlagt spesielle begrensninger: personopplysningsdata er underlagt GDPR uavhengig av NLOD; Kartverket og SSB har spesifikke bruksvilkår for visse datasett; militære og sikkerhetsklassifiserte data er underlagt sikkerhetsloven (2018). Kommersielle produkter: NLOD tillater kommersiell bruk, men kreditering er obligatorisk (f.eks. «Data fra Brønnøysundregistrene, lisens NLOD 2.0»). Sjekk alltid det aktuelle datasettet eller API-ets spesifikke vilkår, da noen kan avvike fra NLOD-standarden. Datatilsynet (datatilsynet.no) regulerer bruk av personopplysningsdata fra offentlige registre.
Denne malen leveres kun til informasjonsformål og utgjør ikke juridisk rådgivning. Lover varierer mellom jurisdiksjoner og endres over tid. Rådfør deg med en kvalifisert advokat for råd som er spesifikke for din situasjon.Fullstendig ansvarsfraskrivelse
Fant du en feil? Gi oss beskjedRelated Documents
You may also find these documents useful:
SaaS-avtale Norge
Skriftlig SaaS-avtale (programvare som tjeneste) mellom en norsk tjenesteleverandør og kunde, med innebygd GDPR-databehandleravtale etter GDPR art. 28. Regulert av avtaleloven (1918), personopplysningsloven (2018), åndsverkloven (2018) og merverdiavgiftsloven (2009).
Personvernerklæring Norge
Personvernerklæring for nettsteder og virksomheter etter personvernforordningen (GDPR) artiklene 13 og 14, personopplysningsloven (2018) og ekomloven. Beskriver behandlingsansvarlig, kategorier av opplysninger, rettslige grunnlag, lagringstid, de registrertes rettigheter, informasjonskapsler og klage til Datatilsynet.
Sluttbrukerlisens (EULA) Norge
Skriftlig sluttbrukerlisensavtale (EULA) for norsk programvare, regulert av åndsverkloven (2018), avtaleloven (1918), kjøpsloven (1988) og personopplysningsloven (2018). Dekker bruksrettens omfang, begrensninger, GDPR og ansvarsbegrensning.
Databehandleravtale Norge
Databehandleravtale som regulerer behandling av personopplysninger på vegne av behandlingsansvarlig etter personvernforordningen (GDPR) artikkel 28 og personopplysningsloven (2018). Fastsetter instrukser, taushetsplikt, sikkerhetstiltak, underdatabehandlere, avviksmeldeplikt og sluttbehandling av opplysninger.