En årlig skriftlig status er den letteste form for tilsyn, Datatilsynet beskriver, og den forudsætter, at I som databehandler leverer den. Statussen dækker forholdene i databehandleraftalen, ændringer siden sidst, underdatabehandlere og brud, og hvert punkt bør henvise til et bevis, kunden kan bede om.
Artiklen er skrevet til leverandøren, der er databehandler for sine kunder. Grundlaget er Datatilsynets vejledning fra 2021 om databehandlertilsyn og en afgørelse fra december 2022, hvor en sådan status blev godtaget.
Hvad koncept 3 forudsætter
Af vejledningens seks koncepter er det tredje en ordning, hvor databehandleren hvert år, direkte eller via sin hjemmeside, leverer en skriftlig status på forholdene i databehandleraftalen og på andre relevante områder, fx organisatoriske eller produktmæssige ændringer. Statussen skal dække alle behandlinger, også dem, der sker via underdatabehandlere, og de særlige krav, parterne har aftalt.
Dækker statussen ikke alt, spørger kunden ind, beder om dokumentation eller tager stikprøver. Kunden skal også bede om oplysning om brud siden sidste tilsyn.
Tilbyder databehandleren ikke statussen, giver vejledningen kunden to veje. Kunden kan kræve den, eller kunden kan gå et trin op ad skalaen. Højere niveauer er en erklæring fra en uafhængig tredjepart eller kundens eget dokumenterede tilsyn, og begge kræver mere af jer. Det er altså i jeres interesse at tilbyde statussen af jer selv.
Hvornår statussen er nok
I afgørelsen fra december 2022 skrev Datatilsynet, at koncept 3 er passende, når databehandlerens behandling er mindre risikofyldt. Ved følsomme eller fortrolige oplysninger om mange registrerede peger Datatilsynet på koncept 5 og 6. Statussen er derfor nok for nogle kunder og et supplement for andre. Det er kunden, der vurderer.
Indholdet punkt for punkt
I sagen fra 2022 bad den dataansvarlige som minimum om status på fem emner. De står her som punkt 2 til 6. De øvrige punkter følger af vejledningen.
1. Grundlaget. Hvilke ydelser og aftaler statussen dækker, perioden, datoen og hvem der har underskrevet. Uden det kan kunden ikke se, om statussen passer til kundens aftale.
2. Organiseringen af informationssikkerheden. Hvem der har ansvaret, hvordan det er fordelt, og om der er sket ændringer i perioden. Henvis til den gældende politik og en oversigt over roller.
3. Adgangsstyring. Hvordan adgang til kundernes personoplysninger tildeles, kontrolleres og fjernes. Nævn, hvor ofte adgangene gennemgås, og hvornår det sidst skete.
4. Logning af adgang til personoplysninger. Hvad der logges, hvor længe loggene gemmes, og hvordan de bruges. Henvis til den procedure eller det system, der står for det.
5. Kryptering ved transmission. Hvordan data er beskyttet, når de sendes mellem kunden, jer og jeres underdatabehandlere.
6. Brud. Brud på persondatasikkerheden siden sidste status, der har betydning for kunden. Står der intet, skriv det. Databeskyttelsesforordningens artikel 33, stk. 2, pålægger jer at underrette den dataansvarlige uden unødig forsinkelse. Statussen samler derfor beskeder, kunden allerede har fået.
7. Underdatabehandlere. I sagen fra 2022 var underdatabehandlere ikke et af de fem emner. Vejledningen siger dog, at statussen skal dække behandlinger, der sker via underdatabehandlere, og kapitel 6 siger, at databehandleren fører tilsyn med dem. Medtag derfor den aktuelle liste, ændringer i perioden og en kort beskrivelse af jeres tilsyn med dem.
8. Ændringer. Organisatoriske og produktmæssige ændringer, fx nyt ejerskab, flytning af drift eller ny teknologi. Vejledningen nævner dem udtrykkeligt.
9. Særlige krav. Har en kunde aftalt særlige krav, skal statussen dække dem. Det kan betyde et kundespecifikt tillæg til den fælles status.
Én status til mange kunder
Statussen må ligge på jeres hjemmeside, og det samme må jeres egne rapporter. En fælles status kan derfor bruges over for alle kunder, med kundespecifikke tillæg, hvor aftalerne kræver det. Skriv tydeligt, hvilke ydelser den fælles del dækker.
Har I mange kunder med auditret, passer statussen ind i en fast proces. Se kundeaudits som fast proces.
Beviset bag hvert punkt
En status er et skriftligt svar. Kunden kan bede om dokumentation eller tage stikprøver, især når svaret ikke er klart. Hav derfor beviset klar for hvert punkt: politikken, adgangsgennemgangen, et logudtræk, opsætningen af kryptering, hændelsesloggen, listen over underdatabehandlere og jeres tilsyn med dem. Skriv i statussen, hvor beviset findes, så kunden ved, hvad der kan bedes om.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ansvarlig, der hvert år samler oplysningerne, og en ledelse, der underskriver. Første gang tager det længst. Bagefter er det en opdatering.
Uden en status skal kunderne vælge et tungere koncept, og det betyder erklæringer, spørgeskemaer eller besøg. Det koster jer mere tid end statussen.
Det skal I lade være med
- At skrive statussen uden dato og afgrænsning · kunden kan ikke se, hvad den dækker.
- At udelade brud, fordi kunden allerede er underrettet · kunden skal efter vejledningen spørge til dem alligevel.
- At udelade underdatabehandlerne · vejledningen forudsætter, at de er dækket.
Det skal auditten kunne vise
- ☐ En årlig status med grundlag, periode, dato og underskrift.
- ☐ Status på organisering, adgangsstyring, logning, kryptering ved transmission og brud.
- ☐ Den aktuelle liste over underdatabehandlere og jeres tilsyn med dem.
- ☐ Ændringer i perioden og kundespecifikke krav.
- ☐ En henvisning til beviset for hvert punkt.
Kilder
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3, afsnit 4.2 og kap. 6, læst 12. november 2026.
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0098, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 33, stk. 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv et udkast til statussen med de ni punkter, og find beviset til hvert af dem.
Læs også: Fire tilsyn uden kritik · Mellem to audits
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
