Datatilsynet har offentliggjort det spørgeskema, tilsynet selv har brugt, når det har undersøgt virksomheders og myndigheders brug af cloud. Bruger I skemaets fire temaer som målestok for jeres egen gennemgang af hver cloudleverandør, ved I på forhånd, hvad en tilsynsmyndighed vil spørge om.
Artiklen er skrevet til den dataansvarlige kunde: DPO, sikkerhedsansvarlig eller kontraktejer, der har flere cloudtjenester og vil have et ensartet grundlag for at kontrollere dem.
Hvad Datatilsynet har offentliggjort
Den 1. august 2022 lagde Datatilsynet det spørgeskema ud, som var brugt ved en række tilsyn med brugen af cloud. Skemaet var sendt til to offentlige myndigheder og to private virksomheder. Det er altså ikke en vejledning, men de spørgsmål, tilsynet faktisk stillede.
Skemaet er delt i fire afsnit:
- Kend dine services
- Kend dine leverandører
- Tilsyn med leverandører
- Overførsel til tredjelande
Vi gengiver ikke de enkelte spørgsmål her. Hent skemaet hos Datatilsynet, og læs det selv. Det følgende er vores omsætning af de fire temaer til det, en kunde bør kunne fremlægge om hver tjeneste. Det er en tolkning og ikke Datatilsynets ord.
Kend dine services: overblikket over tjenesterne
Det første spørgsmål er enkelt at stille og svært at besvare: hvilke cloudtjenester bruger organisationen? Mange har flere tjenester, end indkøbsafdelingen kender, fordi afdelinger tegner abonnementer selv.
For hver tjeneste bør I kunne vise, hvilke personoplysninger der ligger der, hvilke behandlinger tjenesten indgår i, hvem der ejer den internt, og hvilken aftale der dækker den. Et register over tjenester er udgangspunktet for alt det, der følger.
Kend dine leverandører: hele kæden og stederne
Det andet tema handler om, hvem der står bag tjenesten. Ifølge Datatilsynets cloudvejledning fra marts 2022 skal kunden have kortlagt samtlige underleverandører og kende stederne for behandlingen. Er I i tvivl om, hvilke underdatabehandlere der bruges, lægges det efter vejledningen til grund, at alle på leverandørens generelle oversigt bruges.
Vejledningen giver også et eksempel på varsling i kæden. Er I lovet seks måneders varsel om nye underdatabehandlere, hjælper det ikke, hvis underdatabehandleren kun varsler cloudleverandøren med 30 dage. Fristerne skal hænge sammen hele vejen ned.
I praksis betyder det en liste pr. tjeneste med underdatabehandlere, lande og de steder, hvorfra oplysningerne kan tilgås, og en dato for, hvornår listen sidst blev holdt op mod leverandørens.
Tilsyn med leverandører: det, I har gjort
Det tredje tema er kernen for en leverandøraudit. Tilsynet vil se, at I har ført tilsyn, ikke kun at I kunne have gjort det.
Efter cloudvejledningen kan kunden som regel nøjes med at læse leverandørens årlige revisionsrapporter. Kunden skal dog kontrollere, at rapporten rummer netop de behandlinger, I har lagt ud. Mangler noget, bør aftalen give jer adgang til en revision, der går bredere eller bruger en anden fremgangsmåde. Hvordan standardvilkår kan gøre den ret smal, står i leverandørens vilkår indsnævrer auditten.
Beviset er derfor ikke rapporten i sig selv. Det er jeres notat om, at I læste den, hvad den dækkede, hvad den ikke dækkede, og hvad I gjorde ved hullerne.
Overførsel til tredjelande: grundlaget pr. sted
Det fjerde tema hænger sammen med det andet. Når I kender stederne, skal I også kende grundlaget for hver overførsel ud af EU og EØS, også når oplysningerne kun tilgås derfra, fx ved support.
For hver tjeneste bør I kunne vise, hvilke lande der er i spil, hvilket overførselsgrundlag leverandøren bruger, og hvordan I hører om ændringer. Hvordan en SaaS-leverandør i øvrigt kontrolleres, er beskrevet under audit af en SaaS-leverandør.
Datatilsynets fokus i 2026
Datatilsynet har for 2026 et særligt fokusområde, der hedder tilsyn med store databehandlere. Tilsynet vil undersøge, om kunder hos store databehandlere med ensartede leverancer reelt kan opfylde deres pligter som dataansvarlige. Datatilsynet peger på, at sådanne leverandører ofte ikke tilpasser leverancen til den enkelte kunde, og at deres ændringsstyring kan gøre det svært for kunderne at følge med. Tilsynet har planlagt besøg hos nogle store databehandlere i både offentlig og privat sektor.
For kunden betyder det, at spørgsmålet om reel styring kan komme. Kan I vise, at I har taget stilling til leverandørens ændringer, eller har I blot modtaget dem?
Hvad det kræver, og hvad det koster at lade være
Det kræver et register over cloudtjenester, en liste over kæden pr. tjeneste og et notat om hvert års tilsyn. Første gang tager det tid, fordi overblikket skal bygges. Derefter er det vedligehold.
Uden det står I ved et tilsyn med aftaler, men uden bevis for, at I har brugt dem. Det er netop det, skemaet spørger efter.
Det skal I lade være med
- At bruge skemaet som tjekliste til leverandøren alene · det er jeres egen viden, det prøver.
- At nøjes med leverandørens generelle oversigt · I skal vide, hvilke led der faktisk bruges for jer.
- At lade revisionsrapporten stå uden notat · uden notat er der intet bevis for tilsynet.
Det skal auditten kunne vise
- ☐ Et register over cloudtjenester med intern ejer og aftale.
- ☐ Underdatabehandlere og lande pr. tjeneste med dato for seneste afstemning.
- ☐ Varslingsfrister, der hænger sammen fra kunde til sidste led.
- ☐ Et notat pr. tjeneste om den læste revisionsrapport og dens dækning.
- ☐ Overførselsgrundlaget for hvert land uden for EU og EØS.
- ☐ Stillingtagen til leverandørens væsentlige ændringer.
Kilder
- Datatilsynet, Datatilsynets spørgeskema ved tilsyn med cloud, nyhed af 1. august 2022, læst 13. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.2.1, 3.3.3 og 3.4, læst 12. november 2026.
- Datatilsynet, særlige fokusområder for tilsynsaktiviteter i 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres tre vigtigste cloudtjenester, og skriv for hver af de fire temaer, hvad I kan fremlægge i dag.
Læs også: Databehandlertilsyn og sikkerhedsaudit i ét forløb · Underleverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
