De fleste afgørelser om databehandlertilsyn handler om det, der gik galt. Fire afgørelser fra december 2022 viser det modsatte: fire statslige myndigheders tilsyn med deres databehandlere, som Datatilsynet gennemgik uden at udtale kritik. Fælles for dem er et fast tilsyn hvert år, en gennemgang af det modtagne materiale og en opfølgning, der kan dokumenteres.
Artiklen er skrevet til den private kunde. Alle fire dataansvarlige er statslige, og databehandlerne er både private og offentlige. Myndighederne nævnes ikke ved navn her. Sagerne viser, hvad Datatilsynet godtog i fire konkrete tilfælde. Det er ikke afgjort, at en privat virksomhed med samme dokumentation ville blive vurderet ens.
Baggrunden
Afgørelserne kom efter et planlagt skriftligt tilsyn, som Datatilsynet varslede i efteråret 2021. De bygger på databeskyttelsesforordningens artikel 5, stk. 2, om ansvarlighed, og alle fire endte med “Ingen kritik”.
Begrundelsen er den samme i alle fire. Den dataansvarlige skal kunne påvise, at databehandleren giver tilstrækkelige garantier, jf. artikel 28, stk. 1, og artikel 24, stk. 1. Datatilsynet skrev, at “denne påvisning skal kunne foretages i hele behandlingsforløbet over tid, hvilket bl.a. kan ske ved kontroller”. Følger den dataansvarlige ikke op hos databehandlere og underdatabehandlere, kan den som udgangspunkt hverken sikre eller påvise overholdelse. Datatilsynet henviste til sin vejledning fra oktober 2021, hvor kravene til tilsynets form og hyppighed stiger med risikoen.
Sag 1: erklæringer og opfølgende spørgsmål
Afgørelse af 15. december 2022, j.nr. 2021-421-0099. Myndigheden førte årligt tilsyn med udvalgte store leverandører, og tilsynet omfattede en vurdering af, om leverandøren overholdt databehandleraftalen. Tilsynet for 2021 byggede på to erklæringer, en generel ISAE 3000-erklæring og en specifik ISAE 3402-erklæring.
Erklæringerne blev gennemgået, myndigheden stillede opfølgende spørgsmål, svarene blev vurderet, og tilsynet blev afsluttet. Datatilsynet lagde vægt på, at tilsynet var årligt, omfattede aftalen, og at myndigheden havde forholdt sig til svarene.
Sag 2: en ledelseserklæring efter skabelon
Afgørelse af 15. december 2022, j.nr. 2021-421-0097. Myndigheden førte tilsyn hvert år, medmindre særlige risici talte for noget andet. Metoden var en skabelon til en ledelseserklæring, tilpasset det konkrete indhold af databehandleraftalen og instruksen. Databehandleren skulle udfylde, underskrive og returnere den, og myndigheden ville stille uddybende spørgsmål efter behov. Fremgangsmåden var fastlagt i selve databehandleraftalen.
Her er et vigtigt forbehold. Da sagen blev behandlet, var selve tilsynet med den databehandler, det drejede sig om, ikke nået at blive gennemført. Aftalen var indgået i august 2021, og tilsynet for 2021 blev sat i gang i andet kvartal 2022. Datatilsynet godtog metoden og planen. Sagen viser altså et godkendt koncept, mens selve tilsynet stadig manglede.
Sag 3: skriftlig status for den ene, erklæringer og møde for den anden
Afgørelse af 15. december 2022, j.nr. 2021-421-0098. Myndigheden havde en tilsynsplan for begge databehandlere i et regneark og en intern procesbeskrivelse. Databehandlerne var kategoriseret efter Datatilsynets vejledning, og udgangspunktet var ét tilsyn om året, justeret efter risiko.
Hos den første databehandler bad myndigheden om en skriftlig status på forholdene i databehandleraftalen, som minimum om sikkerhedsorganisationen, styringen af adgange, logningen af, hvem der tilgår personoplysninger, krypteringen af data under overførsel og de brud, der havde betydning for myndigheden. Svaret blev vurderet, og databehandleren og kontraktejeren fik besked om resultatet.
Hos den anden indhentede myndigheden en ISAE 3000-erklæring og en ISAE 3402-erklæring, bad om dokumentation for databehandlerens tilsyn med sine underdatabehandlere og holdt et virtuelt møde med uddybende spørgsmål. Desuden var det aftalt, at databehandleren selv orienterede om trusler, sårbarheder og hændelser, der kunne påvirke løsningen.
Datatilsynet skrev, at en skriftlig status er passende, når behandlingen er mindre risikofyldt, og pegede på de tungere koncepter, når oplysningerne er følsomme eller fortrolige og angår mange personer.
Sag 4: erklæringer, intern rapport og sammenligning med sidste år
Afgørelse af 16. december 2022, j.nr. 2021-421-0100. Myndigheden havde en skriftlig tilsynsprocedure og førte tilsyn hvert år. Som udgangspunkt blev der indhentet en ISAE 3000-erklæring om behandling af personoplysninger og for den ene databehandler også en ISAE 3402-erklæring.
Erklæringerne blev gennemgået efter en intern skabelon. Den spurgte, om erklæringen dækkede de indgåede databehandleraftaler og kravene i dem, og sammenlignede med observationerne fra sidste års tilsyn. Ved behov var der dialog med databehandleren om erklæringens omfang og kontrollernes karakter. Resultatet blev en intern tilsynsrapport, som blev sendt til de ansvarlige for systemerne.
Den ene erklæring var ikke lavet specifikt til myndigheden, men viste ifølge afgørelsen en “1-1 sammenhæng” med ydelsen. Den generelle ISAE 3402-erklæring havde “passende sammenhæng”. Observationer blev fulgt op i de følgende års erklæringer. Datatilsynet fremhævede, at den dataansvarlige bl.a. skal sikre sig, at tilsynet dækker den dataansvarliges behandlingsaktiviteter hos databehandleren.
Det, der går igen
Ud fra de fire sager kan bevisniveauet, der holdt, sammenfattes sådan. Sammenfatningen er en tolkning.
- Tilsynet sker hvert år, og hyppigheden er begrundet i risiko.
- Der findes en skriftlig plan eller procedure.
- Materialet bliver gennemgået, når det er modtaget.
- Der bliver stillet opfølgende spørgsmål, og svarene bliver vurderet.
- Det kontrolleres, at erklæringen dækker netop den aftale og de behandlinger, det gælder.
- Observationer følges op fra år til år.
Modstykket: en indstilling til bøde i 2024
De fire sager viser, hvad der holdt. En sag fra februar 2024 viser det modsatte. Datatilsynet udvalgte tilfældigt tre af et privathospitals databehandlere og konstaterede, at hospitalet ikke havde ført tilsyn med dem. Det første tilsyn med hver af dem blev først ført, da Datatilsynet havde indledt sin undersøgelse, og tilsynet havde manglet i flere år, selv om databehandlerne behandlede følsomme oplysninger om mange mennesker. Datatilsynet indstillede hospitalet til bøde. En indstilling er ikke en bøde; det afgør domstolene, og sagen verserede fortsat, da Datatilsynet omtalte den.
Forskellen på de fire sager og denne ligger ikke i formen. Den ligger i, om der overhovedet findes et spor fra før myndigheden spurgte.
Myndighedernes eget tilsyn som emne hører til de offentlige kunders vinkel på audit. Her bruges sagerne som målestok for den private kunde.
Hvad det kræver, og hvad det koster at lade være
Det kræver en plan, en fast årlig gennemgang og et spor, der viser, at materialet er læst og fulgt op.
Uden det spor har I ikke noget at vise, hvis Datatilsynet spørger. Et arkiv med erklæringer er endnu ikke et tilsyn.
Det skal I lade være med
- At arkivere erklæringer uden at læse dem · alle fire sager byggede på en gennemgang.
- At bruge sag 2 som bevis for et gennemført tilsyn · det var kun metoden, der blev godtaget.
- At antage, at en generel erklæring dækker jeres aftale · det skal kontrolleres.
Det skal auditten kunne vise
- ☐ En skriftlig plan for tilsynet med hver databehandler, med risikobegrundet hyppighed.
- ☐ Dokumentation for gennemgangen af hver erklæring eller status.
- ☐ Opfølgende spørgsmål og vurderingen af svarene.
- ☐ En kontrol af, at materialet dækker jeres aftale og behandlinger.
- ☐ Opfølgning på sidste års observationer.
Kilder
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0099, læst 12. november 2026.
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0097, læst 12. november 2026.
- Datatilsynet, afgørelse af 15. december 2022, j.nr. 2021-421-0098, læst 12. november 2026.
- Datatilsynet, afgørelse af 16. december 2022, j.nr. 2021-421-0100, læst 12. november 2026.
- Datatilsynet, nyhed af 1. februar 2024 om indstilling af et privathospital til bøde for manglende tilsyn med databehandlere, læst 13. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sammenlign jeres eget tilsyn med de seks punkter, der går igen, og notér, hvad der mangler.
Læs også: Den årlige status til kunderne · Sådan læser I erklæringen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
