En ISAE 3000-erklæring fra databehandleren kan være nok som jeres tilsyn, også når den ikke er lavet specielt til jer, hvis I selv har kontrolleret, at den dækker den ydelse, I køber, og kravene i jeres databehandleraftale. Ved behandlinger med høj risiko skal erklæringen efter Datatilsynets vejledning give høj grad af sikkerhed.
Det var konklusionen i en afgørelse fra Datatilsynet i december 2022, hvor en statslig styrelse fik sit tilsyn med to databehandlere gennemgået. Styrelsen fik ingen kritik. Afgørelsen er værd at læse for, hvad der gjorde tilsynet tilstrækkeligt.
Erklæringen, revisorerne lavede med Datatilsynet
I februar 2019 oplyste Datatilsynet, at FSR danske revisorer efter samarbejde med tilsynet havde udarbejdet en revisorerklæring, som dataansvarlige kan lade sig inspirere af, når de kontrollerer databehandlere. Datatilsynets tilsynschef sagde dengang, at erklæringen havde det rette fokus.
Selve erklæringsskabelonen er ikke læst til denne artikel. Vi skriver derfor intet om dens indhold eller opbygning. Det vigtige for en modtager er, at der findes en type erklæring efter ISAE 3000, som er tænkt til netop databehandlertilsyn, og som Datatilsynet har været med til at forme.
Hvornår høj grad af sikkerhed
Datatilsynets vejledning om tilsyn med databehandlere har en pointskala for behandlingens risiko og seks tilsynskoncepter. Under konceptet, hvor tilsynet bygger på en erklæring fra en uafhængig tredjepart, skriver tilsynet, at kunden ved behandlinger, der giver 7 til 10 point, skal vælge den erklæring, der etablerer høj grad af sikkerhed.
Statens standardkontrakt K04 går samme vej. Bilag 4.e kræver, at en leverandør, der er databehandler, fremlægger revisors erklæring om databeskyttelse efter ISAE 3000, afgivet med høj grad af sikkerhed. Kravet binder kun, når parterne har valgt K04.
Ved lavere risiko giver vejledningen plads til lettere former for tilsyn. Hvilken der passer, afhænger af jeres egen vurdering af behandlingen. Valget mellem erklæringstyper er beskrevet i ISAE 3000 eller ISAE 3402.
Afgørelsen fra december 2022
Datatilsynet gennemførte et skriftligt tilsyn med, hvordan en statslig styrelse førte tilsyn med to databehandlere. Afgørelsen er dateret 16. december 2022 og har journalnummer 2021-421-0100.
Datatilsynet lagde vægt på fem forhold:
- Styrelsen indhentede ISAE 3000-erklæringer fra eksterne, uvildige revisorer.
- Styrelsen gennemgik erklæringerne og skrev interne tilsynsrapporter.
- Styrelsen fulgte op på tidligere observationer.
- Styrelsen kontrollerede, om erklæringen forholdt sig til de indgåede databehandleraftaler og kravene i dem.
- Styrelsen førte tilsyn hvert år, fordi behandlingen omfattede fortrolige og følsomme oplysninger om mange personer.
Den ene erklæring var ikke udarbejdet specifikt til styrelsen. Gennemgangen viste alligevel, at der var en direkte sammenhæng mellem erklæringen og den ydelse, styrelsen købte. For den anden databehandler vurderede Datatilsynet, at også en generel ISAE 3402-erklæring havde en passende sammenhæng med behandlingen. Styrelsen havde i visse tilfælde kontaktet databehandlerne for at få afklaret, hvad erklæringen omfattede.
I samme afgørelse skrev Datatilsynet, at manglende opfølgning på behandlingen hos databehandlere og underdatabehandlere som udgangspunkt vil betyde, at den dataansvarlige ikke kan påvise, at reglerne er overholdt. Datatilsynet henviste til databeskyttelsesforordningens artikel 5, stk. 2, artikel 24, stk. 1, og artikel 28, stk. 1.
Det er én afgørelse. Den viser, hvad der var nok i den sag. Den er ikke en garanti for, at samme fremgangsmåde er nok i alle andre.
Hvad afgørelsen betyder for jer
Afgørelsen flytter fokus fra erklæringen til jeres arbejde med den. En erklæring til alle kunder kan bære tilsynet, når I kan vise, at I har læst den, holdt den op mod jeres aftale og fulgt op. Det er vores læsning af afgørelsen.
Omsat til en fremgangsmåde:
- Indhent erklæringen hvert år, eller oftere hvis risikoen taler for det.
- Skriv et kort internt notat om gennemgangen: hvilken periode, hvilken ydelse, hvilke afvigelser.
- Læg erklæringens kontroller ved siden af databehandleraftalens krav, også de særlige krav i bilagene.
- Spørg databehandleren, hvis det er uklart, hvad erklæringen omfatter, og gem svaret.
- Følg op på observationer fra sidste år.
Datatilsynets vejledning nævner desuden, at tilsynet skal have fokus på underdatabehandlere. Bruger erklæringen carve-out, er de ikke dækket, se er underleverandørens kontroller med i erklæringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en person, der kan læse erklæringen mod databehandleraftalen, og tid til et notat hvert år. Arbejdet er overskueligt, når der er en fast skabelon til notatet.
Lægger I erklæringen i en mappe uden gennemgang, har I efter afgørelsens logik svært ved at påvise, at I har ført tilsyn. Det er netop gennemgangen og opfølgningen, der gjorde forskellen.
Det skal I lade være med
- At afvise en erklæring, fordi den ikke er lavet til jer · afgørelsen viser, at en generel erklæring kan bære.
- At acceptere en erklæring uden at holde den op mod databehandleraftalen · det var et af de forhold, Datatilsynet lagde vægt på.
- At vælge begrænset grad af sikkerhed ved høj risiko · vejledningen peger på høj grad ved 7 til 10 point.
Det skal auditten kunne vise
- ☐ Erklæringen med periode, grad af sikkerhed og revisorens uafhængighed.
- ☐ Et internt notat om gennemgangen for hvert år.
- ☐ En sammenligning af erklæringen med databehandleraftalens krav.
- ☐ Afklaringer med databehandleren om erklæringens omfang.
- ☐ Opfølgning på tidligere observationer.
Kilder
- Datatilsynet, Ny erklæring skal hjælpe med kontrol af databehandlere, februar 2019, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 5, læst 12. november 2026.
- Datatilsynet, afgørelse af 16. december 2022, j.nr. 2021-421-0100, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Bilag 4.e Revision og kontrol, afsnit 2.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find det seneste notat om jeres gennemgang af databehandlerens erklæring. Findes det ikke, så skriv det for den erklæring, I har nu.
Læs også: Sådan læser I erklæringen · Bilag C.7 og C.8 i databehandleraftalen
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
