En ændring i en skoleplatform satte i 2019 et logintjek ud af spil, fordi den anden loginløsning ikke blev testet igen. Databehandleren og totalleverandøren var bagefter uenige om, hvem der havde besluttet, hvad der skulle testes. Datatilsynet udtalte alvorlig kritik af databehandleren og skrev, at instruksen skal gøre det klart, hvordan sådan en uenighed håndteres.
Artiklen er skrevet til kunden. Parterne i sagen var offentlige, bortset fra den private totalleverandør. Kritikken ramte kun databehandleren, og totalleverandøren fik ingen kritik. Reglerne i sagen gælder ens i private kæder.
Kæden
Datatilsynet traf afgørelse 23. februar 2022 under j.nr. 2020-442-6168. Kommuner var dataansvarlige for en skoleplatform. Et kommunalt fællesselskab var databehandler. En privat totalleverandør udviklede og drev løsningen. I alt 30 kommuner anmeldte brud.
Ændringen
Den 8. oktober 2018 blev der bestilt en ændring, så brugere kunne få forhøjet login via en lokal identitetsudbyder. Ændringen blev sat i drift 24. november 2019. Koden satte utilsigtet en kontrol af autentifikationen ud af spil i en anden loginløsning. En bruger, der overtog en ulåst computer, kunne derfor få adgang til den første brugers sikre filer ved at logge ind med sit eget elektroniske id.
Fejlen blev rettet 20. december 2019, fire timer efter at leverandøren fik besked. Releasen var testet, og der var lavet en ekstra penetrationstest, men den anden loginløsning blev ikke testet igen.
Uenigheden
Totalleverandøren anførte, at databehandleren havde godkendt, at kun den ene loginløsning blev testet. Databehandleren anførte, at den ikke specifikt havde godkendt det, og at leverandøren var nærmest til at fastlægge, hvor bred testen skulle være. Parterne var også uenige om, hvorvidt totalleverandøren var underdatabehandler, mens den udviklede og vedligeholdt løsningen.
Datatilsynets vurdering
Hjemlen var artikel 32, stk. 1, i databeskyttelsesforordningen. Efter Datatilsynets opfattelse hører det normalt med til en passende sikkerhed, at man tester alle sandsynlige fejlscenarier, både når software udvikles, og når den ændres.
Datatilsynet lagde vægt på, at parterne ikke var enige om, hvilke test der skulle køres, eller om leverandøren var underdatabehandler, og skrev, at det kan føre til mangler i sikkerheden. Datatilsynet skrev: “Det er Datatilsynets opfattelse, at det i instruksen fra den dataansvarlige, skal stå klart hvorledes, en sådan uenighed skal håndteres.”
Datatilsynet tilføjede, at ingen underdatabehandler på egen hånd kan beslutte, hvilken sikkerhed der er fornøden, når en ændring berører behandlinger under den dataansvarliges ansvar og instruks, og det ikke entydigt fremgår af instruksen. Den uklare ansvarsfordeling talte imod databehandleren.
Hvad en kunde kan lære
Sagen handler om ansvaret mellem to led, og det er netop dét, en kunde med en totalleverandør eller en kæde af leverandører kan kontrollere. Det afgørende er, hvem der beslutter, hvad der testes, og hvad der sker, når parterne er uenige.
Det er en tolkning, at sagens pointe også gælder uden for databeskyttelse. En aftale om drift eller udvikling, der ikke fordeler beslutningen om testens omfang, efterlader samme hul.
Sagen som auditprogram
Spørgsmålene er en tolkning af afgørelsen.
Hvem fastlægger testens omfang ved ændringer? Bed om den bestemmelse i instruks, aftale eller ændringsprocedure, der siger, hvem der beslutter, hvad en ændring skal testes for, og hvem der godkender det.
Hvad sker der ved uenighed? Spørg, om aftalen beskriver, hvordan en uenighed om test eller sikkerhed afgøres, og hvem der har det sidste ord.
Er rollen beskrevet ens i begge led? Bed om databehandleraftalen og leverandøraftalen, og kontrollér, at leverandørens rolle under udvikling, vedligehold og drift er beskrevet ens. Er leverandøren underdatabehandler i den ene og ikke i den anden, er der et hul.
Omfatter regressionstesten de sikkerhedsfunktioner, der kan påvirkes? Spørg, om test efter en ændring også dækker sikkerhedsfunktioner uden for det ændrede modul, fx andre loginløsninger, adgangskontrol og sessionsstyring.
Er godkendelser af testomfang skriftlige? Uenigheden i sagen handlede om, hvad der var godkendt. Bed om eksempler på skriftlige godkendelser af testomfang for nylige ændringer.
Den bredere kontrol af en leverandørs ændringer står i ændringsstyring hos leverandøren. De kommunale parters egen side af sagen er et emne for audit i den offentlige sektor.
Hvad det kræver, og hvad det koster at lade være
Kravet er, at instruks og aftaler i alle led siger det samme om roller og testansvar, og at I selv kontrollerer det.
Uden den kontrol ligger beslutningen om testens omfang hos den, der tilfældigvis tager den. Når noget går galt, står parterne og peger på hinanden, og ansvaret over for Datatilsynet ligger stadig i kæden.
Det skal I lade være med
- At antage, at leverandøren selv fastlægger den rigtige test · ingen underdatabehandler kan alene beslutte den fornødne sikkerhed.
- At acceptere forskellige rollebeskrivelser i to aftaler · uklarheden var skærpende i sagen.
- At skrive, at totalleverandøren fik kritik · kun databehandleren gjorde.
Det skal auditten kunne vise
- ☐ En bestemmelse om, hvem der fastlægger og godkender testens omfang ved ændringer.
- ☐ En procedure for uenighed om test og sikkerhed.
- ☐ Ens rollebeskrivelser i databehandleraftale og leverandøraftale.
- ☐ Regressionstest af berørte sikkerhedsfunktioner ved nylige ændringer.
- ☐ Skriftlige godkendelser af testomfang.
Kilder
- Datatilsynet, afgørelse af 23. februar 2022, j.nr. 2020-442-6168, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28 og 32, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find bestemmelsen om testansvar ved ændringer i jeres aftale med totalleverandøren, og se, om den siger, hvad der sker ved uenighed.
Læs også: Audit af softwarehuset, der udvikler til jer · Revisionsret over for underleverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
