Når en leverandør afviser at udlevere fortrolig dokumentation, kan I ofte få indsigt uden at få en kopi. Mellemvejene er gennemsyn hos leverandøren, læseadgang i et afgrænset rum, redigerede uddrag og en fortrolighedserklæring for den, der læser. To af dem har støtte i statens standardkontrakt og i Datatilsynets skabelon. Resten er praksis.
Leverandørens hensyn er ofte reelle. En systembeskrivelse, en risikovurdering eller en revisionsrapport kan rumme oplysninger om andre kunder og om svagheder, der ikke bør ligge i en mappe hos alle kunder. Opgaven er at finde en form, hvor I kan se det, I har brug for, uden at leverandøren mister kontrollen over dokumentet. Leverandørens egne overvejelser om grænserne står i hvad må kunden se.
Hvad kilderne siger om adgang
Revisionsrapporter i cloud. Det tyske cybersikkerhedsagentur BSI skriver om sine C5-erklæringer, at kunden i princippet ikke har ret til revisionsrapporten. Den tilhører udbyderen. BSI tilføjer, at det som regel er i udbyderens egen interesse at give rapporten videre, og at kunden altid bør bede om den.
Datatilsynets tilsynskoncepter. I Datatilsynets tilsynsvejledning står der, at leverandørens rapporter kan ligge offentligt på leverandørens hjemmeside, blive sendt uopfordret eller kun udleveres på forespørgsel. Uanset hvad skal den dataansvarlige udnytte sine muligheder for at få rapporterne, forholde sig til dem og gemme dem.
Erklæringen efter skabelonen. Datatilsynets skabelon til databehandleraftaler har en eksempeltekst i bilag C.7, hvor erklæringen sendes til den dataansvarlige uden unødig forsinkelse til orientering. Har I brugt skabelonen og den tekst, er udleveringen aftalt.
Uddrag. Skabelonens bestemmelse om underdatabehandlere siger, at underdatabehandleraftaler sendes i kopi efter anmodning, men at kommercielle vilkår, der ikke påvirker det databeskyttelsesretlige indhold, ikke skal sendes med. Det viser, at et dokument kan udleveres i uddrag, når den følsomme del er uden betydning for kontrollen.
Fortrolighed for auditoren. Bygger aftalen på statens standardkontrakt K04, kan leverandøren efter punkt 15 forlange, at auditor underskriver en sædvanlig fortrolighedserklæring og følger leverandørens sikkerhedsforskrifter. Udveksling af forretningshemmeligheder henvises til et andet punkt i kontrakten, som vi ikke har læst.
Mellemvejene
Rækkefølgen går fra mest til mindst åben. Kun de to sidste har støtte i de læste kilder.
Gennemsyn hos leverandøren. I læser dokumentet i leverandørens lokaler eller på et skærmmøde, tager noter og får ingen kopi. Noterne bør være så præcise, at de kan bruges som bevis: dokumentets titel, version og dato, de afsnit, I læste, og hvad de viste.
Læseadgang i et afgrænset rum. Leverandøren lægger dokumentet i et datarum med adgang for navngivne personer i en kort periode, uden mulighed for at hente det ned. Det er nyttigt, når dokumentet er langt.
Redigerede uddrag. Leverandøren fjerner oplysninger om andre kunder, kommercielle vilkår eller tekniske detaljer, der ikke angår jer. Bed om, at det fremgår af dokumentet, hvor der er fjernet tekst, så I kan se, at det er et uddrag.
Fortrolighedserklæring for auditoren. En uafhængig auditor, som I har valgt, underskriver en fortrolighedserklæring og læser det fulde materiale. I får auditorens konklusion uden de fortrolige detaljer.
Sådan forhandler I det
En almindelig fremgangsmåde er at starte med at sige præcist, hvad I skal bruge dokumentet til. Skal I kontrollere, at gendannelse er testet, behøver I testrapportens dato og resultat og ikke hele beredskabsplanen. Jo smallere anmodningen er, jo lettere er det for leverandøren at sige ja.
Spørg derefter, hvilken form leverandøren kan acceptere. Har leverandøren en fast procedure for kundeforespørgsler, er den et naturligt udgangspunkt. Hold fast i, at resultatet skal kunne dokumenteres hos jer, også når dokumentet ikke kan.
Er leverandøren databehandler, har I et ekstra argument. Artikel 28 i databeskyttelsesforordningen kræver, at databehandleren efter aftalen stiller det materiale til rådighed, som skal til, for at I kan dokumentere, at reglerne er fulgt. Fortrolighed fritager ikke for den pligt, men den kan påvirke formen. Det er vores læsning, og en konkret uenighed er et spørgsmål for jeres jurist. Næste trin, hvis leverandøren afviser alle former, står i leverandøren svarer ikke.
Dokumentér det, I så
Det svage punkt ved indsigt uden kopi er beviset. Datatilsynet lægger vægt på, at den dataansvarlige gemmer rapporterne hos sig selv. Kan I ikke gemme rapporten, må I gemme et notat, der beskriver, hvad I så, hvornår, hvem der var til stede, og hvilken version af dokumentet det var. Lad gerne leverandøren bekræfte notatet skriftligt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en præcis anmodning, tålmodighed i forhandlingen og en person, der kan læse dokumentet og skrive et brugbart notat på stedet. Ved fortrolighedserklæringen kræver det en uafhængig auditor.
Accepterer I et afslag uden at foreslå en mellemvej, mangler I bevis for den del af kontrollen. Kræver I omvendt kopi af alt, kan forholdet til leverandøren stivne, så det næste spørgsmål bliver sværere.
Det skal I lade være med
- At bede om hele dokumentet, når en side er nok · en smal anmodning er lettere at imødekomme.
- At læse på stedet uden at notere version og dato · notatet er jeres bevis.
- At acceptere et uddrag, hvor det ikke fremgår, hvad der er fjernet · I kan ikke vurdere helheden.
Det skal auditten kunne vise
- ☐ Anmodningen og leverandørens begrundelse for afslaget.
- ☐ Den aftalte form for indsigt.
- ☐ Notatet om det, der blev set, med dokumentets titel, version og dato.
- ☐ Eventuel fortrolighedserklæring og auditorens konklusion.
Kilder
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 7 og bilag C.7, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 3, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15, læst 12. november 2026.
- BSI, C5 FAQ, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 3, litra h, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv den næste anmodning om, så den beder om det mindste dokument, der kan afgøre spørgsmålet.
Læs også: Leverandøren svarer ikke · Besøget hos leverandøren
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
