Ja, identiteten på alle led i kæden bør efter Databeskyttelsesrådet være tilgængelig for jer, uanset hvor stor risikoen ved behandlingen er. Hvor grundigt I kontrollerer de enkelte led, kan derimod afhænge af risikoen, og I har ikke pligt til systematisk at indhente alle underkontrakter.
Svaret kommer fra udtalelse 22/2024, som Databeskyttelsesrådet, EDPB, vedtog den 7. oktober 2024. Den blev afgivet efter anmodning fra Datatilsynet efter databeskyttelsesforordningens artikel 64, stk. 2. En sådan udtalelse er EDPB’s fortolkning til tilsynsmyndighederne og ikke lov, men den viser, hvordan tilsynene forventes at læse reglerne.
Identiteten på alle led
EDPB skriver, at den dataansvarlige bør have oplysninger om identiteten på alle databehandlere og underdatabehandlere, dvs. navn, adresse og kontaktperson, til rådighed til enhver tid. Det gælder uanset risikoen ved behandlingen. Databehandleren bør give oplysningerne af sig selv og holde dem ajour.
Det er den del af udtalelsen, der er mindst plads til at forhandle om. En liste, der kun nævner de første led, eller som henviser til “udvalgte partnere”, opfylder ikke forventningen.
Datatilsynets vejledning om cloud fra 2022 peger samme vej. Kunden skal kortlægge alle de underleverandører, cloudleverandøren benytter, og de yderligere led, der måtte findes i kæden.
Kontrollen afhænger af risikoen
Pligten til at kontrollere, at databehandlere og underdatabehandlere stiller de fornødne garantier, gælder også uanset risiko. EDPB skriver dog, at omfanget af kontrollen i praksis vil variere. Ved høj risiko bør den dataansvarlige øge kontrollen af de oplysninger, den modtager.
Den dataansvarlige kan bygge på oplysninger fra databehandleren og supplere, hvis de virker ufuldstændige, unøjagtige eller rejser spørgsmål. Den endelige beslutning om at bruge en bestemt underdatabehandler, og ansvaret for den, ligger hos den dataansvarlige.
EDPB nævner en række midler, som ikke er en udtømmende liste: spørgeskemaer, dokumentation, offentligt tilgængelige oplysninger, certificeringer eller revisionsrapporter fra troværdige tredjeparter og audit på stedet. Pligten er løbende og bør efterprøves med passende mellemrum.
Underkontrakterne
EDPB skriver, at den dataansvarlige ikke har pligt til systematisk at bede om kontrakterne mellem databehandleren og underdatabehandlerne. Om en kopi er nødvendig for at kunne påvise overholdelse, vurderes fra sag til sag.
Inden for revisionsretten i artikel 28, stk. 3, litra h, bør den dataansvarlige have en proces for auditkampagner med stikprøver af, at underkontrakterne indeholder de nødvendige forpligtelser. Beder den dataansvarlige om en kopi, bør databehandleren udlevere den.
Når listen ændres, og hvem der fører tilsyn
Listen er ikke statisk. Artikel 28, stk. 2, binder brugen af underdatabehandlere til jeres skriftlige godkendelse, givet på forhånd for den enkelte eller som en generel tilladelse. Har I givet en generel tilladelse, skal databehandleren orientere jer om nye eller udskiftede led, og I har mulighed for at gøre indsigelse. Kontrollér i auditten, at underretningerne faktisk er kommet, og at nogen hos jer har taget stilling til dem.
Hvem der fører tilsyn med hvem, beskriver Datatilsynet i tilsynsvejledningen fra 2021. Det er databehandleren, der fører tilsyn med underdatabehandleren. Den dataansvarlige skal sikre sig, at det sker, fx ved at databehandleren sender dokumentation for de tilsyn, der er holdt. Bed derfor om databehandlerens egen tilsynsplan for underdatabehandlerne og om resultatet af de seneste tilsyn. Det er ofte et mere effektivt bevis end jeres egen kontakt til leddene længere nede.
Overførsler uden for EØS i kæden
Sker der overførsler mellem databehandlere eller underdatabehandlere uden for EØS, skal den dataansvarlige kunne vise tilsynet dokumentationen. Databehandleren eller eksportøren bør udarbejde den, og den dataansvarlige kan bygge på den.
Det, en audit af kæden kan bede om
Udtalelsen kan omsættes til et kort program. Omsætningen er vores, og den er praksis afledt af udtalelsen.
Altid: en fuld liste over databehandlere og underdatabehandlere i alle led med navn, adresse og kontaktperson, og en beskrivelse af, hvordan listen holdes ajour.
Efter risiko: dokumentation for garantierne hos de led, der behandler de mest følsomme data. Ved høj risiko kan det være erklæringer, certifikater eller resultater af databehandlerens eget tilsyn med underdatabehandlerne.
Som stikprøve: en eller flere underkontrakter, valgt af jer, for at se, at forpligtelserne er ført videre.
Ved overførsler: databehandlerens dokumentation for overførsler i kæden.
Det, auditten kan lade ligge, er en systematisk indsamling af alle underkontrakter. EDPB beskriver den ikke som en pligt, og efter vores vurdering giver den ikke mere sikkerhed end en velvalgt stikprøve.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at databehandleraftalen giver jer ret til den fulde liste og til at se underkontrakter efter anmodning, og at nogen hos jer gennemgår listen, når den ændres.
Mangler listen, kan I ikke vise Datatilsynet, hvem der behandler oplysningerne. Bruges den samme kontrol på alle led uanset risiko, går tiden til de led, der betyder mindst.
Det skal I lade være med
- At acceptere en liste over kun de første led · identiteten på alle led bør være tilgængelig.
- At indhente alle underkontrakter som rutine · en stikprøve er den model, EDPB beskriver.
- At lade databehandlerens oplysninger stå uprøvet ved høj risiko · kontrollen bør skærpes med risikoen.
Det skal auditten kunne vise
- ☐ En fuld og ajourført liste over underdatabehandlere i alle led.
- ☐ En risikovurdering, der bestemmer, hvor grundigt hvert led kontrolleres.
- ☐ Dokumentation for garantier hos de led, der behandler følsomme data.
- ☐ En stikprøve af underkontrakter med resultat.
- ☐ Dokumentation for overførsler uden for EØS i kæden.
Kilder
- EDPB, Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s), 7. oktober 2024, resumé og punkt 41-42 og 66-70, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 6, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.2.1, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28 og 64, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed jeres vigtigste databehandler om den fulde liste over underdatabehandlere i alle led.
Læs også: Revisionsret over for underleverandører · Samme underleverandør bag flere af jeres leverandører
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
