En softwareleverandør brugte en ekstern tjeneste til sine supportsager, men tjenesten stod ikke på listen over godkendte underdatabehandlere. Datatilsynet udtalte i 2019 alvorlig kritik og fandt, at både videregivelsen og overførslen til lande uden for EU var uden hjemmel. For en kunde er sagen en grund til at holde den godkendte liste op mod de værktøjer, leverandøren faktisk bruger.
Artiklen er skrevet til kunden. De dataansvarlige i sagen var offentlige, og leverandøren var privat. Reglerne om godkendelse af underdatabehandlere gælder ens for private og offentlige.
Sagen
Datatilsynet traf afgørelse 19. december 2019 under j.nr. 2019-442-3996. Kæden havde tre led. Kommuner og regioner var dataansvarlige. Deres fælles ejerkreds var databehandler. En privat softwareleverandør var underdatabehandler. Aftalen med softwareleverandøren krævede specifik godkendelse af underdatabehandlere og havde en liste over dem, der var godkendt.
Leverandørens servicedesk, hvor supportsagerne lå, kørte på en tjeneste fra en anden virksomhed. Den virksomhed stod ikke på listen. Leverandøren havde slået en funktion fra, der lader support gå på skift mellem tidszoner, for at undgå behandling uden for EU. Tjenesten oplyste senere, at medarbejdere i tredjelande kunne gennemføre globale opdateringer, og at behandling uden for EU derfor ikke kunne udelukkes.
En kommune anmeldte et brud, der efter et skøn omfattede omkring 500 borgere, med navn, fødselsdato, kontaktoplysninger og personnummer. Leverandøren anførte, at tjenesten fremgik af tilbudsmaterialet, og at den manglende optagelse på listen var en forglemmelse fra begge parters side.
Datatilsynets vurdering
Datatilsynet lagde vægt på databeskyttelsesforordningens artikel 28, stk. 2. En databehandler må ikke bruge en anden databehandler uden forudgående specifik eller generel skriftlig godkendelse. Da godkendelsen manglede, blev leverandøren efter artikel 28, stk. 10, selv dataansvarlig for at give oplysningerne videre til tjenesten.
Videregivelsen havde ikke hjemmel efter artikel 6, stk. 1, og databeskyttelseslovens § 11, stk. 2, og overførslen til tredjelande havde ikke hjemmel efter artikel 44, stk. 1. At leverandøren havde en databehandleraftale med tjenesten, ændrede ikke resultatet. Godkendelsen fra den dataansvarlige manglede stadig.
Afgørelsen faldt ud sådan, selv om tjenesten stod i tilbudsmaterialet. Artikel 28, stk. 2, kræver en skriftlig godkendelse, der foreligger, før underdatabehandleren bruges.
Reglerne om godkendelse
Artikel 28, stk. 2, giver to modeller. Ved specifik godkendelse tager den dataansvarlige stilling til hver underdatabehandler. Ved generel godkendelse underretter databehandleren om planlagte tilføjelser og udskiftninger, og den dataansvarlige kan gøre indsigelse.
Datatilsynets skabelon til databehandleraftaler har begge modeller i bestemmelse 7. Ved specifik godkendelse står de godkendte i bilag B.1, opdelt på behandlingsaktivitet. Bruges en godkendt underdatabehandler til en anden aktivitet, kræver det også skriftlig godkendelse.
K04, statens standardkontrakt for drift, har en bredere regel i punkt 10, der gælder alle underleverandører. Nye underleverandører kræver kundens forudgående samtykke, som ikke kan nægtes uden rimelig grund. Bestemmelsen gælder kun, hvis den er aftalt.
Hvorfor supportværktøjer bliver glemt
Det er nærliggende at tænke på hosting og drift, når talen er om underdatabehandlere. Sagen viser, at et værktøj til supportsager også kan indeholde personoplysninger. Det samme kan gælde værktøjer til overvågning, fjernadgang, logopsamling, e-mail og deling af filer. Det er en tolkning af sagen, at disse værktøjer er særligt udsatte for at blive overset, fordi de ikke er en del af selve ydelsen.
Sagen som auditprogram
Spørgsmålene er en tolkning af afgørelsen.
Hold listen op mod værktøjerne. Bed leverandøren om en oversigt over de værktøjer og tjenester, der bruges til at levere, supportere og overvåge jeres ydelse. Sammenlign med listen over godkendte underdatabehandlere. Hvert værktøj, der kan indeholde jeres personoplysninger, skal være på listen eller have en begrundelse for at mangle.
Spørg til supportsager. Hvor ligger supportsagerne, og hvad kan de indeholde? Skærmbilleder, udtræk og vedhæftede filer fra jeres medarbejdere kan rumme personoplysninger.
Spørg til medarbejdere med adgang. Hvor sidder de medarbejdere hos tjenesteudbyderen, der kan få adgang, også ved opdateringer og fejlretning? Sagen viser, at en indstilling, der begrænser den daglige support, ikke nødvendigvis gælder de globale opdateringer.
Spørg til aktiviteten. Er en underdatabehandler godkendt til én behandlingsaktivitet, men bruges til en anden? Skabelonen kræver godkendelse pr. aktivitet.
Tjek også jeres egen side. Har I fået tilbudsmateriale, der nævner tjenester, som ikke står i bilaget, så afklar det, før aftalen underskrives.
Hvad det kræver, og hvad det koster at lade være
Det kræver en opdateret liste fra leverandøren over alle værktøjer og tjenester, og at nogen hos jer sammenligner den med de godkendte.
Uden den kontrol kan jeres oplysninger ligge hos en virksomhed, I ikke kender, og muligvis uden for EU. I sagen førte det til alvorlig kritik af leverandøren og til, at en kommune måtte anmelde et brud.
Det skal I lade være med
- At regne tilbudsmaterialet for en godkendelse · godkendelsen skal være skriftlig og gå forud.
- At nøjes med at kende hosting og drift · supportværktøjer kan også rumme jeres data.
- At stole på en indstilling, der begrænser behandlingen til EU, uden at spørge til opdateringer · adgangen kan komme andre steder fra.
Det skal auditten kunne vise
- ☐ En oversigt over værktøjer og tjenester bag ydelsen, holdt op mod listen over godkendte.
- ☐ Skriftlig godkendelse af hver underdatabehandler pr. behandlingsaktivitet.
- ☐ Oplysning om, hvor medarbejdere med adgang hos hver tjenesteudbyder sidder.
- ☐ En vurdering af supportsagernes indhold.
Kilder
- Datatilsynet, afgørelse af 19. december 2019, j.nr. 2019-442-3996, læst 12. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 2 og 10, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bestemmelse 7 og bilag B.1, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 standardkontrakt for drift, punkt 10, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed jeres vigtigste leverandør om en oversigt over alle værktøjer bag ydelsen, og sammenlign den med listen over godkendte underdatabehandlere.
Læs også: I er underleverandør · Audit af en udenlandsk leverandør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
