I auditerer underleverandørerne ved at efterprøve leverandørens egen kontrol med dem. Bed om leverandørens liste over underleverandører til jeres ydelse, om dokumentation for det tilsyn, leverandøren har ført med hver af dem, og om, hvordan I bliver varslet, når kæden ændres.
Retten til det står i aftalen og er beskrevet under revisionsret over for underleverandører. Her handler det om, hvordan kontrollen gennemføres.
Godkendelse er ikke tilsyn
En afgørelse fra Datatilsynet fra august 2019 slog en vigtig pointe fast. Sagen var et planlagt tilsyn hos en kommune om dens brug af databehandlere. Datatilsynet oplyste, at godkendelsen af underdatabehandlere ikke i sig selv er et løbende tilsyn med behandlingen hos underdatabehandleren.
Kommunen kunne ikke være sikker på, at databehandleren førte tilsyn med sine underdatabehandlere, fordi det hverken var aftalt eller fulgt op. Datatilsynet udtalte alvorlig kritik, bl.a. fordi der ikke var ført løbende tilsyn.
Datatilsynet pegede også på en løsning. Tilsynet kan fx ske ved, at databehandleraftalen indeholder et krav om, at databehandleren fører tilsyn med underdatabehandlerne, og at databehandleren sender dokumentation for det udførte tilsyn eller gør det let for kunden at hente den.
Sagen handlede om en offentlig dataansvarlig. Reglerne i databeskyttelsesforordningens artikel 28 gælder for alle dataansvarlige, også private.
Hvad reglerne siger
Artikel 28, stk. 2, siger, at databehandleren ikke må bruge en underdatabehandler uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige. Efter stk. 4 skal underdatabehandleren pålægges de samme forpligtelser, og den oprindelige databehandler forbliver fuldt ansvarlig over for den dataansvarlige.
Ifølge Datatilsynets tilsynsvejledning fra 2021 ligger tilsynet med underdatabehandleren hos databehandleren. Kundens opgave er at få det bekræftet, fx gennem dokumentation for de tilsyn, der er holdt. Vejledningen bemærker, at en underdatabehandler ikke nødvendigvis hører til samme sted på tilsynets pointskala som databehandleren.
Den statslige vejledning om leverandørforhold anbefaler en kontrakt, der pålægger leverandøren at kontrollere sine underleverandører og vise kunden, hvilket tilsyn der er ført. I statens standardkontrakt K04 for drift står, at den årlige revision også skal omfatte underleverandører. Standardkontrakten binder kun parter, der har valgt den.
Varslingen skal kunne bruges
Samme afgørelse fra 2019 handlede også om varsling. Hvor kunden havde givet generel godkendelse, kunne varslingsperioden være så kort, at kunden i praksis ikke kunne nå at gøre indsigelse. Det var efter Datatilsynets opfattelse ikke i overensstemmelse med artikel 28, stk. 2. Den dataansvarlige skal aktivt underrettes om ændringer.
Datatilsynets cloudvejledning giver et eksempel på, at varslingen skal hænge sammen hele vejen ned. Er kunden lovet seks måneders varsel, er det ikke nok, at underdatabehandleren kun varsler cloudleverandøren med 30 dage.
Kontrollér derfor, hvor lang varslen er i hvert led, og om leverandøren har en praksis, der faktisk giver jer tid.
Fremgangsmåden
Kontrollen kan bygges op i fire trin. Rækkefølgen er praksis.
1. Listen. Bed om en fuldstændig liste over underleverandører til jeres ydelse med deres opgave og land. Datatilsynets cloudvejledning siger, at kunden skal kortlægge alle underleverandører i kæden.
2. Leverandørens tilsyn. Bed for hver væsentlig underleverandør om dokumentation for det tilsyn, leverandøren har ført: en erklæring, en inspektionsrapport, en egen gennemgang. Datatilsynets skabelon beskriver i bilag C.8, at databehandleren indhenter en erklæring eller inspektionsrapport om underdatabehandleren eller selv inspicerer, og at dokumentationen sendes til den dataansvarlige.
3. Erklæringens metode. Har leverandøren en ISAE 3402-erklæring, så se efter, om underleverandørerne er taget med eller udeladt. Ved den metode, standarden kalder carve-out, er underleverandørens kontroller ikke testet af revisor. Så er det leverandørens overvågning af underleverandøren, I må se på. Se er underleverandørens kontroller med i erklæringen?
4. Ændringerne. Bed om en liste over ændringer i kæden i perioden, og kontrollér, at I blev varslet i tide.
Når I selv vil se underleverandøren
Datatilsynets skabelon giver mulighed for, at den dataansvarlige i særlige tilfælde deltager i en fysisk inspektion hos underdatabehandleren. Det er en undtagelse og kræver, at det er aftalt. Oftest er vejen gennem leverandøren.
Et tænkt eksempel: Jeres leverandør bruger en hostingudbyder og en underleverandør til support uden for EU. Leverandøren kan fremvise hostingudbyderens erklæring, men har aldrig gennemgået supportleverandøren. Det er fundet, også selv om begge er godkendt i databehandleraftalen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale, der forpligter leverandøren til at føre og dokumentere tilsyn med underleverandørerne, og at nogen hos jer gennemgår dokumentationen. Leverandøren skal have tid til at samle den.
Uden kontrol har I kun en liste over navne. Afgørelsen fra 2019 viser, at det ikke er nok til at vise, at der er ført tilsyn.
Det skal I lade være med
- At tro, at godkendelsen af en underdatabehandler er tilsyn · Datatilsynet har sagt det modsatte.
- At acceptere en varsling, I ikke kan nå at reagere på · varslen skal give tid til indsigelse.
- At overse carve-out i erklæringen · så er underleverandøren ikke testet.
Det skal auditten kunne vise
- ☐ Fuldstændig liste over underleverandører med opgave og land.
- ☐ Dokumentation for leverandørens tilsyn med hver væsentlig underleverandør.
- ☐ Erklæringens metode for underleverandører, hvis der findes en erklæring.
- ☐ Varslingsperioder i hvert led og ændringer i perioden.
- ☐ Kundens opfølgning på manglende dokumentation.
Kilder
- Europa-Parlamentets og Rådets forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, stk. 2 og 4, læst 12. november 2026.
- Datatilsynet, afgørelse af 5. august 2019, j.nr. 2018-423-0022, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, kap. 6, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.2.1, læst 12. november 2026.
- Datatilsynet, skabelon til databehandleraftale, bilag C.8, læst 12. november 2026.
- Center for Cybersikkerhed og Digitaliseringsstyrelsen, Cybersikkerhed i leverandørforhold, 2. udgave maj 2022, bilag 2, læst 12. november 2026.
- Digitaliseringsstyrelsen, K04 Standardkontrakt for drift, punkt 15, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om listen over underleverandører til jeres ydelse og dokumentation for det seneste tilsyn med de to vigtigste.
Læs også: Samme underleverandør bag flere af jeres leverandører · Adskillelse mellem kunder
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
