Behandler en cloudleverandør udelukkende oplysningerne inden for EU/EØS, herunder med underdatabehandlere i EU/EØS, skal I som udgangspunkt ikke forholde jer til kapitel V, siger Datatilsynets vejledning om cloud fra marts 2022. Det er heller ikke i sig selv ulovligt at bruge en leverandør, hvis moderselskab er underlagt regler i sit hjemland, der kan give myndigheder adgang til oplysninger hos koncernens selskaber. Spørgsmålet flytter sig i stedet til art. 28 og art. 32: om leverandøren reelt kan holde sine løfter, og om jeres aftale siger klart, hvad der må ske. Datatilsynets tekster er ikke helt enslydende på dette punkt, og det gennemgår vi nedenfor. Tre ting afgør jeres stilling: hvad der står i aftalen, hvem der har adgang, og hvad I har vurderet.
Tre spørgsmål i ét
GDPR deler spørgsmålet i tre.
- Sker der en overførsel i dagligdagen? Her er spørgsmålet, om en anden part i et tredjeland får adgang. Support fra USA eller et andet tredjeland er overførsel, selv om oplysningerne ligger i EU, se support fra tredjeland.
- Hvad står der i aftalen om udlevering til myndigheder? Det afgør, om en udlevering vil være en del af det aftalte.
- Er sikkerheden passende? Det er her, en mulig anmodning fra en myndighed uden for EU behandles efter Datatilsynets opfattelse.
Det samme gælder for en koncern fra et andet tredjeland. Hvad de amerikanske regler kan kræve, er beskrevet under Cloud Act. Her holder vi os til GDPR.
Når aftalen er klar, og når den ikke er
Datatilsynets svar af 23. januar 2026 om vilkår i databehandleraftaler skelner mellem tre situationer. Svaret er givet til de kommunale databehandleres fælles sekretariat, men det bygger på art. 28 og kapitel V, som også gælder private.
Klar instruks om overførsel. Følger det klart af aftalegrundlaget, at leverandøren må overføre, er overførslen tilsigtet, også hvis den kun sker i sjældne tilfælde. Så skal kapitel V overholdes.
Overførsel i strid med aftalen. Vælger leverandøren at overføre i strid med aftalen, er det en utilsigtet overførsel, og overførselsreglerne finder ikke anvendelse over for den oprindelige dataansvarlige. Leverandøren anses efter art. 28, stk. 10, som selvstændigt dataansvarlig for overførslen. Spørgsmålet bliver efter Datatilsynets opfattelse et spørgsmål om passende behandlingssikkerhed. Vejledningen om cloud tilføjer, at det i så fald er et brud på persondatasikkerheden for jeres vedkommende, fordi der sker en uautoriseret videregivelse.
Uklare forbehold. Mange aftaler siger, at data bliver i EU, medmindre loven eller en bindende afgørelse kræver andet. EDPB mener, at en sådan formulering er for bred til at tælle som dokumenteret instruks. Datatilsynet kalder det et område, der er hverken tilsigtet eller utilsigtet. Her er I mest udsat, for Datatilsynet skriver, at en dataansvarlig, der accepterer uklare formuleringer, fortsat har ansvaret og potentielt kan ifalde strafansvar, hvis formuleringen fører til en overførsel uden gyldigt grundlag.
Svaret er derfor konkret. Gennemgå aftalen for sådanne formuleringer, afklar med leverandøren, om de er en instruks, og instruér i givet fald om, at de ikke må føre til overførsel, eller få dem ud af kontrakten.
Art. 28, stk. 3, litra a, kender kun krav i EU-retten eller national ret som grund til at fravige instruksen. Art. 48 siger desuden, at afgørelser fra tredjelande kun anerkendes, hvis de bygger på en international aftale. Datatilsynet tilføjer i svaret fra 2026, at den udvidelse til tredjelandes lovgivning, som EDPB’s udtalelse kan læses som, efter tilsynets opfattelse har et meget begrænset anvendelsesområde.
Her er teksterne ikke enslydende
Eksemplet om anmodninger fra tredjelande står i to af Datatilsynets vejledninger. Begge siger, at den dataansvarlige bør bede databehandleren tilkendegive, om den er underlagt lovgivning i tredjelandet, som pålægger udlevering trods instruksen.
Vejledningen om overførsel fra april 2024 tilføjer, at den dataansvarlige skal ophøre med at benytte databehandleren, hvis den bliver bekendt med, at den er underlagt sådan lovgivning. Den sætning står ikke i vejledningen om cloud fra marts 2022, som siger, at brugen ikke i sig selv er ulovlig, og som behandler spørgsmålet som behandlingssikkerhed. Svaret fra januar 2026 henviser til afsnit 3.6 i cloudvejledningen.
Vi kan ikke afgøre forskellen ud fra de læste tekster. Vores læsning er, at det nyeste svar peger på sikkerhedsvurderingen som vejen, men ordlyden fra 2024 står stadig. Hvis I har en leverandør, der bekræfter, at den er underlagt sådanne regler, så få det vurderet konkret. Det er et spørgsmål til advokat.
Det, I skal spørge om og dokumentere
Stil leverandøren disse spørgsmål skriftligt, og læg svarene ved jeres risikovurdering.
- Hvilket selskab er vores kontraktpart, og hvem ejer det?
- Er selskabet underlagt lovgivning i et tredjeland, der pålægger udlevering af oplysninger i EU/EØS?
- Hvordan håndteres en anmodning fra en myndighed, og får vi besked, hvis det er muligt?
- Kan nogen uden for EU/EØS se oplysninger i klar tekst, og hvornår?
- Hvem styrer krypteringsnøglerne?
Lav derefter en risikovurdering af behandlingen, som vejledningen kræver: hvilke oplysninger ligger hos leverandøren, og hvad betyder det for personerne, hvis de bliver udleveret? Almindelige kundedata og følsomme oplysninger vejer forskelligt. Læg vurderingen sammen med aftalen, og hold tilsyn med leverandøren, se tilsyn med databehandlere.
Ledelsen beslutter, om risikoen kan accepteres. DPO’en rådgiver og kontrollerer, at vurderingen er lavet. Den forretningsmæssige afhængighed og mulighederne for at skifte hører til en anden drøftelse end GDPR-vurderingen.
Det skal I lade være med
- At slutte fra EU-datacenter til, at alt er på plads · aftalen og adgangen afgør det.
- At slutte fra amerikansk ejer til, at det er ulovligt · brugen er ikke i sig selv ulovlig.
- At lade “unless required by law” stå uafklaret · uklarheden bliver hos jer.
Det skal I kræve af den eksterne
- ☐ En læsning af aftalen med fokus på forbehold om udlevering og overførsel.
- ☐ Tekniske spørgsmål om adgang, klar tekst og nøgler.
- ☐ Rådgivning om risikovurderingen.
- ☐ Klar besked, når en sag bør til en advokat.
Kilder
- Datatilsynet: Vejledning om cloud, marts 2022: afsnit 3.6.
- Datatilsynet: Vejledning om overførsel til tredjelande, april 2024: eksempel 10 og afsnit 5.5, læst 5. november 2026.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler, 23. januar 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 28, 32, 44 og 48.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Overførsel til tredjelande · Data Privacy Framework
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
