En konsekvensanalyse skal efter art. 35, stk. 1, foretages inden behandlingen. I et systemkøb er det i praksis for sent at begynde, når kontrakten er underskrevet, for da er de valg, analysen skulle påvirke, allerede truffet. Datatilsynet regner det ikke som rettidig inddragelse af DPO’en, når et system er købt eller færdigudviklet. Løsningen er at gøre spørgsmålet om konsekvensanalyse til en fast port i indkøbet, få oplysningerne fra leverandøren, mens I stadig kan vælge om, og skrive leverandørens hjælp ind i aftalen. Art. 28, stk. 3, litra f, forpligter en databehandler til at hjælpe.
Selve systemvalget set fra ledelsen er beskrevet under valg af nyt system. Her handler det om den del, der angår persondata.
Tre porte i et almindeligt køb
Et køb behøver ikke at blive længere af det. Det skal blot have tre stop, hvor nogen tager stilling.
Når behovet beskrives. Inden I kontakter leverandører, svarer projektet på få spørgsmål. Hvilke personoplysninger kommer i systemet, om hvem, og til hvilket formål? Er der følsomme oplysninger, overvågning, profilering eller ny teknologi? Svarene afgør, om en analyse skal laves, og det svar dokumenteres, jf. skal vi lave en DPIA. DPO’en får besked på dette tidspunkt. Er det et AI-værktøj, der skal købes, så læs også DPIA for AI-værktøjer.
Når leverandørerne sammenlignes. Spørgsmålene om persondata følger med i kravlisten. Oplysningerne bruges til at indsnævre feltet, og analysen kan begynde på de leverandører, der står tilbage. Et system, som ikke kan slette, logge eller begrænse adgange, er billigere at fravælge her end at reparere bagefter.
Før underskriften. Analysen behøver ikke være færdig i alle detaljer, for nogle oplysninger følger først af opsætningen. De risici, der kan ændre beslutningen, skal være vurderet. Ledelsen ser den vurdering, før den skriver under, og kravene fra analysen er kommet ind i aftalen. WP248 siger, at analysen bør indledes så tidligt som muligt, selv om noget stadig er ukendt, og at den ajourføres, efterhånden som projektet skrider frem.
Det, leverandøren skal bidrage med
Art. 28, stk. 3, litra f, siger, at databehandleren bistår den dataansvarlige med at sikre overholdelse af bl.a. art. 35, under hensyn til behandlingens karakter og de oplysninger, databehandleren har. WP248 siger, at databehandleren bør bistå og fremlægge de nødvendige oplysninger. Bed om:
- en beskrivelse af datastrømmene, herunder logs, supportadgange og telemetri,
- oversigten over underdatabehandlere og lande,
- de formål, leverandøren selv bruger oplysninger til, og i hvilken rolle,
- standardindstillingerne, og hvad der kan slås fra,
- muligheder for sletning, eksport og logning,
- sikkerhedsdokumentation, som kan læses af den, der skal vurdere den.
Det er leverandørens egne formål, der oftest kræver flest spørgsmål. Salgsmateriale svarer sjældent på det. Spørg derfor, mens I stadig kan vælge en anden leverandør.
Pligten gælder databehandlere. Er leverandøren ikke databehandler, fx fordi I selv driver standardsoftware, må I stille kravet som et almindeligt krav i købet.
Det, der skal stå i aftalen
Indhold og vilkår hører til aftalen med leverandøren, og de kan sjældent genforhandles bagefter. Analysen giver typisk disse punkter:
- leverandørens hjælp til konsekvensanalyser, også når behandlingen ændrer sig,
- varsel om nye funktioner eller formål, der påvirker analysen,
- de indstillinger, I har besluttet, og hvem der vedligeholder dem,
- sletning og tilbagelevering ved ophør,
- adgang til logs,
- forholdet ved brud.
Står I med en standardaftale, som ikke kan ændres, skal det frem i analysen som en risiko, I tager stilling til. Et standardprodukt fritager ikke for ansvaret. Datatilsynet har skrevet, at det er den dataansvarlige, der skal kunne påvise, at løsningen overholder reglerne, uanset om den er standardiseret eller skræddersyet.
Når I allerede har købt
Mange står med et system, der aldrig blev vurderet. Så laver I analysen nu, hvis kriterierne er opfyldt, og bruger den næste ændring, fornyelse eller genforhandling til at få kravene ind. Noget af det, analysen viser, kan måske løses i opsætningen. Stopper analysen ved en høj risiko, I ikke kan bringe ned, må ledelsen tage stilling til, om behandlingen kan fortsætte, og om Datatilsynet skal høres. Spørgsmål om, hvad en eksisterende kontrakt tillader, er et spørgsmål til advokat.
DPO’ens plads i købet
DPO’en deltager som rådgiver og vælger ikke leverandøren. En god DPO i et køb spørger til det, kravlisten har glemt, læser leverandørens svar med IT-øjne og siger fra i tide, hvis en risiko ikke er vurderet. Beslutningen er ledelsens, og både rådet og beslutningen bør stå i analysen. Hvornår DPO’en i det hele taget skal med, er gennemgået i hvornår skal DPO’en inddrages.
Det skal I lade være med
- At sende analysen i gang efter underskriften · så dokumenterer den en beslutning, som ikke længere kan ændres.
- At nøjes med leverandørens salgsmateriale · bed om datastrømme og formål i et svar, der kan vedlægges.
- At lade en standardaftale stoppe spørgsmålene · det, der ikke kan ændres, skal stadig vurderes.
Det skal I kræve af den eksterne
- ☐ Et fast sæt spørgsmål om persondata til jeres kravliste.
- ☐ En tilbagemelding på leverandørens svar, før ledelsen beslutter.
- ☐ Rådgivning om, hvilke krav analysen bør føre til i aftalen.
- ☐ Besked til ledelsen, hvis en væsentlig risiko står uafklaret ved underskriften.
Kilder
- Databeskyttelsesforordningen: art. 28, stk. 3, litra f, og art. 35.
- WP248, retningslinjer om konsekvensanalyse: tidspunkt, ajourføring og databehandlerens bistand.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: rettidig inddragelse, afsnit 5.3.
- Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365 (2024): standardløsninger og ansvar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Databeskyttelse gennem design ved køb · Konsekvensanalyse af Microsoft 365
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
