Jeres IT-leverandør kan nulstille koder, åbne en brugers skærm, gå ind på serveren og give sig selv adgang til en postkasse. I mange mindre virksomheder er det hverdag, og ingen tænker over det. Spørgsmålet er, om leverandøren dermed er databehandler, og hvad I i givet fald skal have på plads. Kort sagt afhænger det af, hvad ydelsen går ud på. En IT-leverandør, der løbende driver jeres systemer efter jeres instruks, vil normalt være databehandler. Et enkeltstående teknisk indgreb er det ikke nødvendigvis. Uanset svaret skal adgangen beskyttes.
Hvad Datatilsynet siger
Datatilsynets vejledning om dataansvarlige og databehandlere beskriver IT-leverandøren, der kun handler efter instruks, som databehandler. Adgang til oplysninger er behandling, også selvom de ikke flyttes eller kopieres. Det er den faktiske ydelse, der afgør det, uanset hvad aftalen kaldes.
I notatet om vikarer og konsulenter giver tilsynet et præciserende spørgsmål. Den dataansvarlige bør spørge sig selv, om ydelsen helt eller delvist drejer sig om, at konsulenten skal behandle personoplysninger til den dataansvarliges formål og under dennes instruks. Tilsynets to it-eksempler trækker grænsen.
Hyres en it-konsulent til at finde årsagen til en fejl i software og rette kildekoden, er det ifølge notatet ikke en del af opgaven at behandle personoplysninger, og så er der ikke en databehandlerkonstruktion.
Skal en it-konsulent løbende rette personoplysninger, der er registreret forkert i en database, drejer ydelsen sig om behandling, og så er der tale om en databehandler.
Tilsynet tilføjer, at den dataansvarlige skal gennemføre passende tekniske og organisatoriske foranstaltninger, når en ekstern person, der ikke er databehandler, får eller kan få adgang til personoplysninger. Sagt på en anden måde går spørgsmålet om adgangen ikke væk, fordi leverandøren ikke er databehandler.
Sådan læser vi det i praksis
Oversat til almindelige IT-aftaler er vores læsning denne, og den er ikke en afgørelse fra tilsynet.
- Fast drift af mail, servere, backup eller cloudtjenester. Her ligger jeres oplysninger i systemer, leverandøren driver og administrerer på jeres vegne. Leverandøren vil normalt være databehandler, og I skal have en aftale efter art. 28, stk. 3.
- Løbende support med adgang til brugernes maskiner og postkasser. Adgangen er en fast del af ydelsen. Det taler i samme retning.
- Et enkeltstående indgreb fra en specialist, fx fejlretning i et fagsystem. Det kan falde uden for, men adgangen skal stadig begrænses og aftales.
Er I i tvivl, så vælg den forsigtige løsning og indgå en aftale. Bliver spørgsmålet vigtigt i en konkret kontrakt, er det et spørgsmål til advokat.
Leverandøren skal behandle efter jeres instruks, jf. art. 29. Fastlægger leverandøren selv formål og hjælpemidler, anses den for dataansvarlig for netop den behandling, jf. art. 28, stk. 10. Det kan fx ske, hvis data fra jeres miljø bruges til leverandørens egne analyser, se leverandøren bruger data til egne formål.
Fire ting, adgangen skal kunne tåle
Fjernadgang er et af de steder, hvor aftalen og teknikken skal hænge sammen. Datatilsynets foranstaltning om styring og vedligehold af software siger, at fjernadministration bør begrænses, at adgang fra internettet bør være tidsbegrænset og IP-filtreret, og at der altid kræves flere faktorer ved login. Punkterne herunder er vores råd og bygger på det.
Personlige konti. Hver tekniker logger på med sit eget login. En fælles konto for hele supportafdelingen gør det umuligt at se, hvem der var inde. Bed om at se listen over konti hos jer, der tilhører leverandøren.
Adgang, der gives for en opgave. Stående administratoradgang til alt er den nemme løsning for leverandøren. Spørg, om rettigheder kan aktiveres for den enkelte opgave og lukke igen. Skal en tekniker ind på en brugers maskine, skal brugeren kunne se det og sige ja, medmindre andet er aftalt.
Særlige regler for postkasser. At åbne en medarbejders mail er noget andet end at genstarte en server. Skriv ned, hvem der kan bede om det, hvordan det godkendes, og at det kun sker på skriftlig anmodning fra en navngiven person. Efter art. 32, stk. 4, må personer, der har adgang, kun behandle efter instruks.
Logning, leverandøren ikke selv råder over. Datatilsynet peger på, at administratorer kan give andre og måske sig selv adgang, og at loggen derfor skal gemmes et sted, de ikke kan tilgå eller ændre. Handlinger fra leverandørens konti skal kunne ses af jer. Bed om en stikprøve, så I ved, at loggen findes.
Det, der skal stå i aftalen
Aftalen skal rumme punkterne i art. 28, stk. 3, litra a til h. For fjernadgang er disse særligt vigtige, og I kan bruge dem som tjekliste, før I underskriver.
- Hvilke systemer og oplysninger leverandøren har adgang til.
- At behandling kun sker efter instruks, og hvordan instruks gives.
- Hvem der må logge på, og hvordan det sker.
- Hvilke underleverandører der er med, herunder overvågning og support uden for normal arbejdstid, se underdatabehandlere.
- At leverandøren underretter jer uden unødig forsinkelse om et brud, som art. 33, stk. 2, kræver.
- Hvordan I fører tilsyn, og hvad der sker med adgange, når samarbejdet slutter.
Foregår supporten fra et land uden for EU, er fjernadgangen en overførsel, selvom oplysningerne bliver liggende i Danmark, se support fra tredjeland. Den daglige opfølgning på driftsleverancen er behandlet under opfølgning på IT-leverandøren.
Det skal I lade være med
· At gå ud fra, at driftsaftalen dækker det. En serviceaftale dækker ikke nødvendigvis art. 28.
· At lade leverandøren dele et fælles login. I kan ikke se, hvem der gjorde hvad.
· At give adgang til postkasser på et mundtligt ja. Der skal være en skriftlig anmodning.
Det skal I kræve af den eksterne
- ☐ En vurdering af leverandørens rolle ud fra den faktiske ydelse.
- ☐ En gennemgang af leverandørens konti og rettigheder hos jer.
- ☐ Kontrol af, at handlinger logges, og at loggen er uden for leverandørens rækkevidde.
- ☐ Rådgivning om aftalens krav, mens forhandlingen ligger hos jer.
Kilder
- Databeskyttelsesforordningen: art. 28, 29, 32 og 33.
- Datatilsynet: Dataansvar, vikarer og konsulenter.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: november 2017.
- Datatilsynet: Sikkerhedsmæssig styring og vedligehold af software: senest opdateret 28. maj 2025.
- Datatilsynet: Logning af brugeradministrators handlinger: senest opdateret 7. november 2023.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Konsulenter og vikarer · Tilsyn med databehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
