En ISAE 3000 GDPR-erklæring er en uafhængig revisors erklæring om databehandlerens informationssikkerhed og foranstaltninger efter databehandleraftalen. Datatilsynet nævner den som eksempel på, hvordan en dataansvarlig kan føre tilsyn. Den giver jer kun et tilsyn, hvis den dækker jeres behandling, jeres aftale og leverandørens underdatabehandlere, og hvis nogen hos jer har læst den. Datatilsynets årsberetning for 2020 siger også, at det ikke som sådan er nødvendigt at bruge revisorerklæringer for at overholde reglerne. De er en god måde at få en uvildig kontrol på.
Artiklen læser erklæringen som materiale til jeres kontrol med en databehandler. Den generelle læsning af ISAE 3402 og 3000, herunder type 1 og type 2, står et andet sted.
ISAE 3000 og ISAE 3402
ISAE 3000 er den internationale standard for erklæringer med sikkerhed om andet end historiske regnskabsoplysninger. ISAE 3402 handler om kontroller hos en serviceorganisation med betydning for kundernes regnskabsaflæggelse. Forskellen er vigtig her, fordi spørgsmålet efter art. 28 angår behandlingen af personoplysninger. En erklæring efter ISAE 3402 kan derfor ligge i mappen, uden at den siger noget om databehandleraftalen. Læs titlen, og spørg leverandøren, hvis I er i tvivl.
Erklæringerne fra FSR og Datatilsynet
Datatilsynet oplyste i februar 2019, at FSR efter samarbejde med tilsynet havde udarbejdet en revisorerklæring, man kan lade sig inspirere af. Tilsynet mente, at den havde det rette fokus og kunne lette håndhævelsen, når det kontrollerer, om en dataansvarlig har ført tilsyn.
I 2020 kom en lettere udgave. Den hedder “Uafhængig revisors ISAE 3000-erklæring med begrænset sikkerhed om informationssikkerhed og foranstaltninger i henhold til databehandleraftale med [Dataansvarlig]”. Ifølge årsberetningen er den særligt målrettet organisationer, hvor behandlingen ikke er meget kompleks, er mindre risikofyldt, eller hvor der i forvejen føres et omfattende tilsyn.
FSR’s aktuelle skabelon er ikke læst til denne artikel. Beskrivelsen bygger på Datatilsynets tekster, og indholdet af en konkret erklæring kan afvige fra dem.
Høj eller begrænset sikkerhed
Datatilsynets tilsynsvejledning fra oktober 2021 placerer revisionserklæringen under koncept 5, hvor en uafhængig tredjepart har ført et dokumenteret tilsyn. Når behandlingen giver 7 til 10 point, kræver vejledningen høj grad af sikkerhed. Sådan regner I pointene, står i tilsyn med databehandlere.
ISAE 3000 skelner mellem høj grad af sikkerhed og begrænset sikkerhed, og ved den sidste er revisors handlinger færre. Bed derfor om den konkrete erklæring og læs konklusionen, før I noterer, at leverandøren har en.
Fem spørgsmål fra Datatilsynet
Vejledningen giver fem krav, uanset hvilken model I vælger. De er den bedste læsevejledning, vi har.
- Dækker den jeres behandling? Find de ydelser og systemer, I bruger, i beskrivelsen. Står de der ikke, er de ikke dækket.
- Handler den om databehandleraftalen? Navnet på erklæringen fra 2020 peger på aftalen med en bestemt dataansvarlig. Bygger erklæringen på leverandørens egen standard, skal I holde den op mod den aftale, I selv har indgået.
- Er jeres særlige krav med? Vejledningens eksempler er kryptering af al kommunikation og tidspunkter for sletning af testdata. Står et særligt krav i jeres aftale, skal I kunne finde det i erklæringen. Mangler det, skal det kontrolleres på anden vis.
- Følger den op på underdatabehandlere? Se afsnittet herunder.
- Er den, der fører tilsynet, uafhængig? Vejledningen peger på problemet, hvis den, der kontrollerer, er en del af samme virksomhed som databehandleren, eller hvis parterne har økonomiske interesser hos hinanden.
Scope og undtagelser
En erklæring er afgrænset, og afgrænsningen er oftest den mest sigende del. Se efter tre ting. Hvilken periode eller dato gælder den for, og hvor længe siden er det? Hvilke kontrolmål er holdt ude? Hvor har revisor fundet afvigelser, eller taget forbehold? ISAE 3000 giver revisor mulighed for en konklusion med forbehold, en afkræftende konklusion eller at afstå fra at konkludere.
Vurder hver afvigelse ud fra jeres aftale. En afvigelse om sletning betyder noget andet for et HR-system end for et system uden personoplysninger. Har I ikke svaret, er det et spørgsmål til leverandøren. Skriv det ned, for I skal kunne vise opfølgningen senere.
Underdatabehandlere
Her ligger det vigtigste hul. En leverandør kan lade driften ligge hos en anden, og erklæringen kan være skrevet på to måder. Med helhedsmetoden er underleverandøren med i erklæringen. Med partielmetoden er underleverandøren udeladt.
KOMBIT’s instruks fra juni 2025 til sine leverandører viser, hvad der kan kræves. Instruksen gælder KOMBIT’s egne aftaler og er ingen regel for andre. Den kræver, at erklæringen dokumenterer kontrol med alle led, og ved partielmetoden skal der mindst være kontrolmål for leverandørens overvågning af underdatabehandleren, herunder gennemgang af deres erklæringer. Det er en god målestok. Bruger jeres leverandør partielmetoden, så spørg, hvordan underdatabehandlerne kontrolleres, og bed om dokumentationen. Listen over underdatabehandlere skal stemme med jeres aftale.
Jeres egne kontroller
En erklæring kan forudsætte noget af kunden. KOMBIT’s instruks kalder det komplementerende kontroller og kræver en oversigt over dem. Det kan fx være at styre adgange, melde fratrædelser eller slette oplysninger i systemet. Giv hver kontrol, der rammer jer, en navngiven ejer. Gør I dem ikke, hjælper leverandørens kontroller kun delvist.
Det, erklæringen ikke klarer for jer
Erklæringen fritager jer ikke for kravet i art. 28, stk. 1, om kun at bruge databehandlere med de fornødne garantier, og ansvaret for at kunne vise det følger af art. 5, stk. 2. Den er heller ingen certificering efter art. 42.
Datatilsynets eksempel på koncept 5 beskriver den rigtige vane med tre ord: lægen modtager, forholder sig til og gemmer rapporterne. Skriv en kort note med dato, hvad I læste, hvad I fandt, og hvad I gør. Vejledningen tillader, at I kombinerer koncepter, og den fastsætter ingen fast hyppighed. Er I selv databehandler, gælder spørgsmålene fra den anden side, se kunden vil føre tilsyn med os.
Kræver flere leverandører den slags læsning, end I har tid til, kan opgaven indgå i GDPR-gennemgangen eller i overvejelserne om at vælge en ekstern DPO.
Det skal I lade være med
· At notere “leverandøren har en ISAE 3000” som tilsyn. Tilsynet er det, I gør med erklæringen.
· At acceptere en erklæring uden jeres ydelse i beskrivelsen. Den siger ikke noget om det, I køber.
· At overse partielmetoden. Driftsstedet for jeres data kan ligge uden for erklæringen.
Det skal I kræve af den eksterne
- ☐ Gennemlæsning af erklæringen op imod jeres databehandleraftale.
- ☐ En liste over det, der er holdt ude, og hvem der kontrollerer det.
- ☐ Vurdering af grad af sikkerhed ud fra jeres point i tilsynsmodellen.
- ☐ Et forslag til opfølgning på afvigelser og komplementerende kontroller.
- ☐ En dateret note, som I selv kan lægge frem.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 5, stk. 2, art. 28 og art. 42.
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021: koncept 5.
- Datatilsynet: Ny erklæring skal hjælpe med kontrol af databehandlere: 8. februar 2019.
- Datatilsynet: Årsberetning 2020: afsnittet Ny revisionserklæring.
- IAASB: ISAE 3000 (Revised).
- IAASB: Staff Overview, ISAE 3402.
- KOMBIT: Instruks til systemspecifik ISAE 3000-erklæring GDPR, version 2.2: 27. juni 2025.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Leverandørens standardaftale · Hvornår skal I have en databehandleraftale?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
