Digital suverænitet

70 13 63 23

Datatilsynets vejledning om cloud og plan B

Datatilsynets vejledning om cloud og plan B

Datatilsynets vejledning om cloud handler om databeskyttelse, men flere af dens svar ender i samme konklusion. Kan en tjeneste ikke bruges lovligt, må den fravælges, og så skal der være en anden vej.

Artiklen gennemgår, hvad vejledningen og tilsynets øvrige materiale siger om fravalg, overførsler og anmodninger fra myndigheder i tredjelande. Den viser, hvordan det kan bruges som grundlag for en plan B i exit-planen. Den vurderer ingen konkrete løsninger.

Vejledningen og dens status

Datatilsynet udgav Vejledning om cloud i marts 2022. Den retter sig mod organisationer, der vil bruge cloudtjenester, og dele af den henvender sig til leverandørerne. Tilsynet skriver i indledningen, at cloud ikke rejser andre problemstillinger end andre leverancemodeller.

Tilsynets side om cloud oplyser, at vejledningen vil blive opdateret i lyset af den nye tilstrækkelighedsafgørelse for USA. Pr. 30. oktober 2026 er versionen fra marts 2022 stadig den, der ligger på siden. Afsnittene om USA er derfor skrevet før EU-USA-databeskyttelsesrammen, som er gennemgået i → Schrems II og scenariet, hvor grundlaget falder.

Kend jeres tjenester og leverandører

Vejledningen er bygget op om to spørgsmål. Hvilke tjenester bruger organisationen, og hvem leverer dem, også længere nede i kæden. Tilsynet skriver på siden, at den dataansvarlige skal have overblik over hele leverandørkæden.

Tilsynet offentliggjorde 1. august 2022 det spørgeskema, det brugte ved tilsyn med cloud. Skemaet har fire dele: kend dine services, kend dine leverandører, tilsyn med leverandører og overførsel til tredjelande. Tilsynet skriver, at organisationer selv kan bruge skemaet til at kontrollere deres brug af cloud.

De første to dele svarer til kortlægningen i → trin 1 og → trin 3. Det samme materiale kan altså bruges både til tilsynet og til exit-planen.

Når en tjeneste må fravælges

Vejledningen kræver en risikovurdering, før en behandling sættes i gang eller ændres væsentligt. Kan de nødvendige tekniske foranstaltninger ikke gennemføres, kan organisationen være nødt til at fravælge tjenesten. Tilsynet skriver, at det oftest gælder SaaS, fordi kunden der overlader mest kontrol til leverandøren.

Siden om cloud svarer på samme måde om standardvilkår. En standardydelse diskvalificerer ikke i sig selv en tjeneste. Lever ydelsen og aftalen ikke op til de krav, organisationen bør stille, kan den dog være nødt til at fravælge tjenesten.

Vejledningen giver et eksempel. En tillægsservice kunne give medarbejdere hos en underleverandør i Indien adgang til oplysninger, og forsikringsselskaber fravalgte derfor netop den service. Eksemplet viser, at et fravalg kan ramme en del af en tjeneste.

Tre muligheder ved et problematisk tredjeland

Overføres data til et land, hvor myndighederne kan få adgang på en måde, der ikke opfylder europæiske standarder, har organisationen efter vejledningen tre muligheder. De bygger på anbefalinger fra Det Europæiske Databeskyttelsesråd.

  1. Undlad eller suspendér overførslen · Tilsynet skriver, at det i praksis sandsynligvis betyder at holde op med at bruge cloudtjenesten.
  2. Træf supplerende foranstaltninger · Mod efterretningstjenesters adgang vil det som regel kræve tekniske foranstaltninger. Kryptering er ikke effektiv, hvis leverandøren selv har nøglen.
  3. Fortsæt uden supplerende foranstaltninger · Det kræver, at organisationen ikke har grund til at tro, at den problematiske lovgivning vil blive anvendt på de konkrete data.

Siden om cloud tilføjer, at det er meget vanskeligt at overføre data i klartekst til USA, hvis modtageren eller data er omfattet af blandt andet FISA 702, jf. → FISA 702. Nøglehåndtering er beskrevet i → egne nøgler og nøglekontrol.

Adgang fra et tredjeland tæller også

Data kan ligge i EU og alligevel blive overført. Tilsynet skriver på siden om cloud, at enhver behandling i et tredjeland er en overførsel, også når en medarbejder kun kan se data. Kan leverandøren tilgå data fra et tredjeland ved support eller service, gælder reglerne om overførsel fortsat, selv om data ligger i EU og er IP-filtreret.

Vejledningen illustrerer det med en virksomhed, der spærrede adgangen fra IP-adresser uden for EU og EØS. Leverandørens vilkår tillod overførsel ved service og support af infrastrukturen. Tilsynet vurderede, at spærringen ikke var en effektiv supplerende foranstaltning, fordi kontrollen med den underliggende infrastruktur lå hos leverandøren. Undtagelserne i udbydernes EU-løfter er gennemgået i → EU-lagring med undtagelser.

Anmodninger fra myndigheder i tredjelande

Vejledningens afsnit 3.6 handler om leverandører, der kun behandler data i EU, men tilhører en koncern med moderselskab i et tredjeland. De kan få anmodninger fra moderselskabets hjemland, for amerikanske koncerner fx efter → Cloud Act. Tilsynet skriver, at det ikke i sig selv er ulovligt at bruge en sådan leverandør.

Siden om cloud stiller to krav. Organisationen skal vurdere risikoen for de registreredes rettigheder, og den skal være betrygget i, at leverandøren vil overholde gældende EU-ret.

Tilsynets vejledning om overførsel til tredjelande fra april 2024 er klar om selve udleveringen. Imødekommer man en anmodning fra en myndighed i et tredjeland, er det en overførsel efter forordningens regler, og anmodningen er ikke i sig selv et overførselsgrundlag. Domme og afgørelser fra et tredjeland kan kun anerkendes i EU, hvis det følger af en international aftale (artikel 48).

Udtalelserne fra 2022 og 2026

I en udtalelse til KOMBIT af 29. marts 2022 om Aula behandlede tilsynet en leverandør, der havde forbeholdt sig ret til at udlevere data efter afgørelser fra offentlige myndigheder. Tilsynet fandt, at det ville være en tilsigtet overførsel for kommunerne, hvis leverandøren efterkom en anmodning fra en myndighed i et tredjeland. Kommunerne skulle derfor iagttage reglerne om overførsel til tredjelande.

Tilsynet nuancerede vurderingen 23. januar 2026 i et svar til Det fælleskommunale Databehandlersekretariat (j.nr. 2025-211-3556), som er offentliggjort blandt tilsynets afgørelser fra januar 2026. Svaret bygger på Det Europæiske Databeskyttelsesråds udtalelse 22/2024 og handler om, hvor præcist en sådan undtagelse skal være formuleret. Fælles for begge udtalelser er, at en udlevering til en myndighed i et tredjeland skal vurderes efter reglerne om overførsel.

Hvad tilsynet kan gøre

Finder Datatilsynet, at data er overført i strid med reglerne, kan det ifølge vejledningen om tredjelande blandt andet udtale kritik eller give påbud om at suspendere overførslen. Et påbud kan ramme en løsning, som organisationen er afhængig af i den daglige drift. Den danske sag om Chromebooks i folkeskolen er beskrevet i → skolernes software og licenser.

Fra vejledning til plan B

Vejledningen beskriver, hvornår en tjeneste kan blive nødt til at stoppe. Exit-planen beskriver, hvad der så sker.

  1. Genbrug kortlægningen · Udfyld tilsynets fire dele for de vigtigste tjenester, og læg resultatet ind i exit-planen.
  2. Notér adgang fra tredjelande · Skriv for hver tjeneste, om support, drift eller underleverandører kan tilgå data uden for EU og EØS.
  3. Notér moderselskabet · Slå ejeren op efter → trin 2, og notér, om den er omfattet af lov, der kan føre til anmodninger.
  4. Vælg mulighed pr. tjeneste · Notér, hvilken af de tre muligheder I bygger på, og hvad der får jer til at skifte til den første.
  5. Beskriv plan B · Peg for hver kritisk tjeneste på en løsning, der kan overtage, hvis tjenesten må stoppes, jf. → trin 7.
  6. Sæt en udløser · Skriv, hvilke hændelser der aktiverer planen, fx et påbud, et bortfaldet overførselsgrundlag eller nye vilkår.
  7. Gem dokumentationen · Vejledningen siger, at den dataansvarlige altid skal kunne dokumentere sine vurderinger over for Datatilsynet. Læg vurderingerne og plan B samme sted, så de kan opdateres samtidig, jf. → trin 10.

Hvad vejledningen kan og ikke kan

Vejledningen giver et officielt grundlag for at stille spørgsmål til leverandørerne og for at prioritere. Den viser, at fravalg af en tjeneste er en mulighed, tilsynet selv nævner.

Den er skrevet før den gældende tilstrækkelighedsafgørelse og er endnu ikke opdateret. Den handler om personoplysninger og siger intet om forretningsdata, driftsafhængighed eller pris. Den vurderer heller ikke konkrete leverandører, og den kræver ingen exit-plan.

Betydningen for exit-planen

Datatilsynets materiale gør det muligt at begrunde en plan B med myndighedens egne formuleringer. Kan en tjeneste kun bruges, så længe et overførselsgrundlag består, eller så længe en leverandør ikke udleverer data, hører den hjemme i exit-planen.

Begynd med de tjenester, hvor tilsynets første mulighed, at stoppe brugen, ville ramme hårdest. Myndigheder kan desuden hente inspiration i → Holland kræver exitplaner. En uvildig jurisdiktions- og afhængighedsvurdering kan bruges, når mange tjenester hviler på samme leverandør.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026