Den dag, en organisation vil ud af en kontrakt, har den typisk mindst forhandlingskraft. Trinnet hviler på, at vilkårene for udlevering, varsel, overgang og sletning skrives ind, mens leverandøren stadig gerne vil have jer som kunde.
Alternativerne fra → Trin 7 er nu vurderet. Her sikrer I, at den løsning, I vælger, eller den kontrakt, I fornyer, har en beskrevet vej ud.
Når kontrakten er slut, er data det ikke nødvendigvis
Patientportalen Manage My Health i New Zealand blev ramt af et brud, som selskabet meldte til den newzealandske Privacy Commissioner 1. januar 2026. Ifølge Kommissærens sammenfatning af første fase blev oplysninger om 99.416 patienter stjålet. Kommissæren fandt, at både selskabet og sundhedsmyndigheden Health NZ havde overtrådt reglerne om rimelige sikkerhedsforanstaltninger.
Sagen har en side, der vedrører exit. Selskabets direktør, Vino Ramayah, forklarede over for RNZ den 7. januar 2026, at data først slettes, når patienten selv lukker sin konto. Det gælder også, når lægepraksissen er holdt op med at bruge portalen.
Kommissærens anden fase skal undersøge, hvordan oplysninger blev opbevaret og slettet, fx når en praksis stopper med at bruge portalen. Konklusionen på det punkt foreligger ikke endnu. Sagen viser alligevel, hvorfor sletning ved ophør skal stå i kontrakten frem for at bygge på en antagelse.
Fremgangsmåden
- Find kontraktens nuværende exit-vilkår · Notér opsigelsesvarsel, bindingsperiode, automatisk forlængelse og eventuelle bestemmelser om udlevering og sletning.
- Afgør, om Data Act gælder · Er tjenesten en cloudtjeneste i forordningens forstand, har I en række lovbestemte rettigheder at henvise til.
- Beskriv data og format · Lav en udtømmende liste over de data, konfigurationer og logfiler, der skal udleveres, og i hvilket format.
- Fastlæg varsel og overgangsperiode · Skriv, hvor lang tid leverandøren har til at forberede sig, og hvor længe tjenesten kører videre under skiftet.
- Aftal bistand · Beskriv, hvilken hjælp leverandøren yder under overgangen, og om den er indeholdt i prisen.
- Kræv dokumenteret sletning · Aftal en skriftlig bekræftelse på sletning efter en fast frist, også i backup.
- Læg exit-planen som bilag · Henvis til jeres egen exit-plan, så leverandøren kender den og har pligt til at bidrage.
Rækkefølgen kan bruges både ved nye kontrakter og ved fornyelse. Det er ved fornyelsen, at de fleste eksisterende kontrakter kan rettes.
Hvad Data Act allerede kræver af cloudkontrakter
For cloudtjenester stiller dataforordningen en række mindstekrav. Artikel 25 kræver, at kundens rettigheder ved skift fremgår af en skriftlig aftale, som kunden får inden underskrift.
Aftalen skal blandt andet indeholde en opsigelsesfrist på højst to måneder og en overgangsperiode på højst 30 kalenderdage, hvor aftalen fortsat gælder. Den skal også rumme en udtømmende liste over de data og digitale aktiver, der kan flyttes, og en udtræksperiode på mindst 30 kalenderdage bagefter. Artikel 25, stk. 2, litra b, pålægger udbyderen at støtte kundens exitstrategi.
Er 30 dage teknisk umuligt, skal udbyderen begrunde det inden for 14 arbejdsdage. Udbyderen kan da fastsætte en alternativ periode på højst syv måneder (artikel 25, stk. 4). Fra 12. januar 2027 må der ikke opkræves skiftegebyrer (artikel 29, stk. 1). Den samlede gennemgang står i → Data Act.
Kontrakter, som Data Act ikke dækker
Forordningens regler om skift gælder databehandlingstjenester. Licenssoftware, der kører på jeres egne servere, klassisk outsourcing og systemer, der er udviklet til jer alene, ligger helt eller delvist uden for. For dem afgør kontrakten alt.
Selv inden for forordningen er der undtagelser. Artikel 31 gælder tjenester, der i overvejende grad er skræddersyet til én kunde og ikke tilbydes i stor kommerciel målestok. De er fritaget fra blandt andet reglerne om skiftegebyrer. Udbyderen skal oplyse om sådanne undtagelser, før aftalen indgås. Bed om den oplysning skriftligt, og læg den ved kontrakten.
Finanssektorens DORA-forordning giver en brugbar model. Artikel 28, stk. 8, pålægger finansielle enheder at have exitstrategier for IKT-tjenester, der understøtter kritiske eller vigtige funktioner. Exitplanerne skal være veldokumenterede, testet i tilstrækkeligt omfang og gennemgået regelmæssigt.
Artikel 30, stk. 3, litra f, kræver, at kontrakter om sådanne tjenester indeholder en obligatorisk passende overgangsperiode. I den periode leverer leverandøren fortsat tjenesten, så kunden kan flytte til en anden udbyder eller til egne løsninger. Kravet gælder kun finansielle enheder, men opbygningen kan bruges af alle.
Den hollandske stat kræver siden juli 2026 en exitplan ved væsentlig cloudbrug, der også dækker en tjeneste, som pludselig forsvinder. Politikken er gennemgået i → Holland kræver exitplaner.
Dataudlevering: hvilke data, hvilket format, hvilke adgange
Listen over data skal være konkret. Den bør omfatte selve indholdet, metadata, konfigurationer, brugere og rettigheder, logfiler og historik. Skriv formatet ud for hver kategori, og foretræk åbne, dokumenterede formater. Hvorfor formatet binder, er beskrevet i → Dokumentformater som binding.
Adgange og konti hører med. Domæner, annoncekonti, administratorkonti hos tredjeparter og certifikater bør være registreret i organisationens eget navn. Leverandøren får en delegeret adgang, der kan trækkes tilbage.
Aftal også en prøveudlevering. En eksport, der er afprøvet én gang i kontraktperioden, giver langt mere sikkerhed end en bestemmelse, ingen har testet.
Varsel og overgangsperiode
Varslet er den tid, leverandøren har til at forberede skiftet. Overgangsperioden er den tid, hvor tjenesten fortsat kører med fuld drift og sikkerhed, mens data flyttes. Begge skal stå med antal dage og med et tydeligt startpunkt.
Skriv, hvad der sker, hvis overgangen trækker ud. Data Act giver kunden ret til at forlænge overgangsperioden én gang (artikel 25, stk. 5). Uden for forordningen skal den ret forhandles.
Se samtidig på bindingsperiode og automatisk forlængelse. Et kort skiftevarsel hjælper lidt, hvis opsigelsen kun kan ske én gang om året. Vilkår, som leverandøren kan ændre undervejs, er beskrevet i → Vilkår, der ændres ensidigt.
Sletning, der kan dokumenteres
Data Act kræver en bestemmelse om fuldstændig sletning af kundens eksporterbare data efter udtræksperioden (artikel 25, stk. 2, litra h). Kontrakten bør beskrive, hvordan sletningen dokumenteres, og hvornår bekræftelsen sendes.
Spørg specifikt til backup og arkiv. Data kan ligge i sikkerhedskopier i måneder efter, at de er slettet i det aktive system. Notér leverandørens frister for begge dele. Backupspørgsmålet er uddybet i → Backup hos samme udbyder.
Sæt en påmindelse i kalenderen til at bede om bekræftelsen. En klausul, ingen følger op på, ændrer ikke, hvor data ligger.
Typiske fejl
- Exit forhandles først ved opsigelsen · på det tidspunkt har leverandøren ingen grund til at give indrømmelser.
- Data beskrives som alle data · uden en liste over kategorier og formater er det uklart, hvad der skal udleveres.
- Bistand under overgangen er ikke prissat · timerne faktureres så efter leverandørens almindelige satser.
- Sletning antages · uden krav om skriftlig bekræftelse kan data blive liggende, også efter at samarbejdet er slut.
- Konti oprettes i leverandørens navn · adgangen forsvinder med samarbejdet.
Hvad trinnet kan og ikke kan vise
Trinnet kan give jer en skriftlig ret til data, tid og bistand, når I vil skifte. Det giver også et grundlag for at beregne, hvad et skifte koster, jf. → Trin 5.
Trinnet kan ikke sikre, at en leverandør, der lukkes ned, sanktioneres eller går konkurs, kan opfylde kontrakten. Det flytter heller ikke integrationer eller omskriver kode. Kontrakten vurderes juridisk af jurister, og artiklen erstatter ikke den vurdering.
Statens standardkontrakter har egne bestemmelser om ophørsbistand og dataudlevering. De gennemgås i → Exit i statens standardkontrakter.
Tjekliste
- ☐ Opsigelsesvarsel, binding og automatisk forlængelse er noteret for hver kontrakt.
- ☐ Det er afklaret, om Data Act gælder for tjenesten.
- ☐ Der er en udtømmende liste over data og formater.
- ☐ Varsel og overgangsperiode står med antal dage og startpunkt.
- ☐ Bistand under overgangen er beskrevet og prissat.
- ☐ Sletning, også i backup, skal bekræftes skriftligt efter en fast frist.
- ☐ Domæner, konti og certifikater er registreret i organisationens eget navn.
- ☐ En prøveudlevering er gennemført eller aftalt.
Næste trin
Med vilkårene på plads planlægges selve skiftet i → Trin 9: Gennemfør overgangen med parallel drift, test og tilbagefald.
Har organisationen mange kontrakter, der skal gennemgås før fornyelse, kan en uvildig gennemgang vise, hvor exit-vilkårene mangler. Nielco IT’s hjælp til exit-planen omfatter blandt andet de vilkår om opsigelse, dataudlevering og sletning, der bør forhandles ved næste fornyelse.
Kilder
- Den Europæiske Unions Tidende (EUR-Lex): Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 (dataforordningen), artikel 25 og 29. https://eur-lex.europa.eu/eli/reg/2023/2854/oj/dan
- Den Europæiske Unions Tidende (EUR-Lex): Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor (DORA), artikel 28, 30 og 64. https://eur-lex.europa.eu/eli/reg/2022/2554/oj/dan
- Office of the Privacy Commissioner, New Zealand: Executive summary, Manage My Health phase one report, 25. maj 2026. https://www.privacy.org.nz/focus-areas/manage-my-health-inquiry/executive-summary-manage-my-health-phase-one/
- RNZ: Ex-users’ data may have been stolen in Manage My Health breach, 7. januar 2026. https://www.rnz.co.nz/news/national/583398/ex-users-data-may-have-been-stolen-in-manage-my-health-breach
