Ifølge Datatilsynets vejledning om cloud skal den dataansvarlige kende hele kæden af leverandører, og at tjenester, hvor de nødvendige sikkerhedsforanstaltninger ikke kan gennemføres, fravælges. For driften betyder det et kort over, hvor persondata ligger og hvem der kan tilgå dem, og en arkitektur, der kan undvære en tjeneste, hvis den må fravælges.
Vejledningen er fra marts 2022. Datatilsynet har pr. 8. november 2026 skrevet på sin side om cloud, at siden skal opdateres efter den nye afgørelse om USA. Der står ingen dato. Artiklen gengiver vejledningen forenklet og handler om de dele, der rammer drift og arkitektur.
Hvad vejledningen er, og hvad den ikke dækker
Vejledningen handler om behandling af personoplysninger i cloud efter databeskyttelsesforordningen. Den er skrevet til den dataansvarlige. Den er ingen vejledning om leverandørskift og nævner hverken ordet exit eller exitstrategi. Det er behandlet på exit-plan.dk.
Aftalen med leverandøren om behandling af persondata hører også med. Denne artikel ser på placering og opbygning af systemerne.
Overblik over hele kæden
Kravet om at kende hele leverandørkæden fra Datatilsynets cloudside bliver hurtigt praktisk. For en driftsansvarlig er det en konkret opgave. For hvert system, der behandler persondata, skal I kunne svare på, hvilken udbyder det kører hos, i hvilke lande data ligger, hvilke underleverandører der indgår, og hvem der kan få adgang til data, også til support.
Den opgave er sværere i en arkitektur med mange tjenester. Et system, der bruger virtuelle servere, en administreret database, en tjeneste til logning og en tjeneste til e-mail, kan have fire forskellige kæder af underleverandører. Hver af dem skal med i overblikket. Det taler for at holde antallet af tjenester, der rører persondata, nede, og for at vide, hvilke tjenester der gør det.
Standardydelser og fravalg af tjenester
Ifølge siden udelukker en standardydelse med en standardaftale ikke i sig selv brugen. Visse tjenester kan dog skulle vælges fra. Vejledningen forklarer, at det sker, når de tekniske sikringer, der skal til, ikke lader sig gennemføre, og at det især gælder SaaS.
For en arkitekt er fravalg et designkrav. Hvis en tjeneste i jeres løsning viser sig at være uegnet til persondata, skal den kunne erstattes uden at resten af systemet falder. Det kræver, at I ved, hvilke tjenester der bærer persondata, og at de ikke er vævet tættere ind i systemet end nødvendigt.
På infrastrukturniveau kan I have flere greb end ved SaaS. I styrer selv styresystem, kryptering og adgang på virtuelle servere. Ved administrerede tjenester og programmer som tjeneste overtager udbyderen mere, og så afhænger det af udbyderens muligheder. Det er vores læsning af vejledningens skel og af, hvem der styrer hvad i de forskellige tjenesteformer.
Når data skal ud igen
Vejledningens tjekliste, s. 13, spørgsmål j, spørger, om cloudleverandøren kan slette eller tilbagelevere personoplysningerne, når behandlingen ophører. Det er vejledningens direkte forbindelse til ophør.
For driften betyder det, at I skal vide, hvordan data kommer ud af hver tjeneste, og hvordan I får bekræftet, at de er slettet bagefter. Det gælder også sikkerhedskopier og logfiler hos udbyderen. Svarene hører hjemme i dokumentationen for systemet.
Ejerskifte hos leverandøren
Vejledningen nævner, at ejerskifte, opkøb, fusion og ændret strategi hos databehandleren kan pege på et behov for ekstra tilsyn. I infrastruktur sker det, når en hostingleverandør eller et datacenter bliver solgt. Det tekniske, der kan ændre sig ved et salg, står i Datacentret eller hostingleverandøren bliver solgt.
Adgang fra tredjeland
Samme side regner al behandling uden for EU som overførsel, og det gælder også, når nogen alene kan se data. Det rammer supportmodeller hos udbydere, der har medarbejdere uden for EU. Konsekvensen for driftens opsætning står i Fjernadgang er også en overførsel.
Hvad det kræver, og hvad det koster at lade være
Overblikket over kæden tager en halv til en hel dag pr. system, hvis udbyderne oplyser deres underleverandører. Markeringen af, hvilke tjenester der bærer persondata, tager en arkitekt nogle timer pr. system. Begge dele kan genbruges i jeres fortegnelse og i risikovurderingen.
Lader I være, opdager I først behovet for at fravælge en tjeneste, når den allerede bærer systemet. Så kræver fravalget en ombygning. Og ved et tilsyn kan I ikke vise det overblik over kæden, som tilsynet beder om.
Det skal I lade være med
- At vente på den opdaterede vejledning · den gældende fra 2022 står ved magt, til en ny foreligger.
- At bygge persondata ind i mange tjenester · hver tjeneste er en kæde mere at overskue.
- At glemme backup og logs ved sletning · de er også persondata hos udbyderen.
Det skal valget kunne vise
- ☐ Pr. system: udbyder, lande, underleverandører og adgang.
- ☐ Hvilke tjenester der bærer persondata.
- ☐ Hvordan data tilbageleveres og slettes, også i kopier.
- ☐ Hvilken tjeneste der kan afløse en, der må fravælges.
Kilder
- Datatilsynet, Vejledning om cloud, marts 2022: s. 10 og s. 13.
- Datatilsynet, siden Cloud: læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg ét system med persondata, og tegn kæden fra jeres brugere til den sidste underleverandør.
Læs også: Kontrolplanen · Ansvarsdeling på en europæisk platform
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
