Faldgruber, hændelser og officielle kilder
GDPR og sikkerhedsleverandøren: databehandleraftale, logdata og brud
Hvorfor en MSSP typisk er databehandler, hvad databehandleraftalen efter GDPR art. 28 skal indeholde, krav til sikkerhed (art. 32) og anmeldelse af brud (art. 33–34).
En leverandør af MDR, SOC eller administreret EDR ser næsten altid personoplysninger: brugernavne, IP-adresser, e-mailadresser, filnavne, logins og i nogle tilfælde indholdet af e-mails eller filer. Derfor er leverandøren typisk databehandler for jer, og der skal være en databehandleraftale efter GDPR art. 28. Aftalen skal blandt andet sikre, at leverandøren kun behandler data efter jeres instruks, har passende sikkerhed (art. 32), kun bruger godkendte underdatabehandlere, og underretter jer uden unødig forsinkelse ved et brud, så I kan anmelde til Datatilsynet inden for 72 timer (art. 33). Overførsel af logdata til lande uden for EU/EØS kræver et lovligt grundlag.
Guiden hører under faldgruber og officielle kilder. Indholdet er generel information, ikke juridisk rådgivning.
Hvilke personoplysninger ser leverandøren?
| Datakilde | Eksempler på personoplysninger |
|---|---|
| EDR på computere | Brugernavn, computernavn, programmer, filstier, processer |
| E-mail- og identitetsovervågning | E-mailadresser, loginsteder, IP-adresser, enheder |
| Firewall og netværk | IP-adresser, besøgte domæner, tidspunkter |
| SIEM med mange logkilder | Alt fra adgangskort til ERP-handlinger |
| Hændelseshåndtering | Indhold af e-mails og filer under undersøgelse |
Overvågning af medarbejdere rejser også spørgsmål om information og proportionalitet. Informér medarbejderne om, hvilken sikkerhedsovervågning der sker, og hvorfor.
Databehandleraftalen: hvad skal med (art. 28, stk. 3)
| Indhold | Hvad I skal tjekke |
|---|---|
| Genstand, varighed, formål, type af data og kategorier af registrerede | Svarer det til, hvad leverandøren faktisk gør? |
| Instruks | Behandling kun efter jeres dokumenterede instruks |
| Fortrolighed | Medarbejdere hos leverandøren har tavshedspligt |
| Sikkerhed (art. 32) | Hvilke tekniske og organisatoriske foranstaltninger? |
| Underdatabehandlere | Liste, og ret til at gøre indsigelse mod nye (art. 28, stk. 2) |
| Bistand | Hjælp ved anmodninger fra registrerede og ved brud |
| Sletning eller tilbagelevering | Hvad sker med data og logdata, når aftalen ophører? |
| Revision | Ret til kontrol eller revisionserklæring |
Datatilsynet har en standardskabelon for databehandleraftaler. Mange leverandører har deres egen aftale – sammenlign den med skabelonen.
Underdatabehandlere og overførsel
En dansk MSSP kan bruge et SOC, en cloudplatform eller et EDR-værktøj fra et andet land. Spørg:
- Hvilke underdatabehandlere bruges, og i hvilke lande?
- Hvor opbevares logdata?
- Hvem kan tilgå data fra lande uden for EU/EØS – fx support eller analytikere?
- Hvilket overførselsgrundlag bruges: en tilstrækkelighedsafgørelse (fx EU-US Data Privacy Framework for certificerede virksomheder) eller standardkontraktbestemmelser?
Retstilstanden om overførsler til tredjelande kan ændre sig. Følg Datatilsynets vejledning.
Sikkerhed efter art. 32
GDPR kræver passende sikkerhed ud fra risikoen. Art. 32 nævner bl.a. kryptering og pseudonymisering, evnen til at sikre fortrolighed, integritet, tilgængelighed og robusthed, evnen til at genoprette data rettidigt og regelmæssig test og vurdering af foranstaltningerne. Administreret overvågning, backup og penetrationstest kan alle være en del af at opfylde kravet – men det er jeres ansvar som dataansvarlig at vurdere, hvad der er passende.
Brud: fordeling af pligter
| Pligt | Hvem | Frist |
|---|---|---|
| Underrette den dataansvarlige | Leverandøren (databehandler) | Uden unødig forsinkelse (art. 33, stk. 2) |
| Anmelde til Datatilsynet | I (dataansvarlig) | Uden unødig forsinkelse og om muligt inden 72 timer (art. 33, stk. 1) |
| Underrette de registrerede | I | Uden unødig forsinkelse ved sandsynlig høj risiko (art. 34) |
| Dokumentere bruddet | I | Altid, også når der ikke anmeldes |
Anmeldelsen er ikke nødvendig, hvis det er usandsynligt, at bruddet indebærer en risiko for de registreredes rettigheder. Ved tvivl så anmeld. Kan I ikke nå at få alle oplysninger, kan anmeldelsen gives trinvis. Se ved en hændelse: hvem gør hvad.
Aftal i databehandleraftalen en konkret frist for leverandørens underretning, fx inden for 24 timer – så I har tid til at vurdere og anmelde.
Logopbevaring og dataminimering
Logdata er nyttige ved undersøgelser, men personoplysninger må ikke gemmes længere end nødvendigt. Aftal en opbevaringsperiode, der passer til formålet, og skriv den ind i aftalen. Er I omfattet af NIS2 eller andre krav, kan det påvirke, hvor længe det er rimeligt at gemme logdata. Se exit, logdata og leverandørskift.
Bøder og konsekvenser
Overtrædelse af GDPR kan i Danmark føre til bøde (databeskyttelsesloven § 41). Danmark bruger ikke administrative bøder: Datatilsynet kan politianmelde og indstille til bøde, og bøden fastsættes derefter af domstolene, medmindre virksomheden vedtager et bødeforelæg. Det kan også give påbud og krav om erstatning. Den bedste beskyttelse er en dokumenteret proces: databehandleraftale, risikovurdering og en plan for brud.
Instruksen til leverandøren
Databehandleraftalen bør have en konkret instruks, der beskriver, hvad leverandøren må gøre med data. For en sikkerhedsydelse kan den fx sige:
- at logdata kun må bruges til at opdage, analysere og håndtere sikkerhedshændelser for jer,
- at indholdet af e-mails og filer kun må undersøges i forbindelse med en konkret hændelse og efter aftalte regler,
- hvilke typer logdata der indsamles, og fra hvilke systemer,
- hvor længe data opbevares, og hvornår de slettes,
- at data ikke må bruges til træning af leverandørens egne produkter uden særskilt aftale.
En præcis instruks gør det lettere at informere medarbejderne og at dokumentere, at behandlingen er proportional.
Ofte stillede spørgsmål
Er en MSSP altid databehandler?
Typisk ja, fordi den behandler personoplysninger på jeres vegne. Behandler leverandøren data til egne formål, fx forbedring af egne produkter, kan den være selvstændigt dataansvarlig for den del. Det skal fremgå af aftalen.
Skal vi lave en konsekvensanalyse?
Ved omfattende overvågning af medarbejdere eller behandling af følsomme data kan en konsekvensanalyse (DPIA) være påkrævet. Se Datatilsynets vejledning.
Kan vi bruge leverandørens standardaftale?
Ja, hvis den opfylder art. 28. Gennemgå især underdatabehandlere, overførsel, sletning og frist for underretning ved brud.
Kilder
- Datatilsynet – skabelon til databehandleraftale og anmeldelse af brud
- EUR-Lex – databeskyttelsesforordningen (GDPR), art. 28 og 32–34
- Retsinformation – databeskyttelsesloven (LBK nr. 289 af 8. marts 2024), § 41
