GDPR og leverandørkjeden – Tilgangsstyring for databehandlere (Artikkel 28)
Problemet: Tilgangsgapet i leverandørkjeden
I en stadig mer digitalisert verden benytter virksomheter i stor grad eksterne leverandører for drift, vedlikehold eller utvikling av IT-systemer. Særlig kritisk er det når leverandørene – som såkalte databehandlere – gis tilgang til systemer som inneholder personopplysninger.
Den grunnleggende utfordringen er at leverandøren har det daglige personalansvaret og kunnskapen om egne ansattes roller, mens oppdragsgiveren har det ultimate ansvaret for personopplysningene. Uten klare, gjensidige forpliktelser kan det oppstå et «tilgangsgap» – tidligere ansatte hos leverandøren, eller ansatte som har byttet interne roller, sitter fortsatt med aktive tilganger til oppdragsgivers sensitive data.
⚠ Dette er et av de mest utbredte sikkerhetsbruddene i leverandørkjeden – og et direkte brudd på GDPRs ansvarlighetsprinsipp.
Den juridiske forankringen – Databehandleravtalen (GDPR art. 28)
Kjernen i løsningen ligger i databehandleravtalen, som er lovpålagt i henhold til GDPR artikkel 28. Denne avtalen må gå lenger enn en generell henvisning til informasjonssikkerhet. Den må eksplisitt pålegge leverandøren:
- Prinsippet om minste nødvendige tilgang (need-to-know): Leverandørens ansatte skal kun ha tilgang til de opplysningene de strengt tatt trenger for å utføre sin oppgave.
- Systematisk dokumentasjon: Hvem som har hvilken tilgang, og hvorfor – dokumentert og oppdatert løpende.
- Avtalefestet meldeplikt: Leverandøren plikter å melde fra til oppdragsgiver straks en ansatts tjenstlige behov for tilgang opphører – ved oppsigelse, permittering eller endring av arbeidsoppgaver.
Den integrerte løsningen
Det juridiske fundamentet må understøttes av tekniske og organisatoriske tiltak. Den beste strategien er en kombinasjon av avtalefestet plikt og aktiv overvåking:
Internkontroll som metode for etterlevelse
Et godt styringssystem med tydelige instrukser for inngåelse av tjenesteavtaler og oppfølging av tjenesteleveranser er den rettmessige metoden for å sikre etterlevelse. Konkret betyr det:
- Instruks for inngåelse og revisjon av databehandleravtaler.
- Rutine for tildeling og terminering av leverandørtilganger.
- Periodisk internrevisjon av aktive databehandleravtaler og tilgangslister.
- Avviksprosedyre ved brudd – med varsling til Datatilsynet innen 72 timer ved alvorlige brudd (GDPR art. 33).
Oppsummering
Ved å kombinere en eksplisitt avtalefestet meldeplikt med sentralisert teknisk kontroll og kontinuerlig logging, etableres en forsvarlig sikkerhetsstruktur i tråd med GDPRs ansvarlighetsprinsipp. Den kontraktsmessige plikten sikrer at leverandøren har ansvaret for å holde orden og informere, mens oppdragsgiverens overvåking fungerer som et kontrollag som verifiserer at plikten etterleves.
Dette reduserer risikoen for urettmessig tilgang til personinformasjon til et akseptabelt nivå – og sikrer at virksomheten kan dokumentere etterlevelse overfor Datatilsynet.
Trenger du hjelp med databehandleravtaler og tilgangsstyring?
Vi bistår med utarbeidelse av databehandleravtaler, tilgangsinstrukser og GDPR-etterlevelse i leverandørkjeden.
Ta kontakt her
Svein Roar Holt
Grunnlegger av Internkontroll AS og arkitekt bak IS-modellen™ og AvvikStandard™. Spesialrådgiver innen virksomhetsstyring, regulatorisk etterlevelse og styrets personlige ansvar.
Om Svein Roar → LinkedIn →Internkontroll AS · © 2026 Svein Roar Holt · Sist revidert: 16.10.2025