Vejle Rejser

xxx.xxx.xx

Vejle Rejser

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Uafhængig revisors ISAE 3000-erklæ- ring om informationssikkerhed og for- anstaltninger for perioden fra 1. sep- tember 2020 til 31. december 2021 i henhold til databehandleraftale med kunder

Maj 2022

Indholdsfortegnelse

1. Ledelsens udtalelse 3

2. Uafhængig revisors erklæring 5

3. Beskrivelse af behandling 8

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

4. Kontrolmål, kontrolaktivitet, test og resultat heraf 11

1. Ledelsens udtalelse

Vejle Rejser behandler personoplysninger på vegne af kunder i henhold til databehandleraftaler.

Medfølgende beskrivelse er udarbejdet til brug for kunder, der har anvendt bookingydelser hos Vejle Rej- ser, og som har en tilstrækkelig forståelse til at vurdere beskrivelsen sammen med anden information, her- under information om kontroller, som den dataansvarlige selv har udført ved vurdering af, om kravene i EU's forordning om ”Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger” og ”Lov om supplerende bestemmelser til forordning om beskyt- telse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af så- danne oplysninger” (herefter ”databeskyttelsesreglerne”) er overholdt.

Vejle Rejser anvender Umbrella AG som underdatabehandler til udvikling og vedligeholdelse af applikatio- nen Umbrella. Erklæringen anvender partielmetoden og omfatter ikke kontroller, som Umbrella AG vare- tager for Vejle Rejser.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Vejle Rejser bekræfter, at:

a) Den medfølgende beskrivelse i afsnit 3 giver en tilfredsstillende præsentation af bookingydelser hos Vejle Rejser, der har behandlet personoplysninger for dataansvarlige omfattet af databeskyttelsesreg- lerne i hele perioden fra 1. september 2020 til 31. december 2021. Kriterierne anvendt for at give denne udtalelse var, at den medfølgende beskrivelse:

(i) Redegør for, hvordan informationssikkerhed og foranstaltninger i relation til bookingydelser hos Vejle Rejser var udformet og implementeret, herunder redegør for:

 De typer af ydelser, der er leveret, herunder typen af behandlede personoplysninger

 De processer i både it-systemer og manuelle systemer, der er anvendt til at igangsætte, regi- strere, behandle og om nødvendigt korrigere, slette og begrænse behandling af personoplys- ninger

 De processer, der er anvendt for at sikre, at den foretagne databehandling er sket i henhold til kontrakt, instruks eller aftale med den dataansvarlige

 De processer, der sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt

 De processer, der ved ophør af databehandling sikrer, at der efter den dataansvarliges valg sker sletning eller tilbagelevering af alle personoplysninger til den dataansvarlige, medmindre lov eller regulering foreskriver opbevaring af personoplysningerne

 De processer, der i tilfælde af brud på persondatasikkerheden understøtter, at den dataansvar- lige kan foretage anmeldelse til tilsynsmyndigheden samt underretning af de registrerede

 De processer, der sikrer passende tekniske og organisatoriske sikkerhedsforanstaltninger for behandlingen af personoplysninger under hensyntagen til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde be- handlet

 Kontroller, som vi med henvisning til bookingydelser hos Vejle Rejsers afgrænsning har forud- sat ville være implementeret af den dataansvarlige, og som, hvis det er nødvendigt for at nå de kontrolmål, der er anført i beskrivelsen, er identificeret i beskrivelsen

 Andre aspekter ved vores kontrolmiljø, risikovurderingsproces, informationssystem b(herun- der de tilknyttede forretningsgange) og kommunikation, kontrolaktiviteter og overvågnings- kontroller, som har været relevante for behandlingen af personoplysninger

(ii) Indeholder relevante oplysninger om ændringer i databehandlerens bookingydelser hos Vejle Rej- ser til behandling af personoplysninger foretaget i perioden fra 1. september 2020 til 31. december 2021

(iii) Ikke udelader eller forvansker oplysninger, der er relevante for omfanget af de beskrevne booking- ydelser hos Vejle Rejser til behandling af personoplysninger under hensyntagen til, at beskrivelsen er udarbejdet for at opfylde de almindelige behov hos en bred kreds af dataansvarlige og derfor ikke kan omfatte ethvert aspekt ved bookingydelser hos Vejle Rejser, som den enkelte dataansvar- lige måtte anse vigtigt efter sine særlige forhold.

b) De kontroller, der knytter sig til de kontrolmål, der er anført i medfølgende beskrivelse, var hensigts- mæssigt udformet og fungerede effektivt i hele perioden fra 1. september 2020 til 31. december 2021. Kriterierne anvendt for at give denne udtalelse var, at:

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

(i) De risici, der truede opnåelsen af de kontrolmål, der er anført i beskrivelsen, var identificeret

(ii) De identificerede kontroller ville, hvis udført som beskrevet, give høj grad af sikkerhed for, at de pågældende risici ikke forhindrede opnåelsen af de anførte kontrolmål, og

(iii) Kontrollerne var anvendt konsistent som udformet, herunder at manuelle kontroller blev udført af personer med passende kompetence og beføjelse i hele perioden fra 1. september 2020 til 31. de- cember 2021.

c) Der er etableret og opretholdt passende tekniske og organisatoriske foranstaltninger med henblik på at opfylde aftalerne med de dataansvarlige, god databehandlerskik og relevante krav til databehandlere i henhold til databeskyttelsesreglerne.

Vejle, den 3. maj 2022

Xxx Xxxxxxxx CEO

2. Uafhængig revisors erklæring

Uafhængig revisors ISAE 3000-erklæring med sikkerhed om informationssikkerhed og for- anstaltninger for perioden fra 1. september 2020 til 31. december 2021 i henhold til databe- handleraftale med kunder

Til: Vejle Rejser og Vejle Rejsers kunder

Omfang

Vi har fået som opgave at afgive erklæring om Vejle Rejsers beskrivelse i afsnit 3 af deres bookingydelser hos Vejle Rejser i henhold til databehandleraftale med kunder i hele perioden fra 1. september 2020 til 31. december 2021 (beskrivelsen) og om udformningen og funktionen af kontroller, der knytter sig til de kon- trolmål, som er anført i beskrivelsen.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nærværende erklæring omfatter, om Vejle Rejser har udformet og effektivt udført hensigtsmæssige kon- troller, der knytter sig til de kontrolmål, der fremgår af afsnit 4. Erklæringen omfatter ikke en vurdering af Vejle Rejsers generelle efterlevelse af kravene i EU's forordning om ”Beskyttelse af fysiske personer i for- bindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger” og ”Lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger” (herefter ”databeskyttelsesreglerne”).

Vejle Rejser anvender Umbrella AG som underdatabehandler til udvikling og vedligeholdelse af applikatio- nen Umbrella. Erklæringen anvender partielmetoden og omfatter ikke kontroller, som Umbrella AG vare- tager for Vejle Rejser.

Vores konklusion udtrykkes med høj grad af sikkerhed.

Vejle Rejsers ansvar

Vejle Rejser er ansvarlig for udarbejdelsen af beskrivelsen og tilhørende udtalelse i afsnit 1, herunder fuld- stændigheden, nøjagtigheden og måden, hvorpå beskrivelsen og udtalelsen er præsenteret; for leveringen af de ydelser, beskrivelsen omfatter, for at anføre kontrolmålene samt for at udforme og effektivt udføre kontroller for at opnå de anførte kontrolmål.

Revisors uafhængighed og kvalitetsstyring

Vi har overholdt kravene til uafhængighed og andre etiske krav i International Ethics Standards Board for Accountants’ internationale retningslinjer for revisorers etiske adfærd (IESBA Code), der bygger på de grundlæggende principper om integritet, objektivitet, professionel kompetence og fornøden omhu, fortro- lighed og professionel adfærd, samt etiske krav gældende i Danmark.

PricewaterhouseCoopers er underlagt international standard om kvalitetsstyring, ISQC 1, og anvender og opretholder således et omfattende kvalitetsstyringssystem, herunder dokumenterede politikker og proce- durer vedrørende overholdelse af etiske krav, faglige standarder og krav ifølge lov og øvrig regulering.

Revisors ansvar

Vores ansvar er på grundlag af vores handlinger at udtrykke en konklusion om Vejle Rejsers beskrivelse samt om udformningen og funktionen af de kontroller, der knytter sig til de kontrolmål, der er anført i denne beskrivelse.

Vi har udført vores arbejde i overensstemmelse med ISAE 3000 (ajourført), ”Andre erklæringer med sik- kerhed end revision eller review af historiske finansielle oplysninger”, og de yderligere krav, der er gæl- dende i Danmark, med henblik på at opnå høj grad af sikkerhed for, at beskrivelsen i alle væsentlige hense- ender er tilfredsstillende præsenteret, og at kontrollerne i alle væsentlige henseender er hensigtsmæssigt udformet og fungerer effektivt.

PricewaterhouseCoopers Statsautoriseret Revisionspartnerselskab, CVR-nr. 33 77 12 31

Xxxxxxxxxxx 00, 0000 Xxxxxxxx

T: 3945 3945, F: 3945 3987, xxx.xxx.xx

En erklæringsopgave med sikkerhed om at afgive erklæring om beskrivelsen, udformningen og funktionali- teten af kontroller hos en databehandler omfatter udførelse af handlinger for at opnå bevis for oplysnin- gerne i databehandlerens beskrivelse af deres bookingydelser samt for kontrollernes udformning og funkti- onalitet. De valgte handlinger afhænger af revisors vurdering, herunder vurderingen af risiciene for, at be- skrivelsen ikke er tilfredsstillende præsenteret, og at kontrollerne ikke er hensigtsmæssigt udformet eller ikke fungerer effektivt. Vores handlinger har omfattet test af funktionaliteten af sådanne kontroller, som vi anser for nødvendige for at give høj grad af sikkerhed for, at de kontrolmål, der er anført i beskrivelsen, blev opnået. En erklæringsopgave med sikkerhed af denne type omfatter endvidere vurdering af den sam- lede præsentation af beskrivelsen, egnetheden af de heri anførte mål samt egnetheden af de kriterier, som databehandleren har specificeret og beskrevet i ledelsens udtalelse.

Det er vores opfattelse, at det opnåede bevis er tilstrækkeligt og egnet til at danne grundlag for vores kon- klusion.

Begrænsninger i kontroller hos en databehandler

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Vejle Rejsers beskrivelse er udarbejdet for at opfylde de almindelige behov hos en bred kreds af dataan- svarlige og omfatter derfor ikke nødvendigvis alle de aspekter ved bookingydelser, som hver enkelt dataan- svarlig måtte anse for vigtige efter sine særlige forhold. Endvidere vil kontroller hos en databehandler som følge af deres art muligvis ikke forhindre eller opdage alle brud på persondatasikkerheden. Herudover er fremskrivningen af enhver vurdering af funktionaliteten til fremtidige perioder undergivet risikoen for, at kontroller hos en databehandler kan blive utilstrækkelige eller svigte.

Konklusion

Vores konklusion er udformet på grundlag af de forhold, der er redegjort for i denne erklæring. De krite- rier, vi har anvendt ved udformningen af konklusionen, er de kriterier, der er beskrevet i ledelsens udta- lelse. Det er vores opfattelse,

a) at beskrivelsen af informationssikkerhed og foranstaltninger i relation til bookingydelser hos Vejle Rejser, således som det var udformet og implementeret i hele perioden fra 1. september 2020 til 31. december 2021, i alle væsentlige henseender er tilfredsstillende præsenteret, og

b) at kontrollerne, som knytter sig til de kontrolmål, der er anført i beskrivelsen, i alle væsentlige hense- ender var hensigtsmæssigt udformet i hele perioden fra 1. september 2020 til 31. december 2021, og

c) at de testede kontroller, som var de kontroller, der var nødvendige for at give høj grad af sikkerhed for, at kontrolmålene i beskrivelsen blev opnået i alle væsentlige henseender, har fungeret effektivt i hele perioden fra 1. september 2020 til 31. december 2021.

Beskrivelse af test af kontroller

De specifikke kontroller, der blev testet, samt arten, den tidsmæssige placering og resultaterne af disse test fremgår af afsnit 4.

Tiltænkte brugere og formål

Denne erklæring og beskrivelsen af test af kontroller i afsnit 4 er udelukkende tiltænkt dataansvarlige, der har anvendt Vejle Rejsers bookingydelse og som har en tilstrækkelig forståelse til at overveje den sammen med anden information, herunder information om kontroller, som de dataansvarlige selv har udført, ved vurdering af om kravene i databeskyttelsesreglerne er overholdt.

Aarhus, den 3. maj 2022 PricewaterhouseCoopers Statsautoriseret Revisionspartnerselskab CVR-nr. 33 77 12 31

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Xxxxxx Xxxxxxxx Xxxxxx statsautoriseret revisor mne26801

3. Beskrivelse af behandling

Indledning og omfang

Vejle Rejser er en dansk leverandør af forretningsrejser og er i sit virke dataansvarlig for selve formidlin- gen, imens Vejle Rejser optræder som databehandler for opretholdelse og vedligeholdelse af et profilsystem til håndtering af de rejsendes dokumenter og ønsker.

Databehandlingen ifm. profilsystemet omfatter følgende typer af personoplysninger om de registrerede:

Almindelige personoplysninger samt følsomme oplysninger, som måske kan tolkes som religiøs overbevis- ning, samt helbredsoplysninger, som er nødvendige for korrekt håndtering af VR Travels leverandørers transport- hotel eller billejeydelser.

Hvordan behandler vi data?

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Vejle Rejser udfører som databehandler kun behandling af personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som Vejle Rejser er underlagt. I disse tilfælde underretter Vejle Rejser den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vig- tige samfundsmæssige interesser.

Som databehandler underretter Vejle Rejser omgående den dataansvarlige, hvis en instruks efter Vejle Rej- sers mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU- ret eller medlemsstaternes nationale ret.

Som databehandler sikrer Vejle Rejser, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne lukkes derfor straks ned, hvis autorisationen fratages eller udløber.

Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde Vejle Rejsers forpligtelser over for den dataansvarlige.

Som databehandler sikrer Vejle Rejser, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.

Der foretages en overordnet risikovurdering med kortlægning af alle de risici, behandlingen medfører, og en kategorisering (scoring, sandsynlighed og alvorlighed) heraf. Dette suppleres med en vurdering af, hvad der er passende tekniske og organisatoriske foranstaltninger til at sørge for, at forordningen overholdes, og at dette kan dokumenteres.

Som databehandler kan Vejle Rejser efter anmodning fra den dataansvarlige påvise, at de relevante medar- bejdere er underlagt ovennævnte tavshedspligt.

Som databehandler iværksætter Vejle Rejser alle de relevante tekniske og organisatoriske kontrolforan- staltninger, som kræves i henhold til databeskyttelsesforordningens artikel 32, hvoraf det bl.a. fremgår, at der under hensyntagen til det aktuelle niveau, implementeringsomkostningerne og den pågældende be- handlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføres passende tekniske og organisatori- ske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.

Ovenstående forpligtelse indebærer, at Vejle Rejser som databehandler skal foretage en risikovurdering og herefter gennemføre foranstaltninger for at imødegå identificerede risici. Der kan herunder bl.a., alt efter hvad der er relevant, være tale om følgende foranstaltninger:

 Pseudonymisering og kryptering af personoplysninger.

 Evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssy- stemer og -tjenester.

 Evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse.

 En procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

Hvilke krav er gældende ved brug af underdatabehandlere?

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Vejle Rejser har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere. Vejle Rejser skal dog indhente godkendelse hos den dataansvarlige om eventuelle planlagte ændringer vedrø- rende tilføjelse eller erstatning af andre underdatabehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer. En sådan underretning skal være den dataansvarlige i hænde minimum 2 måneder før anvendelsen eller ændringen skal træde i kraft. Såfremt den dataansvarlige har indsigelser mod ændringerne, skal den dataansvarlige give meddelelse herom til Vejle Rejser inden 1 måned efter modtagelsen af underretningen. Den dataansvarlige kan alene gøre indsigelse, såfremt den da- taansvarlige har rimelige, konkrete årsager hertil.

Hvordan bruger vi underleverandører?

Vejle Rejser har outsourcet udvikling og vedligehold af profiladministrations-applikationen til Umbrella Organisation U & O AG. Der foreligger kontrakter og operationelt framework, som er grundlaget for samar- bejdet mellem Vejle Rejser og Umbrella Organisation U & O AG. Det er reguleret via Appendix 5 to the Ge- neral Contractual Terms and Conditions for Ubrella Faces punkt hovedkontrakten pkt. 6, i hvilket omfang og under hvilke betingelser UMBRELLA ORGANISATION U & O AG kan anvende underleverandører.

Subcontractor

6.1 The Data Processor may engage his own affiliated companies or other sub-contractors for the performance of the contract under the following conditions:

6.1.1 The Data Processor will select the subcontractor with care and must ensure, prior to the appointment that the subcontractor is capable of complying with the terms agreed between the Data Controller and the Data Pro- cessor.

6.1.2 Prior to any appointment and in regular intervals (for the duration of any subcontract) thereafter, the Data Processor must ascertain that the technical and organizational measures the subcontractor adopts to protect data are implemented.

6.1.3 The Data Processor must procure that the subcontractor is also bound by the provisions hereof as well as any additional Data Controller direction, and it will ensure compliance with any related duties on a regular basis+

6.1.4 In case the Data Processor appoints a Third Party as subcontractor, Data Processor will inform Data Controller about such appointment.

6.2 Subcontractor in the meaning of this Article does not include ancillary services ordered by the Data Processor from third parties to assist in the performance of the commission. These may be e.g. telecommunications services, maintenance and user support, cleaning, auditing or the disposal of data media. To safeguard the protection and security of the Data Controller’s data, even where ancillary services are taken from third parties, the Data Processor must however conclude adequate and lawful contractual agreements and undertake moni- toring activities.

Hvilke krav om revisionserklæring er der til vores underleverandører?

Underleverandøren skal hvert år indhente en erklæring fra et godkendt revisionsselskab angående underle- verandørens implementering af egne retningslinjer samt tilstrækkeligheden heraf i forhold til at sikre for- trolighed, integritet og tilgængelighed af de behandlede persondata. Erklæringen skal udarbejdes på grund- lag af en anerkendt standard for sådanne erklæringer. Erklæringen skal sendes til Vejle Rejser senest den

31. december for det foregående år. Erklæringen skal altid bilægges en liste med observationer og væsent- lighed samt underleverandørens kommentarer og tidsfrist for udbedring. Såfremt der ingen observationer har været, skal dette fremgå eksplicit af erklæringen.

Hvad er Vejle Rejsers organisering ift. persondata-compliance?

Vejle Rejser har en arbejdsgruppe bestående af en person fra it-afdelingen, den administrerende direktør samt en tilknyttet ekstern jurist/DPO, som månedligt mødes for at evaluere Vejle Rejsers virke i forhold til persondata-compliance.

Ansvar for at leve op til reglerne

Det er ledelsen i Vejle Rejser, der har ansvaret for, at medarbejderne lever op til reglerne. Dette gøres ved at instruere medarbejderne i de retningslinjer, som udstikkes fra ledelsen på baggrund af ændringer i lov- givningen samt i it-tekniske tiltag for at forebygge fejl.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Datafortegnelsen (hvoraf det fremgår, hvilke persondata de enkelte afdelinger har, og hvordan afdelingen lever op til kravene) og it-systemoversigten (med alle systemer og applikationer med persondata) udgør en væsentlig del af afdelingens og Vejle Rejsers dokumentation. Vejle Rejsers samlede datafortegnelse skal til enhver tid ligge klar til udlevering til Datatilsynet. Herudover er det bl.a. arbejdsgruppens opgave at over- våge de kontroller, der skal sikre, at Vejle Rejser efterlever reglerne.

Hvordan håndteres brud på persondatasikkerheden?

Brud på persondatasikkerheden håndteres lokalt i Vejle Rejser i arbejdsgruppen, som sikrer efterfølgende relevant kommunikation vedr. sikkerhedsbrud til den dataansvarlige samt til Datatilsynet. Ansvaret for håndteringen af interessenter og efterfølgende information til de registrerede ligger hos Vejle Rejsers admi- nistrerende direktør.

Hvordan yder vi bistand til de datasansvarlige i relation til de registreredes rettigheder?

Vejle Rejser yder bistand til de dataansvarlige i relation til henvendelser fra de registrerede ved hjælp af standardsvar til de registrerede mht. rettigheder. Det drejer sig bl.a. om svar vedrørende henvendelser om ret til at få fejlagtige oplysninger rettet, ret til at få oplysninger slettet, ret til indsigelse i forhold til vores behandling af data etc.

Hvordan håndterer vi henvendelser vedr. GDPR?

Henvendelser vedr. GDPR håndteres af Vejle Rejsers datagruppe. Datagruppen er kontaktpunkt for alle henvendelse. Sagerne registreres i Risma, der bruges som sagsstyringssystem.

Komplementerende kontroller hos de dataansvarlige

Den dataansvarlige har følgende forpligtelser:

 At sikre sig, at personoplysningerne er ajourførte

 At sikre sig, at instruksen er hensigtsmæssig set i forhold til denne databehandleraftale og hoved- ydelsen

4. Kontrolmål, kontrolaktivitet, test og resultat heraf

Kontrolmål A:

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Der efterleves procedurer og kontroller, som sikrer, at instruks vedrørende behandling af personoplysninger efterleves i overensstemmelse med den ind- gåede databehandleraftale.

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

A.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at der alene må foretages behand- ling af personoplysninger, når der foreligger en instruks.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

A.2 Databehandleren udfører alene den behandling af personoplysninger, som fremgår af instruks fra den dataansvarlige.

A.3 Databehandleren underretter omgående den da- taansvarlige, hvis en instruks efter databehandle- rens mening er i strid med databeskyttelsesfor- ordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at behandling af personoplysninger alene foregår i henhold til instruks.

Inspiceret, at procedurerne indeholder krav om mini- mum årlig vurdering af behov for opdatering, herun- der ved ændringer i dataansvarliges instruks eller æn- dringer i databehandlingen.

Inspiceret, at procedurerne er opdateret.

Inspiceret, at ledelsen sikrer, at behandlingen af per- sonoplysninger alene foregår i henhold til instruks.

Inspiceret ved en stikprøve på behandlinger af person- oplysninger, at disse foregår i overensstemmelse med instruks.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer kontrol af, at behandling af personoplysnin- ger ikke er i strid med databeskyttelsesforordningen eller anden lovgivning.

Inspiceret, at der er procedurer for underretning af den dataansvarlige, i tilfælde hvor behandling af per- sonoplysninger vurderes at være i strid med lovgivnin- gen.

Inspiceret, at den dataansvarlige er underrettet, i til- fælde hvor behandlingen af personoplysninger er vur- deret i strid med lovgivningen.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlings- sikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

B.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at der etableres aftalte sikkerheds- foranstaltninger for behandling af personoplys- ninger i overensstemmelse med aftalen med den dataansvarlige.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

B.2 Databehandleren har foretaget en risikovurdering og på baggrund heraf implementeret de tekniske foranstaltninger, der er vurderet relevante for at opnå en passende sikkerhed, herunder etableret de sikkerhedsforanstaltninger, der er aftalt med den dataansvarlige.

B.3 Der er for de systemer og databaser, der anven- des til behandling af personoplysninger, installe- ret antivirus, som løbende opdateres.

B.4 Ekstern adgang til systemer og databaser, der an- vendes til behandling af personoplysninger, sker gennem sikret firewall.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at der etableres de aftalte sikkerhedsforan- staltninger.

Inspiceret, at procedurerne er opdateret.

Inspiceret ved en stikprøve på databehandleraftaler, at der er etableret de aftalte sikkerhedsforanstaltnin- ger.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at databehandleren foretager en risikovur- dering for at opnå en passende sikkerhed.

Inspiceret, at den foretagne risikovurdering er opdate- ret og omfatter den aktuelle behandling af personop- lysninger.

Inspiceret, at databehandleren har implementeret de tekniske foranstaltninger, som sikrer en passende sik- kerhed i overensstemmelse med risikovurderingen.

Inspiceret, at databehandleren har implementeret de sikkerhedsforanstaltninger, der er aftalt med den da- taansvarlige.

Inspiceret, at der for de systemer og databaser, der anvendes til behandling af personoplysninger, er in- stalleret antivirussoftware.

Inspiceret, at antivirussoftware er opdateret.

Inspiceret, at ekstern adgang til systemer og databa- ser, der anvendes til behandling af personoplysninger, alene sker gennem en firewall.

Inspiceret, at firewallen er konfigureret i henhold til den interne politik herfor.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlings- sikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

B.5 Interne netværk er segmenteret for at sikre be- grænset adgang til systemer og databaser, der an- vendes til behandling af personoplysninger.

B.6 Adgang til personoplysninger er isoleret til bru- gere med et arbejdsbetinget behov herfor.

B.7 Der er for de systemer og databaser, der anven- des til behandling af personoplysninger, etableret systemovervågning med alarmering.

Forespurgt, om interne netværk er segmenteret med henblik på at sikre begrænset adgang til systemer og databaser, der anvendes til behandling af personop- lysninger.

Inspiceret netværksdiagrammer og anden netværks- dokumentation for at sikre behørig segmentering.

Inspiceret, at der foreligger formaliserede procedurer for begrænsning af brugeres adgang til personoplys- ninger.

Inspiceret, at der foreligger formaliserede procedurer for opfølgning på, at brugernes adgang til personop- lysninger er i overensstemmelse med deres arbejdsbe- tingede behov.

Inspiceret, at de aftalte tekniske foranstaltninger un- derstøtter opretholdelsen af begrænsningen i bruger- nes arbejdsbetingede adgang til personoplysninger.

Inspiceret ved en stikprøve på brugeres adgange til sy- stemer og databaser, at de er begrænset til medarbej- dernes arbejdsbetingede behov.

Inspiceret, at der for systemer og databaser, der an- vendes til behandling af personoplysning, er etableret systemovervågning med alarmering.

Inspiceret, at der ved en stikprøve på alarmer er sket opfølgning, samt at forholdet er meddelt de dataan- svarlige i behørigt omfang.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlings- sikkerhed.

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

B.8 Der anvendes effektiv kryptering ved transmis- sion af fortrolige og følsomme personoplysninger via internettet og med e-mail.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at transmission af følsomme og fortrolige oplysninger over internettet er beskyttet af stærk kryptering baseret på en anerkendt algoritme.

Inspiceret, at teknologiske løsninger til kryptering har været tilgængelige og aktiveret i hele erklæringsperio- den.

Inspiceret, at der anvendes kryptering af transmissio- ner af følsomme og fortrolige personoplysninger via internettet eller med e-mail.

Forespurgt, om der har været ukrypterede transmissi- oner af følsomme og fortrolige personoplysninger i er- klæringsperioden, samt om de dataansvarlige er behø- rigt orienteret herom.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlings- sikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

B.9 Der er etableret logning i systemer, databaser og netværk af følgende forhold:

 Aktiviteter, der udføres af systemadmini- stratorer og andre med særlige rettighe- der

 Sikkerhedshændelser omfattende:

o Ændringer i logopsætninger, herunder deaktivering af logning

o Ændringer i systemrettigheder til brugere

o Fejlede forsøg på log-on til syste- mer, databaser og netværk

Logoplysningerne er beskyttet mod manipulation og tekniske fejl og gennemgås løbende.

B.10 Personoplysninger, der anvendes til udvikling, test eller lignende, er altid i pseudonymiseret el- ler anonymiseret form. Anvendelse sker alene for at varetage den ansvarliges formål i henhold til aftale og på dennes vegne.

Inspiceret, at der foreligger formaliserede procedurer for opsætning af logning af brugeraktiviteter i syste- mer, databaser og netværk, der anvendes til behand- ling og transmission af personoplysninger, herunder gennemgang af og opfølgning på logge.

Inspiceret, at logning af brugeraktiviteter i systemer, databaser og netværk, der anvendes til behandling og transmission af personoplysninger, er konfigureret og aktiveret.

Inspiceret, at opsamlede oplysninger om brugeraktivi- tet i logge er beskyttet mod manipulation og sletning.

Inspiceret ved en stikprøve på dages logning, at logfi- lerne har det forventede indhold i forhold til opsæt- ning, og at der er dokumentation for den foretagne opfølgning og håndtering af eventuelle sikkerheds- hændelser.

Inspiceret ved en stikprøve på dages logning, at der er dokumentation for den foretagne opfølgning på aktivi- teter udført af systemadministratorer og andre med særlige rettigheder.

Inspiceret, at der foreligger formaliserede procedurer for anvendelse af personoplysninger til udvikling, test og lignende, der sikrer, at anvendelsen alene sker i pseudonymiseret eller anonymiseret form.

Inspiceret ved en stikprøve på udviklings- og testdata- baser, at personoplysningerne heri er pseudonymise- ret eller anonymiseret.

Inspiceret ved en stikprøve på udviklings- og testdata- baser, hvor personoplysningerne ikke er pseudonymi- seret eller anonymiseret, at dette er sket efter aftale med den dataansvarlige og på dennes vegne.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlings- sikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

B.11 De etablerede tekniske foranstaltninger testes lø- bende ved sårbarhedsscanninger og penetrations- tests.

B.12 Ændringer til systemer, databaser og netværk føl- ger fastlagte procedurer, som sikrer vedligehol- delse med relevante opdateringer og patches, herunder sikkerhedspatches.

Inspiceret, at der foreligger formaliserede procedurer for løbende tests af tekniske foranstaltninger, herun- der gennemførelse af sårbarhedsscanninger og penet- rationstests.

Inspiceret ved stikprøver, at der er dokumentation for løbende tests af de etablerede tekniske foranstaltnin- ger.

Inspiceret, at eventuelle afvigelser og svagheder i de tekniske foranstaltninger er rettidigt og betryggende håndteret samt meddelt til de dataansvarlige i behø- rigt omfang.

Inspiceret, at der foreligger formaliserede procedurer for håndtering af ændringer til systemer, databaser og netværk, herunder håndtering af relevante opdaterin- ger, patches og sikkerhedspatches.

Inspiceret ved udtræk af tekniske sikkerhedspara- metre og -opsætninger, at systemer, databaser og net- værk er opdateret med aftalte ændringer og relevante opdateringer, patches og sikkerhedspatches.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlings- sikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

B.13 Der er en formaliseret forretningsgang for tilde- ling og afbrydelse af brugeradgange til personop- lysninger. Brugernes adgang revurderes regel- mæssigt, herunder om rettigheder fortsat kan be- grundes i et arbejdsbetinget behov.

B.14 Adgang til systemer og databaser, hvori der sker behandling af personoplysninger, der medfører høj risiko for de registrerede, sker som minimum ved anvendelse af tofaktorautentifikation.

B.15 Der er etableret fysisk adgangssikkerhed, således at kun autoriserede personer kan opnå fysisk ad- gang til lokaler og datacentre, hvori der opbeva- res og behandles personoplysninger.

Inspiceret, at der foreligger formaliserede procedurer for tildeling og afbrydelse af brugernes adgang til sy- stemer og databaser, som anvendes til behandling af personoplysninger.

Inspiceret ved en stikprøve på medarbejderes adgange til systemer og databaser, at de tildelte brugeradgange er godkendt, og at der er et arbejdsbetinget behov.

Inspiceret ved en stikprøve på fratrådte medarbejdere, at disses adgange til systemer og databaser er rettidigt deaktiveret eller nedlagt.

Inspiceret, at der foreligger dokumentation for en re- gelmæssig – mindst årlig – vurdering og godkendelse af tildelte brugeradgange.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at tofaktorautentifikation anvendes ved be- handling af personoplysninger, der medfører høj ri- siko for de registrerede.

Inspiceret, at brugernes adgang til at udføre behand- ling af personoplysninger, der medfører høj risiko for de registrerede, alene kan ske ved anvendelse af tofak- torautentifikation.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at kun autoriserede personer kan opnå fy- sisk adgang til lokaler og datacentre, hvori der opbe- vares og behandles personoplysninger.

Inspiceret dokumentation for, at kun autoriserede personer har haft fysisk adgang til lokaler og datacen- tre, hvori der opbevares og behandles personoplysnin- ger, i erklæringsperioden.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret organisatoriske foranstaltninger til sikring af relevant be- handlingssikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

C.1 Databehandlerens ledelse har godkendt en skrift- lig informationssikkerhedspolitik, som er kom- munikeret til alle relevante interessenter, herun- der databehandlerens medarbejdere. Informati- onssikkerhedspolitikken tager udgangspunkt i den gennemførte risikovurdering.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om informationssikkerhedspoli- tikken skal opdateres.

C.2 Databehandlerens ledelse har sikret, at informa- tionssikkerhedspolitikken ikke er i modstrid med indgåede databehandleraftaler.

C.3 Der udføres en efterprøvning af databehandle- rens medarbejdere i forbindelse med ansættelse. Efterprøvningen omfatter i relevant omfang:

 Referencer fra tidligere ansættelser

 Straffeattest

 Eksamensbeviser

Inspiceret, at der foreligger en informationssikker- hedspolitik, som ledelsen har behandlet og godkendt inden for det seneste år.

Inspiceret dokumentation for, at informationssikker- hedspolitikken er kommunikeret til relevante interes- senter, herunder databehandlerens medarbejdere.

Inspiceret dokumentation for ledelsens vurdering af, at informationssikkerhedspolitikken generelt lever op til kravene om sikkerhedsforanstaltninger og behand- lingssikkerheden i indgåede databehandleraftaler.

Inspiceret ved en stikprøve på databehandleraftaler, at kravene i aftalerne er dækket af informationssikker- hedspolitikkens krav til sikkerhedsforanstaltninger og behandlingssikkerheden.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer efterprøvning af databehandlerens medar- bejdere i forbindelse med ansættelse.

Inspiceret ved en stikprøve på databehandleraftaler, at kravene til efterprøvning af medarbejdere i afta- lerne er dækket af databehandlerens procedurer for efterprøvning.

Inspiceret ved en stikprøve på nyansatte medarbej- dere i erklæringsperioden, at der er dokumentation for, at efterprøvningen har omfattet:

 Referencer fra tidligere ansættelser

 Straffeattest

 Eksamensbeviser

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret organisatoriske foranstaltninger til sikring af relevant be- handlingssikkerhed.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

C.4 Ved ansættelse underskriver medarbejderne en fortrolighedsaftale. Endvidere bliver medarbej- derne introduceret til informationssikkerhedspo- litik og procedurer vedrørende databehandling samt anden relevant information i forbindelse med medarbejdernes behandling af personoplys- ninger.

C.5 Ved fratrædelse er der hos databehandleren im- plementeret en proces, som sikrer, at brugerens rettigheder bliver inaktive eller ophører, herun- der at aktiver inddrages.

C.6 Ved fratrædelse orienteres medarbejderen om, at den underskrevne fortrolighedsaftale fortsat er gældende, samt at medarbejderen er underlagt en generel tavshedspligt i relation til behandling af personoplysninger, som databehandleren udfører for de dataansvarlige.

Inspiceret ved en stikprøve på nyansatte medarbej- dere i erklæringsperioden, at de pågældende medar- bejdere har underskrevet en fortrolighedsaftale.

Inspiceret ved en stikprøve på nyansatte medarbej- dere i erklæringsperioden, at de pågældende medar- bejdere er blevet introduceret til:

 Informationssikkerhedspolitikken

 Procedurer vedrørende databehandling samt anden relevant information.

Inspiceret procedurer, der sikrer, at fratrådte medar- bejderes rettigheder inaktiveres eller ophører ved fra- trædelsen, og at aktiver som adgangskort, pc, mobilte- lefon etc. inddrages.

Inspiceret ved en stikprøve på fratrådte medarbejdere i erklæringsperioden, at rettighederne er inaktiveret eller ophørt, samt at aktiverne er inddraget.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at fratrådte medarbejdere gøres opmærk- som på opretholdelse af fortrolighedsaftalen og gene- rel tavshedspligt.

Inspiceret ved en stikprøve på fratrådte medarbejdere i erklæringsperioden, at der er dokumentation for op- retholdelse af fortrolighedsaftalen og generel tavs- hedspligt.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret organisatoriske foranstaltninger til sikring af relevant be- handlingssikkerhed.

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

C.7 Der gennemføres løbende awareness-træning af databehandlerens medarbejdere i relation til it- sikkerhed generelt samt behandlingssikkerhed i relation til personoplysninger.

Inspiceret, at databehandleren udbyder awareness- træning til medarbejderne omfattende generel it-sik- kerhed og behandlingssikkerhed i relation til person- oplysninger.

Inspiceret dokumentation for, at alle medarbejdere, som enten har adgang til eller behandler personoplys- ninger, har gennemført den udbudte awareness-træ- ning.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at personoplysninger kan slettes eller tilbageleveres, såfremt der indgås aftale herom med den data- ansvarlige.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

D.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at der foretages opbevaring og slet- ning af personoplysninger i overensstemmelse med aftalen med den dataansvarlige.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

D.2 Der er aftalt specifikke krav til databehandlerens opbevaringsperioder og sletterutiner i databe- handleraftaler individuelt.

D.3 Ved ophør af behandlingen af personoplysninger for den dataansvarlige er data i henhold til afta- len med den dataansvarlige:

 Tilbageleveret til den dataansvarlige og/eller

 Slettet, hvor det ikke er i modstrid med anden lovgivning.

Inspiceret, at der foreligger formaliserede procedurer for opbevaring og sletning af personoplysninger i overensstemmelse med aftalen med den dataansvar- lige.

Inspiceret, at procedurerne er opdateret.

Inspiceret, at de foreliggende procedurer for opbeva- ring og sletning indeholder de specifikke krav til data- behandlerens opbevaringsperioder og sletterutiner.

Inspiceret ved en stikprøve på databehandlinger fra databehandlerens oversigt over behandlingsaktivite- ter, at der er dokumentation for, at personoplysninger opbevares i overensstemmelse med de aftalte opbeva- ringsperioder.

Inspiceret ved en stikprøve på databehandlinger fra databehandlerens oversigt over behandlingsaktivite- ter, at der er dokumentation for, at personoplysnin- gerne er slettet i overensstemmelse med de aftalte sletterutiner.

Inspiceret, at der foreligger formaliserede procedurer for behandlingen af den dataansvarliges data ved op- hør af behandlingen af personoplysninger.

Inspiceret ved en stikprøve på ophørte databehandlin- ger i erklæringsperioden, at der er dokumentation for, at den aftalte sletning eller tilbagelevering af data er udført.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at databehandleren alene opbevarer personoplysninger i overensstemmelse med aftalen med den dataansvarlige.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

E.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at der alene foretages opbevaring af personoplysninger i overensstemmelse med afta- len med den dataansvarlige.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

E.2 Databehandlerens databehandling inklusive op- bevaring må kun finde sted på de af den dataan- svarlige godkendte lokaliteter, lande eller land- områder.

Inspiceret, at der foreligger formaliserede procedurer for, at der alene foretages opbevaring og behandling af personoplysninger i henhold til databehandlerafta- lerne.

Inspiceret, at procedurerne er opdateret.

Inspiceret ved en stikprøve på databehandlinger fra databehandlerens oversigt over behandlingsaktivite- ter, at der er dokumentation for, at databehandlingen sker i henhold til databehandleraftalen.

Inspiceret, at databehandleren har en samlet og opda- teret oversigt over behandlingsaktiviteter med angi- velse af lokaliteter, lande eller landområder.

Inspiceret ved en stikprøve på databehandlinger fra databehandlerens oversigt over behandlingsaktivite- ter, at der er dokumentation for, at databehandlingen, herunder opbevaring af personoplysninger, alene fo- retages på de lokaliteter, der fremgår af databehand- leraftalen – eller i øvrigt er godkendt af den dataan- svarlige.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at der alene anvendes godkendte underdatabehandlere, samt at databehandleren sikrer en betryg- gende behandlingssikkerhed ved opfølgning på disses tekniske og organisatoriske foranstaltninger til beskyttelse af de registreredes rettigheder og be- handlingen af personoplysninger.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

F.1 Der foreligger skriftlige procedurer, som indehol- der krav til databehandleren ved anvendelse af underdatabehandlere, herunder krav om under- databehandleraftaler og instruks.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

F.2 Databehandleren anvender alene underdatabe- handlere til behandling af personoplysninger, der er specifikt eller generelt godkendt af den dataan- svarlige.

F.3 Ved ændringer i anvendelsen af generelt god- kendte underdatabehandlere underrettes den da- taansvarlige rettidigt i forhold til at kunne gøre indsigelse gældende og/eller trække persondata tilbage fra databehandleren. Ved ændringer i an- vendelsen af specifikt godkendte underdatabe- handlere er dette godkendt af den dataansvarlige.

F.4 Databehandleren har pålagt underdatabehandle- ren de samme databeskyttelsesforpligtelser som dem, der er forudsat i databehandleraftalen el.lign. med den dataansvarlige.

Inspiceret, at der foreligger formaliserede procedurer for anvendelse af underdatabehandlere, herunder krav om underdatabehandleraftaler og instruks.

Inspiceret, at procedurerne er opdateret.

Inspiceret, at databehandleren har en samlet og opda- teret oversigt over anvendte underdatabehandlere.

Inspiceret ved en stikprøve på underdatabehandlere fra databehandlerens oversigt over underdatabehand- lere, at der er dokumentation for, at underdatabe- handlerens databehandling fremgår af databehandler- aftalerne – eller i øvrigt er godkendt af den dataan- svarlige.

Inspiceret, at der foreligger formaliserede procedurer for underretning til den dataansvarlige ved ændringer i anvendelsen af underdatabehandlere.

Inspiceret dokumentation for, at den dataansvarlige er underrettet ved ændringer i anvendelsen af under- databehandlerne i erklæringsperioden.

Inspiceret, at der foreligger underskrevne underdata- behandleraftaler med anvendte underdatabehandlere, som fremgår af databehandlerens oversigt.

Inspiceret ved en stikprøve på underdatabehandleraf- taler, at disse indeholder samme krav og forpligtelser, som er anført i databehandleraftalerne mellem de da- taansvarlige og databehandleren.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at der alene anvendes godkendte underdatabehandlere, samt at databehandleren sikrer en betryg- gende behandlingssikkerhed ved opfølgning på disses tekniske og organisatoriske foranstaltninger til beskyttelse af de registreredes rettigheder og be- handlingen af personoplysninger.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

F.5 Databehandleren har en oversigt over godkendte underdatabehandlere med angivelse af:

 Navn

 CVR-nr.

 Adresse

 Beskrivelse af behandlingen.

F.6 På baggrund af en ajourført risikovurdering af den enkelte underdatabehandler og den aktivitet, der foregår hos denne, foretager databehandleren en løbende opfølgning herpå ved møder, inspekti- oner, gennemgang af revisionserklæring eller lig- nende. Den dataansvarlige orienteres om den op- følgning, der er foretaget hos underdatabehand- leren.

Inspiceret, at databehandleren har en samlet og opda- teret oversigt over anvendte og godkendte underdata- behandlere.

Inspiceret, at oversigten som minimum indeholder de krævede oplysninger om de enkelte underdatabehand- lere.

Inspiceret, at der foreligger formaliserede procedurer for opfølgning på behandlingsaktiviteter hos underda- tabehandlerne og overholdelse af underdatabehand- leraftalerne.

Inspiceret dokumentation for, at der er foretaget en ri- sikovurdering af den enkelte underdatabehandler og den aktuelle behandlingsaktivitet hos denne.

Inspiceret dokumentation for, at der er foretaget be- hørig opfølgning på tekniske og organisatoriske foran- staltninger, behandlingssikkerheden hos de anvendte underdatabehandlere, tredjelands overførselsgrundlag og lignende.

Inspiceret dokumentation for, at information om op- følgning hos underdatabehandlere meddeles den da- taansvarlige, således at denne kan tilrettelægge even- tuelt tilsyn.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Kontrolmål G:

Der efterleves procedurer og kontroller, som sikrer, at databehandleren alene overfører personoplysninger til tredjelande eller internationale organisati- oner i overensstemmelse med aftalen med den dataansvarlige på baggrund af et gyldigt overførselsgrundlag.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

G.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at databehandleren alene overfører personoplysninger til tredjelande eller internatio- nale organisationer i overensstemmelse med afta- len med den dataansvarlige på baggrund af et gyl- digt overførselsgrundlag.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

G.2 Databehandleren må kun overføre personoplys- ninger til tredjelande eller internationale organi- sationer efter instruks fra den dataansvarlige.

G.3 Databehandleren har i forbindelse med overførsel af personoplysninger til tredjelande eller interna- tionale organisationer vurderet og dokumenteret, at der eksisterer et gyldigt overførselsgrundlag.

Inspiceret, at der foreligger formaliserede procedurer, der sikrer, at personoplysninger alene overføres til tredjelande eller internationale organisationer i hen- hold til aftale med den dataansvarlige på baggrund af et gyldigt overførselsgrundlag.

Inspiceret, at procedurerne er opdateret.

Inspiceret, at databehandleren har en samlet og opda- teret oversigt over overførsler af personoplysninger til tredjelande eller internationale organisationer.

Inspiceret ved en stikprøve på dataoverførsler fra da- tabehandlerens oversigt over overførsler, at der er do- kumentation for, at overførslen er aftalt med den da- taansvarlige i databehandleraftalen eller senere god- kendt.

Inspiceret, at der foreligger formaliserede procedurer for sikring af et gyldigt overførselsgrundlag.

Inspiceret, at procedurerne er opdateret.

Inspiceret ved en stikprøve på dataoverførsler fra da- tabehandlerens oversigt over overførsler, at der er do- kumentation for et gyldigt overførselsgrundlag i data- behandleraftalen med den dataansvarlige, samt at der kun er sket overførsler, i det omfang dette er aftalt med den dataansvarlige.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Kontrolmål H:

Der efterleves procedurer og kontroller, som sikrer, at databehandleren kan bistå den dataansvarlige med udlevering, rettelse, sletning eller begræns- ning af oplysninger om behandling af personoplysninger til den registrerede.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

H.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at databehandleren skal bistå den dataansvarlige i relation til de registreredes ret- tigheder.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

H.2 Databehandleren har etableret procedurer, som i det omfang, dette er aftalt, muliggør en rettidig bistand til den dataansvarlige i relation til udleve- ring, rettelse, sletning eller begrænsning af og op- lysning om behandling af personoplysninger til den registrerede.

Inspiceret, at der foreligger formaliserede procedurer for databehandlerens bistand til den dataansvarlige i relation til de registreredes rettigheder.

Inspiceret, at procedurerne er opdateret.

Inspiceret, at de foreliggende procedurer for bistand til den dataansvarlige indeholder detaljerede procedu- rer for:

 Udlevering af oplysninger

 Rettelse af oplysninger

 Sletning af oplysninger

 Begrænsning af behandling af personoplys- ninger

 Oplysning om behandling af personoplysnin- ger til den registrerede.

Inspiceret dokumentation for, at de anvendte syste- mer og databaser understøtter gennemførelsen af de nævnte detaljerede procedurer.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at eventuelle sikkerhedsbrud kan håndteres i overensstemmelse med den indgåede databehandleraf- tale.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

I.1 Der foreligger skriftlige procedurer, som indehol- der krav om, at databehandleren skal underrette de dataansvarlige ved brud på persondatasikker- heden.

Der foretages løbende – og mindst én gang årligt

– vurdering af, om procedurerne skal opdateres.

I.2 Databehandleren har etableret følgende kontrol- ler for identifikation af eventuelle brud på per- sondatasikkerheden:

 Awareness hos medarbejdere

 Overvågning af netværkstrafik

 Opfølgning på logning af adgang til per- sonoplysninger

Inspiceret, at der foreligger formaliserede procedurer, der indeholder krav til underretning af de dataansvar- lige ved brud på persondatasikkerheden.

Inspiceret, at procedurerne er opdateret.

Inspiceret, at databehandleren udbyder awareness- træning til medarbejderne i relation til identifikation af eventuelle brud på persondatasikkerheden.

Inspiceret dokumentation for, at netværkstrafikken overvåges, samt at der sker opfølgning på anormalite- ter, overvågningsalarmer, overførsel af store filer mv.

Inspiceret dokumentation for, at der sker rettidig op- følgning på logning af adgang til personoplysninger, herunder opfølgning på gentagne forsøg på adgang.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Der efterleves procedurer og kontroller, som sikrer, at eventuelle sikkerhedsbrud kan håndteres i overensstemmelse med den indgåede databehandleraf- tale.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

Nr. Databehandlerens kontrolaktivitet PwC’s udførte test Resultat af test

I.3 Databehandleren har ved eventuelle brud på per- sondatasikkerheden underrettet den dataansvar- lige uden unødig forsinkelse og senest 72 timer efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos databehand- leren eller en underdatabehandler.

I.4 Databehandleren har etableret procedurer for bi- stand til den dataansvarlige ved dennes anmel- delse til Datatilsynet. Disse procedurer skal inde- holde anvisninger på beskrivelser af:

 Karakteren af bruddet på persondatasik- kerheden

 Sandsynlige konsekvenser af bruddet på persondatasikkerheden

 Foranstaltninger, som er truffet eller fo- reslås truffet for at håndtere bruddet på persondatasikkerheden.

Inspiceret, at databehandleren har en oversigt over sikkerhedshændelser med angivelse af, om den en- kelte hændelse har medført brud på persondatasikker- heden.

Forespurgt underdatabehandlerne, om de har konsta- teret nogen brud på persondatasikkerheden i erklæ- ringsperioden.

Inspiceret, at databehandleren har medtaget eventu- elle brud på persondatasikkerheden hos underdatabe- handlere i databehandlerens oversigt over sikkerheds- hændelser.

Inspiceret, at samtlige registrerede brud på personda- tasikkerheden hos databehandleren eller underdata- behandlerne er meddelt de berørte dataansvarlige uden unødig forsinkelse og senest 72 timer efter, at databehandleren er blevet opmærksom på brud på persondatasikkerheden.

Inspiceret, at de foreliggende procedurer for underret- ning af de dataansvarlige ved brud på persondatasik- kerheden indeholder detaljerede anvisninger på:

 Beskrivelse af karakteren af bruddet på per- sondatasikkerheden

 Beskrivelse af sandsynlige konsekvenser af bruddet på persondatasikkerheden

 Beskrivelse af foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden.

Inspiceret dokumentation for, at de foreliggende pro- cedurer understøtter, at der træffes foranstaltninger for håndtering af bruddet på persondatasikkerheden.

Området er gennemgået uden væsent- lige bemærkninger.

Området er gennemgået uden væsent- lige bemærkninger.

Underskrifterne i dette dokument er juridisk bindende. Dokumentet er underskrevet via Penneo™ sikker digital underskrift.

Underskrivernes identiteter er blevet registereret, og informationerne er listet herunder.

Penneo dokumentnøgle: BH0IH-AK1QK-K1MWD-I4FQY-W1ELI-Q77KG

“Med min underskrift bekræfter jeg indholdet og alle datoer i dette dokument.”

Xxx Xxxxxxxx	Xxxxxx Xxxxxxxx Xxxxxx
Kunde	Statsautoriseret revisor
På vegne af: Vejle Rejser ApS	Serienummer: PID:9208-2002-2-427963640472
Serienummer: PID:9208-2002-2-540865623559	IP: 00.000.xxx.xxx
IP: 000.000.xxx.xxx	2022-05-03 12:10:29 UTC
2022-05-03 12:00:26 UTC

Dette dokument er underskrevet digitalt via Xxxxxx.xxx. Signeringsbeviserne i dokumentet er sikret og valideret ved anvendelse af den matematiske hashværdi af det originale dokument. Dokumentet er låst for ændringer og tidsstemplet med et certifikat fra en betroet tredjepart. Alle kryptografiske signeringsbeviser er indlejret i denne PDF, i tilfælde af de skal anvendes til validering i fremtiden.

Sådan kan du sikre, at dokumentet er originalt

Dette dokument er beskyttet med et Adobe CDS certifikat. Når du åbner dokumentet

i Adobe Reader, kan du se, at dokumentet er certificeret af Penneo e-signature ser- vice <xxxxxx@xxxxxx.xxx>. Dette er din garanti for, at indholdet af dokumentet er uændret.

Du har mulighed for at efterprøve de kryptografiske signeringsbeviser indle- jret i dokumentet ved at anvende Penneos validator på følgende websted: xxxxx://xxxxxx.xxx/xxxxxxxx