Energinet DataHub A/S
Energinet DataHub A/S
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Uafhængig revisors ISAE 3000-erklæring med sikkerhed om informationssikkerhed og foranstaltninger i henhold til Energinet DataHubs standarddatabehandleraftale med de dataansvarlige, der har anvendt DataHub
Indhold
2 Uafhængig revisors erklæring 4
2.1 Uafhængig revisors ISAE 3000-erklæring med sikkerhed om beskrivelsen af kontroller rettet mod databeskyttelse og behandling af personoplysninger 4
3.2 Hvornår er Energinet DataHub databehandler i DataHub? 7
3.3 Hvordan behandler Energinet DataHub data? 7
3.4 Hvilke krav er gældende ved brug af underdatabehandlere? 8
3.5 Hvordan bruger Energinet DataHub underleverandører? 8
3.6 Hvilke krav om revisionserklæring er der til Energinet DataHubs underleverandører? 8
3.8 Hvordan håndteres brud på persondatasikkerheden? 9
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
3.9 Hvordan bistår Energinet DataHub de dataansvarlige, og hvordan håndterer Energinet DataHub henvendelser vedrørende GDPR 9
3.11 Grundlag for udarbejdelse af erklæring 9
3.12 Komplementerende kontroller hos de dataansvarlige 10
EY Godkendt Revisionspartnerselskab - Dirch Passers Allé 36 - Postboks 250 - 2000 Frederiksberg - CVR-nr. 30 70 02 28
1 Ledelsens udtalelse
Energinet DataHub A/S (Energinet) varetager databehandling af personoplysninger for vores kunder, der er dataansvarlige i henhold til EU's forordning om ”Beskyttelse af fysiske personer i forbindelse med be- handling af personoplysninger og om fri udveksling af sådanne oplysninger” (herefter ”databeskyttelsesfor- ordningen”) og ”Lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i for- bindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger” (herefter ”da- tabeskyttelsesloven”).
Energinet behandler personoplysninger på vegne af vores kunder i henhold til indgået databehandlerafta- ler.
Medfølgende beskrivelse i sektion 3 om behandling af personoplysninger i DataHub i henhold til Energi- nets standarddatabehandleraftale er udarbejdet til brug for dataansvarlige, der har anvendt DataHub nævnt i sektion 3, og som har en tilstrækkelig forståelse til at vurdere beskrivelsen sammen med anden information, herunder information om kontroller, som underleverandører og de dataansvarlige selv har ud- ført ved vurdering af, om kravene i EU's databeskyttelsesforordning er overholdt.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Energinet anvender CGI til driftsunderstøttelse af DataHub. Beskrivelsen i sektion 3 medtager kun kontrol- mål og kontrolaktiviteter hos Energinet og medtager således ikke kontrolmål og underliggende kontrolakti- viteter hos CGI. Beskrivelsen angiver også, at visse kontrolmål, der er specificeret i beskrivelsen, kun kan nås, hvis underleverandørers kontroller, der forudsættes i designet af vores kontroller, er passende desig- net og er operationelt effektive. Beskrivelsen omfatter ikke kontrolaktiviteter udført af CGI.
Beskrivelsen angiver, at visse kontrolmål, der er specificeret i beskrivelsen, kun kan opnås, hvis komple- menterende kontroller hos de dataansvarlige, der forudsættes i designet af Energinets kontroller, er pas- sende designet og operationelt effektive. Beskrivelsen omfatter ikke kontrolaktiviteter udført af de dataan- svarlige.
Energinet bekræfter, at:
a) Den medfølgende beskrivelse, sektion 3, giver en retvisende beskrivelse af DataHub, der har behand- let personoplysninger for dataansvarlige omfattet af databeskyttelsesforordningen i hele perioden fra
1. januar til 31. december 2021. Kriterierne anvendt for at give denne udtalelse var, at den medføl- gende beskrivelse:
(i) redegør for, hvordan DataHub var designet og implementeret, herunder redegør for:
• De typer af ydelser, der er leveret, herunder typen af behandlede personoplysninger.
• De processer i både it-systemer og manuelle systemer, der er anvendt til at igangsætte, regi- strere, behandle og om nødvendigt korrigere, slette og begrænse behandling af personoplys- ninger.
• De processer, der er anvendt for at sikre, at den foretagne databehandling er sket i henhold til kontrakt, instruks eller aftale med den dataansvarlige.
• De processer, der sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
• De processer, der ved ophør af databehandling sikrer, at der efter den dataansvarliges valg sker sletning eller tilbagelevering af alle personoplysninger til den dataansvarlige, medmindre lov eller regulering foreskriver opbevaring af personoplysningerne.
• De processer, der i tilfælde af brud på persondatasikkerheden understøtter, at den dataan- svarlige kan foretage anmeldelse til tilsynsmyndigheden samt underrettelse til de registre- rede.
• De processer, der sikrer passende tekniske og organisatoriske sikringsforanstaltninger for behandlingen af persondata under hensyntagen til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller ad- gang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.
• Ydelser udført af underleverandører, hvis relevant, herunder om de er medtaget efter hel- hedsmetoden eller udeladt efter partielmetoden.
• Kontroller, som vi med henvisning til DataHubs afgrænsning har forudsat ville være imple- menteret af de dataansvarlige, og som, hvis det er nødvendigt for at nå de kontrolmål, der er anført i beskrivelsen, er identificeret i beskrivelsen.
• Andre aspekter ved vores kontrolmiljø, risikovurderingsproces, informationssystem (herunder de tilknyttede forretningsgange) og kommunikation, kontrolaktiviteter og overvågningskontrol- ler, som har været relevante for behandlingen af personoplysninger.
(ii) indeholder relevante oplysninger om ændringer i databehandlerens DataHub til behandling af personoplysninger foretaget i perioden fra 1. januar til 31. december 2021.
(iii) ikke udelader eller forvansker oplysninger, der er relevante for omfanget af beskrivelsen af Data- Hub til behandling af personoplysninger under hensyntagen til, at beskrivelsen er udarbejdet for at opfylde de almindelige behov hos en bred kreds af dataansvarlige og derfor ikke kan omfatte ethvert aspekt ved DataHub, som den enkelte dataansvarlige måtte anse vigtigt efter deres sær- lige forhold.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
b) De kontroller, der knytter sig til de kontrolmål, der er anført i medfølgende beskrivelse, var hensigts- mæssigt designet og operationelt effektive i hele perioden fra 1. januar til 31. december 2021, hvis re- levante kontroller hos CGI fungerer effektivt, og kunder har udført de komplementerende kontroller, som forudsættes i designet af Energinets kontroller i hele perioden fra 1. januar til 31. december 2021. Kriterierne anvendt for at give denne udtalelse var, at:
(i) de risici, der truede opnåelsen af de kontrolmål, der er anført i beskrivelsen, var identificerede
(ii) de identificerede kontroller ville, hvis udført som beskrevet, give høj grad af sikkerhed for, at de pågældende risici ikke forhindrede opnåelsen af de anførte kontrolmål, og
(iii) kontrollerne var anvendt konsistent som designet, herunder at manuelle kontroller blev udført af personer med passende kompetence og beføjelse i hele perioden fra 1. januar til 31. december 2021.
c) Der er etableret og opretholdt passende tekniske og organisatoriske foranstaltninger med henblik på at opfylde aftalerne med de dataansvarlige, god databehandlerskik og relevante krav til databehandlere i henhold til databeskyttelsesforordningen og databeskyttelsesloven.
Erritsø, den 9. februar 2022 Energinet DataHub A/S
Xxxxxx Xxxxxx Xxxxx Administrerende direktør
2 Uafhængig revisors erklæring
2.1 Uafhængig revisors ISAE 3000-erklæring med sikkerhed om beskrivelsen af kontroller rettet mod databeskyttelse og behandling af personoplysninger
Til: Energinet og Energinets kunder, der har anvendt DataHub
Omfang
Vi har fået som opgave at afgive erklæring om Energinets beskrivelse i sektion 3 om behandling af person- oplysninger i DataHub i henhold til Energinets standarddatabehandleraftale i hele perioden fra 1. januar til
31. december 2021 (beskrivelsen) og om designet og den operationelle effektivitet af kontroller, der knytter sig til de kontrolmål, som er anført i beskrivelsen.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Beskrivelsen angiver, at visse kontrolmål, der er specificeret i beskrivelsen, kun kan opnås, hvis komple- menterende kontroller hos de dataansvarlige, der forudsættes i designet af Energinets kontroller, er pas- sende designet og er operationelt effektive sammen med relaterede kontroller hos Energinet. Beskrivelsen omfatter ikke kontrolaktiviteter udført af dataansvarlige. Vi har ikke udført handlinger vedrørende operatio- nel effektivitet af de komplementerende kontroller hos dataansvarlige, der indgår i beskrivelsen, og udtryk- ker derfor ingen konklusion herom.
Energinet anvender CGI til driftsunderstøttelse af DataHub. Beskrivelsen i sektion 3 medtager kun kontrol- mål og relaterede kontroller hos Energinet, og medtager således ikke kontrolmål og relaterede kontroller hos CGI. Visse kontrolmål i beskrivelsen kan kun nås, hvis CGI’s kontroller, der forudsættes i designet af Energinets kontroller, er passende designet og operationelt effektive sammen med de relaterede kontroller hos Energinet. Vores handlinger har ikke omfattet kontrolaktiviteter udført af CGI, og vi har ikke vurderet egnetheden af design eller den operationelle effektivitet af kontrolaktiviteter hos CGI.
Energinets ansvar
Energinet er ansvarlig for udarbejdelsen af beskrivelsen og tilhørende udtalelse i sektion 1, herunder fuld- stændigheden, nøjagtigheden og måden, hvorpå beskrivelsen og udtalelsen er præsenteret; for leveringen af de ydelser, beskrivelsen omfatter; for at anføre kontrolmålene; identifikation af de risici, der påvirker op- nåelsen af kontrolmålene; udvælgelsen af de kriterier, der er præsenteret i ledelsens udtalelse; samt for at designe, implementere og effektivt udføre kontroller for at opnå de anførte kontrolmål.
Revisors uafhængighed og kvalitetsstyring
EY Godkendt Revisionspartnerselskab er underlagt international standard om kvalitetsstyring, ISQC 1, og anvender således et omfattende kvalitetsstyringssystem, herunder dokumenterede politikker og procedu- rer vedrørende overholdelse af etiske krav, faglige standarder og gældende krav i lov og øvrig regulering.
Vi har overholdt kravene til uafhængighed og andre etiske krav i International Ethics Standards Board for Accountants' internationale retningslinjer for revisorers etiske adfærd (IESBA Code), der bygger på de grundlæggende principper om integritet, objektivitet, professionel kompetence og fornøden omhu, fortrolig- hed og professionel adfærd, samt etiske krav gældende i Danmark.
Revisors ansvar
Vores ansvar er på grundlag af vores handlinger at udtrykke en konklusion om Energinets beskrivelse samt om design og operationel effektivitet af kontroller, der knytter sig til de kontrolmål, der er anført i denne beskrivelse.
Vi har udført vores arbejde i overensstemmelse med ISAE 3000, Andre erklæringsopgaver med sikkerhed end revision eller review af historiske finansielle oplysninger og yderligere krav ifølge dansk revisorlovgiv- ning, for at opnå høj grad af sikkerhed for, om beskrivelsen i alle væsentlige henseender er retvisende, og om kontrollerne i alle væsentlige henseender er hensigtsmæssigt designet og operationelt effektive.
En erklæringsopgave med sikkerhed om at afgive erklæring om beskrivelsen, designet og operationel ef- fektivitet af kontroller hos en databehandler omfatter udførelse af handlinger for at opnå bevis for oplysnin- gerne i databehandlerens beskrivelse af DataHub samt for kontrollernes design og operationel effektivitet. De valgte handlinger afhænger af revisors vurdering, herunder vurderingen af risiciene for, at beskrivelsen ikke er retvisende, og at kontrollerne ikke er hensigtsmæssigt designet eller ikke er operationelt effektive. Vores handlinger har omfattet test af den operationelle effektivitet af sådanne kontroller, som vi anser for nødvendige for at give høj grad af sikkerhed for, at de kontrolmål, der er anført i beskrivelsen, blev opnået.
En erklæringsopgave med sikkerhed af denne type omfatter endvidere vurdering af den samlede præsen- tation af beskrivelsen, egnetheden af de heri anførte mål samt egnetheden af de kriterier, som databe- handleren har specificeret og beskrevet i sektion 3.
Det er vores opfattelse, at det opnåede bevis er tilstrækkeligt og egnet til at danne grundlag for vores kon- klusion.
Begrænsninger i kontroller hos en dataansvarlig
Energinets beskrivelse er udarbejdet for at opfylde de almindelige behov hos en bred kreds af dataansvar- lige og omfatter derfor ikke nødvendigvis alle de aspekter ved DataHub, som hver enkelt dataansvarlig måtte anse for vigtige efter deres særlige forhold. Endvidere vil kontroller hos en databehandler som følge af deres art muligvis ikke forhindre eller opdage alle brud på persondatasikkerheden. Herudover er frem- skrivningen af enhver vurdering af den operationelle effektivitet til fremtidige perioder undergivet risikoen for, at kontroller hos en databehandler kan blive utilstrækkelige eller svigte.
Konklusion
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Vores konklusion er udformet på grundlag af de forhold, der er redegjort for i denne erklæring. De kriterier, vi har anvendt ved udformningen af konklusionen, er de kriterier, der er beskrevet i ledelsesudtalelse. Det er vores opfattelse:
a) at beskrivelsen af DataHub, således som det var designet og implementeret i hele perioden fra 1. ja- nuar til 31. december 2021, i alle væsentlige henseender er retvisende, og
b) at kontrollerne, som knytter sig til de kontrolmål, der er anført i beskrivelsen, i alle væsentlige hense- ender var hensigtsmæssigt designet i hele perioden fra 1. januar til 31. december 2020, hvis kontroller hos CGI var operationelt effektive, og hvis dataansvarlige har designet og implementeret de komple- menterende kontroller, der forudsættes i designet af Energinets kontroller i hele perioden fra 1. januar til 31. december 2021, og
c) at de testede kontroller, som var de kontroller, der var nødvendige for at give høj grad af sikkerhed for, at kontrolmålene i beskrivelsen blev opnået i alle væsentlige henseender, har været operationelt effektive i hele perioden fra 1. januar til 31. december 2021, hvis kontroller hos CGI fungerer effektivt, og hvis de komplementerende kontroller hos dataansvarlige, der forudsættes i designet af Energinets kontroller, har været operationelt effektive i hele perioden fra 1. januar til 31. december 2021.
Beskrivelse af test af kontroller
De specifikke kontroller, der blev testet, samt arten, den tidsmæssige placering og resultater af disse test fremgår i sektion 4.
Tiltænkte brugere og formål
Denne erklæring og beskrivelsen af test af kontroller i sektion 4 er udelukkende tiltænkt dataansvarlige, der har anvendt Energinet, som har en tilstrækkelig forståelse til at overveje den sammen med anden in- formation, herunder information om kontroller, som de dataansvarlige selv har udført, ved vurdering af, om kravene i databeskyttelsesforordningen er overholdt.
København, den 9. februar 2022
EY Godkendt Revisionspartnerselskab
CVR-nr. 30 70 02 28
Xxxxxx Xxx Xxxxxxxx Partner
Xxx Xxxxxxx statsaut. revisor mne9230
3 Systembeskrivelse
Beskrivelse af databehandling i DataHub.
3.1 Indledning og omfang
Energinet DataHub ejer og driver DataHub. Behandling af data i DataHub sker som udgangspunkt for at understøtte efterlevelse af kravene udformet i Energinet DataHubs standarddatabehandleraftale, der er indgået med elleverandørerne og netvirksomhederne. Energinet DataHubs databehandleraftale-template indgår som bilag 1 i aftalen vilkår for adgang til og brug af DataHub.
3.1.1 Beskrivelse af aktørernes ansvar og typer af data
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Alle aktører, som kommunikerer med DataHub, har ansvar for, at de data, de sender til DataHub, er kor- rekte og opdaterede.
Elleverandørerne har ansvaret for de kunderelaterede stamdata; fx kundernes navne og kontaktadres- ser.
Netvirksomhederne har ansvaret for de målepunktsrelaterede stamdata, som f.eks. målepunkts-id og netområdesummer, samt for, at den samlede indsendelse af måledata er komplet.
Energinet og aktørerne har delt ansvar for de engrosrelaterede stamdata:
► Netvirksomheden er ansvarlig for oprettelse og tilknytning til egne priselementer, som f.eks. distributi- onstarif og abonnement,
► Energinet er ansvarlig for opdatering af prisen på egne tariffer samt PSO og elafgift,
► Elleverandøren er ansvarlig for korrekt tilknytning af Energinets priselementer – herunder korrekt til- knytning til elafgift. Energinet har indført supplerende kontroller herfor.
Det er de danske markedsaktører – elleverandører og netvirksomheder – der er ansvarlige for korrekthe- den af de persondata, der er i DataHub.
Elleverandøren er ansvarlig for kundestamdata, dvs. kundernes navne og kontaktadresser, mens netvirk- somheden er ansvarlig for målepunktsstamdata, som i forbindelse med nogle af markedsprocesserne for- midles mellem markedets aktører gennem DataHub.
Generelt er Energinet DataHub selvstændig dataansvarlig i forhold til DataHub, men i forbindelse med pro- cesser på specifikke områder er Energinet databehandler på vegne af den dataansvarlige aktør.
3.2 Hvornår er Energinet DataHub databehandler i DataHub?
Energinet DataHub formidler data i henhold til processer beskrevet i forskrifter udstedt af Energinet ved den dataansvarliges anmeldelse af:
► BRS-002: Leveranceophør.
► BRS-016: Fremsend tællerstand.
► BRS-039: Anmodning om serviceydelse hos netvirksomheden.
► BRS-044: Tvunget leverandørskift på målepunkt, når den dataansvarlige instruerer databehandleren i at gøre brug af BRS-044 ved fusion af 2 af den dataansvarliges GLN-numre.
► BRS-046: Fremsendelse af kontaktadresse fra netvirksomhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Energinet DataHub formidler webforms-/webformularer sendt fra den dataansvarlige gennem DataHub til en anden bruger af DataHub.
Energinet foretager desuden rettelser af data i DataHub efter indsendelse fra aktøren (HTX) – dog udeluk- kende efter aftale med den dataansvarlige og på dennes foranledning.
3.3 Hvordan behandler Energinet DataHub data?
Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel (overladelse, videregivelse samt intern anvendelse) af personoplys- ninger til tredjelande eller internationale organisationer, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.
Behandling af de i aftalen omfattede personoplysninger kan ikke uden den dataansvarliges forudgående skriftlige godkendelse ske på andre lokaliteter end de følgende:
► Energinet DataHub A/S, lokation Danmark, CVR-nr. 39 31 50 41
► CGI Danmark A/S, lokation Danmark, CVR-nr. DK-28980671
► CGI Holland, lokation Holland, CVR-nr. NL001620952B01
► CGI Norge, lokation Norge, NO919562390CGI Sverige, SE556337219101
► Sentia A/S, lokation Danmark, CVR-nr. DK-10008123
Energinet XxxxXxx udfører kun behandling af personoplysninger efter dokumenteret instruks fra den data- ansvarlige, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databe- handleren er underlagt. I disse tilfælde underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vig- tige samfundsmæssige interesser.
Energinet DataHub underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
Energinet DataHub sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personop- lysninger, der behandles på vegne af den dataansvarlige. Adgangen til oplysningerne lukkes derfor straks ned, hvis autorisationen fratages eller udløber.
Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde databehandlerens forpligtelser over for den dataansvarlige.
Energinet DataHub sikrer, at de personer, der er autoriseret til at behandle personoplysninger på vegne af den dataansvarlige, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavsheds- pligt.
Energinet DataHub kan efter anmodning fra den dataansvarlige påvise, at de relevante medarbejdere er underlagt ovennævnte tavshedspligt.
Energinet DataHub iværksætter alle de relevante tekniske og organisatoriske kontrolforanstaltninger, som kræves i henhold til databeskyttelsesforordningen. Der henvises i øvrigt til kontrolmål B og C i nærvæ- rende erklæring afsnit 4, hvor de konkrete kontrolaktiviteter er beskrevet, og hvoraf det bl.a. fremgår, at der under hensyntagen til det aktuelle niveau, implementeringsomkostningerne og den pågældende be- handlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføres passende tekniske og organisato- riske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.
Ovenstående forpligtelse indebærer, at Energinet DataHub skal foretage en risikovurdering, og herefter gennemføre foranstaltninger for at imødegå identificerede risici.
3.4 Hvilke krav er gældende ved brug af underdatabehandlere?
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Energinet DataHub har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehand- lere. Energinet DataHub skal dog indhente godkendelse hos den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre underdatabehandlere og derved give den dataan- svarlige mulighed for at gøre indsigelse mod sådanne ændringer. En sådan underretning skal være den dataansvarlige i hænde minimum én måned før anvendelsen eller ændringen skal træde i kraft. Såfremt den dataansvarlige har indsigelser mod ændringerne, skal den dataansvarlige give meddelelse herom til Energinet DataHub inden 14 kalenderdage efter modtagelsen af underretningen. Den dataansvarlige kan alene gøre indsigelse, såfremt den dataansvarlige har rimelige, konkrete årsager hertil.
3.5 Hvordan bruger Energinet DataHub underleverandører?
Energinet DataHub har outsourcet udvikling og vedligehold af DataHub-applikationen til CGI. Der forelig- ger kontrakter og operationelt framework, som er grundlaget for samarbejdet mellem Energinet DataHub og CGI. Det er reguleret via hovedkontrakten pkt. 5.8, i hvilket omfang og under hvilke betingelser CGI kan anvende underleverandører. ”Leverandøren kan ikke uden Kundens skriftlige samtykke overlade Kontrak- tens opfyldelse til underleverandører i videre udstrækning end angivet i Kontrakten. Kunden kan ikke nægte et sådant samtykke uden rimelig grund.”
Aftalegrundlaget for applikationsudvikling og -vedligehold er funktionelle designs og User Stories, som be- skriver funktionaliteten i DataHub med udgangspunkt i BRS- og RSM-guiderne (tekniske beskrivelser af forretningsprocesserne i DataHub). Der er formelle udvalg/arbejdsgrupper i Energinet DataHub, som regu- lerer og styrer samarbejder, bl.a. styregruppe, planning board og operational meeting.
Hosting af DataHub var i perioden fra 1. januar 2021 til 31. december 2021 outsourcet til CGI IM, som der- ved havde ansvaret for rapportering og driftsvedligehold.
3.6 Hvilke krav om revisionserklæring er der til Energinet DataHubs underleverandører?
Underleverandøren skal hvert år indhente en erklæring fra et godkendt revisionsselskab angående under- leverandørens implementering af egne retningslinjer samt tilstrækkeligheden heraf, i forhold til at sikre for- trolighed, integritet og tilgængelighed om de behandlede personoplysninger. Erklæringen skal udarbejdes på grundlag af en anerkendt standard for sådanne erklæringer. Erklæringen skal sendes til Energinet Da- taHub senest den 31. januar for det foregående år. Erklæringen skal altid bilægges en liste med observati- oner og væsentlighed, samt underleverandørens kommentarer og tidsfrist for udbedring. Såfremt der in- gen observationer har været, skal dette fremgå eksplicit af erklæringen.
3.7 Persondatacompliance
Det er de enkelte selskaber, der har ansvaret for at overholde reglerne om beskyttelse af personoplysnin- ger. Dokumentationen består blandt andet af en samlet datafortegnelse over alle de databehandlinger, der foretages i Energinet. Datafortegnelsen er udarbejdet på baggrund af procesanalyser og oversigt over it- systemer. Derudover skal der udarbejdes risikovurdering på alle behandlingerne, inden de påbegyndes.
Al dokumentation skal opdateres løbende, således det altid er ajourført og klar til fremvisning for Datatilsy- net. Der opsættes kontroller til sikring heraf både på afdelingsniveau og koncernniveau.
3.8 Hvordan håndteres brud på persondatasikkerheden?
Denne procedure skal følges ved brud, uanset arten af bruddet.
Brud på persondatasikkerheden håndteres lokalt i Energinet DataHub i samarbejde med Energinet koncer- nens persondatajurist. Energinet DataHub sikrer efterfølgende relevant kommunikation vedrørende sikker- hedsbrud til den dataansvarlige. Ansvaret for håndteringen af interessenter og efterfølgende information til de registrerede ligger hos Energinets persondatajurist.
3.9 Hvordan bistår Energinet DataHub de dataansvarlige, og hvordan håndterer Energinet DataHub henvendelser vedrørende GDPR
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Afdelingen Energinet DataHub Forretningsudvikling og Support er kontaktpunkt for henvendelserne, som enten behandles i afdelingen eller videreformidles til Energinets persondatajurist. Sagerne håndteres i det interne sagshåndteringssystem.
A) Der er fokus på, at der ikke sker en ulovlig behandling af personoplysninger. Dette vil fremgå af den enkelte sag i Energinet DataHubs sagssystem.
B) Hvis en instruks fra aktøren (dataansvarlige) er i strid med GDPR, vil Energinet DataHubs support sende en underretning til aktøren (dataansvarlig) med henblik på at få afklaret dette. Alternativt vil sa- gen blive lukket, herefter informeres aktøren, som har henvendt sig, dette sker i selve sagen.
C) Når sagen er løst, informeres aktøren, som har henvendt sig, dette sker i selve sagen.
- Under forudsætning af punkt B er overholdt.
3.10 Risikovurdering
Energinet DataHub har foretaget en risikovurdering for de registreredes rettigheder, herunder en afvejning af disse risici i forhold til de forholdsregler, der er truffet for at beskytte deres rettigheder. Selve risikovurde- ringen består af flere dele, herunder:
► Risikovurdering i Energinet DataHubs datafortegnelser.
► Risikovurdering i Energinet DataHubs centrale register.
► Risikovurdering i Energinet DataHubs decentrale register.
I Energinet DataHubs egne risikovurderinger er der ingen høj risiko for de registrerede på tværs af alle ty- per af registrerede og kategorier af personoplysninger.
3.11 Grundlag for udarbejdelse af erklæring
Nærværende erklæring dækker Energinet DataHubs kontrolmål og kontroller, der er etableret for som ud- gangspunkt at understøtte efterlevelse af Energinet DataHubs standarddatabehandleraftale.
Energinet er forpligtet til at drive DataHub, jf. elforsyningsloven § 28, stk. 2, nr. 7, og netvirksomhederne er forpligtede til at indberette til DataHub, jf. elforsyningsloven § 22, stk. 3. Aktører i DataHub er forpligtet til at overholde de til enhver tid gældende markedsforskrifter og vilkår, jf. elforsyningsloven § 28, stk. 2, nr. 12 og 13. Markedsforskrifterne er tilgængelige på xxx.xxxxxxxxx.xx.
De etablerede foranstaltninger og kontroller omfatter følgende kontrolmål:
► Kontrolmål A
Der efterleves procedurer og kontroller, som sikrer, at instruks vedrørende behandling af personoplysnin- ger efterleves i overensstemmelse med den indgående databehandleraftale.
► Kontrolmål B
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foran- staltninger til sikring af relevant behandlingssikkerhed.
► Kontrolmål C
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret organisatoriske foranstaltninger til sikring af relevant behandlingssikkerhed.
► Kontrolmål D
Der efterleves procedurer og kontroller, som sikrer, at personoplysninger kan slettes eller tilbageleveres, såfremt der indgås aftale herom med den dataansvarlige.
► Kontrolmål E
Der efterleves procedurer og kontroller, som sikrer, at databehandleren alene opbevarer personoplysnin- ger i overensstemmelse med aftalen med den dataansvarlige.
► Kontrolmål F
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Der efterleves procedurer og kontroller, som sikrer, at der alene anvendes godkendte underdatabehand- lere, samt at databehandleren ved opfølgning på disses tekniske og organisatoriske foranstaltninger til be- skyttelse af de registreredes rettigheder og behandlingen af personoplysninger sikrer en betryggende be- handlingssikkerhed.
► Kontrolmål H
Der efterleves procedurer og kontroller, som sikrer, at databehandleren kan bistå den dataansvarlige med udlevering, rettelse, sletning eller begrænsning af oplysninger om behandling af personoplysninger til den registrerede.
► Kontrolmål I
Der efterleves procedurer og kontroller, som sikrer, at eventuelle sikkerhedsbrud kan håndteres i overens- stemmelse med den indgåede databehandleraftale.
Der henvises i øvrigt til afsnit 4, hvor de konkrete kontrolaktiviteter er beskrevet.
3.12 Komplementerende kontroller hos de dataansvarlige
Som et led i levering af ydelserne er der kontroller, som forudsættes implementeret af de dataansvarlige, og som er væsentlige for at opnå de kontrolmål, der er anført i beskrivelsen. Dette omfatter bl.a.:
► Stillingtagen til konsekvenser i relation til persondatabeskyttelse ved fremsættelse af xxxxxxxxxxxxxx.
► Sikring af, at følsomme eller fortrolige personoplysninger ikke medsendes i supportsager eller i fri- tekstfelter i DataHub-systemet.
► Dataansvarlige er selv ansvarlige for at kontrollere sletteregler, inden bestillingen af kundesletning fo- retages.
► Dataansvarlige er selv ansvarlige for administration og overvågning af Dataansvarliges medarbejde- res adgang til og anvendelse af personoplysninger.
► Dataansvarlige er selv ansvarlige for, at personoplysningerne er ajourførte.
► Dataansvarlige er selv ansvarlige for at sikre, at instruksen til Energinet DataHub er lovlig set i forhold til den til enhver tid gældende persondataretlige regulering og hensigtsmæssig set i forhold til databe- handleraftalen.
► Dataansvarlige er selv ansvarlige for håndtering af henvendelser fra den registrerede selv, myndighe- der og evt. tredjemand samt for anmodning til Energinet DataHub om rettidig assistance med denne håndtering.
► Dataansvarlige er selv ansvarlige for håndtering af fysisk sikkerhed ved behandling af personoplysnin- ger.
4 Tests udført af EY
I dette afsnit beskrives de af Energinet definerede kontrolmål og tilknyttede kontroller, som sikrer opnåelse af de enkelte kontrolmål. Herudover beskrives de af EY udførte faktiske tests af Energinets kontroller samt resultaterne af de udførte tests.
4.1 Formål og omfang
Vores arbejde blev gennemført i overensstemmelse med ISAE 3000, Andre erklæringsopgaver med sik- kerhed end revision eller review af historiske finansielle oplysninger.
Vores test af kontrollers design og implementering har omfattet de kontrolmål og tilknyttede kontroller, der er udvalgt af ledelsen, og som fremgår nedenfor. Eventuelle andre kontrolmål, tilknyttede kontroller og kontroller hos Energinets kunder, der anvender løsningen, beskrevet i afsnit 1, er ikke omfattet af vores test.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Vores test af operationel effektivitet har omfattet de kontroller, som blev vurderet nødvendige for at kunne opnå høj grad af sikkerhed for, at de anførte kontrolmål blev nået i perioden 1. januar til 31. december 2021.
4.2 Udførte tests
De udførte tests i forbindelse med fastlæggelsen af kontrollers udformning og effektivitet er beskrevet ne- denfor:
Inspektion | Gennemlæsning af dokumenter og rapporter, som indeholder angivelse omkring ud- førelse af kontrollen. Dette omfatter bl.a. gennemlæsning af og stillingtagen til rap- porter og anden dokumentation for at vurdere, om specifikke kontroller er designet, så de kan forventes at blive effektive, hvis de implementeres. Endvidere vurderes det, om kontroller overvåges og kontrolleres tilstrækkeligt og med passende interval- ler. |
Forespørgsler | Forespørgsel af passende personale hos Energinet. Forespørgsler har omfattet spørgsmål om, hvordan kontroller udføres. |
Observation | Vi har observeret kontrollens udførelse. |
Genudføre kontrollen | Gentag den relevante kontrol. Vi har gentaget udførelse af kontrollen med henblik på at verificere, at kontrollen fungerer som forudsat. |
Kontrolmål A
Der efterleves procedurer og kontroller, som sikrer, at instruks vedrørende behandling af personoplysninger efterleves i overensstemmelse med den indgående databehandleraftale.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
A.1 Der foreligger skriftlige procedurer, som indeholder krav om, at der alene må foretages behandling af personoplysninger, når der foreligger en instruks.
Der foretages løbende – og mindst en gang årligt – vurdering af, om procedurerne skal opdateres.
A.2 Energinet udfører alene den behandling af personoplysninger, som fremgår af instruks fra dataansvarlig.
A.3 Energinet underretter omgående den dataansvarlige, hvis en instruks efter databehandlerens mening er i strid med databe- skyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
Inspiceret, at der foreligger formaliserede proce- durer, der sikrer, at behandling af personoplysnin- ger alene foregår i henhold til instruks.
Inspiceret, at procedurerne indeholder krav om minimum årlig vurdering af behov for opdatering, herunder ved ændringer i dataansvarliges in- struks eller ændringer i databehandlingen.
Forespurgt til opdatering af procedure i erklæ- ringsperioden.
Inspiceret, at der er etableret procedurer for regi- strering af henvendelser fra kunderne til sikring af, at behandling af personoplysninger alene foregår i henhold til instruks.
Inspiceret, at der foreligger formaliserede proce- durer, der sikrer kontrol af, at behandling af per- sonoplysninger ikke er i strid med databeskyttel- sesforordningen eller anden lovgivning.
Inspiceret, at der er procedurer for underretning af den dataansvarlige i tilfælde, hvor behandling af personoplysninger vurderes at være i strid med lovgivningen.
Forespurgt, om den dataansvarlige er underrettet i tilfælde, hvor behandlingen af personoplysninger er vurderet i strid med lovgivningen.
Procedure for persondata er senest gen- nemgået i marts 2020.
Ingen yderligere afvigelser konstateret.
Ingen afvigelser konstateret.
Energinet har oplyst, at der ikke har været tilfælde, hvor behandlingen af personoplys- ninger er vurderet i strid med lovgivningen i perioden.
Ingen afvigelser konstateret.
Kontrolmål B
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlingssikkerhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
B.1 Energinet sikrer, at kun de personer, der aktuelt er autoriseret hertil, har adgang til de personoplysninger, der behandles på vegne af den dataansvarlige.
Forespurgt til procedurer, der sikrer kvartalsvis gennemgang af adgange til DataHub.
Stikprøvevist inspiceret, at der fortages kvartals- vis kontrol af, at adgange er begrundet i et ar- bejdsbetinget behov.
Ingen afvigelser konstateret.
B.2 Adgang til personoplysninger bliver kvartalsvist overvåget. Forespurgt til procedurer vedrørende overvågning
af brugere.
Stikprøvevist inspiceret, at der foretages kvartals- vis kontrol af Energinets og Energistyrelsens bru- geres adgangsrettigheder i DataHub.
Ingen afvigelser konstateret.
B.3 Der må alene autoriseres personer, for hvem det er nødvendigt at have adgang til personoplysningerne for at kunne opfylde Energinets forpligtelser over for den dataansvarlige.
B.4 Energinet kontrollerer månedligt, at personoplysninger er ano- nymiseret i de non-prod DataHub-miljøer, som it-leverandører og elmarkedets aktører har adgang til.
B.5 Energinet krypterer personoplysninger på både DataHubs pro- duktions- og non-produktionsmiljøer.
B.6 Energinet kontrollerer månedligt ændringer af IP-adresser i Da- taHubs firewalls.
Forespurgt til procedurer for gennemgang af ad- gangsrettigheder i DataHub.
Stikprøvevist inspiceret, at der fortages kvartals- vis kontrol af adgangene, som er defineret i Data- Hub, og at disse er autoriserede.
Stikprøvevist inspiceret, at der fortages månedlig kontrol af, at personoplysninger bliver anonymise- ret i DataHubs testmiljø.
Inspiceret, at der er anvendt kryptering på Data- Hubs miljøer.
Forespurgt til processen for etableret validering af dataafsender.
Stikprøvevist inspiceret, at Energinet månedligt gennemgår ændringer af IP-adresser i DataHubs firewalls.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Vi har konstateret et tilfælde ud af en stik- prøve på fire, hvor kontrollen ikke er udført.
Ingen yderligere afvigelser konstateret.
Kontrolmål B
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlingssikkerhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
B.7 Energinet gennemgår månedligt driftsrapport fra underdatabe- handlere vedrørende patchning af servere, firewalls og opdate- ring af antivirus.
B.8 Energinet kontrollerer månedligt, at processer for adgangsgod- kendelse til DataHub overholdes ved underdatabehandlere.
B.9 Energinet gennemgår månedligt driftsrapporter fra underdata- behandlere vedrørende overholdelse af SLA i forhold til kapaci- tetsstyring.
B.10 Energinet gennemgår kvartalsvis rapportering i forhold til ud- styr, som skal sikres mod strømsvigt og andre driftsforstyrrel- ser.
B.11 Energinet afholder månedlige CAB-møder, hvor tekniske æn- dringer i infrastrukturen gennemgås.
B.12 Energinet kontroller kvartalsvist, at applikationsændringer i Da- taHub-applikationen er autoriseret, testet og godkendt inden de idriftsættes på produktion.
Forespurgt til processen for behandlingen af driftsrapporten fra underleverandøren.
Stikprøvevist inspiceret, at der er fortages måned- lig opfølgning på leverancer fra underdatabehand- lere i relation til patchning af servere, firewalls og opdatering af antivirus.
Forespurgt til processen for adgangsgodkendelse til DataHub.
Stikprøvevist inspiceret, at der er fortages måned- lig gennemgang af underdatabehandleres adgang til DataHub.
Forespurgt til processen for behandlingen af driftsrapporten fra underleverandøren.
Stikprøvevist inspiceret, at SLA er overholdt i for- hold til kapacitetsstyring.
Forespurgt til processen for styring af driftsforstyr- relser.
Stikprøvevist inspiceret, at der fortages kvartals- vis gennemgang af udstyr i DataHubs infrastruk- tur.
Stikprøvevist inspiceret, at der afholdes måned- lige CAB-møder med underleverandøren, hvor tekniske ændringer drøftes.
Forespurgt til processen for, at der fortages test og godkendelse, inden idriftsættelse i produktio- nen.
Stikprøvevist inspiceret, at der fortages kvartals- vis gennemgang af de releases, der har været i
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål B
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret tekniske foranstaltninger til sikring af relevant behandlingssikkerhed.
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
kvartalet til sikring af, at processen omkring test og godkendelse har været fulgt.
B.13 Energinet afholder månedlige møder med underdatabehandler, hvor prioriteter og indhold til kommende releases gennemgås.
B.14 Energinet afholder månedlige møder med underdatabehandler, hvor risici gennemgås i forhold til drift og udvikling i forhold til DataHub.
B.15 Energinet afholder årligt et møde med underdatabehandler for at sikre, at it-kapacitet, -availability, -kontinuitet og -sikkerhed i it-systemet er afstemt med Energinet.
B.16 Energinet gennemgår månedligt driftsrapporter vedrørende backup.
B.17 Energinet sikrer, at der årligt gennemføres en disaster reco- very-øvelse med underdatabehandler i forhold til DataHub-sy- stemet.
B.18 Energinet sikrer årligt, at beredskabsplaner er gennemgået og opdateret.
Stikprøvevist inspiceret, at der afholdes måned- lige møder med underleverandøren.
Stikprøvevist inspiceret, at der afholdes måned- lige møder med underleverandøren.
Forespurgt til processen for behandlingen af driftsrapporten fra underleverandøren.
Inspiceret, at der årligt afholdes et møde om SLA med underleverandøren.
Inspiceret, at der fortages opfølgning på, at de af- talte KPI’er og SLA’er fortsat er aktuelle.
Forespurgt til processen for behandlingen af driftsrapporten fra underleverandøren.
Stikprøvevist inspiceret, at der månedligt fortages gennemgang af backup.
Inspiceret, at der årligt er fortaget en disaster re- covery-øvelse med underdatabehandler.
Inspiceret, at der foreligger en beredskabsplan.
Inspiceret dokumentation for, at beredskabspla- nen er opdateret og godkendt i erklæringsperio- den.
Ingen afvigelser konstateret. Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål C
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret organisatoriske foranstaltninger til sikring af relevant behandlingssikkerhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
C.1 Energinets ledelse har godkendt en skriftlig informationssikker- hedspolitik, som er kommunikeret til alle relevante interessen- ter, herunder databehandlerens medarbejdere. It-sikkerheds- politikken tager udgangspunkt i den gennemførte risikovurde- ring.
Der foretages løbende – og mindst en gang årligt – vurdering af, om it-sikkerhedspolitikken skal opdateres.
C.2 Energinets ledelse har sikret, at informationssikkerhedspolitik- ken ikke er i modstrid med indgåede databehandleraftaler.
C.3 Der udføres en efterprøvning af databehandlerens medarbej- dere i forbindelse med ansættelse. Efterprøvningen omfatter i relevant omfang:
► Eksamensbeviser
Inspiceret, at der foreligger en informationssikker- hedspolitik.
Inspiceret dokumentation for, at informationssik- kerhedspolitikken er kommunikeret til relevante interessenter, herunder databehandlerens medar- bejdere.
Inspiceret dokumentation for ledelsens vurdering af, at informationssikkerhedspolitikken generelt le- ver op til kravene om sikringsforanstaltninger og behandlingssikkerheden i indgåede databehand- leraftaler.
Inspiceret, at kravene i databehandleraftalen er dækket af informationssikkerhedspolitikkens krav til sikringsforanstaltninger og behandlingssikker- heden.
Inspiceret, at der foreligger formaliserede proce- durer, der sikrer efterprøvning af databehandle- rens medarbejdere i forbindelse med ansættelse.
Stikprøvevist inspiceret, at der er indhentet eksa- mensbevis i forbindelse med ansættelse.
Informationssikkerhedspolitikken er sidst gennemgået i november 2020.
Ingen yderligere afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål C
Der efterleves procedurer og kontroller, som sikrer, at databehandleren har implementeret organisatoriske foranstaltninger til sikring af relevant behandlingssikkerhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
C.4 Ved ansættelse underskriver medarbejdere en fortrolighedsaf- tale. Endvidere bliver medarbejderen introduceret til informati- onssikkerhedspolitik og procedurer vedrørende databehandling samt anden relevant information i forbindelse med medarbej- derens behandling af personoplysninger.
C.5 Energinet-koncernen gennemfører løbende awareness-træ- ning af alle ansatte medarbejdere i relation til it-sikkerhed ge- nerelt samt behandlingssikkerhed i relation til personoplysnin- ger.
Stikprøvevist inspiceret, at nyansatte medarbej- dere har underskrevet en fortrolighedsaftale.
Stikprøvevist inspiceret, at nyansatte medarbej- dere er blevet introduceret til:
► Informationssikkerhedspolitikken.
► Procedurer vedrørende databehandling samt anden relevant information.
Inspiceret, at databehandleren udbyder aware- ness-træning til medarbejderne omfattende gene- rel it-sikkerhed og behandlingssikkerhed i relation til personoplysninger.
Inspiceret dokumentation for, at medarbejdere, som enten har adgang til eller behandler person- oplysninger, har gennemført den udbudte aware- ness-træning.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål D
Der efterleves procedurer og kontroller, som sikrer, at personoplysninger kan slettes eller tilbageleveres, såfremt der indgås aftale herom med den dataan- svarlige.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
D.1 Energinet har skriftlige procedurer, som indeholder krav om, at der foretages opbevaring og sletning af personoplysninger i overensstemmelse med aftalen med den dataansvarlige.
Der foretages løbende – og mindst en gang årligt – vurdering af, om procedurerne skal opdateres.
D.2 I henhold til Energinets procedurer for opbevaringsperioder og sletterutiner skal personoplysninger opbevares i otte år, hvoref- ter de slettes hos Energinet.
Inspiceret, at der foreligger formaliserede proce- durer for opbevaring og sletning af personoplys- ninger i overensstemmelse med aftalen med den dataansvarlige.
Inspiceret, at procedurerne er opdateret.
Inspiceret, at de foreliggende procedurer for op- bevaring og sletning indeholder de specifikke krav til databehandlerens opbevaringsperioder og slet- terutiner.
Forespurgt til regler for opbevaringsperioder og sletterutiner implementeret i systemet.
Ingen afvigelser konstateret.
Der er ikke data i DataHub, som har eksi- steret i otte år, hvorfor det ikke har været muligt at teste kontrollen.
Ingen afvigelser konstateret.
Kontrolmål E
Der efterleves procedurer og kontroller, som sikrer, at databehandleren alene opbevarer personoplysninger i overensstemmelse med aftalen med den dataansvarlige.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
E.1 Der foreligger skriftlige procedurer, som indeholder krav om, at der alene foretages opbevaring af personoplysninger i over- ensstemmelse med aftalen med den dataansvarlige.
Der foretages løbende – og mindst en gang årligt – vurdering af, om procedurerne skal opdateres.
E.2 Energinets databehandling inklusive opbevaring må kun finde sted på de af den dataansvarlige godkendte lokaliteter, lande eller landområder.
Forespurgt, om der alene foretages opbevaring og behandling af personoplysninger i henhold til databehandleraftalerne.
Inspiceret, at procedurerne er opdaterede.
Inspiceret, at databehandleren har en samlet og opdateret oversigt over behandlingsaktiviteter med angivelse af lokaliteter, lande eller landområ- der.
Inspiceret, at skabelon for databehandleraftale in- deholder information om opbevaring af personop- lysninger, samt at dette alene foretages på de lo- kaliteter, der fremgår af databehandleraftalen, som er godkendt af den dataansvarlige.
Proceduren for persondata er sidst gen- nemgået i marts 2020.
Ingen yderligere afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål F
Der efterleves procedurer og kontroller, som sikrer, at der alene anvendes godkendte underdatabehandlere, samt at databehandleren ved opfølgning på disses tekniske og organisatoriske foranstaltninger til beskyttelse af de registreredes rettigheder og behandlingen af personoplysninger sikrer en betryggende behandlingssikkerhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
F.1 Der foreligger skriftlige procedurer, som indeholder krav til Energinet ved anvendelse af underdatabehandlere, herunder krav om underdatabehandleraftaler og instruks.
Der foretages løbende – og mindst en gang årligt – vurdering af, om procedurerne skal opdateres.
F.2 Energinet anvender alene underdatabehandlere til behandling af personoplysninger, der er specifikt eller generelt godkendt af den dataansvarlige.
F.3 Energinet har den dataansvarliges generelle godkendelse til at gøre brug af underdatabehandlere.
Energinet skal dog underrette den dataansvarlige om eventu- elle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.
F.4 Energinet har pålagt underdatabehandleren de samme databe- skyttelsesforpligtelser som dem, der er forudsat i databehand- leraftalen el.lign. med den dataansvarlige.
Inspiceret, at der foreligger formaliserede proce- durer for anvendelse af underdatabehandlere, herunder krav om underdatabehandleraftaler og instruks.
Inspiceret, at procedurerne er opdateret.
Inspiceret, at databehandleren har en samlet og opdateret oversigt over anvendte underdatabe- handlere.
Stikprøvevist inspiceret dokumentation for, at un- derdatabehandlerens databehandling fremgår af databehandleraftalerne – eller i øvrigt er godkendt af den dataansvarlige.
Inspiceret, at der foreligger formaliserede proce- durer for underretning til den dataansvarlige ved ændringer i anvendelse af underdatabehandlere.
Forespurgt, om den dataansvarlige er underrettet ved ændring i anvendelse af underdatabehand- lerne i erklæringsperioden.
Inspiceret, at der foreligger underskrevne under- databehandleraftaler med anvendte underdatabe- handlere, som fremgår af databehandlerens over- sigt.
Inspiceret, at underdatabehandleraftaler indehol- der samme krav og forpligtelser, som er anført i databehandleraftalerne mellem de dataansvarlige og databehandleren.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Vi har fået oplyst, at der ikke har været ændringer til underdatabehandlere i 2021.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål F
Der efterleves procedurer og kontroller, som sikrer, at der alene anvendes godkendte underdatabehandlere, samt at databehandleren ved opfølgning på disses tekniske og organisatoriske foranstaltninger til beskyttelse af de registreredes rettigheder og behandlingen af personoplysninger sikrer en betryggende behandlingssikkerhed.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
F.5 Energinet har en oversigt over godkendte underdatabehand- lere, med angivelse af:
► Navn
► CVR-nr.
► Land
► Beskrivelse af behandlingen
F.6 Energinet foretager på baggrund af ajourført risikovurdering af den enkelte underdatabehandler og den aktivitet, der foregår hos denne, en løbende opfølgning herpå ved møder, inspektio- ner, gennemgang af revisionserklæring eller lignende.
Inspiceret, at databehandleren har en samlet og opdateret oversigt over anvendte og godkendte underdatabehandlere.
Inspiceret, at oversigten over godkendte underda- tabehandlere som minimum indeholder de kræ- vede oplysninger om de enkelte underdatabe- handlere.
Inspiceret, at der foreligger formaliserede proce- durer for opfølgning på behandlingsaktiviteter hos underdatabehandlerne og overholdelse af under- databehandleraftalerne.
Inspiceret dokumentation for, at der løbende er foretaget opfølgning på den enkelte underdatabe- handler og den aktuelle behandlingsaktivitet hos denne.
Inspiceret dokumentation for, at der er foretaget behørig opfølgning på tekniske og organisatoriske foranstaltninger, behandlingssikkerheden hos de anvendte underdatabehandlere, tredjelandsover- førselsgrundlag og lignende.
Inspiceret dokumentation for, at information om opfølgning hos underdatabehandlere meddeles den dataansvarlige, således at denne kan tilrette- lægge eventuelt tilsyn.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Kontrolmål H
Der efterleves procedurer og kontroller, som sikrer, at databehandleren kan bistå den dataansvarlige med udlevering, rettelse, sletning eller begrænsning af oplysninger om behandling af personoplysninger til den registrerede.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
H.1 Der foreligger skriftlige procedurer, som indeholder krav om, at Energinet skal bistå den dataansvarlige i relation til de registre- redes rettigheder.
Der foretages løbende – og mindst en gang årligt – vurdering af, om procedurerne skal opdateres.
H.2 Energinet har etableret procedurer, som i det omfang, dette er aftalt, muliggør en rettidig bistand til den dataansvarlige i rela- tion til følgende:
► Oplysningspligten ved indsamling af personoplysninger hos den registrerede.
► Oplysningspligten, hvis personoplysninger ikke er indsam- let hos den registrerede.
► Den registreredes indsigtsret.
► Retten til berigtigelse.
► Retten til sletning.
► Retten til begrænsning af behandling.
► Underretningspligt i forbindelse med berigtigelse eller slet- ning af personoplysninger eller begrænsning af behand- ling.
► Retten til dataportabilitet.
► Retten til indsigelse.
► Retten til at gøre indsigelse mod resultatet af automatiske individuelle afgørelser, herunder profilering.
Inspiceret, at der foreligger formaliserede proce- durer for databehandlerens bistand af den data- ansvarlige i relation til de registreredes rettighe- der.
Inspiceret, at procedurerne er opdateret.
Inspiceret, at de foreliggende formaliserede pro- cedurer for anmodninger om bistand fra den data- ansvarlige i relation til udlevering, rettelse, slet- ning eller begrænsning af og oplysning om be- handling af personoplysninger til den registrerede er korrekt og rettidigt gennemført.
Ingen afvigelser konstateret.
Energinet har oplyst, at der ikke har været nogen henvendelser i perioden.
Ingen afvigelser konstateret.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
I.1 Der foreligger skriftlige procedurer, som indeholder krav om, at databehandleren skal underrette de dataansvarlig ved brud på persondatasikkerheden.
Der foretages løbende – og mindst en gang årligt – vurdering af, om procedurerne skal opdateres.
I.3 Energinet har etableret følgende kontroller for identifikation af eventuelle brud på persondatasikkerheden:
► Overvågning af netværkstrafik.
I.4 Energinet har etableret følgende kontroller for identifikation af eventuelle brud på persondatasikkerheden:
► Månedlig opfølgning på logning af tilgang til fortrolige per- sonoplysninger.
I.5 Energinet har ved eventuelle brud på persondatasikkerheden underrettet den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden hos Energinet eller en underdatabehandler.
I.6 Energinet har etableret procedurer for bistand til den dataan- svarlige ved dennes anmeldelse til Datatilsynet, som inklude- rer:
► Karakteren af bruddet på persondatasikkerheden.
► Sandsynlige konsekvenser af bruddet på persondatasik- kerheden.
► Foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden.
Inspiceret, at der foreligger formaliserede proce- durer, der indeholder krav til underretning af de dataansvarlige ved brud på persondatasikkerhe- den.
Inspiceret, at proceduren er opdateret.
Stikprøvevist inspiceret, at Energinet månedligt foretager opfølgning på CGI-leverancer vedrø- rende overvågning af netværkstrafik.
Stikprøvevist inspiceret, at der foretages månedlig opfølgning på logning af adgang til personoplys- ninger.
Inspiceret, at databehandleren har en oversigt over sikkerhedshændelser med angivelse af, om den enkelte hændelse har medført brud på per- sondatasikkerheden.
Inspiceret, at databehandleren har medtaget eventuelle brud på persondatasikkerheden hos underdatabehandlere i databehandlerens oversigt over sikkerhedshændelser.
Inspiceret, at de foreliggende procedurer for un- derretning af de dataansvarlige ved brud på per- sondatasikkerheden indeholder detaljerede pro- cedurer for:
► Beskrivelse af karakteren af bruddet på per- sondatasikkerheden.
► Beskrivelse af sandsynlige konsekvenser af bruddet på persondatasikkerheden.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Ingen afvigelser konstateret.
Energinet har oplyst, at der ikke har været nogen brud i perioden, hvor Energinet har været databehandler.
Ingen afvigelser konstateret.
Nr. Databehandlerens kontrolaktivitet Revisors udførte test Resultat af revisors test
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
► Beskrivelse af foranstaltninger, som er truffet eller foreslås truffet for at håndtere bruddet på persondatasikkerheden.
Inspiceret dokumentation for, at de foreliggende procedurer understøtter, at der træffes foranstalt- ninger for håndtering af bruddet på persondata- sikkerheden.
Underskrifterne i dette dokument er juridisk bindende. Dokumentet er underskrevet via Penneo™ sikker digital underskrift.
Underskrivernes identiteter er blevet registereret, og informationerne er listet herunder.
Penneo dokumentnøgle: V4YOG-ENTEH-LDHK2-EX3CX-XMMEX-Q3DCY
“Med min underskrift bekræfter jeg indholdet og alle datoer i dette dokument.”
XXXX Xxxxxx Xxxxxx Xxxxx Administrerende direktør På vegne af: Energinet DataHub A/S Serienummer: CVR:39315041-RID:55850276 IP: 000.000.xxx.xxx 2022-02-10 10:27:18 UTC | Xxxxxx Xxx Xxxxxxxx Partner På vegne af: EY Godkendt Revisionspartnerselskab Serienummer: PID:9208-2002-2-421950499915 IP: 00.00.xxx.xxx 2022-02-10 10:33:09 UTC |
Xxx Xxxxxxx Xxxx Statsautoriseret revisor På vegne af: EY Godkendt Revisionspartnerselskab Serienummer: PID:9208-2002-2-718537888884 IP: 000.00.xxx.xxx 2022-02-10 11:21:10 UTC |
Dette dokument er underskrevet digitalt via Xxxxxx.xxx. Signeringsbeviserne i dokumentet er sikret og valideret ved anvendelse af den matematiske hashværdi af det originale dokument. Dokumentet er låst for ændringer og tidsstemplet med et certifikat fra en betroet tredjepart. Alle kryptografiske signeringsbeviser er indlejret i denne PDF, i tilfælde af de skal anvendes til validering i fremtiden.
Sådan kan du sikre, at dokumentet er originalt
Dette dokument er beskyttet med et Adobe CDS certifikat. Når du åbner dokumentet
i Adobe Reader, kan du se, at dokumentet er certificeret af Penneo e-signature ser- vice <xxxxxx@xxxxxx.xxx>. Dette er din garanti for, at indholdet af dokumentet er uændret.
Du har mulighed for at efterprøve de kryptografiske signeringsbeviser indle- jret i dokumentet ved at anvende Penneos validator på følgende websted: xxxxx://xxxxxx.xxx/xxxxxxxx