Regler for databehandlingstjenester

• Hvad er en databehandlingstjeneste?

  I dataforordningen er en databehandlingstjeneste defineret som en digital tjeneste, der leveres til en kunde, og som muliggør alment tilgængelig og on-demand-netværksadgang til en fælles pulje af konfigurerbare, skalerbare og elastiske databehandlingsressourcer af central, distribueret eller stærkt distribueret karakter, og som kan tilvejebringes hurtigt og stilles til rådighed med minimal administrativ indsats eller tjenesteudbyderinteraktion.

  En databehandlingstjeneste gør det muligt at lagre, analysere og behandle data ved brug af tjenesten. Databehandlingstjenester dækker f.eks. over typiske cloud servicemodeller, som:

  ·             Infrastruktur som en service (IaaS)

  ·             Platform som en service (PaaS)

  ·             Software som en service (SaaS)

   

  IaaS inkluderer basal fysisk infrastruktur såsom servere, netværksudstyr og lager, der tilbydes som en service over nettet. PaaS tilbyder udviklingsværktøjer og programmeringssprog, udover den basale fysiske infrastruktur. SaaS tilbyder færdige softwareløsninger via internettet, så brugere ikke selv skal installere eller opdatere softwaren på deres egne computere.

  Andre eksempler på databehandlingstjenester er f.eks. edgetjenester, fog computing, dataanalyseplatforme, outsourcing af databasedrift og visse andre former for IT-drift.

• Hvem er omfattet af reglerne?

  Man er en udbyder af databehandlingstjenester, hvis én eller flere af ens virksomheds services er en databehandlingstjeneste.

  Alle udbydere af databehandlingstjenester, der tilbyder service til kunder inden for EU, er omfattet af reglerne om skift mellem databehandlingstjenester, uanset udbyderens egen fysiske placering. F.eks. vil en amerikansk eller norsk udbyder af databehandlingstjenester være omfattet af reglerne, hvis de udbyder deres services til danske kunder.

Hvilke forpligtelser har en udbyder af databehandlingstjenester?

• Fjerne hindringer for effektive skift

  Udbydere af databehandlingstjenester skal gøre det muligt for kunder at skifte til en databehandlingstjeneste, der dækker samme tjenestetype, og som leveres af en anden udbyder af databehandlingstjenester, eller til lokal IKT-infrastruktur, eller, hvor det er relevant, at anvende flere udbydere af databehandlingstjenester på samme tid.

  Derudover skal udbyderne fjerne hindringer, der forhindrer kunder i at foretage et effektivt skifte.

• At handle i god tro

  Alle parter involveret i skifteprocessen skal samarbejde i god tro om at gøre processen effektiv, muliggøre rettidig overførsel af data og sikre at databehandlingstjenesten fungerer stabilt uden driftsafbrydelser.

• Oplysningspligter

  Udbydere af databehandlingstjenester skal give kunder oplysninger om konkrete forhold relateret til deres databehandlingstjenester:

  • Udbydere af databehandlingstjenester skal give kunder oplysninger om tilgængelige procedurer for at skifte til databehandlingstjenesten, herunder oplysninger om metoder, formater, restriktioner og tekniske begrænsninger.
  • Udbydere af databehandlingstjenester skal give kunder en henvisning til et ajourført onlineregister, med nærmere oplysninger om alle de datastrukturer- og formater samt de relevante standarder og åbne interoperabilitetsspecifikationer, som kunders eksporterbare data skal være tilgængelige i.
  • Forud for indgåelse af en aftale skal udbydere af databehandlingstjenester, på en hjemmeside eller anden lettilgængelig måde, give kunden klare oplysninger om standardtjenestegebyrer og sanktioner for førtidig opsigelse, som kan pålægges, samt om evt. skiftegebyrer.
  • Hvis relevant, skal udbydere af databehandlingstjenester, på en hjemmeside eller anden lettilgængelig måde, informere kunder om databehandlingstjenester, som er særligt komplekse, hvorfor et skifte vil være særligt omkostningsfuldt, eller medføre betydelig indgriben i arkitekturen for kundens data, digitale aktiver eller tjenester.
  • Udbydere af databehandlingstjenester skal på deres hjemmeside beskrive hvilke tekniske, organisatoriske og kontraktlige foranstaltninger de benytter for at forhindre international statslig adgang til andre data end personoplysninger, som er gemt i EU, hvis denne adgang ville være i strid med EU-retten eller dansk lovgivning, samt hvilken jurisdiktion udbyderens databehandlingstjenester er underlagt.
  • Hvis en databehandlingstjeneste er omfattet af en undtagelse fra reglerne i dataforordningen om skift mellem databehandlingstjenester, skal udbydere forud for indgåelsen af en aftale, informere kunden om, hvilke forpligtelser der ikke finder anvendelse. Dette kan du læse mere om i afsnittet: ”Hvilke undtagelser gælder?”.

• Aftalevilkår

  Udbydere af databehandlingstjenester skal formulere vilkårene for skift mellem udbydere i en skriftlig aftale, som skal være tilgængelig for kunden inden aftalen indgås, og som kunden skal have mulighed for at gemme. Aftalen skal som minimum indeholde bestemmelser om følgende:

  Generel information:

  • Oplysninger om udbyderens hjemmeside, hvor kunden kan finde ajourførte oplysninger om hvilke tekniske, organisatoriske og kontraktlige foranstaltninger udbyderen benytter for at forhindre international statslig adgang til andre data end personoplysninger, som er gemt i EU, hvis denne adgang ville være i strid med EU-retten eller dansk lovgivning, samt hvilken jurisdiktion deres databehandlingstjenester er underlagt.

  Krav til skifte:

  • Kundens mulighed for at få sin eksporterbare data og digitale aktiver overført fra én udbyder (kildeudbyder) til en ny udbyder (destinationsudbyder), til intern infrastruktur (lokal IKT-infrastruktur) eller helt slettet, afhængigt af kundens eget ønske.
    • Eksporterbare data omfatter al input- og outputdata, herunder også metadata, der genereres ved kundens brug af tjenesten. Undtaget er data beskyttet af intellektuelle ejendomsrettigheder og data der udgør forretningshemmeligheder, f.eks. software-koder eller algoritmer med kritisk betydning.
  • En udtømmende specifikation af alle kategorier af data og digitale aktiver, der kan overføres til en ny udbyder eller intern infrastruktur, herunder som minimum alle eksporterbare data, og data der er undtaget, fordi de udgør forretningshemmeligheder.
  • I forbindelse med et skifte af udbyder, forpligtes udbydere af databehandlingstjenester til at yde bistand til kunden, stille alle relevante oplysninger til rådighed, sikre fortsat forretningsdrift og et højt sikkerhedsniveau.
  • Information om kendte risici for den fortsatte forretningsdrift i skifteprocessen, der kan tilskrives kildeudbyderen.
  • Information om skiftegebyrer, der kan pålægges kunden.

  Opsigelse og overgangsperiode:

  • En maksimal opsigelsesperiode på to måneder. Når opsigelsesperioden udløber kan kunden underrette kildeudbyderen om sit ønske om at skifte til en ny destinationsudbyder, til lokal IKT-infrastruktur eller at få egne eksporterbare data og digitale aktiver slettet.
  • En maksimal overgangsperiode for dataudtræk på 30 kalenderdage. I overgangsperioden skal udbyderen overføre alle eksporterbare data og digitale aktiver til destinationsudbyderen eller lokal IKT-infrastruktur, eller foretage sletning. Overgangsperiode starter, når den maksimale opsigelsesperiode slutter.
  • Hvis den maksimale overgangsperiode ikke er teknisk gennemførlig, skal udbyderen underrette kunden inden for 14 arbejdsdage efter anmodningen om at foretage et udbyderskifte. Udbyderen skal begrunde den manglende tekniske gennemførlighed og angive en alternativ overgangsperiode. En alternativ overgangsperiode må ikke overstige syv måneder – en periode, hvor driften fortsat skal sikres.
  •  Kunden har ret til at forlænge overgangsperioden én gang med en periode, som kunden finder hensigtsmæssig.
  • Udbyderen af databehandlingstjenester forpligtes til at sikre fuldstændig sletning af alle eksporterbare data og digitale aktiver, som er genereret direkte af kunden, eller som vedrører kunden direkte, efter udløbet af overgangsperioden, hvis skifteprocessen er afsluttet på en vellykket måde.
  • Aftalen anses for ophørt, når skifteprocessen er vellykket afsluttet eller ved udløbet af den maksimale opsigelsesfrist, hvis kunden ønsker at få eksporterbare data og digitale aktiver slettet. Kunden skal underrettes om aftalens ophør.

• Skiftegebyrer

  Udbydere af databehandlingstjenester må, fra den 12. januar 2027, ikke pålægge kunder gebyrer for processen ifm. et skifte af udbyder. Dette betegnes som skiftegebyrer.

  Indtil den 12. januar 2027 kan udbydere af databehandlingstjenester pålægge kunder nedsatte skiftegebyrer, dvs. gebyrer, som ikke overstiger de udgifter, som udbyderen selv har haft i forbindelse med den konkrete skifteproces.

• Funktionel ækvivalens

  Udbydere af databehandlingstjenester begrænset til infrastrukturelle elementer, såsom servere og netværk, forpligtes til, efter bedste evne, at sikre, at brugere opnår tilsvarende funktioner ved skifte mellem tjenester af samme tjenestetype (IaaS). Dette kaldes funktionel ækvivalens. Det indebærer, at kunder ikke skal opleve forskelle i funktioner, præstationsevner og standarder ved skift mellem udbydere af samme type service.

  Kildeudbydere forpligtes til at lette skifteprocessen ved at stille kapacitet, tilstrækkelig oplysning, dokumentation, teknisk støtte og de nødvendige værktøjer til rådighed for at destinationsudbyderen opnår forudsætning for at skabe funktionel ækvivalens for kunden.

• Åbne grænseflader (API)

  Udbydere af databehandlingstjenester der ikke er begrænset til infrastrukturelle elementer (f.eks. PaaS og SaaS), forpligtes til gratis at stille åbne grænseflader til rådighed til kunder og destinationsudbydere for at lette et skifte. Grænsefladerne skal omfatte tilstrækkelige oplysninger om databehandlingstjenesten til at muliggøre udvikling af software, der kan kommunikere med tjenesten, med henblik på dataportabilitet og interoperabilitet.

  Disse udbydere skal også, på kundens anmodning, eksportere alle eksporterbare data i et struktureret, almindeligt anvendt og maskinlæsbart format, hvis skiftet er mellem tjenester af samme tjenestetype.

Hvilke undtagelser gælder?

• Data

  Visse typer af data er undtaget krav om portering af kunders eksporterbare data og digitale aktiver fra kildeudbyder til destinationsudbyder:

  • Data der er beskyttet af intellektuelle ejendomsrettigheder.
  • Data som udgør en forretningshemmelighed for kildeudbyderen.

• Databehandlingstjenester

  Bestemte typer af databehandlingstjenester er undtaget visse forpligtelser i forbindelse med skift mellem databehandlingstjenester. Forud for indgåelse af en aftale om levering af databehandlingstjenester, skal udbyderen informere potentielle kunder om disse undtagelser.

  Skræddersyede databehandlingstjenester

  Databehandlingstjenester som er så skræddersyede, at de ellers ikke udbydes på markedet i kommercielt omfang, f.eks. tjenester, hvor et flertal af de primære funktioner – eller samtlige af dets komponenter – er udviklet og konfigureret specifikt til en individuel kundes behov.

  • Undtaget reglerne om at opnå funktionel ækvivalens.
  • Undtaget reglerne om gradvis fjernelse af skiftegebyrer.

  Testdatabehandlingstjenester

  Databehandlingstjenester som udelukkende benyttes til at teste eller evaluere tjenesten over en begrænset periode.

  • Undtaget alle forpligtelser i reglerne om skift mellem databehandlingstjenester.

Det du også bør vide

• Hvornår finder reglerne anvendelse?

  Reglerne i dataforordningen finder anvendelse fra den 12. september 2025.

  Dataforordningen introducerer en gradvis afskaffelse af skiftegebyrer for skift mellem udbydere af databehandlingstjenester.

  I perioden fra den 11. januar 2024 til den 12. januar 2027, kan udbydere fortsat opkræve skiftegebyrer, dog i begrænset omfang til maksimalt at dække de omkostninger, der direkte er forbundet med den pågældende skifteproces.

  Fra den 12. januar 2027 er opkrævning af skiftegebyrer forbudt.

• Offentliggørelse af bestemmelser til standardkontrakter

  Europa-Kommissionen vil inden den 12. september 2025 udvikle og offentliggøre standardkontraktbestemmelser (SCC’er) til databehandlingskontrakter, som kan assistere parter i at udarbejde og forhandle kontrakter med fair, rimelige og ikke-diskriminerende vilkår. 

  Europa-Kommissionen har med denne baggrund nedsat en ekspertgruppe til at udarbejde og anbefale SCC’er. Ekspertgruppens færdige rapport kan findes på Europa-Kommissionen hjemmeside (side 120).

• Anbefalede handlinger

  Udbydere af databehandlingstjenester kan, i perioden frem mod den 12. september 2025, tage følgende skridt for at forberede sig og sikre overholdelse af dataforordningens regler om skift mellem databehandlingstjenester:

  • Evaluere og opdatere relevante vilkår og betingelser i kontrakter for ydelse af databehandlingstjenester.
  • Planlægge og udvikle relevante processer for at sikre, at kravene for kunders muligheder for ubesværet at skifte mellem udbydere efterleves.
  • Kortlægge eksporterbar data og digitale aktiver for at sikre, at der er tydelig information tilgængelig for kunderne, der beskriver, hvordan denne data kan flyttes eller slettes.
  • Tilpasse den tekniske infrastruktur til krav om funktionel ækvivalens eller udvikle åbne grænseflader.
  • Udbydere af både IaaS og PaaS skal forberede sig på at være i stand til, efter anmodning, at adskille infrastrukturservices fra platformsservices, hvis dette er teknisk gennemførligt. Det samme vil være gældende for udbydere af både IaaS- og SaaS-services.
  • Evt. evaluere forretningsmodel for at sikre en fortsat eller nyskabende konkurrencedygtighed. Eksempelvis med hensyn til udbydere af databehandlingstjenester med samlede pakkeprodukter eller den økonomiske tilpasning til ophævelsen af skiftegebyrer.