Sundhedsdatastyrelsens

Datatilsynet fandt ikke anledning til at tilsidesætte Sundhedsdatastyrelsens vurdering af, at styrelsens tilsyn med Medcom og Netcompany IT and Business Consulting A/S i form af årlig indhentelse af revisionserklæringer – og fastsættelse af eventuelle foranstaltninger i det omfang gennemgang af erklæringerne giver anledning hertil – udgør passende tilsyn med databehandlerne. 1. Skriftligt tilsyn med Sundhedsdatastyrelsens tilsyn med databehandlere Sundhedsdatastyrelsen var blandt de myndigheder, som Datatilsynet i efteråret 2021 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på Sundhedsdatastyrelsens tilsyn med databehandlere. Ved brev af 9. november 2021 varslede Datatilsynet tilsynet med Sundhedsdatastyrelsen. Datatilsynet anmodede i den forbindelse om at få tilsendt en liste over databehandlere, som Sundhedsdatastyrelsen overlader følsomme og/eller fortrolige oplysninger til. Sundhedsdatastyrelsen fremkom den 29. november 2021 med en liste over styrelsens databehandlere. På baggrund af listen valgte Datatilsynet at foretage kontrol af Sundhedsdatastyrelsens tilsyn med styrelsens databehandlere Medcom og Netcompany IT and Business Consultning A/S (herefter Netcompany). Datatilsynet anmodede den 8. december 2021 Sundhedsdatastyrelsen om at oplyse, om: styrelsens plan for dets tilsyn med Medcom og Netcompany, herunder overvejelser om hyppighed og hvad der bliver ført tilsyn med hvordan styrelsen har fulgt op på eventuelle gennemførte tilsyn med Medcom og Netcompany. Sundhedsdatastyrelsen fremsendte på den baggrund den 17. januar 2022 en udtalelse i sagen. Efter en gennemgang af sagen finder Datatilsynet ikke grundlag for at tilsidesætte Sundhedsdatastyrelsens vurdering af, at styrelsens tilsyn med databehandlerne Medcom og Netcompany er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 2, jf. stk. 1.