Hvilke spørgsmål bør et dansk bureau besvare?

Hvilke spørgsmål bør et dansk bureau kunne svare på?

En køber bør kunne stille en samlet liste og få skriftlige svar. Listen nedenfor er opdelt efter fagligt ansvar, fortrolighed, lovkvalitet, rettigheder, persondata, kapacitet, tilsyn og tryghed.

Før valg bør køber kræve svar på ni punkter: 1) Hvem er fagligt ansvarlig? 2) Hvor ofte trænes medarbejdere, og hvem omfattes? 3) Hvem underskriver fortrolighedsaftaler – også freelancere og underleverandører? 4) Hvilke tekniske mekanismer beskytter data? 5) Hvem har adgang?

6. Hvem underretter ved sikkerhedsbrud? 7) Hvordan dokumenteres sletning eller tilbagelevering? 8) Hvordan følges Datatilsynets afgørelser og vejledning? 9) Hvem er kontaktperson, hvis FAQ'en ikke svarer?

Den samlede tjekliste bør også omfatte CVR-nummer og registrering i CVR, ejere, ledelse og organisationsform, professionel ansvarsforsikring, referencer og navngivne sammenlignelige sager, certificeringer som ISAE 3402 og ISO 27001, databehandleraftale og liste over underleverandører, timepris og samlede omkostninger samt kontraktvilkår om ansvar, opsigelse og exit.

Et bureau kan ikke besvare alt. FAQ'en bør dække kundernes spørgsmål om sikkerhed, fortrolighed, jura og persondata. Need Consult Outsourcing oplyser i sin FAQ, at medarbejderne får regelmæssig sikkerhedstræning, underskriver fortrolighedsaftaler, og at IT-systemerne er beskyttet.

FAQ'en slutter: »Sidder du med et spørgsmål som du ikke finder svar på, så skriv endelig til os.« Kan bureauet ikke svare med det samme, bør det henvise til en navngivet person og en svarfrist.

Test FAQ'en med konkrete spørgsmål, ikke markedsføring. Hvor ofte trænes medarbejderne, og hvem omfattes? Hvem underskriver fortrolighedsaftalen – også freelancere og underleverandører? Hvilke tekniske mekanismer beskytter data: adgangsstyring, logning, kryptering, backup? Hvem hos bureauet har adgang til dine oplysninger? Svares der med »avancerede systemer« uden mekanisme, ansvarlig eller kontrol, er spørgsmålet ikke besvaret.

Afklar først, hvilken type bureau du spørger. Et outsourcingbureau og et bureau med juridiske opgaver har forskellige svar, men begge skal kunne pege på en fagligt ansvarlig.

Kunden kan kræve konkrete FAQ-punkter besvaret: træningsfrekvens, hvem der er omfattet, hvem der underskriver fortrolighedsaftaler, hvilke tekniske mekanismer der bruges, hvem der har adgang, og hvem der underretter ved sikkerhedsbrud. Et FAQ-svar er kun fyldestgørende, hvis det oplyser alle disse punkter, og det skal kunne lægges til grund i aftalen.

Hvert svar skal have et navn, en dato og en henvisning til aftalen. Køber bør kunne se, om svaret er et lovkrav eller god praksis.

Hvordan håndteres fortrolighed og sikkerhed?

Spørg ind til tre led: sikkerhedstræning, fortrolighedsaftaler og teknisk beskyttelse. Sikkerhedstræning: Hvor ofte gentages den? Er den obligatorisk for alle med adgang til kundedata, og dokumenteres deltagelsen?

Fortrolighedsaftale: Underskrives den af alle, der ser oplysningerne – også underleverandører og midlertidigt ansatte? Hvad er konsekvensen ved brud?

Teknisk beskyttelse: Hvilke systemer bruges? Hvordan styres adgangen, logges der, og hvor opbevares data? Ved opgavens ophør skal det afklares, hvordan data tilbageleveres eller slettes, og hvordan det dokumenteres.

Spørg også, hvem der underretter hvem ved en sikkerhedshændelse, og inden for hvilken frist, som den aftale eller de regler, I er omfattet af, fastsætter. Få svaret skriftligt, så det kan lægges til grund i aftalen.

Et fyldestgørende svar skal være skriftligt og navngive den person, der ejer fortroligheden. Bed om fortegnelsen over, hvem der har underskrevet, og opdateringsdatoen.

Bed om en fortegnelse over underleverandører og en databehandleraftale, der dækker dem. Fortegnelsen skal være dateret og navngive den ansvarlige.

Hvornår bør der lovgives, og hvordan sikres kvaliteten?

For en køber betyder afsnittet et krav om, at bureauet kan dokumentere, hvordan det understøtter en lovproces – ikke at bureauet selv vurderer, om der bør lovgives. Bed om navn på den fagligt ansvarlige og om skriftligt svar på, hvor i rækkefølgen bureauet har ansvar.

Vejledningen om lovkvalitet fra 15. december 2017 beskrives som det vigtigste redskab ved udarbejdelsen af lovforslag.

Et bureau bør kunne besvare tre spørgsmål: Er det vurderet, om der bør lovgives, før forslaget skrives? Er forslaget udarbejdet efter vejledningens krav? Hvem følger op på det vedtagne forslag?

Bed om at se rækkefølgen: vurdering, udarbejdelse, høring, fremsættelse og opfølgning. Justitsministeriet har sendt et lovforslag i høring, der bl.a. skal sidestille kriminelle familier med bander og styrke det strafferetlige værn – et eksempel på høringen som selvstændigt trin. Spørg, hvem der håndterer høringssvar, hvordan de indarbejdes, og hvordan der rapporteres om målopfyldelsen efter vedtagelsen.

Hvis bureauet skal svare på lovkvalitet, bed om skriftligt svar på, om behovet for lovgivning er vurderet, om vejledningen er fulgt, og hvem der følger op.

Afklar, om kravet følger af lov eller af god praksis, og bed om henvisningen.

Hvordan vurderes begrænsninger af grundlæggende rettigheder?

For et bureau betyder det, at det skal pege på, hvor vurderingen findes, hvem der har godkendt den, og datoen for seneste opdatering. Bureauet skal ikke selv træffe afgørelsen, men kunne dokumentere sin rolle i processen.

Ved en begrænsning af grundlæggende rettigheder bør vurderingen tage udgangspunkt i de rettighedsregler, der gælder på området, og i, hvordan indgrebet vurderes efter dem.

Det gør spørgsmålene præcise: Hvilken grundlæggende rettighed begrænses, og hvordan? Er det afklaret, at de relevante rettighedsregler finder anvendelse på området? Er der lavet en udtrykkelig vurdering af begrænsningen, og hvordan konkluderer den?

Bed om at se vurderingen som dokument, ikke som mundtligt referat. Den bør indeholde hjemmelen for indgrebet, hvilken rettighed der begrænses, og begrundelsen for, at den valgte løsning er nødvendig frem for et mindre indgribende alternativ. Efterspørg også, hvem der har godkendt vurderingen, og datoen for seneste opdatering, hvis reglerne eller praksis er ændret.

Hvordan behandles persondata, og hvordan får borgeren indsigt?

I en faglig gennemgang af persondataspørgsmål stilles bl.a.: Hvordan informeres de berørte personer om, hvordan deres data behandles? Er andres persondata videregivet ved anmodninger herom? Er der taget stilling til den enkelte behandling?

Brug listen som tjekliste over for bureauet: Kan det på hvert punkt vise, hvor oplysningen findes, hvem der er ansvarlig, og datoen for seneste gennemgang?

Ved videregivelse til andre skal bureauet kunne svare på, hvem der modtager oplysningerne, hvilket grundlag videregivelsen bygger på, og hvordan modtageren behandler dem. Ved en anmodning om indsigt: Hvem modtager den, hvordan identificeres den registrerede, og hvilke oplysninger udleveres?

Hvordan besvares et afslag med begrundelse og klagevejledning? Spørg også, hvordan I dokumenterer, at fristen for at svare – den frist, databeskyttelsesreglerne fastsætter – er overholdt.

Datatilsynet er den centrale uafhængige myndighed, der fører tilsyn med, at reglerne om databeskyttelse bliver overholdt. Spørg bureauet, hvordan det følger Datatilsynets afgørelser og vejledning, og hvem der er ansvarlig.

I en afgørelse udtalte Datatilsynet alvorlig kritik af Erhvervsstyrelsens optagelse af telefonsamtaler, fordi behandlingen ikke skete i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1. Bed bureauet om at vise sit behandlingsgrundlag efter artikel 6, stk. 1.

Datatilsynet kan kontaktes på tlf. 33 19 32 00, hvis I har spørgsmål om rettigheder og pligter i GDPR.

Bed om databehandleraftale og liste over underleverandører. Bed også om at se, hvem der er dataansvarlig, og hvem der er databehandler.

Hvilke juridiske opgaver og kompetencer mangler?

Start med at afklare jeres eget behov, før I spørger bureauet.

Forskellige behov kræver forskellige aftaler: en enkelt sag med kort løbetid, en specialistkompetence over en periode eller løbende kapacitet til et team. Afklar derfor, hvilken af dem du reelt står i, før du beder om tilbud.

Stil derefter spørgsmålene, der afgør, om bureauet kan levere: Hvem er fagligt ansvarlig for opgaven, og hvem udfører den? Hvordan foregår onboarding, og hvor lang tid tager den?

Hvordan overdrages viden til jeres egne folk, og hvad sker der med dokumentationen, når samarbejdet ophører? Bed om at se, hvordan bureauet har løst sammenlignelige opgaver, og hvordan det måler, om opgaven er løst.

Afklar, om bureauet er et outsourcingbureau, et juridisk bureau eller et specialiseret team. Spørgsmålene om sikkerhed, fortrolighed og persondata er de samme, men de faglige svar varierer.

Et dansk eksempel på en leverandør, en køber kan vurdere, er Azets, der oplyser at være eksperter i outsourcing af regnskab og løn. Tonni Nielsen er Senior manager hos Azets, uddannet inden for økonomi og regnskab på CBS og har mere end 20 års praktisk erfaring som revisor og manager i økonomifunktioner. Han har været i Azets siden 2003.

Bed om timepris, estimeret timeforbrug og samlede omkostninger.

Bed om dokumentation for professionel ansvarsforsikring, referencer og navngivne sammenlignelige sager.

Bed om kontraktvilkår om ansvar, opsigelse og exit.

Afklar, om bureauet er certificeret efter ISAE 3402 eller ISO 27001.

Hvordan følges der op på tilsyn og gennemgange?

Justitsminister Nicolai Wammen har svaret Statsrevisorerne på Rigsrevisionens kritik af politiets henlæggelse af sager. Rigsrevisionen udtalte kritikken i maj 2026, og ministeren har besluttet at gennemføre alle anbefalinger og tage yderligere tiltag.

Mønsteret er generelt: en ekstern gennemgang, et skriftligt svar, beslutning om opfølgning.

Oversæt det til spørgsmål til bureauet: Hvilke retningslinjer er omfattet af gennemgangen, og hvem gennemfører den? Hvordan dokumenteres den – findes der en redegørelse eller rapport, I kan læse?

Hvordan prioriteres anbefalingerne, hvem ejer opfølgningen, og hvordan rapporteres der til ledelsen? Spørg også, hvordan I selv opdager ændringer i tilsynets praksis, og hvordan retningslinjerne opdateres, når det sker.

For persondata er Datatilsynet den centrale uafhængige tilsynsmyndighed. Spørg bureauet, hvordan det følger Datatilsynets afgørelser, og hvem der opdaterer retningslinjerne, når praksis ændres.

Kunden bør kunne se en skriftlig redegørelse eller rapport fra gennemgange, et navn på ejeren af opfølgningen og en dato for næste gennemgang.

Bed om CVR-nummer og registrering, så bureauets navn, ejere og ledelse kan kontrolleres.

Hvordan håndteres tryghed, sikkerhed og adgang?

Justitsminister Nicolai Wammen vil lukke porten for hårdkogte kriminelle på danske havne. Efter at have orienteret Folketingets partier har han besluttet at genåbne for udstedelsen af børneattester fra fredag den 18. september.

Justitsministeriets eksempel viser, hvordan tryghedskrav kan skærpes. Regeringen vil gøre baggrundstjek af relevante havnemedarbejdere til et krav: Danske havne skal ikke være arbejdsplads for bandemedlemmer eller indgangsport for narkotika.

Samme sted oplyses, at antallet af episoder med vold og trusler mod Danmarks Fængslers medarbejdere er faldet cirka 47 procent siden 2017 – udviklingen kan altså måles og følges over tid.

Oversæt tryghedskravene til bureauet: Hvem har adgang til lokaler og systemer, og hvordan kontrolleres adgangen – ved ansættelse og løbende? Bruges baggrundstjek eller børneattest, hvor det er relevant og har hjemmel, og hvem gennemfører dem?

Hvordan registreres episoder med trusler eller vold, hvem underrettes, og hvilke tiltag sættes i gang? Hvordan måler I udviklingen over tid, så I kan se, om tiltagene virker?

Statistik om tryghed i danske myndigheder (2017–2026)