BEK 627/2026 Art. 16

Ét Kontaktpunkt fører, i sin egenskab af databehandler og på vegne af de dataansvarlige, tilsyn med, at de godkendte databehandlingsmiljøer, der fungerer som underdatabehandlere, til enhver tid, overholder de krav, der følger af denne bekendtgørelse og Ét Kontaktpunkts vejledning, der offentliggøres på Ét Kontaktpunkts hjemmeside.

Stk. 2. Ét Kontaktpunkt kan som led i tilsynet påbyde et godkendt databehandlingsmiljø at udlevere de oplysninger og den dokumentation, der er nødvendige for at vurdere overholdelsen af underdatabehandleraftalen og gældende krav, herunder procedurer for databeskyttelse, adgangskontrol, logning og sikring af borgeres rettigheder.

Stk. 3. Som led i varetagelse af Ét Kontaktpunkts tilsyn med godkendte databehandlingsmiljøer, må Ét Kontaktpunkt behandle personoplysninger om de fysiske personer, der har haft adgang til oplysningerne samt relevante borgere.

Stk. 4. Ét Kontaktpunkt kan efter aftale med det godkendte databehandlingsmiljø etablere en teknisk monitorering af databehandlingsmiljøet. Denne monitorering vil indgå som led i Ét Kontaktpunkts tilsyn med det godkendte databehandlingsmiljø.

Stk. 5. Ét Kontaktpunkt kan give påbud om udbedring af enhver mangel, risiko eller sårbarhed og fastsætte rimelige frister herfor, hvis databehandlingsmiljøet ikke overholder de krav, der følger af denne bekendtgørelse og Ét Kontaktpunkts vejledning, der offentliggøres på Ét Kontaktpunkts hjemmeside.

Stk. 6. Hvis databehandlingsmiljøet ikke overholder de fastsatte frister, kan Ét Kontaktpunkt give påbud om øjeblikkelig udbedring af enhver mangel, risiko eller sårbarhed.

Stk. 7. Efterkommes et påbud ikke, jf. stk. 5 og 6, kan Ét Kontaktpunkt i særlige tilfælde give påbud om øjeblikkelig standsning af databehandlingen indtil udbedring af enhver mangel, risiko eller sårbarhed, er foretaget.

Stk. 8. Manglende overholdelse af fastsatte tidsfrister eller de krav, der følger af denne bekendtgørelse og den til enhver tid gældende vejledning, kan i særlige tilfælde medføre udelukkelse af databehandlingsmiljøet. Udelukkelsesperioden afhænger af forseelsens alvor samt omfanget og overtrædelsens karakter, herunder eventuelle gentagelsestilfælde. I særligt grove tilfælde kan Ét Kontaktpunkt udelukke et databehandlingsmiljø straks.

Stk. 9. Ved udelukkelse af et databehandlingsmiljø i medfør af stk. 8, skal databehandlingsmiljøet yde sikker teknisk bistand, så de fysiske eller juridiske personer, der har fået videregivet sundhedsdata og andre relevante data til dette databehandlingsmiljø, kan få overført disse data til et andet godkendt databehandlingsmiljø.

Stk. 10. Ét Kontaktpunkt offentliggør oplysninger om tilsynsaktiviteterne med de godkendte databehandlingsmiljøer på Ét Kontaktpunkts hjemmeside.