SimplewiseVendor
Til sammenligningen

Når oppfølgingen
svikter

Offentlige tilsynssaker viser hvorfor avtaler, vurderinger og oppfølging må henge sammen. Her ser vi på hva som sviktet, og hvordan arbeidsmåten i Simplewise Vendor kunne ha styrket kontrollen.

Sakene er offentlige tilsynssaker. Sammenligningen med Vendor er vår faglige vurdering, ikke tilsynenes konklusjon eller en kundehistorie. Vi kan ikke fastslå at Vendor ville ha hindret hendelsene eller endret vedtakene. Kildene dokumenterer ikke bruk av Excel eller et bestemt forvaltningssystem. Kilder og saksgang er kontrollert 22. oktober 2026.

Ferde · Norge · Vedtak 27.09.2021

Data lå i Norge. Tilgangen gikk til Kina.

5 mill. krOvertredelsesgebyr · akseptert av Ferde

Dette fant tilsynet

Ferde brukte en leverandør med ansatte i Kina til manuell behandling av bilder fra bompasseringer. Datatilsynet ila et gebyr på 5 millioner kroner for manglende databehandleravtale, risikovurdering og grunnlag for overføring ut av EØS i deler av perioden. Ferde godtok gebyret. Databehandleravtalen regulerer hvordan leverandøren behandler personopplysningene.

Tabellen fortsetter mot høyre

Dokumentert arbeidsmåte i Ferde-saken og vår vurdering av mulig bidrag fra Simplewise Vendor
KontrollpunktDokumentert i sakenSlik kunne Vendor bidratt
Hvor behandlingen skjerSystemet og dataene var i Norge, mens ansatte i Kina hadde tilgang. Lagringsstedet beskrev derfor ikke hele behandlingen.Innhente og vurdere opplysninger om hvem som har tilgang, hvorfra og gjennom hvilke leverandører. Det kunne gjort den utenlandske tilgangen til et avklaringspunkt før videre bruk.
Grunnlag før oppstartDokumentasjonen kom etter at behandlingen var startet. Leverandørens garantier i tilbudet inngikk i Ferdes senere risikovurdering.Gjennomgå avtalen, vurdere dokumentasjonen bak leverandørens svar og følge opp mangler. Virksomheten kunne fått et begrunnet varsel om uavklarte forhold, fremfor bare en registrert leverandør.

Dette måtte virksomheten fortsatt gjort

Virksomheten måtte sikre et lovlig grunnlag for behandlingen og endre eller stanse bruken dersom dette ikke lot seg gjøre. En vurdering kan avdekke et problem; den kan ikke gjøre en ulovlig overføring lovlig.

Kilder og lesepunkter

Bergen / Vigilo · Norge · Vedtak 03.09.2020

Vurderingen fulgte ikke løsningen som ble innført.

3 mill. krOvertredelsesgebyr · akseptert av kommunen

Dette fant tilsynet

Bergen kommune fikk et gebyr på 3 millioner kroner etter brudd på konfidensialitet i Vigilo. Personer uten foreldreansvar fikk tilgang til opplysninger som skulle vært skjermet. Innlasting fra Folkeregisteret overskrev manuelle endringer. Kommunen hadde ikke sikret nødvendige rutiner og tiltak.

Tabellen fortsetter mot høyre

Dokumentert arbeidsmåte i Bergen / Vigilo-saken og vår vurdering av mulig bidrag fra Simplewise Vendor
KontrollpunktDokumentert i sakenSlik kunne Vendor bidratt
Endrede forutsetningerRisikovurderingen bygget på en annen datakilde enn den som faktisk ble brukt. Prosjektet reviderte ikke vurderingen tilsvarende.Etterspørre hva endrede integrasjoner betyr, og oppdatere vurderingen mot den faktiske tjenesten. Slik kunne avvik mellom dokumentasjonen og løsningen blitt synlige før innføring.
Fra informasjon til tiltakFunksjonsrisiko ble diskutert muntlig. Leverandørinformasjon om registerimporten og nødvendig veiledning til skolene ble ikke fulgt godt nok opp.Dokumentere funn og leverandøravklaringer, og gjøre gjenstående kontrollpunkter tydelige for kommunen. Relevante erfaringer om samme løsning kunne også styrket andre kommuners vurderinger.

Dette måtte virksomheten fortsatt gjort

Kommunen måtte kontrollere personrelasjoner, teste tilgangen og gi skolene nødvendige rutiner før bruk. Vendor ville ikke automatisk testet eller endret det lokale oppsettet.

Kilder og lesepunkter

Fem kommuner / Aula · Danmark · Offentliggjort 15.01.2024

Samme system. Ulikt og ufullstendig vurderingsarbeid.

Kritikk og påleggKritikk eller alvorlig kritikk · to pålegg om DPIA

Dette fant tilsynet

Fem danske kommuner fikk kritikk eller alvorlig kritikk for vurderingene av Aula. To manglet en vurdering av personvernkonsekvenser (DPIA) og fikk pålegg om å utarbeide en. De tre andre hadde analyser som ikke oppfylte alle minstekravene. Denne omtalen gjelder kritikk og pålegg, ikke bøter.

Tabellen fortsetter mot høyre

Dokumentert arbeidsmåte i Fem kommuner / Aula-saken og vår vurdering av mulig bidrag fra Simplewise Vendor
KontrollpunktDokumentert i sakenSlik kunne Vendor bidratt
Felles kunnskapKommunene brukte samme tekniske løsning, men behandlet felles risikomateriale fra KOMBIT forskjellig. Noen vurderte risiko lavere uten tilstrekkelig begrunnelse.Samle relevant grunnlag, kvalitetssikre vurderingene som deles og synliggjøre forutsetningene. Kommunen kunne bygge på gjennomgått arbeid og begrunne sine lokale avvik.
Behov for videre analyseTo kommuner manglet DPIA. Andre analyser var ufullstendige. Tilsynet oppfordret kommunene til å vurdere en felles analyse for sammenlignbar bruk.Avklare behovet for en DPIA og følge opp at nødvendig analyse blir utarbeidet. Felles leverandørsvar og vurderinger kunne redusert gjentatt innhenting og gitt et bedre utgangspunkt for analysen.

Dette måtte virksomheten fortsatt gjort

Kommunen måtte beskrive sin faktiske bruk, vurdere lokale forskjeller og gjennomføre sikkerhetstiltak. Et delt vurderingsgrunnlag er ikke i seg selv en full DPIA. En felles DPIA kan brukes ved sammenlignbar behandling, mens lokale avvik må vurderes og kommunen beholder ansvaret.

Kilder og lesepunkter

51 kommuner / Google · Danmark · Vedtak 29.01.2026

Felles avtaler var på plass. Kontroll måtte dokumenteres.

Alvorlig kritikkAlvorlig kritikk og advarsler · ikke bøter

Dette fant tilsynet

Det danske Datatilsynet ga 51 kommuner alvorlig kritikk i Chromebook-saken. Advarslene gjaldt oppsett av tjenestene og videre behandling hos underleverandører utenfor EU. Underleverandørene er selskaper Google bruker til å behandle opplysninger. Vedtaket gjaldt vurderingen av underleverandørkjeden ved bruk av Google Chromebooks og Workspace for Education.

Tabellen fortsetter mot høyre

Dokumentert arbeidsmåte i 51 kommuner / Google-saken og vår vurdering av mulig bidrag fra Simplewise Vendor
KontrollpunktDokumentert i sakenSlik kunne Vendor bidratt
Kontroll av leverandørsvarKommunenes interesseorganisasjon KL hadde allerede samordnet dialog og dokumentasjon. Tilsynet kunne likevel ikke konstatere at rapportene om underleverandørene var gjennomgått.Vurdere innholdet i tilgjengelige rapporter, dokumentere åpne spørsmål og samordne videre avklaringer. Det kunne gjort forskjellen mellom mottatt dokumentasjon og faktisk gjennomført kontroll tydelig.
Oppfølging over tidTilsynet etterlyste dokumentasjon på hvordan kommunene ville kontrollere at kravene ble fulgt. Videreoverføringer og tjenestenes oppsett krevde egne avklaringer.Vedlikeholde vurderingsgrunnlaget og følge opp endrede avtaler, leverandørforhold og ubesvarte spørsmål innenfor avtalt omfang. Kommunen kunne fått et oppdatert grunnlag for å ta stilling til fortsatt bruk.

Dette måtte virksomheten fortsatt gjort

Kommunene måtte sikre riktig oppsett og ta stilling til om behandlingen kunne gjennomføres lovlig. Samordning alene var ikke tilstrekkelig i denne saken. Vendor kunne støttet den dokumenterte kontrollen, men ikke fjernet risikoen ved å registrere den.

Kilder og lesepunkter

Fra registrert status
til gjennomført oppfølging

Et regneark eller et forvaltningssystem kan lagre avtaler, vise frister og samle funn. Noen må fortsatt innhente svarene, vurdere innholdet og følge opp det som mangler.

Med Vendor inngår arbeidet

Simplewise gjør vurderingsarbeidet, samordner leverandørdialogen og kvalitetssikrer grunnlaget som deles. Din kommune får nytte av relevant arbeid fra andre kommuner og kan prioritere egne beslutninger og tiltak.

Omfanget avtales. Avklar i avtalen om leveransen også omfatter en full DPIA, tekniske tester eller endringer i lokalt oppsett.

Se hvordan Vendor fungerer

Hvor er deres
uavklarte spørsmål?

Ta med en leverandør eller avtale dere ønsker å følge opp. Vi viser hvordan Vendor kan bidra, og hva som må avklares lokalt.

Avtal et møte