Leverandørbytte og migrering av personopplysninger: hva må planlegges?

Kort svar

Ved leverandørbytte flyttes ofte store mengder personopplysninger på kort tid. Da bør virksomheten planlegge både ansvar, sikkerhet og sletting like nøye som selve systembyttet.

Før dere setter behandlingen i drift eller svarer den registrerte, bør dere ha kontroll på hvilke data som skal flyttes og hvorfor, hvordan ansvar, sikkerhet og tilgang skal håndteres i overgangsperioden og hva som skal slettes, beholdes eller bekreftes etterpå.

Når dette blir aktuelt

• når CRM, HR-system eller annen datatung tjeneste skal byttes
• når gammel og ny leverandør må håndtere data parallelt en periode
• når virksomheten vil unngå at personvern blir et etterslep i migreringsprosjektet

Det bedriften bør avklare først

Slik bør dere gå fram

1. Kartlegg hvilke datakategorier, systemer og integrasjoner som blir berørt av byttet.
2. Avklar roller og ansvar mellom gammel leverandør, ny leverandør og virksomheten.
3. Planlegg teknisk og organisatorisk kontroll på eksport, import, test og tilgang i overgangsfasen.
4. Følg opp sletting, retur og dokumentasjon når migreringen er ferdig.

Dokumenter og spor som bør være på plass

I personvernspørsmål er det ofte kombinasjonen av formål, tilgangsstyring og dokumentasjon som avgjør om rutinen holder.

• migreringsplan og datakart for berørte systemer
• avtaler med gammel og ny leverandør om eksport, bistand og sletting
• sikkerhets- og tilgangsplan for overgangsperioden
• bekreftelser på retur eller sletting etter avslutning

Typiske feil

• prosjektet fokuserer på funksjonalitet og ikke på dataflyt og sletting
• ansvaret mellom gammel og ny leverandør er for uklart
• testdata og eksportfiler blir liggende i overgangsmiljøer uten oppfølging

Når bør dere få konkret hjelp?

Når byttet gjelder sentrale systemer eller store datamengder, bør personverndelen kvalitetssikres tidlig i prosjektet.

Slik bruker dere guiden i praksis

For en bedrift er ikke målet å lese seg opp på leverandørbytte og migrering av personopplysninger i seg selv. Målet er å avklare hva som må besluttes, hvem som eier oppfølgingen, og hvilke dokumenter som bør tåle en senere kontroll, tvist eller intern gjennomgang.

Bruk derfor guiden som en arbeidsliste: start med formål, datatyper, tilgang, leverandører og sletterutiner, og fordel deretter oppgavene mellom systemeier, ledelse og den som eier kundereisen eller HR-prosessen. Da blir vurderingen mer konkret enn en generell regelavklaring, og dere reduserer risikoen for for brede datainnsamlinger, uklare leverandørroller og svak håndtering av innsyn eller brudd.

Spørsmål som gir bedre avklaring

• Hvilke personopplysninger behandles, og hvilket konkret formål støtter de?
• Hvem bestemmer bruken av opplysningene, og hvem behandler dem på vegne av bedriften?
• Hvilke systemer, leverandører og tilganger må inngå i vurderingen?
• Hva sier rutinen om informasjon, innsyn, sletting og avvik?
• Hvilke valg bør dokumenteres slik at de kan forklares ved kontroll eller spørsmål?

Et godt beslutningsgrunnlag bør vise

Relaterte guider

• Deling av personopplysninger i konsern eller med rådgivere: hva må vurderes?
• Overføring av personopplysninger til land utenfor EØS
• Sensitive personopplysninger: når er de i spill og hva kreves?

Kilder og faglig grunnlag

• Datatilsynet om databehandleravtale
• Datatilsynet om overføring av personopplysninger ut av EØS
• Datatilsynet om informasjon og åpenhet

Kildene er valgt for å gjøre sentrale påstander om leverandørbytte og migrering av personopplysninger: hva må planlegges? etterprøvbare. Reglene kan endres, og den konkrete saken kan kreve en individuell juridisk vurdering.

Sist faglig gjennomgått av Nomr-redaksjonen: 27. august 2026. Se redaksjonell metode .