ISAE 3000 "in progress"

ISAE 3000-erklæringer gælder blandt andet i forhold til databeskyttelsesforordningen og databeskyttelsesloven (GDPR). Denne kan ses som en ramme for kontrolmål og kontrolaktiviteter, der vedrører erklæringsemnet. Erklæringsemnet kan fx være udtalelser om, hvilke sikkerhedsforanstaltninger og -processer en databehandler har opsat, og hvordan de fungerer.

Erklæringen skal fx anvendes, når databehandleren foretager behandling af personoplysninger som led i hosting, drift af operativsystemer og databaser eller levering af applikationer. Erklæringen kan ligeledes anvendes, når databehandleren er ansvarlig for en proces, fx behandling af personoplysninger i processen for løn- og personaleadministration.

ISAE 3000-erklæringen skal forsikre den dataansvarlige om, at databehandleren behandler de personoplysninger, som den dataansvarlige er ansvarlig for, på en passende måde. Den kan både være et øjebliksbillede eller dække en længere periode. Den indeholder revisors konklusion på effektiviteten af de tekniske og organisatoriske sikkerhedsforanstaltninger (kontroller), som databehandleren har etableret for at opfylde databehandleraftalen og sikre en passende persondatabeskyttelse.