Kde se zpracovávají vaše personální údaje? Otázky, které byste měli položit svému poskytovateli

Výběr platformy pro personální agendu znamená pochopit, kde jsou údaje o zaměstnancích uloženy, kdo k nim má přístup a jaká bezpečnostní opatření se na ně vztahují. Jasná odpověď by měla zahrnovat databázi, dokumenty, zálohy, přístup k podpoře a související služby.

Ověřeno dne 21. září 2026.

Hostování v EU a soulad s GDPR jsou dvě odlišné záležitosti

Hostování v EU může být užitečným požadavkem při zadávání zakázek. Samo o sobě však nezaručuje soulad s předpisy a GDPR neukládá obecný zákaz ukládání nebo zpracování osobních údajů mimo Evropský hospodářský prostor. Mezinárodní předávání údajů vyžaduje platný postup podle kapitoly V spolu s dalšími požadavky, které se na zpracování vztahují. EDPB: mezinárodní předávání údajů

Požádejte poskytovatele, aby rozlišoval mezi svým sídlem a místy zpracování. Společnost z EU může využívat infrastrukturu nebo podpůrné týmy jinde. Samotná adresa serveru také málo vypovídá o tom, kdo drží šifrovací klíče nebo má vzdálený přístup k záznamům.

Co se změnilo po rozsudku Schrems II?

Rozsudek Schrems II z roku 2020 zrušil platnost programu Privacy Shield, ale potvrdil standardní smluvní doložky (SCC) jako nástroj pro předávání údajů, a to s výhradou požadovaného posouzení a ochranných opatření. Standardní smluvní doložky nepředstavují plošné schválení každého předání: strany musí posoudit, zda jsou v daných okolnostech vhodné, a v případě potřeby použít doplňková opatření. EDPB: doplňková opatření

Komise přijala v roce 2023 rozhodnutí o přiměřenosti rámce pro ochranu osobních údajů mezi EU a USA. Toto rozhodnutí se vztahuje na předávání údajů zúčastněným organizacím v USA v rámci jejich certifikace. Ověřte si aktuální zařazení příjemce na seznamu a zda se vztahuje na příslušné údaje, včetně údajů v oblasti lidských zdrojů, je-li to relevantní. Evropská komise: Přenosy mezi EU a USA

V září 2025 Všeobecný soud zamítl žalobu ve věci Latombe v. Komise a posoudil rozhodnutí z hlediska situace v době jeho přijetí. Tento rozsudek by neměl být považován za záruku ohledně budoucích soudních sporů či vládní politiky. Při rozhodování o zadání veřejné zakázky si ověřte aktuální stav přiměřenosti. Obecný soud: rozsudek ve věci Latombe

Co znamená zákon CLOUD Act pro kupujícího?

Zákon CLOUD Act objasnil, že poskytovatelé podléhající příslušným právním postupům v USA mohou být povinni zpřístupnit údaje, které mají v držení, úschově nebo pod kontrolou, i když jsou uloženy v zahraničí. Nejedná se o neomezený přístup ke všem zahraničním databázím a samotná forma společnosti neodpovídá na všechny otázky týkající se jurisdikce nebo kontroly. Ministerstvo spravedlnosti USA: Vysvětlení zákona CLOUD Act

Užitečné doplňující otázky jsou: který subjekt má k datům přístup, kdo spravuje přístupové klíče, jakým způsobem jsou posuzovány žádosti státních orgánů a jakou výpovědní lhůtu může poskytovatel stanovit? Tyto odpovědi jsou informativnější než slib, že umístění společnosti či serveru eliminuje veškerá právní rizika.

Požádejte o kompletní přehled zpracování

Než si vyberete platformu, požádejte o následující informace:

• Umístění hlavní databáze, dokumentů a záloh.
• Právnické osoby poskytující hosting, e-mailové služby, služby umělé inteligence, technickou podporu a fakturaci.
• Jakýkoli vzdálený přístup nebo další zpracování mimo EHP.
• Mechanismus předávání použitý pro každého příslušného příjemce.
• Smluvní podmínky týkající se změn subdodavatelů, exportu a vymazání.
• Důkazy potvrzující šifrování, kontrolu přístupu a možnosti obnovy dat.

Oddělte data aplikace od fakturačních údajů, ale nepředpokládejte, že fakturační informace jsou anonymní. Kontaktní údaje jmenovaného majitele účtu mohou i nadále představovat osobní údaje. Volitelné integrace by měly být posuzovány z hlediska informací, které odesílají, i z hlediska informací, které přijímají.

Jak využít získané odpovědi

K vašemu posouzení si přiložte dohodu o zpracování osobních údajů (DPA) a informace o zpracování od poskytovatele. Zaznamenejte si všechny požadavky, které jsou pro vaši organizaci důležité, jako je konkrétní region hostingu nebo omezení přístupu k technické podpoře. Než se spolehnete na obecné označení „hostováno v EU“, požádejte o písemné vyjasnění nevyřešených bodů.

V případě PersoHR začněte s našimi bezpečnostními opatřeními, dohodou o zpracování údajů a seznamem subdodavatelů. Tyto dokumenty popisují různé části služby a je třeba je číst v souvislosti. Úplný popis toku dat je užitečnější než tvrzení, že produkt je v souladu s předpisy pouze díky své geografické poloze.