Hvor behandles dine HR-data? Spørgsmål, du bør stille din udbyder

Når man vælger en HR-platform, er det vigtigt at forstå, hvor medarbejderdataene opbevares, hvem der har adgang til dem, og hvilke sikkerhedsforanstaltninger der gælder. Et klart svar bør omfatte databasen, dokumenter, sikkerhedskopier, supportadgang og tilknyttede tjenester.

Fakta tjekket den 21. september 2026.

Hosting i EU og overholdelse af GDPR er to forskellige spørgsmål

Hosting i EU kan være et nyttigt krav i forbindelse med indkøb. Det sikrer ikke i sig selv overholdelse af lovgivningen, og GDPR indeholder ikke et generelt forbud mod opbevaring eller behandling af personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde. Internationale dataoverførsler kræver en gyldig "kapitel V-rute" ud over de øvrige krav, der gælder for behandlingen. EDPB: internationale dataoverførsler

Bed udbyderen om at skelne mellem sit hjemsted og sine databehandlingssteder. En EU-virksomhed kan benytte infrastruktur eller supportteams andre steder. En serveradresse alene siger heller ikke meget om, hvem der er i besiddelse af krypteringsnøglerne eller har fjernadgang til oplysningerne.

Hvad ændrede sig efter Schrems II?

Schrems II-dommen fra 2020 erklærede Privacy Shield for ugyldig, men stadfæstede standardkontraktbestemmelserne (SCC) som et overførselsværktøj, forudsat at de krævede vurderinger og beskyttelsesforanstaltninger er på plads. SCC'erne er ikke en generel godkendelse af enhver overførsel: parterne skal undersøge, om de fungerer under de givne omstændigheder, og anvende supplerende foranstaltninger, hvor det er nødvendigt. EDPB: supplerende foranstaltninger

Kommissionen vedtog i 2023 afgørelsen om tilstrækkelighed i forbindelse med EU-USA-rammeaftalen om databeskyttelse. Den omfatter overførsler til deltagende amerikanske organisationer inden for rammerne af deres certificering. Kontroller modtagerens aktuelle optagelse på listen, og om den dækker de relevante data, herunder HR-data, hvor det er relevant. Europa-Kommissionen: Overførsler mellem EU og USA

I september 2025 afviste Retten i Første Instans klagen i sagen Latombe mod Kommissionen og vurderede afgørelsen på det tidspunkt, hvor den blev vedtaget. Denne dom bør ikke betragtes som en garanti for fremtidige retssager eller regeringens politik. Kontroller den aktuelle status vedrørende tilstrækkelighed, når du træffer en beslutning om indkøb. Retten: Latombe-dommen

Hvad betyder CLOUD Act for en køber?

CLOUD Act præciserede, at udbydere, der er underlagt relevante amerikanske retslige procedurer, kan blive pålagt at udlevere data, som de er i besiddelse af, opbevarer eller kontrollerer, selv når disse er lagret i udlandet. Dette er ikke ubegrænset adgang til alle udenlandske databaser, og selskabsstiftelse alene løser ikke alle spørgsmål vedrørende jurisdiktion eller kontrol. Det amerikanske justitsministerium: Forklaring af CLOUD Act

Nogle nyttige opfølgende spørgsmål er: Hvilken enhed har adgang til dataene, hvem har kontrol over adgangskoder, hvordan behandles anmodninger fra myndighederne, og hvor lang varsel kan udbyderen give? Disse svar er mere informative end et løfte om, at en virksomheds eller en serverplacering eliminerer enhver juridisk risiko.

Bed om et komplet oversigtsdiagram over databehandlingen

Anmod om følgende, inden du vælger en platform:

• Placeringen af hoveddatabasen, dokumenterne og sikkerhedskopierne.
• De juridiske enheder, der leverer hosting, e-mail, AI, support og fakturering.
• Eventuel fjernadgang eller viderebehandling uden for EØS.
• Den overførselsmekanisme, der anvendes for hver relevant modtager.
• Kontraktvilkårene for ændringer, eksport og sletning vedrørende underdatabehandlere.
• Dokumentation, der underbygger påstande om kryptering, adgangskontrol og gendannelse.

Adskil applikationsdata fra faktureringsdata, men gå ikke ud fra, at faktureringsoplysninger er anonyme. Kontaktoplysningerne for en navngiven kontoindehaver kan stadig udgøre personoplysninger. Valgfri integrationer bør vurderes både med hensyn til de oplysninger, de sender, og de oplysninger, de modtager.

Sådan bruger du svarene

Opbevar udbyderens databehandlingsaftale (DPA) og oplysninger om databehandlingen sammen med din vurdering. Notér alle krav, der er relevante for din organisation, såsom en bestemt hostingregion eller begrænsninger i adgangen til support. Bed om en skriftlig afklaring af uafklarede punkter, inden du stoler på en generel betegnelse som »hostet i EU«.

For PersoHR kan du starte med vores sikkerhedsforanstaltninger, databehandlingsaftale og liste over underdatabehandlere. Disse dokumenter beskriver forskellige dele af tjenesten og bør læses i sammenhæng. En fuldstændig redegørelse for dataflowet er mere nyttig end en påstand om, at et produkt alene er i overensstemmelse med lovgivningen på grund af dets geografiske placering.