Dove vengono trattati i vostri dati relativi alle risorse umane? Domande da porre al vostro fornitore

Scegliere una piattaforma per le risorse umane significa comprendere dove vengono archiviati i dati dei dipendenti, chi può accedervi e quali misure di sicurezza vengono applicate. Una risposta chiara dovrebbe riguardare il database, i documenti, i backup, l’accesso all’assistenza e i servizi collegati.

Informazioni verificate il 21 settembre 2026.

L’hosting nell’UE e la conformità al GDPR sono due questioni distinte

L’hosting nell’UE può costituire un requisito utile in fase di appalto. Di per sé, tuttavia, non garantisce la conformità, e il GDPR non impone un divieto generale di conservazione o trattamento dei dati personali al di fuori dello Spazio economico europeo. I trasferimenti internazionali richiedono una valida base giuridica ai sensi del Capitolo V, oltre agli altri requisiti applicabili al trattamento. EDPB: trasferimenti internazionali di dati

Chieda al fornitore di distinguere la propria sede legale dai luoghi in cui avviene il trattamento dei dati. Un’azienda dell’UE può avvalersi di infrastrutture o team di supporto situati altrove. Il solo indirizzo di un server, inoltre, non fornisce informazioni sufficienti su chi detenga le chiavi di crittografia o possa accedere ai dati da remoto.

Cosa è cambiato dopo la sentenza Schrems II?

La sentenza Schrems II del 2020 ha invalidato lo Scudo per la privacy, ma ha confermato le clausole contrattuali standard (SCC) come strumento di trasferimento, subordinatamente alla valutazione e alle misure di protezione richieste. Le SCC non costituiscono un’approvazione generalizzata di ogni trasferimento: le parti devono verificare se siano adeguate alle circostanze e ricorrere a misure supplementari ove necessario. EDPB: misure supplementari

Nel 2023 la Commissione ha adottato la decisione di adeguatezza relativa al quadro UE-USA in materia di protezione dei dati. Tale decisione riguarda i trasferimenti verso organizzazioni statunitensi partecipanti nell’ambito della loro certificazione. Verifichi l’attuale iscrizione del destinatario e se questa copra i dati rilevanti, compresi, se del caso, i dati relativi alle risorse umane. Commissione europea: trasferimenti UE-USA

Nel settembre 2025, il Tribunale ha respinto il ricorso nella causa Latombe contro Commissione, valutando la decisione al momento della sua adozione. Tale sentenza non deve essere interpretata come una garanzia in merito a futuri contenziosi o alla politica governativa. Verifichi l’attuale posizione in materia di adeguatezza al momento di prendere una decisione in materia di appalti. Tribunale: sentenza Latombe

Cosa comporta il CLOUD Act per un acquirente?

Il CLOUD Act ha chiarito che i fornitori soggetti a procedimenti legali statunitensi pertinenti potrebbero essere tenuti a divulgare i dati in loro possesso, custodia o controllo anche quando questi sono archiviati all’estero. Non si tratta di un accesso illimitato a ogni database estero, e la sola costituzione in società non risponde a tutte le questioni relative alla giurisdizione o al controllo. Dipartimento di Giustizia degli Stati Uniti: spiegazione del CLOUD Act

Alcune utili domande di approfondimento sono: quale entità può accedere ai dati, chi controlla le chiavi di accesso, come vengono esaminate le richieste delle autorità pubbliche e quale preavviso può fornire il fornitore? Tali risposte sono più indicative di una semplice promessa secondo cui l’ubicazione di un’azienda o di un server eliminerebbe ogni rischio legale.

Richieda una mappa completa del trattamento dei dati

Prima di scegliere una piattaforma, richieda quanto segue:

• L’ubicazione del database principale, dei documenti e dei backup.
• Le entità giuridiche che forniscono servizi di hosting, posta elettronica, intelligenza artificiale, assistenza e fatturazione.
• Eventuali accessi remoti o ulteriori trattamenti al di fuori del SEE.
• Il meccanismo di trasferimento utilizzato per ciascun destinatario interessato.
• Le clausole contrattuali relative ai cambiamenti dei sub-responsabili del trattamento, all’esportazione e alla cancellazione dei dati.
• Prove a sostegno delle dichiarazioni relative alla crittografia, ai controlli di accesso e al recupero dei dati.

Separare i dati dell’applicazione da quelli di fatturazione, ma non dare per scontato che le informazioni di fatturazione siano anonime. I dati di contatto di un titolare di account identificabile possono comunque costituire dati personali. Le integrazioni opzionali devono essere valutate sia in base alle informazioni che inviano sia a quelle che ricevono.

Come utilizzare le risposte

Conservi l’accordo sull’elaborazione dei dati (DPA) e le informative sul trattamento fornite dal fornitore insieme alla propria valutazione. Registri qualsiasi requisito rilevante per la propria organizzazione, come una specifica regione di hosting o una restrizione all’accesso all’assistenza. Richieda chiarimenti per iscritto in merito ai punti irrisolti prima di fare affidamento su una generica dicitura del tipo «ospitato nell’UE».

Per PersoHR, inizi con le nostre misure di sicurezza, il Contratto in materia di trattamento dei dati e l’elenco dei sub-responsabili del trattamento. Questi documenti descrivono le diverse parti del servizio e devono essere letti nel loro insieme. Una descrizione completa del flusso dei dati è più utile di una semplice affermazione secondo cui la sola ubicazione geografica rende un prodotto conforme.