Waarom uw HR-data niet op Amerikaanse servers thuishoort

Wanneer u zich aanmeldt voor een HR-platform, vertrouwt u een aantal van de meest gevoelige gegevens binnen uw bedrijf toe: salarissen van medewerkers, gezondheidsgegevens, dossiers over disciplinaire maatregelen, bankrekeninggegevens. Waar die gegevens worden opgeslagen doet er echt toe, en "wij voldoen aan de AVG" op de website van een leverancier is niet hetzelfde als uw data daadwerkelijk beschermd door het EU-recht.

Dit is waarom de vraag over serverlocatie veel serieuzer is dan een hokje op een complianceformulier.

Wat Schrems II werkelijk veranderde

In juli 2020 vernietigde het Europees Hof van Justitie het EU-VS Privacy Shield-kader in het Schrems II-arrest. Dit was de overeenkomst die het juridisch eenvoudig maakte om persoonsgegevens vanuit de EU naar de VS over te dragen.

Het Hof stelde vast dat de Amerikaanse surveillancewetgeving — met name Section 702 van de Foreign Intelligence Surveillance Act (FISA) en Executive Order 12333 — Amerikaanse inlichtingendiensten toegang geeft tot gegevens op een manier die onverenigbaar is met de grondrechten binnen de EU. Het Privacy Shield bood geen echte bescherming.

Een vervangend kader, het EU-VS Data Privacy Framework, werd in 2023 aangenomen. Dit kader wordt momenteel juridisch aangevochten door Max Schrems en noyb. Gezien het feit dat Schrems II het Privacy Shield op nagenoeg dezelfde gronden heeft vernietigd, zou een nieuw succesvol beroep niemand mogen verbazen.

Als het EU-VS Data Privacy Framework ongeldig wordt verklaard, moeten bedrijven die daarop steunen opnieuw snel schakelen. Dit is geen theoretisch risico.

Het probleem van de CLOUD Act

Zelfs als een Amerikaans bedrijf uw gegevens opslaat in een Europees datacentrum, zijn die gegevens mogelijk niet beschermd.

De Amerikaanse CLOUD Act (2018) stelt Amerikaanse wetshandhavingsinstanties in staat gegevens op te vragen bij Amerikaanse bedrijven, ongeacht waar die gegevens worden opgeslagen. Een Amerikaans bedrijf dat een server in Frankfurt beheert, kan nog steeds worden gedwongen gegevens aan Amerikaanse autoriteiten te verstrekken — zonder een rechterlijk bevel van een EU-rechtbank en, onder bepaalde omstandigheden, zelfs zonder de betrokkene daarvan op de hoogte te stellen.

Dit is de fundamentele spanning. U kunt een datacentrum in Duitsland hebben en toch onderworpen zijn aan het Amerikaanse rechtsbereik, zolang de controlerende entiteit een Amerikaans bedrijf is. De AVG verbiedt het doorgeven van gegevens aan autoriteiten in derde landen, tenzij aan specifieke AVG-voorwaarden is voldaan. De CLOUD Act creëert situaties waarin Amerikaanse bedrijven wettelijk verplicht kunnen worden de AVG te schenden.

Sommige grote leveranciers stellen dat zij dergelijke verzoeken zouden aanvechten en dat versleuteling bescherming biedt. Dat is in sommige gevallen een redelijk argument, maar het blijft een juridische en technische gok — geen garantie.

Waarom standaard contractuele bepalingen geen volledige oplossing zijn

Standaard contractuele bepalingen (SCC's) zijn juridische overeenkomsten tussen een EU-gegevensexporteur en een niet-EU-gegevensimporteur, die AVG-gelijkwaardige bescherming vastleggen. Ze zijn het meest gebruikte instrument om EU-naar-VS-gegevensoverdrachten na Schrems II te legitimeren.

Het probleem is dat Schrems II niet alleen het Privacy Shield ongeldig verklaarde. Het Hof stelde ook dat SCC's op zichzelf niet volstaan als het rechtsstelsel van het land van bestemming geen passende bescherming biedt. De Amerikaanse surveillancewetgeving is het knelpunt. SCC's kunnen FISA Section 702 niet opzijzetten.

Dit betekent dat u voor overdrachten naar de VS SCC's nodig heeft én een Transfer Impact Assessment (TIA): een analyse van de vraag of de wetgeving van het bestemmingsland de SCC's daadwerkelijk effectief laat zijn. Voor de meeste overdrachten naar Amerikaanse HR-platforms zou een gedegen TIA moeilijk positief af te ronden zijn.

In de praktijk zijn Europese toezichthouders voor gegevensbescherming boetes gaan opleggen voor overdrachten naar de VS die uitsluitend op SCC's steunen zonder deugdelijke TIA's. De Oostenrijkse, Franse, Italiaanse en Griekse toezichthouders hebben allemaal vastgesteld dat gegevensoverdrachten naar Google Analytics (gevestigd in de VS) de AVG schonden, juist omdat SCC's geen toereikende bescherming boden gezien de Amerikaanse surveillancewetgeving.

Dezelfde redenering geldt voor HR-platforms.

Wat "in de EU gehost" werkelijk betekent

"In de EU gehost" betekent meer dan een server in Europa. Om het CLOUD Act-risico werkelijk weg te nemen, heeft u het volgende nodig:

Een in de EU gevestigd bedrijf: De controlerende entiteit moet zijn opgericht en opereren onder EU-recht. Niet een Amerikaanse moedermaatschappij met een Europese dochteronderneming.

Geen toegang voor een Amerikaanse moedermaatschappij: Als een Amerikaanse moedermaatschappij toegang kan krijgen tot, beheer kan voeren over, of gedwongen kan worden gegevens van een Europese dochteronderneming te verstrekken, verdwijnt het CLOUD Act-risico niet.

Cloudinfrastructuur onder EU-jurisdictie: Gegevens opgeslagen bij Hetzner Cloud (Duitsland), OVHcloud (Frankrijk) of IONOS (Duitsland/EU) bevinden zich op infrastructuur die wordt beheerd door EU-bedrijven onder EU-recht. Gegevens opgeslagen in AWS eu-west-1 (Ierland) bevinden zich op infrastructuur die onder Amerikaans beheer staat en onderworpen is aan de CLOUD Act.

Subverwerkers: Controleer of de subverwerkers van de leverancier zelf in de EU zijn gevestigd. Een in de EU opgerichte HR-leverancier die e-mailmeldingen verstuurt via SendGrid (VS), draagt uw gegevens gedeeltelijk buiten de EU over.

PersoHR is opgericht in de EU, draait op Hetzner Cloud in Duitsland en kiest bewust voor in de EU gevestigde subverwerkers. Die keuze was geen toeval: wij proberen AVG-compliance niet achteraf in te passen in een product dat primair voor de Amerikaanse markt is gebouwd.

Het praktische risico voor werkgevers

Als u als EU-werkgever medewerkergegevens opslaat op een Amerikaans platform:

1. U bent de verwerkingsverantwoordelijke. Onder de AVG ligt de verantwoordelijkheid voor rechtmatige verwerking bij u, niet alleen bij de leverancier. Als de gegevensoverdrachten van de leverancier onrechtmatig zijn, heeft u een complianceprobleem — niet alleen de leverancier.
2. Medewerkers hebben rechten die u moet nakomen. Als een medewerker vraagt waar zijn of haar gegevens worden opgeslagen en met wie ze worden gedeeld, moet u een nauwkeurig antwoord kunnen geven. "Wij gebruiken Workday" is geen volledig antwoord.
3. Toezichthouders kunnen aan de deur kloppen. Europese toezichthouders voor gegevensbescherming tonen een toenemende bereidheid om onderzoek te doen naar gegevensoverdrachten naar de VS. Een klacht van één medewerker kan een breder onderzoek in gang zetten.
4. Leveranciersafhankelijkheid maakt overstappen moeilijker. Hoe langer de gegevens van uw medewerkers in een Amerikaans systeem leven, hoe complexer de migratie wordt als de juridische situatie verandert of als het Data Privacy Framework opnieuw wordt vernietigd.

Alternatieven

Er zijn echte EU-native HR-platforms op de markt. Het aanbod is aanzienlijk gegroeid sinds Schrems II een duidelijke vraag heeft gecreëerd.

Stel leveranciers bij de beoordeling van alternatieven rechtstreeks de volgende vragen:

• In welk land is uw bedrijf opgericht?
• Welke datacentra gebruikt u, en wie is de eigenaar?
• Geef een overzicht van uw subverwerkers en de landen waarin zij zijn gevestigd.
• Heeft een jurist uw Transfer Impact Assessments voor Amerikaanse subverwerkers beoordeeld?
• Wat gebeurt er met mijn gegevens als het EU-VS Data Privacy Framework morgen ongeldig wordt verklaard?

Een leverancier die deze vragen helder en concreet kan beantwoorden, verdient serieuze overweging. Wie reageert met vage uitspraken over "AVG-compliance" en "EU-servers", heeft er waarschijnlijk niet goed over nagedacht.

De vraag over serverlocatie is geen paranoia. Het is een reëel juridisch en operationeel risico voor EU-werkgevers. De gegevens die uw medewerkers aan u toevertrouwen, verdienen infrastructuur die daadwerkelijk onder EU-jurisdictie valt.