Gdzie przetwarzane są Państwa dane kadrowe? Pytania, które należy zadać dostawcy

Wybór platformy kadrowej wiąże się z koniecznością zrozumienia, gdzie przechowywane są dane pracowników, kto ma do nich dostęp oraz jakie środki bezpieczeństwa są stosowane. Jasna odpowiedź powinna obejmować bazę danych, dokumenty, kopie zapasowe, dostęp do pomocy technicznej oraz powiązane usługi.

Informacje zweryfikowano 21 września 2026 r.

Hosting w UE a zgodność z RODO to dwie odrębne kwestie

Hosting w UE może stanowić przydatny wymóg przetargowy. Sam w sobie nie gwarantuje jednak zgodności z przepisami, a RODO nie nakłada ogólnego zakazu przechowywania ani przetwarzania danych osobowych poza Europejskim Obszarem Gospodarczym. Międzynarodowe przekazywanie danych wymaga zastosowania ważnej ścieżki zgodnej z rozdziałem V, oprócz innych wymogów mających zastosowanie do przetwarzania. EDPB: międzynarodowe przekazywanie danych

Proszę poprosić dostawcę o rozróżnienie między siedzibą statutową a lokalizacjami przetwarzania danych. Przedsiębiorstwo z siedzibą w UE może korzystać z infrastruktury lub zespołów wsparcia zlokalizowanych w innych miejscach. Sam adres serwera niewiele mówi o tym, kto posiada klucze szyfrujące lub ma zdalny dostęp do danych.

Co się zmieniło po sprawie Schrems II?

Wyrok w sprawie Schrems II z 2020 r. unieważnił program Privacy Shield, ale utrzymał w mocy standardowe klauzule umowne (SCC) jako narzędzie do przekazywania danych, pod warunkiem przeprowadzenia wymaganej oceny i zapewnienia odpowiednich zabezpieczeń. Standardowe klauzule umowne nie stanowią ogólnego zezwolenia na każdy transfer: strony muszą zbadać, czy sprawdzają się one w danych okolicznościach, oraz w razie potrzeby zastosować środki uzupełniające. EDPB: środki uzupełniające

W 2023 r. Komisja przyjęła decyzję w sprawie adekwatności ram ochrony danych między UE a USA. Obejmuje ona przekazywanie danych do uczestniczących w programie organizacji amerykańskich w zakresie objętym ich certyfikacją. Należy sprawdzić aktualny wykaz odbiorców oraz upewnić się, czy obejmuje on odpowiednie dane, w tym dane kadrowe, jeśli ma to zastosowanie. Komisja Europejska: Przekazywanie danych między UE a USA

We wrześniu 2025 r. Sąd odrzucił skargę w sprawie Latombe przeciwko Komisji, oceniając decyzję z uwzględnieniem okoliczności panujących w momencie jej przyjęcia. Wyroku tego nie należy traktować jako gwarancji dotyczącej przyszłych sporów sądowych ani polityki rządowej. Przed podjęciem decyzji o udzieleniu zamówienia należy sprawdzić aktualny stan zgodności. Sąd: wyrok w sprawie Latombe

Co ustawa CLOUD Act oznacza dla nabywcy?

Ustawa CLOUD Act wyjaśniła, że dostawcy podlegający odpowiednim procedurom prawnym w Stanach Zjednoczonych mogą być zobowiązani do ujawnienia danych znajdujących się w ich posiadaniu, pod ich nadzorem lub kontrolą, nawet jeśli są one przechowywane za granicą. Nie oznacza to nieograniczonego dostępu do każdej zagranicznej bazy danych, a sama rejestracja spółki nie rozstrzyga wszystkich kwestii dotyczących jurysdykcji lub kontroli. Departament Sprawiedliwości Stanów Zjednoczonych: Wyjaśnienie dotyczące ustawy CLOUD Act

Przydatne pytania uzupełniające to: który podmiot ma dostęp do danych, kto kontroluje klucze, w jaki sposób rozpatrywane są wnioski organów rządowych oraz z jakim wyprzedzeniem dostawca może powiadomić o zmianach? Odpowiedzi na te pytania zawierają więcej informacji niż obietnica, że lokalizacja firmy lub serwera eliminuje wszelkie ryzyko prawne.

Proszę poprosić o pełną mapę przetwarzania danych

Przed wyborem platformy prosimy o uzyskanie następujących informacji:

• Lokalizacja głównej bazy danych, dokumentów i kopii zapasowych.
• Podmioty prawne świadczące usługi hostingu, poczty elektronicznej, sztucznej inteligencji, wsparcia technicznego oraz rozliczeń.
• Wszelki zdalny dostęp lub dalsze przetwarzanie danych poza EOG.
• Mechanizm przekazywania danych stosowany w odniesieniu do każdego odpowiedniego odbiorcy.
• Warunki umowy dotyczące zmian podwykonawców przetwarzających dane, eksportu i usuwania danych.
• Dowody potwierdzające stosowanie szyfrowania, kontroli dostępu oraz możliwości odzyskiwania danych.

Należy oddzielić dane aplikacyjne od danych rozliczeniowych, jednak nie należy zakładać, że informacje rozliczeniowe są anonimowe. Dane kontaktowe właściciela konta, którego imię i nazwisko jest podane, mogą nadal stanowić dane osobowe. Opcjonalne integracje należy oceniać zarówno pod kątem informacji, które wysyłają, jak i tych, które otrzymują.

Jak wykorzystać uzyskane odpowiedzi

Proszę dołączyć do swojej oceny umowę o przetwarzaniu danych (DPA) dostawcy oraz informacje dotyczące przetwarzania danych. Proszę odnotować wszelkie wymagania istotne dla Państwa organizacji, takie jak konkretny region hostingu lub ograniczenia dostępu do pomocy technicznej. Proszę zwrócić się na piśmie o wyjaśnienie nierozstrzygniętych kwestii, zanim opierają się Państwo wyłącznie na ogólnym oznaczeniu „hosting w UE”.

W przypadku PersoHR prosimy zacząć od zapoznania się z naszymi środkami bezpieczeństwa, umową o przetwarzaniu danych oraz listą podwykonawców przetwarzających dane. Dokumenty te opisują różne elementy usługi i należy je analizować łącznie. Pełny opis przepływu danych jest bardziej przydatny niż twierdzenie, że sama lokalizacja geograficzna zapewnia zgodność produktu z przepisami.