Seznanite se z gostovanjem v EU, mednarodnimi prenosi podatkov, okvirom za varstvo podatkov ter praktičnimi vprašanji, ki jih morate zastaviti ponudniku programske opreme za kadrovske zadeve.
Izbira kadrovske platforme pomeni razumevanje, kje so shranjeni podatki o zaposlenih, kdo ima dostop do njih in kateri varnostni ukrepi veljajo. Jasen odgovor mora zajemati podatkovno bazo, dokumente, varnostne kopije, dostop do podpore in povezane storitve.
Dejstva preverjena 21. septembra 2026.
Gostovanje v EU je lahko koristna zahteva pri javnih naročilih. Samo po sebi še ne zagotavlja skladnosti, GDPR pa ne nalaga splošne prepovedi shranjevanja ali obdelave osebnih podatkov zunaj Evropskega gospodarskega prostora. Mednarodni prenosi podatkov zahtevajo veljavno pot iz poglavja V, poleg drugih zahtev, ki veljajo za obdelavo. EDPB: mednarodni prenosi podatkov
Ponudnika prosite, naj razlikuje med svojim sedežem in lokacijami obdelave. Podjetje iz EU lahko uporablja infrastrukturo ali podporne ekipe drugje. Sam naslov strežnika prav tako ne pove veliko o tem, kdo hrani šifrirne ključe ali ima oddaljen dostop do zapisov.
Sodba Schrems II iz leta 2020 je razveljavila Privacy Shield, vendar je potrdila standardne pogodbene klavzule (SCC) kot orodje za prenos podatkov, pod pogojem, da se izvedejo zahtevane ocene in zaščitni ukrepi. SCC niso splošno odobritev vsakega prenosa: stranke morajo preučiti, ali so primerne za dane okoliščine, in po potrebi uporabiti dopolnilne ukrepe. EDPB: dodatni ukrepi
Komisija je leta 2023 sprejela odločbo o ustreznosti okvira za varstvo podatkov med EU in ZDA. Ta zajema prenose podatkov sodelujočim ameriškim organizacijam v okviru njihove certifikacije. Preverite, ali je prejemnik trenutno na seznamu in ali ta zajema ustrezne podatke, vključno s kadrovskimi podatki, kjer je to primerno. Evropska komisija: prenosi med EU in ZDA
Septembra 2025 je Splošno sodišče zavrnilo pritožbo v zadevi Latombe proti Komisiji in odločbo presodilo v trenutku njenega sprejetja. Te sodbe ne smemo obravnavati kot zagotovilo glede prihodnjih sodnih sporov ali vladne politike. Pri sprejemanju odločitve o javnem naročilu preverite trenutno stanje glede ustreznosti. Splošno sodišče: sodba v zadevi Latombe
Zakon CLOUD je pojasnil, da morajo ponudniki, za katere velja ustrezen pravni postopek ZDA, morda razkriti podatke, ki so v njihovi lasti, hrambi ali nadzoru, tudi če so shranjeni v tujini. To ne pomeni neomejenega dostopa do vsake baze podatkov v tujini, sama ustanovitev družbe pa ne odgovarja na vsa vprašanja glede jurisdikcije ali nadzora. Ministrstvo za pravosodje ZDA: pojasnilo k zakonu CLOUD Act
Koristna nadaljnja vprašanja so: kateri subjekt ima dostop do podatkov, kdo nadzira ključe, kako se pregledujejo zahteve državnih organov in kakšno obvestilo lahko ponudnik posreduje? Ti odgovori so bolj informativni kot obljuba, da lokacija podjetja ali strežnika izključuje vsako pravno tveganje.
Preden izberete platformo, zahtevajte naslednje:
Ločite podatke o aplikaciji od podatkov o zaračunavanju, vendar ne domnevajte, da so podatki o zaračunavanju anonimni. Kontaktni podatki imetnika računa z imenom lahko še vedno predstavljajo osebne podatke. Pri izbirnih integracijah je treba oceniti tako podatke, ki jih pošiljajo, kot tudi podatke, ki jih prejemajo.
Pri svoji oceni shranite pogodbo o obdelavi podatkov (DPA) ponudnika in njegova obvestila o obdelavi. Zabeležite vse zahteve, ki so pomembne za vašo organizacijo, na primer določeno regijo gostovanja ali omejitve dostopa do podpore. O nerešenih točkah se pozanimajte pisno, preden se zanesete na splošno oznako »gostovanje v EU«.
Za PersoHR začnite z našimi varnostnimi ukrepi, sporazumom o obdelavi podatkov in seznamom podizvajalcev. Ti dokumenti opisujejo različne dele storitve in jih je treba brati skupaj. Celovit pregled pretoka podatkov je bolj koristen kot trditev, da je izdelek skladen z zakonodajo zgolj zaradi geografske lege.
Preizkusite PersoHR brezplačno 30 dni. Kreditna kartica ni potrebna.
Začnite 30-dnevni brezplačni preizkus