Var behandlas dina HR-uppgifter? Frågor att ställa till din leverantör

Att välja en HR-plattform innebär att man måste förstå var medarbetardata lagras, vem som har åtkomst till den och vilka säkerhetsåtgärder som gäller. Ett tydligt svar bör omfatta databasen, dokument, säkerhetskopior, supportåtkomst och anslutna tjänster.

Faktagranskat den 21 september 2026.

EU-baserad hosting och efterlevnad av GDPR är två olika frågor

Att datan lagras inom EU kan vara ett användbart krav vid upphandling. Det innebär dock inte i sig att kraven är uppfyllda, och GDPR innebär inte något generellt förbud mot lagring eller behandling av personuppgifter utanför Europeiska ekonomiska samarbetsområdet. Internationella överföringar kräver en giltig väg enligt kapitel V, utöver de övriga krav som gäller för behandlingen. EDPB: internationella dataöverföringar

Be leverantören att skilja mellan sitt säte och sina behandlingsplatser. Ett EU-företag kan använda infrastruktur eller supportteam på andra platser. En serveradress i sig säger inte mycket om vem som innehar krypteringsnycklarna eller kan få åtkomst till uppgifterna på distans.

Vad förändrades efter Schrems II?

Schrems II-domen från 2020 ogiltigförklarade Privacy Shield men bekräftade standardavtalsklausulerna (SCC) som ett verktyg för dataöverföring, under förutsättning att erforderlig bedömning och skyddsåtgärder genomförs. Standardavtalsklausulerna innebär inte ett generellt godkännande av varje överföring: parterna måste pröva om de är lämpliga under rådande omständigheter och vid behov vidta kompletterande åtgärder. EDPB: kompletterande åtgärder

Kommissionen antog beslutet om adekvat skyddsnivå för EU–USA-ramverket för dataskydd år 2023. Det omfattar överföringar till deltagande amerikanska organisationer inom ramen för deras certifiering. Kontrollera mottagarens aktuella listning och om den omfattar relevanta uppgifter, inklusive HR-uppgifter där så är tillämpligt. Europeiska kommissionen: Överföringar mellan EU och USA

I september 2025 avvisade förstainstansrätten överklagandet i målet Latombe mot kommissionen och bedömde beslutet vid den tidpunkt då det antogs. Den domen bör inte beskrivas som en garanti för framtida rättstvister eller regeringspolitik. Kontrollera den aktuella ställningen avseende adekvat skyddsnivå när du fattar ett upphandlingsbeslut. Tribunalen: Latombe-domen

Vad innebär CLOUD Act för en köpare?

CLOUD Act klargjorde att leverantörer som omfattas av relevant amerikansk rättslig process kan tvingas lämna ut data som de har i sin besittning, förvaring eller kontroll, även när dessa lagras utomlands. Detta innebär inte obegränsad tillgång till varje utländsk databas, och enbart bolagsbildning i USA ger inte svar på alla frågor om jurisdiktion eller kontroll. USA:s justitiedepartement: Förklaring av CLOUD Act

Användbara uppföljningsfrågor är: vilken enhet har åtkomst till uppgifterna, vem kontrollerar åtkomstnycklarna, hur granskas förfrågningar från myndigheter och vilken varselperiod kan leverantören ge? Dessa svar är mer informativa än ett löfte om att ett företag eller en serverplats eliminerar alla juridiska risker.

Be om en fullständig översikt över databehandlingen

Begär följande information innan du väljer en plattform:

• Platsen för den primära databasen, dokumenten och säkerhetskopiorna.
• De juridiska personer som tillhandahåller webbhotell, e-post, AI, support och fakturering.
• Eventuell fjärråtkomst eller vidarebehandling utanför EES.
• Den överföringsmekanism som används för varje berörd mottagare.
• Avtalsvillkoren för byte av underleverantör, export och radering.
• Bevis som styrker påståenden om kryptering, åtkomstkontroller och återställning.

Separera applikationsdata från faktureringsdata, men utgå inte från att faktureringsinformationen är anonym. Kontaktuppgifterna för en namngiven kontoinnehavare kan fortfarande utgöra personuppgifter. Valfria integrationer bör utvärderas både med avseende på den information de skickar och den information de tar emot.

Hur du använder svaren

Spara leverantörens databehandlingsavtal (DPA) och information om databehandlingen tillsammans med din utvärdering. Dokumentera alla krav som är viktiga för din organisation, till exempel en viss region där tjänsten är hostad eller begränsningar i tillgången till support. Be om skriftliga förklaringar av oklarheter innan du förlitar dig på en allmän märkning som ”hostad i EU”.

För PersoHR, börja med våra säkerhetsåtgärder, databehandlingsavtal och lista över underleverantörer. Dessa dokument beskriver olika delar av tjänsten och bör läsas tillsammans. En fullständig redogörelse för dataflödet är mer användbar än ett påstående om att en produkt uppfyller kraven enbart på grund av sin geografiska placering.