GDPR-compliant hosting – hvad det egentlig kræver, at dine data ligger i EU
GDPR handler ikke kun om cookiebannere og privatlivspolitikker. Det handler om, hvor dine data fysisk befinder sig – og hvilke regler der gælder for dem. Valget af hostingløsning er en central del af din GDPR-compliance.
Hosting er en databehandleraftale – ikke bare et teknisk valg
Når din virksomhed vælger en hostingudbyder, indgår I reelt en databehandleraftale. Din udbyder behandler persondata på dine vegne – og det er dit ansvar at sikre, at det sker i overensstemmelse med GDPR.
Det fremgår direkte af forordningens artikel 28: den dataansvarlige skal kun benytte databehandlere, der giver tilstrækkelige garantier for at gennemføre de fornødne tekniske og organisatoriske foranstaltninger.
Valget af hostingudbyder er med andre ord ikke en opgave for it-afdelingen alene. Det er en compliance-beslutning.
Hvad sker der med data, der befinder sig uden for EU?
GDPR tillader under visse betingelser overførsel af persondata til lande uden for EU og EØS – men det kræver et gyldigt overførselsgrundlag. Historisk set har sådanne overførselsmekanismer vist sig at være sårbare over for juridiske og politiske ændringer.
Konsekvensen er, at virksomheder, der har deres data placeret hos udbydere med infrastruktur uden for EU, løbende skal monitorere, om det valgte overførselsgrundlag er gyldigt. Det skaber usikkerhed og administrativt merarbejde – og i værste fald risiko for brud på GDPR, selvom man troede, man var i orden.
Med data placeret i EU falder dette problem helt bort.
Serverplacering i EU er ikke tilstrækkeligt alene
Det er vigtigt at understrege, at GDPR-compliance ikke automatisk følger af, at serverne er placeret i Europa. Det er en nødvendig, men ikke tilstrækkelig betingelse.
Man skal også sikre sig:
- At hostingudbyderen er villig til at underskrive en databehandleraftale i overensstemmelse med GDPR artikel 28.
- At der er taget stilling til, hvem der har adgang til infrastrukturen – og under hvilke juridiske rammer.
- At udbyderen ikke er et datterselskab af eller underlagt et moderselskab i et tredjeland, der kan pålægge udbyderen at udlevere data på baggrund af lokal lovgivning.
Det sidste punkt er et område, som mange virksomheder overser: selv om serverne fysisk befinder sig i EU, kan ejerskabsstrukturen betyde, at data reelt kan tilgås fra andre jurisdiktioner.
Europæisk ejerskab og jurisdiktion – en væsentlig forskel
Vores løsning er baseret på servere placeret hos europæiske partnere med europæisk ejerskab og drift. Det betyder, at der ikke er overordnede selskaber i tredjelande, som kan pålægge vores partnere at udlevere data på baggrund af udenlandsk lovgivning.
Det er den forskel, der i praksis adskiller reel datasuverænitet fra hosting, der blot “befinder sig i Europa” på papiret.
Hvad skal du have styr på som compliance-ansvarlig?
Når du som marketing- eller compliance-ansvarlig skal dokumentere, at din virksomheds hostingløsning er GDPR-compliant, bør du som minimum have svar på følgende:
- Har vi en underskrevet databehandleraftale med vores hostingudbyder?
- Er vores data – herunder brugerdata fra hjemmeside og systemer – fysisk placeret inden for EU/EØS?
- Er hostingudbyderen eller dennes moderselskab underlagt lovgivning i tredjelande, der kan give myndighederne adgang til vores data?
- Er der foretaget en risikovurdering (Transfer Impact Assessment) for eventuelle dataoverførsler?
Kan du svare bekræftende på de første to og benægtende på de næste to, er du i et langt bedre udgangspunkt end de fleste.
GDPR-dokumentation starter med infrastrukturen
Datatilsynet forventer, at virksomheder kan dokumentere deres behandlingsaktiviteter – herunder hvilke systemer der anvendes, og hvor data befinder sig. Hostinginfrastrukturen er en del af den dokumentation.
EU-baseret hosting med en klar databehandleraftale og europæisk ejerskabsstruktur giver dig et solidt og dokumenterbart fundament. Det forenkler din compliance-dokumentation og reducerer risikoen for, at en revision eller et tilsynsbesøg afdækker uventede problemer.
