Hvor opbevares dine besøgsdata? En tjekliste til dataresidens for europæiske organisationer

Når besøgende registrerer sig hos din organisation i et digitalt system til besøgsregistrering, behandles der personoplysninger. Ofte drejer det sig om mere end blot navn og ankomsttidspunkt, og de deler for eksempel også kontaktoplysninger, en underskrift, en nummerplade eller et foto.

Men hvor opbevares de data? Hvor befinder oplysningerne sig helt præcist, når de ligger “i skyen”? Hvem har adgang? Og kan leverandører, underdatabehandlere eller supportmedarbejdere uden for Det Europæiske Økonomiske Samarbejdsområde (EØS) tilgå dataene? Siden GDPR (databeskyttelsesforordningen) begyndte at gælde i 2018, er disse spørgsmål blevet endnu mere presserende.

Dataresidens, altså den geografiske placering, hvor data fysisk opbevares, er et vigtigt opmærksomhedspunkt, når besøgsdata behandles efter den europæiske databeskyttelseslovgivning. For ledere, IT-chefer og databeskyttelsesrådgivere er det derfor et relevant udvælgelseskriterium, når de skal vælge et besøgsregistreringssystem (VMS).

Placeringen af det primære datacenter er kun en del af historien. Opbevaring inden for EU betyder for eksempel ikke automatisk, at et system fuldt ud overholder GDPR. Placeringen af backups, internationale overførsler, adgangsrettigheder og opbevaringsperioder spiller også en rolle.

Vores praktiske tjekliste hjælper dig med at afklare, hvor et besøgsregistreringssystem opbevarer og behandler data, hvem der har adgang, og om der finder internationale overførsler sted. På den måde kan du vurdere markedsføringspåstande kritisk og sammenligne leverandører på baggrund af konkrete oplysninger.

I denne artikel:

• Derfor er det vigtigt, hvor besøgsdata opbevares
• Kræver GDPR, at besøgsdata forbliver inden for EU?
• Tjekliste: Sådan vurderer du dataresidensen i et besøgsregistreringssystem
• Advarselstegn, når du sammenligner leverandører
• Sådan opbevarer, behandler og sletter Vizito besøgsdata
• Konklusion

Derfor er det vigtigt, hvor besøgsdata opbevares

Under demoer får vi hos Vizito jævnligt spørgsmålet om, hvor besøgsdata opbevares. Det er ikke overraskende. Dataresidens er, med rette, et vigtigt udvælgelseskriterium for mange organisationer.

Ved besøgsregistrering behandles der jo personoplysninger som navne, kontaktoplysninger, fotos, underskrifter samt ankomst- og afgangstidspunkter. Hvor de data opbevares og behandles, har betydning for overholdelsen af databeskyttelseslovgivningen og for din organisations risikostyring. Gennemsigtighed om opbevaringsstedet kan desuden styrke de besøgendes tillid.

Databeskyttelseslovgivning

Hvis din organisation behandler personoplysninger om besøgende i EU, skal behandlingen overholde GDPR. Det sted, hvor dataene opbevares og behandles, er med til at afgøre, hvilke regler og juridiske garantier der gælder. Når data behandles uden for EØS eller kan tilgås derfra, gælder der yderligere krav til internationale overførsler.

Udenlandsk lovgivning kan også spille en rolle. Et kendt eksempel er den amerikanske CLOUD Act, hvor amerikanske tjenesteudbydere under visse betingelser kan blive pålagt at udlevere data.

Risikostyring

En organisation er ansvarlig for de besøgsdata, den indsamler. Derfor skal du vide, hvor de oprindelige data, backups og eventuelle kopier opbevares, og hvem der har adgang til dem. Jo mindre uklarhed der er om det, desto bedre kan du begrænse risiciene. Derfor fastlægger mange organisationer i deres databeskyttelses- og sikkerhedspolitik, hvor personoplysninger må opbevares og behandles.

Læs også: Besøgspolitik: sådan skriver du en (gratis skabelon)

De besøgendes tillid

Mange mennesker er i stigende grad bevidste om privatliv og databeskyttelse. Opbevaring inden for EØS kan styrke tilliden hos privatlivsbevidste besøgende, især når du kommunikerer åbent om, hvor, hvorfor og hvor længe du gemmer deres personoplysninger, og hvordan du beskytter dem.

Kræver GDPR, at besøgsdata forbliver inden for EU?

Det korte svar overrasker mange: nej.

GDPR foreskriver ikke, at personoplysninger, herunder besøgsdata, fysisk skal forblive inden for EU. Forordningen stiller derimod yderligere betingelser, når personoplysninger overføres til lande uden for Det Europæiske Økonomiske Samarbejdsområde (EØS).

Inden for EØS

Inden for Den Europæiske Union gælder GDPR direkte. Reglerne gælder også i de øvrige EØS-lande: Norge, Island og Liechtenstein. Hvis din organisation opbevarer eller behandler besøgsdata i et andet EØS-land, gælder der ingen yderligere betingelser for internationale overførsler.

Uden for EØS

Alle lande uden for EØS kaldes tredjelande. Når personoplysninger havner uden for EØS, er der tale om en international overførsel af personoplysninger (på engelsk: international data transfer). Det sker for eksempel, når de opbevares på en server i et tredjeland, men også når en leverandør eller underdatabehandler fra sådan et land får adgang til data, der befinder sig inden for EØS.

International overførsel er tilladt, men kun hvis betingelserne i kapitel V, artikel 44 til 50, i GDPR er opfyldt. Til det findes der forskellige mekanismer:

1. Tilstrækkelighedsafgørelse

Europa-Kommissionen kan fastslå, at et land, et område eller en bestemt sektor sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger. Eksempler er Storbritannien, Schweiz, Japan, Sydkorea og New Zealand. For Canada gælder afgørelsen kun for kommercielle organisationer, der er omfattet af privatlivsloven PIPEDA.

Ved en overførsel på grundlag af en tilstrækkelighedsafgørelse er der ikke behov for særskilte fornødne garantier. Da tilstrækkelighedsafgørelser jævnligt evalueres, bør du altid tjekke Europa-Kommissionens aktuelle liste.

2. Fornødne garantier

Hvis der ikke findes en tilstrækkelighedsafgørelse, kræver det en ekstra indsats at beskytte dataene. Det kan ske på grundlag af fornødne garantier. Eksempler er Europa-Kommissionens standardkontraktbestemmelser, også kendt som Standard Contractual Clauses (SCC), og bindende virksomhedsregler eller Binding Corporate Rules (BCR).

En kontrakt alene er ikke altid nok. De involverede organisationer skal også vurdere, om lovgivningen i modtagerlandet gør det muligt reelt at overholde aftalerne. Afhængigt af risikoen kan der være behov for supplerende foranstaltninger.

3. Undtagelser

GDPR indeholder også nogle få undtagelser. En overførsel kan for eksempel være mulig efter udtrykkeligt samtykke fra den registrerede, eller når den er nødvendig af hensyn til en kontrakt eller vigtige samfundsinteresser. Disse undtagelser er beregnet til særlige situationer, ikke til at behandle besøgsdata uden for EØS som standard.

Hvad med USA?

Det er en kompliceret historie. Europa-Kommissionen har efterhånden godkendt tre ordninger for overførsel af personoplysninger til amerikanske organisationer. Den første, Safe Harbor, blev erklæret ugyldig af EU-Domstolen i 2015. Efterfølgeren, EU-US Privacy Shield, led samme skæbne i 2020.

Siden juli 2023 gælder EU-US Data Privacy Framework. Dermed må personoplysninger igen opbevares i USA uden yderligere garantier for international overførsel, men kun hos certificerede amerikanske organisationer på den officielle deltagerliste. I andre tilfælde kræves der fornødne garantier.

Fordi de to tidligere ordninger blev erklæret ugyldige, er overførsel til USA fortsat et opmærksomhedspunkt. Tjek derfor altid, om afgørelsen stadig er gyldig, og om den pågældende organisation er certificeret.

Kort sagt: GDPR forpligter ikke generelt organisationer til at holde besøgsdata inden for Europa. Opbevaring og behandling inden for EØS gør dog som regel den juridiske vurdering enklere, fordi de yderligere regler for overførsel til tredjelande så ikke finder anvendelse. Tjek i den forbindelse ikke kun det primære opbevaringssted, men også hvor backups og kopier ligger, og fra hvilke lande leverandører og underdatabehandlere har adgang.

Læs også: GDPR og besøgsregistrering: en praktisk guide

Tjekliste: Sådan vurderer du dataresidensen i et besøgsregistreringssystem

Brug denne tjekliste til at afklare, hvor besøgsdata reelt opbevares og behandles.

1. Tjek alle opbevaringssteder

• I hvilket land eller hvilken cloudregion ligger den primære database?
• Hvor opbevares backups og kopier til systemgendannelse?
• Hvor gemmes fotos og underskrevne dokumenter?
• Hvor havner logfiler og midlertidige kopier?
• Opbevares der personoplysninger uden for EØS? Hvis ja, hvilke og hvor?

2. Tjek, hvem der har adgang

• Hvem er leverandøren af besøgsregistreringssystemet, og i hvilket land er leverandøren etableret?
• Hvilken cloududbyder bruger leverandøren, og hvor er den udbyder og dens moderselskab etableret?
• Hvilke underdatabehandlere behandler besøgsdata, og fra hvilke lande sker det?
• Kan support- eller udviklingsmedarbejdere tilgå besøgsdata? Hvis ja, hvornår og fra hvilke lande?
• Er denne adgang begrænset til autoriserede medarbejdere, tilstrækkeligt sikret og logget?
• Kan nogen uden for EØS få adgang til dataene?

3. Tjek internationale overførsler

• Opbevares, behandles eller tilgængeliggøres besøgsdata uden for EØS?
• Til hvilke lande og organisationer overføres de?
• Er modtagerlandet omfattet af en tilstrækkelighedsafgørelse?
• Er der tale om en amerikansk organisation? Er den certificeret under EU-US Data Privacy Framework?
• Hvis der ikke gælder en tilstrækkelighedsafgørelse: Er der anvendt fornødne garantier, såsom standardkontraktbestemmelser?
• Er risiciene ved overførslen vurderet, og er der om nødvendigt truffet supplerende tekniske eller organisatoriske foranstaltninger?
• Kan leverandøren dokumentere disse aftaler skriftligt?

Bemærk: Dataresidens er kun én del af databeskyttelsen og garanterer ikke i sig selv, at du overholder GDPR. Tjek også, om du kun indsamler de personoplysninger, der er nødvendige til formålet med besøgsregistreringen (dataminimering), og vurder systemets opbevaringsperioder, sletteprocedurer, kryptering og adgangssikkerhed.

Advarselstegn, når du sammenligner leverandører

Tjeklisten ovenfor hjælper dig med at vurdere leverandører målrettet. Læg i den forbindelse mærke til, hvor konkrete og fyldestgørende svarene er. Vær på vagt, når en leverandør:

• kun oplyser, at data ligger “i skyen” eller “i Europa”;
• udelukkende angiver placeringen af den primære database;
• ikke giver klarhed over backups, kopier og logfiler;
• ikke kan fremlægge en opdateret liste over underdatabehandlere;
• ikke oplyser, fra hvilke lande medarbejdere har adgang;
• ikke nævner et klart juridisk grundlag for overførsler uden for EØS;
• ikke kan bekræfte påstande om dataresidens skriftligt.

Sådan opbevarer, behandler og sletter Vizito besøgsdata

Hvis du bruger Vizito, forbliver dine besøgsdata inden for Den Europæiske Union. Vizito hoster dem på servere i Amsterdam og Frankfurt. Til hostingen samarbejder Vizito med Leaseweb Global B.V. De øvrige underdatabehandlere og deres placeringer fremgår af databehandleraftalen.

Som kunde bestemmer du selv, hvilke besøgsdata du indsamler, og hvor længe du gemmer dem. Så snart den indstillede opbevaringsperiode er udløbet, slettes registreringen automatisk. Vizito behandler udelukkende besøgsdata for at levere tjenesten og bruger dem ikke til annoncering, profilering eller andre egne kommercielle formål.

Besøgsdata krypteres både under overførsel og ved opbevaring. Vizito er desuden ISO 27001-certificeret, hvilket betyder, at ledelsessystemet for informationssikkerhed er blevet uafhængigt vurderet.

Du kan læse mere på vores side om Vizito og GDPR.

Konklusion

Hvor besøgsdata opbevares, er ikke bare et teknisk spørgsmål. Placeringen er med til at afgøre, hvilke databeskyttelsesregler og betingelser for international overførsel der gælder, og hvor meget indsigt din organisation har i behandlingen af de data.

Det handler ikke kun om den primære database, men også om backups og andre kopier, hvilke underdatabehandlere der er involveret, og fra hvilke lande medarbejdere kan få adgang.

GDPR kræver ikke, at besøgsdata forbliver inden for EØS. Opbevaring og behandling inden for EØS gør det dog som regel enklere at overholde loven. Men dataresidens er kun én del af databeskyttelsen: Dataminimering, sikkerhed, opbevaringsperioder og rettidig sletning er fortsat afgørende.

Vil du selv opleve, hvordan Vizito hjælper dig med at håndtere besøgsdata sikkert og overskueligt? Prøv Vizito gratis i 14 dage, eller book en demo.