GDPR och webbhotell: därför spelar det roll var din data lagras

En personuppgift är all information som kan kopplas till en person. På en vanlig webbplats finns de på fler ställen än man tror:

• Kontaktformulär: namn, e-postadresser och meddelanden.
• Beställningar och konton: adresser, telefonnummer och köphistorik i en webbutik.
• Serverloggar: IP-adresser och tidpunkter för varje besök.
• Nyhetsbrev: prenumerantlistor och uppgifter om samtycke.

Allt detta lagras på webbhotellets server och i dess säkerhetskopior. Därför är valet av webbhotell en del av ditt GDPR-arbete.

Som ägare av webbplatsen är du personuppgiftsansvarig: du bestämmer vilka uppgifter som samlas in och varför. Webbhotellet lagrar uppgifterna åt dig och är därmed personuppgiftsbiträde.

GDPR kräver ett skriftligt personuppgiftsbiträdesavtal (PUB-avtal) mellan er. Där står att webbhotellet bara behandlar uppgifterna enligt dina instruktioner, skyddar dem, hjälper dig med de registrerades förfrågningar och meddelar dig vid incidenter. Ett seriöst webbhotell har villkoren med i sina avtal eller policyer, så att du slipper förhandla fram dem själv.

Inom EU och EES får personuppgifter flyttas fritt. För att föra över dem till ett land utanför EES krävs en rättslig grund, till exempel ett beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler.

Överföringar till USA har länge varit osäkra. EU-domstolen ogiltigförklarade Safe Harbor 2015 och efterföljaren Privacy Shield 2020 (domen ”Schrems II”). Sedan 2023 gäller EU–US Data Privacy Framework för certifierade amerikanska företag, men det är tredje försöket, och amerikanska lagar som CLOUD Act kan fortfarande ge myndigheter i USA tillgång till data hos amerikanska företag.

Ligger webbplatsen och dess data inom EU uppstår frågan aldrig. Därför väljer många företag ett webbhotell i EU, även när lagen skulle tillåta något annat.

• Säkerhetskopior: en säkerhetskopia är en full kopia av dina personuppgifter. Fråga var den lagras och hur länge. Samma regler gäller som för den riktiga webbplatsen.
• Statistik, typsnitt och chatt: verktyg som laddas från andra företags servrar kan skicka besökarnas IP-adresser utanför EU. Ladda typsnitt från din egen server där det går och lista alla verktyg i din integritetspolicy.
• Samtycke till cookies: cookies som inte är nödvändiga, till exempel för statistik eller marknadsföring, kräver samtycke innan de sätts. Att avvisa ska vara lika enkelt som att godkänna.

1. 1Var datan lagras: servrarna och säkerhetskopiorna finns inom EU eller EES.
2. 2PUB-avtal: ett personuppgiftsbiträdesavtal ingår eller finns att få.
3. 3Säkerhet: SSL-certifikat, löpande uppdateringar och dagliga säkerhetskopior är standard.
4. 4Incidenter: webbhotellet lovar att meddela dig utan onödigt dröjsmål.
5. 5Radering: din data raderas när du slutar, utom det som lagen kräver att de sparar.
6. 6Support du förstår: du kan ställa frågor på ett språk du känner dig trygg med.

Den här guiden är allmän information, inte juridisk rådgivning. Har du frågor om din egen situation kan du vända dig till en jurist eller till Integritetsskyddsmyndigheten (IMY).

Hos 2-Host lagras din webbplats, e-post och dina säkerhetskopior i ett Tier-3-datacenter i EU och stannar inom EU. Våra villkor som personuppgiftsbiträde, som fungerar som PUB-avtal, ingår i vår integritetspolicy. Alla webbhotellspaket har dagliga säkerhetskopior och gratis SSL, och vår support svarar på svenska, engelska och arabiska.