Geopolitieke spanningen: is Amerikaanse HR-software nog veilig te gebruiken?

Beeld: Shutterstock

Het gebruik van Amerikaanse HR-software staat onder toenemende druk door geopolitieke spanningen en zorgen over digitale autonomie. Europese HR-afdelingen, maken veelvuldig gebruik van Amerikaanse technologie, zoals oplossingen van SAP, BambooHR en Workday.

“Werkgevers blijven zelf verantwoordelijk voor de bescherming van persoonsgegevens, ook wanneer zij een externe leverancier inschakelen”

Hoewel deze software in principe legaal kan worden gebruikt, roept recente politieke ontwikkeling in de Verenigde Staten vragen op over privacy, gegarandeerde datatoegang en afhankelijkheid. Techjournalist Eveline Meijer belicht en analyseert de dilemma’s in een artikel op hrtecharena.nl.

De doorgifte van persoonsgegevens van de EU naar de VS is geregeld via het Data Privacy Framework (DPF). Dit akkoord bepaalt onder welke voorwaarden Amerikaanse bedrijven data van Europese burgers mogen verwerken. Organisaties die DPF-gecertificeerd zijn, mogen deze gegevens ontvangen en verwerken. Is een partij niet gecertificeerd, dan kan overdracht plaatsvinden via modelcontracten (Standard Contractual Clauses), aangevuld met extra waarborgen en een risicoanalyse.

Correcte contractuele afspraken essentieel voor HR

Voor HR-gegevens geldt een aanvullende eis. Bedrijven moeten expliciet gecertificeerd zijn om personeelsdata te verwerken. Als gebruiker moet je bovendien aangeven dat het om HR-gegevens gaat. “In de VS gelden andere regels voor dit soort data”, zegt Caroline van Ekeren, senior legal counsel bij ICTRecht. “Ze moeten daarom weten dat ze met HR-data te maken hebben.” Transparantie en correcte contractuele afspraken zijn dus essentieel.

De grootste zorgen hangen samen met twee Amerikaanse wetten: de Cloud Act en de Foreign Intelligence Surveillance Act (FISA 702). Deze wetten maken het mogelijk dat Amerikaanse autoriteiten onder bepaalde omstandigheden toegang krijgen tot data die is opgeslagen bij Amerikaanse bedrijven, ook in Europa. Organisaties worden daar niet altijd over geïnformeerd.

In de praktijk moeilijk controleerbaar

Dat kan botsen met de Europese privacywetgeving (AVG), die strenge eisen stelt aan de verwerking van persoonsgegevens. Volgens de Autoriteit Persoonsgegevens (AP) kan inzage zonder geldige Europese rechtsgrond in strijd zijn met de AVG. “Als de VS geen rechtsgrond heeft op basis van Europese regels, is zo’n inzage inderdaad in strijd met Europees recht”, aldus Leonie van Sloten, senior-adviseur bij de AP. Tegelijkertijd erkent zij dat dit in de praktijk moeilijk controleerbaar is, omdat organisaties vaak niet weten of inzage plaatsvindt.

Daarbij moet worden aangetekend dat ook Europese landen wetgeving kennen die overheden toegang kan geven tot gegevens. Het probleem is dus niet uniek voor de VS. Toch staat het Data Privacy Framework onder druk. Er lopen rechtszaken waarin wordt betwijfeld of het voldoende bescherming biedt. “Maar juridisch is er nu nog niets veranderd”, benadrukt Van Ekeren. “Je kunt Amerikaanse software gewoon gebruiken en data blijven delen.”

AI voor HR-professionals: Advanced

In deze advanced training ga je verder dan experimenteren en ga je aan de slag met implementatievraagstukken. Je werkt met GPT’s en Agents die relevant zijn voor HR-processen, leert hoe je deze verantwoord implementeert en en hoe je draagvlak creëert.

Meer informatie

Verantwoordelijkheid werkgevers

Naast juridische aspecten spelen strategische overwegingen een rol. Organisaties moeten zich afvragen of zij het wenselijk vinden dat werknemersgegevens buiten de Europese Economische Ruimte (EER) worden verwerkt. Werkgevers blijven immers zelf verantwoordelijk voor de bescherming van persoonsgegevens, ook wanneer zij een externe leverancier inschakelen. “Er wordt nog wel eens gezegd: ik koop een systeem in, dat zou moeten voldoen aan de eisen van de wet”, zegt Arjan Kapteijn, hoofd systeemtoezicht bij de AP. “Maar het is je taak om vast te stellen dat het daar inderdaad aan voldoet. Als dat niet zo is, ben je nog steeds verantwoordelijk.”

Geopolitieke afhankelijkheid

Een ander aandachtspunt is geopolitieke afhankelijkheid. In een extreem scenario zouden politieke besluiten kunnen leiden tot beperkingen in de levering van software of diensten. Dat zou betekenen dat een organisatie plotseling geen toegang meer heeft tot haar HR-systeem. Hoewel dit momenteel een theoretisch risico is, laat de internationale context zien dat afhankelijkheid van buitenlandse technologie kwetsbaar kan maken.

Ook vendor lock-in vormt een risico. Wanneer personeelsgegevens niet eenvoudig kunnen worden geëxporteerd of gemigreerd, kan overstappen naar een andere leverancier lastig zijn. “Stel dat je niet meer gebruik kunt maken van zo’n partij, dan is het fijn als je je personeelsadministratie gemakkelijk en preventief kunt overzetten naar een Europese aanbieder”, aldus Kapteijn.

Noodpakket

Voor HR-afdelingen is er geen reden voor paniek of directe overstap. Amerikaanse HR-software kan nog steeds veilig en legaal worden gebruikt. Wel is het belangrijk om bewust stil te staan bij de risico’s en een weloverwogen afweging te maken. Welke data deel je? Met wie? En welke risico’s zijn acceptabel?

De deskundigen adviseren bovendien om een plan B te ontwikkelen. “Je wilt bij wijze van spreken ook een noodpakket voor de doorgifte van data naar de VS”, zegt Kapteijn. “Niet omdat dat morgen nodig is, maar omdat voorbereiding de wendbaarheid vergroot.”

De conclusie is dat juridisch het gebruik van Amerikaanse HR-software nog is toegestaan, maar dat geopolitieke spanningen en toezichtwetgeving om een kritische blik vragen.

Checklist voor HR-software

1. Is de partij die je op het oog hebt een Amerikaanse partij?
2. Zo ja, is deze partij gecertificeerd onder het Data Privacy Framework en mag ze daaronder HR-data verwerken? Zo niet sluit dan een modelcontract af en bekijk welke aanvullende maatregelen je moet nemen.
3. Draait de software in de cloud of volledig lokaal op je eigen infrastructuur? In het laatste geval worden er waarschijnlijk geen gegevens naar Amerika verstuurd.
4. Is het in jouw situatie verantwoord en wenselijk om data buiten de Europese Economische Ruimte te verwerken? Zo niet, zoek naar een Europees alternatief.
5. Kun je gemakkelijk je personeelsadministratie uit deze HR-software halen en overzetten naar een andere leverancier?
6. Zorg voor een plan B.

Het volledige artikel van Eveline Meijer vindt u hier

LEES OOK:

• Data en AI inzetten zonder geletterdheid is gevaarlijk leiderschap
• De stille risico’s van AI-tools in HR – en hoe je ze voorkomt
• AI-geletterdheid: zo zorg je voor verantwoord AI-gebruik in je organisatie