GDPR gælder efter behandlingens karakter, ikke efter om serveren står hos kunden eller i cloud. Valget ændrer blandt andet rollefordeling, adgangsforhold, leverandørkæde og eventuelle overførsler til tredjelande.

Kortlæg personoplysninger, formål og aktører i begge scenarier. Vurder sikkerhed, databehandleraftaler, sletning, registreredes rettigheder og behovet for konsekvensanalyse. I cloud skal support, logdata og underdatabehandlere indgå i kortlægningen. Egen drift fjerner heller ikke behovet for styring og dokumentation. Beslutningen bør bygge på konkrete dataforløb og kontroller, ikke en generel antagelse om, at én driftsmodel altid er lovligst.

Kilder og faglig baggrund: Datatilsynet: Cloud · Datatilsynet: Dataansvarlig og databehandler