GDPR-kompatibel videokonferanse (2026): hva som faktisk kreves (og et Zoom-alternativ som oversetter)

«GDPR-kompatibel» på forsiden til en videoplattform sier nesten ingenting. GDPR er ikke en sertifisering du består. Det er et sett med plikter for deg som behandlingsansvarlig, og leverandøren enten hjelper deg å oppfylle dem eller lar dem stille liggende på skrivebordet ditt. Det nyttige spørsmålet er ikke «er dette verktøyet GDPR-kompatibelt?», men «hva gjør dette verktøyet meg ansvarlig for, og hvor havner møtedataene mine egentlig?»

🔒 Oppdatering – vi gjorde dette mot oss selv. Etter at dette innlegget ble publisert har vi kjørt InterMINDs egen kodebase gjennom hele sjekklisten nedenfor og lukket alle punkter: sletting, lagring, EU-kjøretid, underdatabehandlere. Alt er verifisert mot koden, ikke bare påstått på en nettside. → Les avslutningsrapporten fra revisjonen, linje for linje.

Dette innlegget er den enkle versjonen av det spørsmålet: sjekklisten en personvernombud faktisk går gjennom, hvor Zoom står på den (rettferdig vurdert, siden Zoom er mer i stand til å oppfylle kravene enn internett gir inntrykk av), og hvor et alternativ med EU-kjøretid endrer svaret. Vil du ha den bredere rammen om «hvordan bør møter i sanntid fungere», finner du den i hovedguiden. Dette innlegget handler spesifikt om personvernlaget.

Sjekklisten i enkle ord

Fjerner du markedsføringen, koker «GDPR-kompatibel videokonferanse» ned til sju ting du faktisk kan verifisere:

1. En signert DPA. En databehandleravtale som utpeker leverandøren som din databehandler, med dokumenterte formål og instruksjoner. Ingen DPA, ingen lovlig behandling – punktum.
2. En reell liste over underdatabehandlere. Hver tredjepart som berører møtedata – transkripsjon, lagring, e-post, analyse, AI-funksjoner – navngitt, med hva de gjør og hvor de har hovedsete.
3. Hvor data behandles i kjøretiden. Den fysiske regionen der lyd, transkripsjoner, opptak og metadata håndteres. Det er dette de fleste klausuler om datalagring egentlig handler om.
4. Mekanismen for internasjonal overføring. Hvis data forlater EØS, på hvilket rettslig grunnlag? Standard personvernbestemmelser (SCC-er), tilstrekkelighetsvedtak, eller et oppsett med lagring i EU som unngår overføringen helt. Dette er Schrems II-spørsmålet, og det forsvinner ikke fordi en forside sier «compliant».
5. Sikkerhet du kan revidere. ISO 27001, ISO 27701, SOC 2 – uavhengige attester, ikke egenerklæringer.
6. Verktøy for de registrertes rettigheter. Kan du faktisk oppfylle krav om innsyn, sletting og portabilitet for møtedata, eller bare i teorien?
7. Lagring og sletting du styrer. Opptak, transkripsjoner og AI-oppsummeringer slettes etter din tidsplan, ikke leverandørens standardinnstilling.

Et verktøy er «GDPR-kompatibelt» for ditt formål først når alle sju har konkrete svar. De fleste forsider besvarer ingen av dem.

Hvor Zoom faktisk står (rettferdig vurdert)

Zoom er bedre rustet for GDPR enn omdømmet tilsier, og det er verdt å være nøyaktig om det i stedet for å score billige poeng:

• Zoom publiserer en global DPA med EUs standard personvernbestemmelser fra 2021 innebygd.
• Zoom tilbyr datalagring i EU – «Zoom EU Infrastructure» – for Enterprise- og Education-kunder, som dekker Meetings, Webinar, Chat, Phone og Contact Center.
• Zoom har ISO 27001 og, fra februar 2026, ISO 27701 (utvidelsen for personvernstyring), pluss publiserte suverenitetskontroller for offentlig sektor i EU.

En riktig konfigurert Zoom-installasjon på riktig nivå kan altså oppfylle det meste av sjekklisten. De ærlige forbeholdene gjelder standardinnstillinger og hovedsete, ikke funksjonalitet:

• Datalagring i EU er et tillegg som avhenger av nivå og konfigurasjon, ikke standard. Det finnes på Enterprise/Education og må slås på. Den gratis og de lavere betalte nivåene får det ikke. «Vi bruker Zoom» og «vi bruker Zoom konfigurert for datalagring i EU» er to ulike innkjøpsfakta.
• Zoom er et selskap med hovedsete i USA. Selv med SCC-er og datalagring i EU er leverandørens juridiske hovedsete relevant i vurderinger knyttet til CLOUD Act og suverenitetsnivå. For standard GDPR er dette håndterbart med SCC-er. For fransk souveraineté numérique eller innkjøp på SecNumCloud-nivå er hovedsetet i seg selv et kriterium, og det er en vanskeligere samtale.
• Møtet foregår fortsatt på ett språk. Zooms oversatte teksting og AI Companion hjelper, men rommet blir ikke ekte flerspråklig, der hver deltaker hører møtet live på sitt eget språk. Hvis compliance-utfordringen din også er en språkutfordring (grensekryssende revisjoner, CAPA-gjennomganger på flere lokasjoner), er det gapet uløst uansett hvor dataene ligger.

Kort sagt: Zoom kan være i samsvar med GDPR når det er konfigurert for det. Om det er tilstrekkelig, avhenger av hvor suverenitetsfølsom kjøperen er – og av om møtene er flerspråklige.

Hvor InterMIND står på sjekklisten

InterMIND er et rom en vert gir teamet og kundene sine, hver på sitt språk: møter, chat, filer og oppsummeringen. Sjekklisten ovenfor besvares som standard, ikke gjennom et konfigurasjonsprosjekt. Den delen som er strukturell og ikke bare lovet, er hvor møtet kjører, én linje til personvernombudet, verifisert mot den live installasjonen:

• Hvert ledd i kjøretiden er i EU. App og server-API-er på Vercel i Frankfurt (fra1), møtets WebSocket-server på Fly i Paris (cdg), applikasjonsdata i Neon Postgres på AWS Frankfurt (eu-central-1), opptak på Tigris med mulighet for EU-låsing, feil- og analysedata på Sentry EU og PostHog EU, og transaksjonell e-post via Resend i Irland.
• Oversettelsesmotoren er vår egen kode, i Frankrike (OVH) – ikke en amerikansk generell modell vi videreselger. Den store hovedstrømmen av møteinnhold forblir i EU og berører aldri en tredjeparts LLM. Dokumentoversettelse går til DeepL i Köln – også et EU-selskap.
• Listen over underdatabehandlere, med opplysninger om juridisk hovedsete, følger med DPA-en som standard praksis, ikke på forespørsel.

Møteinnhold går til én AI-gateway, i EU, og organisasjonen velger den selv. Alt som utledes fra et møte og krever en språkmodell – AI-sammendraget etter møtet (temaer, beslutninger, action items), dokumentsammendrag, de generative handlingene i AI-notatredigereren (rett, utvid, forenkle) og Ask AI – kjører på AI-gatewayen organisasjonen din velger: Azure OpenAI i EU Data Zone som standard, Vertex AI på EUs multiregion-endepunkt eller Amazon Bedrock i Frankfurt som valg, hver i vår egen tenant med null datalagring og ingen trening på kundeinnhold, eller ditt eget OpenAI-kompatible endepunkt. Oppsummeringen etter møtet og redigererens oversett-handling går gjennom oversettelsesleddet, ikke språkmodellen. Leverandørene bak de hostede gatewayene er amerikanske selskaper som driver EU-regioner. Det står det tydelig på tillitssiden, ikke skjult. Juridisk hovedsete er kriteriet som innkjøp på suverenitetsnivå legger på toppen av GDPR, og det gjelder for dette leddet på samme måte som det gjelder for Zoom ovenfor. Det fulle kartet over leverandør for leverandør finnes i Where one InterMIND meeting actually runs, og bygg-eller-kjøp-perspektivet i What one InterMIND meeting is built from.

Én ting vi ikke hevder: vi kommer ikke til å vifte med et ISO-sertifikat vi ennå ikke har. Svaret vårt på sjekklisten er arkitektonisk – EU-kjøretid, egen motor, åpne underdatabehandlere, en reell DPA – og vi vil heller at du verifiserer det enn at du stoler på et merke. Sertifiseringer står på veikartet, men kjøretiden er reell i dag. Vi kjørte vår egen kodebase gjennom akkurat denne sjekklisten og lukket hvert punkt mot koden – avslutningsrapporten, linje for linje.

Og det Zoom-innstillingene for datalagring ikke kan legge til: møtet er flerspråklig fra grunnen av – hver deltaker live på sitt eget språk, på tvers av 23 språk, med tale, chat og notater, og med oversettelseskvalitet publisert åpent i stedet for påstått. Hvordan det fungerer, står i hovedguiden. Bruksområdet for regulerte møter er beskrevet i multilingual compliance meetings.

Sjekklisten som tabell

De sju punktene mot de to verktøyene dette innlegget omtaler i detalj. Cellene sier bare det hver leverandør dokumenterer (Zoom-lenker under Kilder nedenfor, InterMIND-påstander verifisert linje for linje i revisjonens avslutningsrapport og kjøretidskartet). For andre leverandører kan du la dem besvare kolonnen til venstre skriftlig.

FAQ

Er Zoom i samsvar med GDPR? Det kan være det, på riktig nivå og med riktig konfigurasjon: Zoom publiserer en global DPA med EU-SCC-ene fra 2021, tilbyr datalagring i EU for Enterprise- og Education-kunder og har ISO 27001 og (siden februar 2026) ISO 27701. De ærlige forbeholdene: datalagring i EU er et tillegg som avhenger av nivå og konfigurasjon, ikke standard, og Zoom er fortsatt et selskap med hovedsete i USA – håndterbart under standard GDPR med SCC-er, men et reelt kriterium ved innkjøp på suverenitetsnivå.

Hva gjør et videokonferanseverktøy GDPR-kompatibelt? Sju verifiserbare ting, ikke et merke på forsiden: en signert DPA, en reell liste over underdatabehandlere, en dokumentert kjøretidsregion, en lovlig mekanisme for internasjonal overføring, uavhengig revidert sikkerhet, fungerende verktøy for de registrertes rettigheter og lagring du styrer. En leverandør er i samsvar for ditt formål når alle sju har konkrete svar skriftlig.

Krever GDPR at videomøter blir i EU? Nei – GDPR krever en lovlig overføringsmekanisme (SCC-er, tilstrekkelighetsvedtak) når data forlater EØS, ikke datalagring i EU som sådan. Datalagring i EU betyr likevel noe fordi det fjerner overføringsspørsmålet helt – analysen etter Schrems II blir kort når dataene aldri forlater regionen. Det er forskjellen på «i samsvar på papiret» og «ingenting å dekke over».

Hvilke videokonferanseverktøy kjører helt i EU? Be en hvilken som helst leverandør om kjøretidskartet: region per ledd – app, API-er, møtemedia, database, opptak, analyse, e-post, AI-funksjoner. InterMIND publiserer akkurat det (hvert ledd, leverandør for leverandør): Vercel Frankfurt, Fly Paris, Neon Frankfurt, oversettelsesmotor på OVH Frankrike, AI-funksjoner på gatewayen organisasjonen velger, i en EU-region (Azure OpenAI EU Data Zone som standard). Uansett hvilket verktøy du vurderer, er kartet – ikke markedsføringssiden – svaret.

Hvem dette passer for

Eieren eller lederen av en organisasjon på 10–200 personer der teamet eller kundene snakker et annet språk, som allerede bruker Teams eller Workspace og setter opp rommet uten en IT-avdeling. For den verten er sjekklisten besvart som standard, og samtalen med personvernombudet blir kort. Resten av beslutningen handler om hvorvidt selve møtet foregår på hvert medlems språk. Offentlige innkjøp på suverenitetsnivå, der leverandørens hovedsete i seg selv er en del av kravspesifikasjonen, er en annen samtale, og det sier vi heller enn å overselge.

Prøv det, og les så datakartet

• Prøv live-demoen – hør den flerspråklige pipelinen live i et reelt møte, og hør hvordan «EU-kjøretid og flerspråklig» faktisk høres ut. Ingen registrering nødvendig.
• InterMIND vs. Zoom – funksjon for funksjon, ærlig.
• Where one InterMIND meeting actually runs – hele leverandørkartet, inkludert gapet.

«GDPR-kompatibel videokonferanse» er en sjekkliste, ikke et merke. Uansett hvilket verktøy du velger, vårt eller et annet, la leverandøren besvare alle sju spørsmålene skriftlig. De som kan, er verdt tiden din. De som ikke kan, selger deg en forside.

— Mind.com-teamet

Kilder om Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, kontrollert i august 2026. Leverandørers tilbud og nivåer endres, så verifiser gjeldende konfigurasjon mot Zooms tillitssider. Fakta om InterMINDs kjøretid er verifisert mot den live installasjonen som beskrevet i det lenkede innlegget om datakartet.