GDPR-kompatibel videokonferens (2026): vad som faktiskt krävs (och ett Zoom-alternativ som översätter)

"GDPR-kompatibel" på en videoplattforms startsida är nästan innehållslöst. GDPR är ingen certifiering som man klarar. Det är en uppsättning skyldigheter för dig, den personuppgiftsansvarige, som en leverantör antingen hjälper dig att uppfylla eller tyst lämnar kvar på ditt skrivbord. Den användbara frågan är inte "är det här verktyget GDPR-kompatibelt?" Den är "vad gör det här verktyget mig ansvarig för, och vart tar mina mötesdata faktiskt vägen?"

🔒 Uppdatering – vi granskade oss själva. Efter att det här inlägget publicerades har vi gått igenom InterMINDs egen kodbas med hela checklistan nedan och åtgärdat varje punkt – radering, lagring, EU-körning, underbiträden – verifierat mot koden, inte bara påstått på en webbsida. → Läs avslutsrapporten från granskningen, rad för rad.

Det här inlägget är den enkla versionen av den frågan: checklistan som ett dataskyddsombud faktiskt går igenom, var Zoom står på den (rättvist – Zoom klarar GDPR bättre än internet ger sken av) och var ett alternativ med körning inom EU ändrar svaret. Vill du ha den bredare ramen för hur möten i realtid bör fungera finns huvudguiden. Det här inlägget handlar specifikt om dataskyddslagret.

Checklistan i klartext

Skala bort marknadsföringen så kokar "GDPR-kompatibel videokonferens" ner till sju saker som du faktiskt kan verifiera:

1. Ett undertecknat DPA. Ett personuppgiftsbiträdesavtal (Data Processing Addendum) som anger leverantören som ditt personuppgiftsbiträde, med dokumenterade ändamål och instruktioner. Inget DPA, ingen laglig behandling – punkt slut.
2. En riktig lista över underbiträden. Varje tredje part som kommer i kontakt med mötesdata – transkribering, lagring, e-post, analys, AI-funktioner – med namn, vad de gör och var de har sitt säte.
3. Var data behandlas under körning. Den fysiska region där ditt ljud, dina transkript, inspelningar och metadata hanteras. Det är detta de flesta klausuler om dataresidens faktiskt handlar om.
4. Mekanismen för internationella överföringar. Om data lämnar EES, på vilken rättslig grund? Standardavtalsklausuler (SCC), beslut om adekvat skyddsnivå eller en residensupplägg som helt undviker överföringen. Det är Schrems II-frågan, och den försvinner inte för att en startsida säger "kompatibel".
5. Säkerhet du kan granska. ISO 27001, ISO 27701, SOC 2 – oberoende intyg, inte egna påståenden.
6. Verktyg för de registrerades rättigheter. Kan du faktiskt uppfylla begäranden om åtkomst, radering och portabilitet för mötesdata, eller bara i teorin?
7. Lagring och radering som du styr. Inspelningar, transkript och AI-sammanfattningar raderas enligt ditt schema, inte leverantörens standardinställning.

Ett verktyg är "GDPR-kompatibelt" för dina syften först när alla sju punkter har konkreta svar. De flesta startsidor besvarar noll av dem.

Var Zoom faktiskt står (rättvist)

Zoom klarar GDPR bättre än sitt rykte antyder, och det är värt att vara korrekt på den punkten i stället för att ta billiga poänger:

• Zoom publicerar ett globalt DPA med EU:s standardavtalsklausuler från 2021 inbyggda.
• Zoom erbjuder EU Data Residency – "Zoom EU Infrastructure" – för Enterprise- och Education-kunder, som omfattar Meetings, Webinar, Chat, Phone och Contact Center.
• Zoom har ISO 27001 och, sedan februari 2026, ISO 27701 (tillägget för hantering av personuppgifter), samt publicerade kontroller för suveränitet inom EU:s offentliga sektor.

En korrekt konfigurerad Zoom-installation på rätt nivå kan alltså uppfylla större delen av checklistan. De ärliga förbehållen gäller standardinställningar och säte, inte förmåga:

• EU-residens är ett tillägg som beror på nivå och konfiguration, inte standard. Det finns på Enterprise/Education och måste aktiveras. De kostnadsfria och lägre betalda nivåerna får det inte. "Vi använder Zoom" och "vi använder Zoom konfigurerat för EU-residens" är olika upphandlingsfakta.
• Zoom är ett företag med säte i USA. Även med SCC och EU-residens ingår leverantörens bolagssäte i bedömningar enligt CLOUD Act och i utvärderingar på suveränitetsnivå. För vanlig GDPR går detta att hantera med SCC. För fransk souveraineté numérique eller upphandling på SecNumCloud-nivå är bolagssätet i sig ett kriterium, och det är ett svårare samtal.
• Mötet går fortfarande på ett språk. Zooms översatta undertexter och AI Companion hjälper, men rummet blir inte på riktigt flerspråkigt – där varje deltagare hör mötet live på sitt eget språk. Om ditt compliance-problem också är ett språkproblem (gränsöverskridande revisioner, CAPA-genomgångar på flera platser) är det glappet olöst oavsett var data ligger.

Kort sagt: Zoom kan vara GDPR-kompatibelt när det är konfigurerat för det. Om det är tillräckligt beror på hur suveränitetskänslig din köpare är – och på om mötena är flerspråkiga.

Var InterMIND står på checklistan

InterMIND är ett utrymme som en värd ger sitt team och sina kunder, var och en på sitt eget språk – möten, chatt, filer, sammanfattningen. Checklistan ovan besvaras som standard, inte genom ett konfigurationsprojekt. Den del som är strukturell snarare än utlovad är var mötet körs – en rad åt dataskyddsombudet, verifierad mot den skarpa driftsättningen:

• Varje steg i körningen sker inom EU. App och server-API:er på Vercel i Frankfurt (fra1), mötets WebSocket-server på Fly i Paris (cdg), applikationsdata i Neon Postgres på AWS Frankfurt (eu-central-1), inspelningar på Tigris, som kan låsas till EU, fel- och analysdata på Sentry EU och PostHog EU samt transaktionell e-post via Resend i Irland.
• Översättningsmotorn är vår egen kod, i Frankrike (OVH) – inte en amerikansk allmän modell som vi säljer vidare. Det enskilt största flödet av mötesinnehåll stannar inom EU och berör aldrig en tredjeparts LLM. Dokumentöversättning går till DeepL i Köln – också ett EU-företag.
• Listan över underbiträden med uppgifter om bolagssäte medföljer DPA:t som standardrutin, inte först på begäran.

Mötesinnehåll går till en enda AI-gateway, inom EU, och organisationen väljer den. Allt som härleds från ett möte och kräver en språkmodell – den AI-baserade sammanfattningen efter mötet (ämnen, beslut, action items), dokumentsammanfattningar, de generativa åtgärderna i AI-anteckningsredigeraren (rätta, utöka, förenkla), Ask AI – körs på den AI-gateway som din organisation väljer: Azure OpenAI i EU Data Zone som standard, Vertex AI på EU:s multiregionala endpoint eller Amazon Bedrock i Frankfurt som val, vart och ett i vår egen tenant med noll datalagring och ingen träning på kundinnehåll, eller din egen OpenAI-kompatibla endpoint. Sammanfattningen efter mötet och redigerarens översättningsåtgärd går genom översättningsflödet, inte språkmodellen. Leverantörerna bakom de hostade gatewayerna är amerikanska företag som driver EU-regioner – detta anges öppet på förtroendesidan och döljs inte. Bolagssäte är det kriterium som upphandling på suveränitetsnivå lägger till ovanpå GDPR, och det gäller för det här steget på exakt samma sätt som för Zoom ovan. Den fullständiga kartan, leverantör för leverantör, finns i Where one InterMIND meeting actually runs, och vyn byggt-eller-köpt finns i What one InterMIND meeting is built from.

En sak påstår vi inte: vi tänker inte vifta med ett ISO-certifikat som vi ännu inte har. Vårt svar på checklistan är arkitektoniskt – körning inom EU, egen motor, öppna underbiträden, ett riktigt DPA – och vi vill hellre att du verifierar det än litar på en bricka. Certifieringar finns på färdplanen, och körningen är verklig redan i dag. Vi gick igenom vår egen kodbas med exakt den här checklistan och åtgärdade varje punkt mot koden – avslutsrapporten, rad för rad.

Och det som Zooms residensinställningar inte kan lägga till: mötet är flerspråkigt från grunden – varje deltagare live på sitt eget språk över 23 språk, röst, chatt och anteckningar, med översättningskvalitet som publiceras öppet i stället för att påstås. Hur det fungerar beskrivs i huvudguiden, och användningsfallet för reglerade möten finns i multilingual compliance meetings.

Checklistan som tabell

De sju punkterna ställda mot de två verktyg som det här inlägget behandlar i detalj. Cellerna anger bara vad respektive leverantör dokumenterar (Zoom-länkar finns under Källor nedan, InterMINDs påståenden är verifierade rad för rad i avslutsrapporten från granskningen och körningskartan) – för alla andra leverantörer: låt dem besvara den vänstra kolumnen skriftligen.

FAQ

Är Zoom GDPR-kompatibelt? Det kan vara det, på rätt nivå och med rätt konfiguration: Zoom publicerar ett globalt DPA med EU:s SCC från 2021, erbjuder EU Data Residency för Enterprise- och Education-kunder och har ISO 27001 samt (sedan februari 2026) ISO 27701. De ärliga förbehållen: EU-residens är ett tillägg som beror på nivå och konfiguration snarare än standard, och Zoom är fortfarande ett företag med säte i USA – hanterbart enligt vanlig GDPR med SCC, men ett verkligt kriterium vid upphandling på suveränitetsnivå.

Vad gör ett videokonferensverktyg GDPR-kompatibelt? Sju verifierbara saker, inte en bricka på startsidan: ett undertecknat DPA, en riktig lista över underbiträden, en dokumenterad körningsregion, en laglig mekanism för internationella överföringar, oberoende granskad säkerhet, fungerande verktyg för de registrerades rättigheter och lagring som du styr. En leverantör är kompatibel för dina syften när alla sju har konkreta svar skriftligen.

Kräver GDPR att videomöten stannar inom EU? Nej – GDPR kräver en laglig överföringsmekanism (SCC, beslut om adekvat skyddsnivå) när data lämnar EES, inte residens i sig. Residens är viktigt eftersom det helt tar bort överföringsfrågan – analysen efter Schrems II blir kort när data aldrig lämnar EU. Det är skillnaden mellan "kompatibel på papperet" och "inget att släta över".

Vilka videokonferensverktyg körs helt inom EU? Be vilken leverantör som helst om deras körningskarta: region per steg – app, API:er, mötesmedia, databas, inspelningar, analys, e-post, AI-funktioner. InterMIND publicerar precis det (varje steg, leverantör för leverantör): Vercel Frankfurt, Fly Paris, Neon Frankfurt, översättningsmotor på OVH Frankrike, AI-funktioner på den gateway som organisationen väljer, i en EU-region (Azure OpenAI EU Data Zone som standard). Oavsett vilket verktyg du utvärderar är kartan – inte marknadsföringssidan – svaret.

Vilken värd det här svarar till

Ägaren eller chefen för en organisation på 10–200 personer vars team eller kunder talar ett annat språk, som redan använder Teams eller Workspace och som sätter upp rummet utan en IT-avdelning. För den värden är checklistan besvarad som standard och samtalet med dataskyddsombudet kort. Resten av beslutet handlar om huruvida själva mötet går på varje medlems språk. Offentlig upphandling på suveränitetsnivå, där leverantörens säte i sig ingår i kravspecifikationen, är ett annat samtal, och det säger vi hellre än att överdriva.

Prova, och läs sedan datakartan

• Prova livedemon – hör den flerspråkiga pipelinen live i ett riktigt möte och upplev hur "körning inom EU och flerspråkigt" faktiskt känns. Ingen registrering behövs.
• InterMIND vs. Zoom – funktion för funktion, ärligt.
• Where one InterMIND meeting actually runs – den fullständiga leverantörskartan, med luckan inräknad.

"GDPR-kompatibel videokonferens" är en checklista, inte en bricka. Oavsett vilket verktyg du väljer – vårt eller ett annat – låt leverantören besvara alla sju frågorna skriftligen. De som kan är värda din tid, de som inte kan säljer dig en startsida.

— Teamet på Mind.com

Källor om Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, kontrollerat augusti 2026. Leverantörers erbjudanden och nivåer ändras – verifiera den aktuella konfigurationen mot Zooms förtroendesidor. Fakta om InterMINDs körning är verifierade mot den skarpa driftsättningen enligt beskrivningen i det länkade inlägget om datakartan.