Suverenita
Microsoft 365 lze používat v rámci GDPR (obecné nařízení o ochraně osobních údajů). Nařízení americké výrobce softwaru nezakazuje. Ukládá vědět, kdo co zpracovává, na jakém základě data opouštějí Unii a jak subjekty údajů uplatňují svá práva. Zde je, co musí firma ověřit, v tomto pořadí, a co musí zapsat do záznamů o činnostech zpracování.
U obsahu schránek, souborů a týmů, které spravujete, je zákazník obvykle správcem. Microsoft je zpracovatelem. U některých údajů o účtu, fakturaci, bezpečnosti a měření služby může být Microsoft samostatným správcem. Data Processing Addendum a Microsoft Privacy Statement tyto případy oddělují.
Jak ověřit. Role určuje povinnosti. Přečtěte si oba dokumenty vedle sebe a každou kategorii dat zařaďte do jedné kolonky. Například účetní kancelář s 25 zaměstnanci bude mít na jedné straně e-maily a klientské spisy (Microsoft jako zpracovatel), na druhé fakturaci předplatného (Microsoft jako samostatný správce).
Do záznamů. Jeden řádek pro každou činnost zpracování, s rolí Microsoftu a dokumentem, který ji zakládá.
Častá chyba. Napsat „Microsoft je náš zpracovatel“ pro celou službu.
DPA Microsoftu je součástí online podmínek. Ověřte, že pokrývá služby, které jste zapnuli: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate a jakýkoli konektor.
Jak ověřit. Tenant se vyvíjí nad rámec původní objednávky. Porovnejte seznam zapnutých služeb v centru pro správu s rozsahem DPA a archivujte verzi DPA platnou ke dni ověření.
Do záznamů. Službu, datum aktivace, účel. Služba, kterou administrátor aktivoval „na zkoušku“, patří do záznamů ode dne, kdy zpracovává data vašich zaměstnanců nebo zákazníků.
Častá chyba. Domnívat se, že konektor k nástroji třetí strany spadá pod DPA Microsoftu. Třetí strana má vlastní podmínky, které je třeba přečíst zvlášť.
Pro způsobilý tenant popisuje Microsoft EU Data Boundary: zákaznická data a pseudonymizované osobní údaje ukládané a zpracovávané v EU nebo ESVO, data profesionálních služeb ukládaná v této zóně v klidovém stavu. Tři kontroly brání tomu, abyste oznámení považovali za úplný rozsah.
Proč. Hranice je rozsah se zveřejněnými výjimkami a právě ty musí vaše záznamy pokrýt. Stránka data hostovaná v Evropě vysvětluje, proč je skutečným tématem právě tento seznam.
Jak ověřit a zaznamenat. Porovnejte konfiguraci tenantu (Multi-Geo, nebo ne, aktivované volitelné funkce) se stránkou výjimek Microsoftu, řádek po řádku, a do záznamů zapište ty, které se vás týkají.
Častá chyba. Opsat „data v Evropě“ do zásad ochrany osobních údajů bez zmínky o podpoře a volitelných funkcích.
Pokud jsou osobní údaje přístupné ze Spojených států nebo předávány americké organizaci, musí mít předávání právní základ: rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo jiný nástroj podle článku 46 GDPR.
K 5. října 2026 je rozhodnutí (EU) 2023/1795 (Data Privacy Framework) v platnosti pro certifikované americké organizace. Je napadeno u Soudního dvora a je předmětem politického přezkumu. Podle komentáře advokátní kanceláře WilmerHale zamítl Tribunál Evropské unie dne 3. září 2025 žalobu na neplatnost a dne 31. října 2025 bylo k Soudnímu dvoru podáno odvolání. Kancelář DAC Beachcroft shrnuje situaci v názvu svého komentáře: zatím stabilita, poté nejistota. Dokud rozhodnutí není zrušeno ani prohlášeno za neplatné, mohou se o něj předávání, na která se vztahuje, opírat.
Obezřetnost vysvětluje precedens. Dne 16. července 2020 Soudní dvůr v rozsudku C-311/18 (tzv. Schrems II) zrušil rozhodnutí 2016/1250 (Privacy Shield), mimo jiné kvůli rozsahu amerických programů sledování a absenci účinné právní ochrany. Standardní smluvní doložky zůstaly platné, vyžadují však posouzení případ od případu.
CLOUD Act se v DPA „nepodepisuje“. Vztahuje se případně na Microsoft jako americkou společnost, která data drží nebo kontroluje. Článek 48 GDPR na druhé straně stanoví, že rozhodnutí soudu nebo orgánu třetí země, které vyžaduje zpřístupnění osobních údajů, může být uznáno nebo vykonáno pouze tehdy, je-li založeno na mezinárodní dohodě, například smlouvě o vzájemné právní pomoci, platné mezi touto zemí a Unií nebo členským státem. Americký poskytovatel působící v Evropě se tak může ocitnout mezi dvěma pravidly. Článek 48 tuto kolizi popisuje; neřeší ji.
Dne 10. června 2025 byl před vyšetřovací komisí Senátu pro veřejné zakázky ředitel pro veřejné a právní záležitosti společnosti Microsoft France dotázán, zda může pod přísahou zaručit, že data francouzských občanů svěřená společnosti Microsoft prostřednictvím Ugap nebudou nikdy na základě příkazu americké vlády předána bez výslovného souhlasu francouzských orgánů. Odpověděl: „Ne, to zaručit nemohu, ale, opakuji, to se dosud nikdy nestalo.“ Podrobnosti najdete v článku ochrana firmy před CLOUD Act.
Do záznamů. Právní základ každého předávání a záložní plán: nástroj podle článku 46, o který byste se opřeli, kdyby rozhodnutí padlo.
Častá chyba. Zaměňovat lokalizaci (bod 3) a právní základ předávání. Data uložená v Evropě mohou zůstat přístupná ze Spojených států.
Zaměstnanec nebo zákazník může požádat o přístup, opravu, výmaz, omezení zpracování nebo přenositelnost. V Microsoft 365 se část toho provádí v centru pro správu a v nástroji pro vyhledávání obsahu.
Jak ověřit. Lhůta je jeden měsíc. Zpracovatel poskytuje prostředky; správce odpovídá subjektu údajů. Proveďte cvičný test: určená osoba vyexportuje pro testovací účet schránku, OneDrive a soubory z Teams.
Do záznamů. Postup, jméno odpovědné osoby a jejího zástupce.
Častá chyba. Čekat, až žádost podá bývalý zaměstnanec ve sporu, a teprve pak objevit vyhledávací nástroj.
Uchovávání sdílených schránek, protokolů, záznamů schůzek, kopií v režimu právního zadržení (litigation hold). Co se po ukončení smlouvy stane s tenantem, v jaké lhůtě a v jakém formátu získáte zpět zprávy, soubory a to, co exportovat nelze (úplná historie konverzací v Teams, některé toky Power Automate)?
Jak ověřit. Zjistěte skutečně nastavené doby, ne ty z interní politiky, a vyzkoušejte úplný export jednoho účtu.
Do záznamů. Dobu pro každou kategorii, odůvodnění každého právního zadržení, postup odchodu.
Častá chyba. Ponechat právní zadržení aktivní ještě roky po skončení sporu, který ho odůvodnil.
Copilot a analytické funkce zpracovávají obsah, který jim svěříte. Pokud je aktivujete, je součástí souladu informování zaměstnanců a pravidla používání. Tento bod je interní záležitostí vaší firmy. Nezávisí na zemi datacentra.
Jak ověřit. Existuje informační sdělení a stanoví nějaké pravidlo, jaká data lze těmto funkcím předkládat?
Častá chyba. Otevřít pilotní provoz Copilotu jednomu týmu, aniž by byly upozorněny další osoby, jejichž data jsou ve zpracovávaných souborech.
Ne. Nařízení upravuje role, předávání a práva subjektů údajů. Nezakazuje výrobce softwaru kvůli jeho státní příslušnosti; požaduje, abyste dokumentovali, co děláte a na jakém právním základě.
Ne. Popisuje, kde se určitá data ukládají a zpracovávají. Microsoft zůstává americkou společností a 18 U.S.C. § 2713 se vztahuje na data, která poskytovatel drží nebo kontroluje, ať jsou kdekoli.
Záznamy to už musí uvádět. Po Schrems II zůstaly standardní smluvní doložky platné, s posouzením případ od případu. Připravit toto posouzení předem znamená nemuset ho sepisovat ve spěchu.
Vy, jako správce. Microsoft poskytuje nástroje pro export; odpověď a lhůta jednoho měsíce jsou vaší povinností.
Takovým závěrem skončí, když jsou nástroje Microsoftu jádrem činnosti, DPA je zavedena, rozsah rezidence dat je pochopen a záznamy dokumentují zbytková předávání. Změna balíku se nestává povinností podle GDPR jen proto, že výrobce softwaru je americký.
Argumenty pro setrvání jsou vážné. Konstrukční kancelář, která žije v pokročilém Excelu, Power BI a Teams, by změnou balíku přišla o funkce a migrace s sebou nese vlastní rizika. Dobře zdokumentovaný tenant Microsoftu je v lepším souladu než špatně zdokumentovaná alternativa. Rozhodnutí se přezkoumá, pokud se změní právní základ předávání. Zvažování podrobně popisuje článek zůstat u Microsoft 365, nebo odejít.
Takovým závěrem skončí, když vedení chce, aby obsah držela evropská společnost, nebo když výjimky z předávání a přístupu podpory přesahují to, co mohou záznamy pokrýt. Může vzejít i od zákazníků: výběrové řízení, které vyžaduje evropského provozovatele, otázku pro dotčený rozsah rozhodne.
Tento závěr má své argumenty. Pokud je provozovatel evropský a pro držení dat není závislý na americké skupině, kolize popsaná v bodě 4 se u těchto dat nevyskytuje, za předpokladu, že jeho zpracovatelé znovu nezavedou amerického poskytovatele. Od ničeho dalšího neosvobozuje: zpracovatelská smlouva, záznamy, postup pro práva subjektů údajů a vyzkoušený odchod zůstávají nezbytné. Stránka migrace z Microsoft 365 popisuje, co tato změna obnáší, aniž by ji prezentovala jako automatický krok, a kontrolní seznam migrace ji rozděluje do kroků.
Klytic, provozovaný francouzskou společností Dedicace Software, je jednou z možností, pokud se používání vejde do e-mailové služby, dokumentů (sdílení, online úpravy samostatně i společně, historie verzí), videokonferencí, CRM a telefonie. Služby se kupují samostatně; lze si také ponechat Microsoft 365 a přidat pouze filtrování Klytic MTA, umístěné před ním. Hosting probíhá v jakékoli geografické oblasti odpovídající rozhodné jurisdikci, s výhradou dostupnosti požadovaných služeb, například v Evropě nebo na Mauriciu, nebo na serverech zákazníka. Data drží zákazník, nebo Klytic jeho jménem, a jsou šifrována nativně nebo podle jeho volby; klíč drží zákazník nebo je uložen v jeho účtu a Klytic k němu nemá přístup. Kroky, v nichž šifrování spravuje Klytic, podrobně popisuje stránka ochrana firmy před CLOUD Act. Smlouva musí toto držení a toto šifrování popisovat. Klytic nenahrazuje pokročilý Excel, Power BI ani Teams. Nemá kvalifikaci SecNumCloud a francouzský provozovatel podléhá francouzskému právu.
Tato stránka popisuje obecný rámec. Nepředstavuje právní poradenství.
Právní stav k 5. říjnu 2026. Tento text nenahrazuje analýzu smlouvy. Rozhodnutí o odpovídající ochraně EU–USA (EU) 2023/1795 je v platnosti. Je napadeno. Pro SecNumCloud je rozhodující katalog ANSSI.
Ověřeno v říjnu 2026.
E-mail, dokumenty, videokonference, CRM a telefonie, hostované v oblasti odpovídající vaší jurisdikci, například v Evropě nebo na Mauriciu, nebo u vás.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
